Обеспечение безопасности служебных и важных учетных записей

Управление учетными записями служб и приложений

Существует также несколько рекомендуемых способов повышения безопасности служб и учетных записей служб. В этом разделе описываются способы повышения безопасности служб, доказавшие свою эффективность в реальных сетях. Хотя использование сочетания всех этих методов значительно повышает безопасность корпоративных сетей среднего размера, лучше всего оценить каждый из них и определить наилучшее сочетание подходов для среды каждого конкретного предприятия.

Аудит необходимых свойств служб

Как было сказано выше, первым шагом в разработке плана по обеспечению безопасности служб в конкретной системе является сбор всех данных о службах — где они находятся и для чего используются. Хотя эта задача выглядит сравнительно простой, может оказаться неожиданно сложно определить, какие службы запущены на каждом компьютере, и как ими нужно управлять.

Каждый сервер в среде должен быть задокументирован и проверен, чтобы определить все запущенные на нем службы и все учетные записи, используемые службами для проверки подлинности. Существует ряд средств, которые могут помочь администратору в выполнении этой задачи.

Определение необходимых служб

При установке Windows Server 2003 создает несколько стандартных служб, которые запускаются при загрузке компьютера. Эти стандартные службы обеспечивают совместимость приложений, совместимость клиентов и упрощают управление системой. Однако все эти службы необходимы отнюдь не в каждой среде. Следует проверить все службы и определить, какие из них можно отключить, чтобы уменьшить число уязвимостей сервера, на котором они запущены.

Определение необходимых и ненужных служб может превратиться в достаточно сложный процесс. Необходимость использования одних служб очевидна, а других — нет. При определении служб, которые нужно отключить, используются два основных критерия:

Службы, необходимые для работы конкретного сервера, в основном зависят от роли сервера. Например, службы IIS нужно использовать только на веб-сервере или на сервере приложений, который использует механизм распространения через Интернет. Если сервер не использует службы Telnet или службы удаленного доступа, они должны быть отключены.

При установке на сервер программного обеспечения могут быть установлены дополнительные службы. Например, службы Microsoft Systems Management Services устанавливают службу «Агент удаленного управления Wuser32» для обеспечения функциональности удаленного клиента для обновления программного обеспечения или удаленного управления. При определении того, какие службы нужно отключить, важно иметь представление о том, какие службы могут быть установлены пакетами программного обеспечения или могут понадобиться для их работы.

Использование мастера настройки безопасности

Мастер настройки безопасности, входящий в пакет обновления 1 для Windows Server 2003, можно использовать для быстрой настройки серверов с учетом предъявляемых к ним функциональных требований (например, веб-сервер или контроллер домена). Кроме того, он позволяет создавать политики безопасности для минимизации уязвимостей. Мастер настройки безопасности используется для определения служб, запущенных на серверах сети, и их зависимостей.

Установка мастера настройки безопасности на сервер Windows Server 2003

Мастер настройки безопасности можно использовать для сокращения числа уязвимых мест компьютера, работающего под управлением Windows Server 2003 с пакетом обновления SP1. Мастер дает администраторам указания по созданию политик безопасности с учетом выполняемой данным сервером роли. Термин роль сервера определяет основную функцию, выполняемую компьютером в сети. Необходимые службы, входящие порты и параметры зависят от роли сервера. Созданные политики применяются на серверах, в зависимости от их настроек.

Прекращение использования учетных записей администраторов домена для служб

После завершения аудита сервера собранных данных о системе должно быть достаточно для определения и ликвидации всех возможных экземпляров учетных записей администраторов домена, которые используются для проверки подлинности служб. По возможности службы должны использовать учетные записи локальной службы, сетевой службы или локальной системы.

Следует уделить особое внимание корректировке использования службами учетных записей администраторов в следующих ситуациях.

Использование иерархий с наименьшими привилегиями для развертывания службы

Как говорилось выше, службы всегда должны использовать учетные записи с наименьшими привилегиями, необходимыми для работы службы. Все службы, имеющие более высокие привилегии, чем необходимо, должны быть повторно развернуты с использованием учетных записей с меньшими привилегиями.

Ниже приведена иерархия наименьших привилегий, в которой приведены используемые службами учетные записи, начиная с наиболее предпочтительных.

Создание группы серверов высокой степени безопасности для исключительных ситуаций

Серверы высокой степени безопасности — это серверы, содержащие ресурсы или поддерживающие службы, от которых зависит работа предприятия или которые создают повышенную угрозу безопасности. В эту категорию входят указанные ниже серверы.

Создание группы серверов высокой степени безопасности предполагает выполнение следующих действий.

В управлении участниками группы «Серверы высокой степени безопасности» необходимо использовать внутренний рабочий процесс оценивания запросов на добавление в группу новых участников. Этот процесс должен включать проверку запроса и оценку возникающих рисков безопасности при добавлении сервера в группу. Этот процесс может быть как простым (например, отправка запроса по электронной почте на определенную учетную запись), так и сложным автоматизированным процессом, использующим несколько средств подготовки к работе, например Zero Touch Provisioning (ZTP).

Обсуждение ZTP выходит за рамки данного документа, поскольку это средство ориентировано на системы больших предприятий. Дополнительные сведения о ZTP и других аналогичных средствах см. на Центральном веб-узле развертывания ПО корпорации Майкрософт (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Управление сменой паролей учетных записей служб

Перед назначением учетной записи службе диспетчер управления службами требует ввести правильный пароль учетной записи. Если введен неправильный пароль, назначение будет отклонено диспетчером управления службами. Использование служб учетных записей локальной системы, локальной службы и сетевой службы ликвидирует необходимость управления паролями учетных записей, поскольку эту функцию берет на себя операционная система.

Диспетчер управления службами хранит пароли других учетных записей служб в базе данных служб. После назначения паролей диспетчер управления службами не проверяет пароли, хранящиеся в этой базе данных, и пароль, назначенный учетной записи пользователя в службе каталогов Active Directory, будет по-прежнему действовать. Это может привести к проблемам при возникновении перечисленных ниже ситуаций.

Нужно обновлять данные проверки подлинности любой службы, использующей стандартную учетную запись локального пользователя или пользователя домена, после каждой смены пароля учетной записи пользователя. На это может потребоваться много времени и ресурсов, если службы и используемые ими учетные записи не задокументированы надлежащим образом.

Разумеется, наличие документа, в котором хранятся все данные об учетных записях работающих на всех серверах служб, опасно само по себе. Поэтому следует обеспечить безопасность этого документа. Крупные организации могут хранить эти данные в зашифрованном файле, который находится в безопасном месте вне сети. Небольшие организации могут просто записывать эти данные на бумагу и хранить в сейфе или другом безопасном месте.

Некоторые приложения также могут использовать пароли учетных записей служб (например, сервер Exchange Server или SQL Server™), поэтому в таких ситуациях следует соблюдать осторожность при смене соответствующих паролей в интерфейсе приложения.

Дополнительные сведения о написании средств автоматизации процесса изменения паролей учетных записей служб см. в статье «Изменение пароля учетной записи пользователя службы» (эта ссылка может указывать на содержимое полностью или частично на английском языке).