Обеспечение безопасности служебных и важных учетных записей

Введение

Первым шагом к обеспечению безопасности корпоративной сети среднего размера является понимание того, какими уязвимостями могут воспользоваться злоумышленники. Главной задачей злоумышленника, проникшего в сеть, является повышение привилегий созданного им плацдарма для получения более широкого доступа. После повышения привилегий очень тяжело предотвратить дальнейшие действия злоумышленника. Злоумышленники используют различные механизмы повышения привилегий, но чаще всего они связаны с атаками на имеющиеся в системе учетные записи, особенно, если они обладают правами администратора.

В корпоративных сетях среднего размера зачастую принимаются меры по обеспечению безопасности обычных учетных записей пользователей, а учетные записи служб остаются без внимания, что делает их уязвимыми и популярными целями злоумышленников. После получения злоумышленником контроля над важной учетной записью с высоким уровнем доступа к сети, вся сеть будет оставаться ненадежной, пока не будет полностью создана заново. Поэтому уровень безопасности всех учетных записей является важным аспектом обеспечения безопасности сети.

Внутренние угрозы, так же как и внешние, могут причинить значительный ущерб корпоративной сети среднего размера. Внутреннюю угрозу создают не только злоумышленники, но и те пользователи, которые могут нанести ущерб ненамеренно. Одним из примеров могут служить на первый взгляд безобидные попытки пользователей получить доступ к ресурсу в обход мер безопасности. Из соображений удобства пользователи и службы также очень часто получают более широкие права, чем необходимо для работы. Хотя такой подход гарантирует пользователям доступ к ресурсам, необходимым для выполнения работы, он также увеличивает опасность успешной атаки на сеть.

Аннотация

Как уже было сказано во введении, управление безопасностью всех типов учетных записей в сети является важным аспектом управления рисками корпоративной сети среднего размера. Во внимание должны приниматься как внешние, так и внутренние угрозы. Решение по защите от таких угроз должно быть сбалансировано с точки зрения безопасности и функциональности сетевых ресурсов, соответствующей потребностям среднего бизнеса.

Данный документ поможет представителям среднего бизнеса осознать риски, связанные с административными учетными записями и учетными записями служб, учетными записями по умолчанию и учетными записями приложений. Приведенные сведения являются основой для разработки и реализации мер по снижению этих рисков. Для этого необходимо рассказать о сути этих учетных записей, о том, как их различать, как определять права, необходимые для работы, и как снижать риски, связанные с повышенными привилегиями учетных записей служб и администраторов.

В рамках инициативы корпорации Майкрософт «Защищенные компьютерные системы» используемые в Microsoft® Windows Server™ 2003 параметры по умолчанию рассчитаны на обеспечение защиты службы каталогов Active Directory® от различных угроз. Однако уровень безопасности учетных записей администраторов корпоративной сети среднего размера можно усилить еще больше, изменив некоторые их параметры. Кроме того, службы, не входящие в состав операционной системы Windows Server 2003 и устанавливаемые другими приложениями, также необходимо защитить. В данном документе описываются способы обеспечения безопасности этих учетных записей и служб, а также содержатся рекомендации по контролю над использованием и управлением административными полномочиями.

Обзор

Данный документ состоит из четырех основных разделов, в которых приводятся сведения по обеспечению безопасности служебных и административных учетных записей в сетях компаний среднего размера. Первый раздел — «Введение» — вы читаете в настоящий момент. Оставшаяся часть документа имеет следующую структуру:

Для кого предназначен этот документ

Данный технический документ предназначен для технических специалистов и руководителей технических подразделений, имеющих дело с обеспечением безопасности учетных записей служб, приложений и администраторов в сети Microsoft. Хотя аудитория, не владеющая техническими знаниями, может почерпнуть из данного документа некоторое представление о принципах управления обеспечением безопасности учетных записей, для получения наибольшей пользы от сведений, приведенных в данном документе, необходимо понимание операционной системы Microsoft Windows®, а также концепций и процедур управления учетными записями службы каталогов Active Directory.

Определение

В этом разделе даются определения встречающихся в документе терминов, которые могут требовать разъяснения.

Трудности

Как было сказано в предыдущем разделе, незащищенные учетные записи администраторов и служб представляют значительную угрозу для безопасности корпоративной сети компании среднего размера. Сложность и быстрый рост большинства корпоративных сетей приводят к тому, что в организации управления учетными записями часто можно найти существенные уязвимости. По этим же причинам обеспечение безопасности важных учетных записей и служб, работающих в сети, становится такой сложной задачей.

