Настройка Active Directory
Внедряйте надёжные конфигурации Active Directory (AD) с использованием групповых политик для защиты учётных записей пользователей, управления доступом и минимизации поверхности атаки. Конфигурации AD обеспечивают централизованный контроль над параметрами учётных записей, политиками входа и правами доступа, снижая риск несанкционированного доступа и перемещения внутри периметра. Данная мера может быть реализована следующими способами: Конфигурация учётных записей: - Реализация: используйте доменные учётные записи вместо локальных для применения централизованного управления AD, включая групповые политики, аудит и контроль доступа. - Сценарий применения: для ИТ-персонала, управляющего общими ресурсами, создайте доменные учётные записи с возможностью централизованного входа, что снижает риск появления неуправляемых локальных учётных записей на отдельных машинах. Ограничения интерактивного входа: - Реализация: настройте групповые политики для ограничения интерактивного входа (например, непосредственного физического или RDP) для учётных записей служб или привилегированных учётных записей, которым такой доступ не требуется. - Сценарий применения: запретите учётным записям служб, например учётным записям SQL Server, права интерактивного входа, что снизит риск использования этих учётных записей для перемещения внутри периметра в случае компрометации. Параметры удалённого рабочего стола: - Реализация: ограничьте доступ по RDP конкретными авторизованными учётными записями. Применяйте групповые политики для предоставления права на RDP-сеансы только необходимым пользователям. - Сценарий применения: на чувствительных серверах (например, контроллерах домена или базах данных финансовой системы) разрешайте RDP-доступ только административным учётным записям, блокируя его для всех остальных. Выделенные административные учётные записи: - Реализация: создавайте административные учётные записи уровня домена, ограниченные от интерактивного входа и предназначенные исключительно для задач высокого уровня (например, установки программ, установки обновлений). - Сценарий применения: создавайте отдельные административные учётные записи для различных задач — одни для установки приложений, другие для управления доступом к репозиторию. Это ограничивает вектор воздействия и сокращает поверхность атаки. Силосы аутентификации: - Реализация: настройте силосы аутентификации (Authentication Silos) в AD с помощью групповых политик для создания зон доступа с ограничениями на основе членства, например группы безопасности Protected Users. Это ограничивает доступ к критически важным учётным записям и минимизирует их воздействие на потенциальные угрозы. - Сценарий применения: размещайте учётные записи высокого риска или высокой ценности, например руководителей или администраторов, в силосе аутентификации с дополнительными элементами управления, ограничивая их доступ только необходимыми системами. Это снижает риск злоупотребления учётными данными при компрометации. **Инструменты реализации**: - Групповые политики Active Directory: используйте консоль управления групповыми политиками (GPMC) для настройки, развёртывания и применения политик в средах AD. - PowerShell: автоматизируйте настройку учётных записей, ограничения входа и применение политик с помощью скриптов PowerShell. - Центр администрирования AD: управляйте силосами аутентификации и настраивайте высокоуровневые политики для критически важных групп пользователей в AD.