Ниже перечислены наиболее часто встречающиеся проблемы, с которыми сталкиваются компании среднего размера при разработке подхода к вопросам безопасности.

Решения

Предлагаемые в данном документе решения для управления учетными записями служб и администратора, а также важными учетными записями, основаны на принципе предоставления наименьших полномочий и использовании учетных записей с минимальными полномочиями.

В большинстве учебных курсов и документов по безопасности упоминается принцип предоставления наименьших полномочий. Хотя этот принцип относительно прост для понимания, его реализация способствует резкому повышению безопасности любой компании. Попросту говоря, этот принцип гласит, что все учетные записи должны обладать минимальным набором прав, необходимых для выполнения текущих задачи, и не более того. Данный принцип применим не только к пользователям, но также к компьютерам и запущенным на них службам.

Использование этого принципа помогает не только защититься от злоумышленников и вредоносных программ, но и укрепить безопасность компании за счет тщательного изучения специалистами вопроса о правах доступа, необходимых пользователям, компьютерам и приложениям. Изучение этих сведений является обязательным этапом успешной реализации любой инициативы в области безопасности, поскольку позволяет получить представление о процессах и параметрах, которые могут быть не вполне безопасными и требуют дополнительной защиты.

Например, согласно принципу предоставления наименьших полномочий пользователь, которому назначена роль администратора домена, должен использовать учетную запись, обладающую привилегиями администратора домена, только при выполнении задач, требующих такого уровня доступа. При выполнении задач, не требующих такого высокого уровня привилегий, администратор должен использовать учетную запись, обладающую стандартными правами доступа. Такой подход позволяет снизить количество угроз безопасности, связанных с человеческими ошибками, и уменьшить наносимый ущерб, если рабочая станция администратора будет заражена вредоносной программой.

Оценка

Для обеспечения безопасности важных и служебных учетных записей необходимо определить, какие учетные записи относятся к этим категориям, и какие для них существуют угрозы. Важно также осознавать последствия изменения этих учетных записей, чтобы обеспечить приемлемый уровень влияния этих изменений на работу компании.

Управление важными учетными записями и учетными записями администраторов

Для защиты административных и важных учетных записей и соответствующих групп, необходимо знать какие учетные записи и группы соответствуют этому критерию. Также важно определить сферу действия привилегий администратора и то, на какие системы они распространяются, особенно если речь идет об управлении контроллерами доменов.

Таким образом, важно иметь глубокое понимание сущности учетных записей администраторов и системы, в рамках которой они используются, а также знания о контроллерах доменов и управляющих ими учетных записях.

Группы и учетные записи администраторов

В сети Active Directory имеются указанные ниже административные учетные записи.

Наличие групп администраторов в домене Active Directory зависит от служб, установленных на домене. Базовый домен Active Directory содержит перечисленные ниже группы.

Администраторы служб и администраторы данных

В среде Active Directory операционной системы Windows Server 2003 существует два типа привилегий администратора: администраторы служб и администраторы данных.

Несмотря на то, что в любой системе один и тот же пользователь может выполнять обе этих роли, важно понимать принципы работы используемых по умолчанию учетных записей и групп, которые являются администраторами служб. Учетные записи администраторов служб обладают большой властью в сетевой среде и должны быть защищены лучше всего. Эти учетные записи отвечают за параметры каталога, установку и обслуживание программного обеспечения, а также за установку пакетов обновления и обновлений операционной системы на контроллеры домена.

Таблица 1. Стандартные группы и учетные записи администраторов служб

Группы и учетные записи администраторов служб, приведенные в таблице, защищены с помощью фонового процесса, которые периодически проверяет и применяет специальный дескриптор безопасности, содержащий сведения о безопасности, которые связаны с определенным защищенным объектом. Данный процесс затрагивает каждого участника группы администраторов служб и обеспечивает перезапись несанкционированных изменений участников группы администраторов с их заменой на защищенные параметры, содержащиеся в структуре данных дескриптора безопасности.

Структура данных дескриптора безопасности хранится в объекте AdminSDHolder. Следовательно, чтобы изменить разрешения любой группы администраторов служб или их учетных записей, нужно изменить дескриптор безопасности в объекте AdminSDHolder таким образом, чтобы обеспечить согласованное применение изменений. Изменения, внесенные в дескриптор безопасности, приводят к изменению параметров по умолчанию, применяемых ко всем защищенным учетным записям администраторов, поэтому при использовании этого метода модификации разрешений необходимо соблюдать осторожность.

Дополнительные сведения об изменении разрешений учетных записей администраторов служб см. в документе «Рекомендации по обеспечению безопасности службы каталогов Active Directory»