Active Directory и безопасность. Часть 3. Методика защиты::Журнал СА 10.2014
www.samag.ru
Журнал «БИТ. Бизнес&Информационные технологии»      
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
Журнал "Системный администратор"
Журнал «БИТ»
Наука и технологии
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Вакансии
Контакты
   

Jobsora


  Опросы
1001 и 1 книга  
12.02.2021г.
Просмотров: 823
Комментарии: 0
Коротко о корпусе. Как выбрать системный блок под конкретные задачи

 Читать далее...

11.02.2021г.
Просмотров: 637
Комментарии: 0
Василий Севостьянов: «Как безболезненно перейти с одного продукта на другой»

 Читать далее...

20.12.2019г.
Просмотров: 7515
Комментарии: 0
Dr.Web: всё под контролем

 Читать далее...

04.12.2019г.
Просмотров: 8614
Комментарии: 2
Особенности сертификаций по этичному хакингу

 Читать далее...

28.05.2019г.
Просмотров: 9662
Комментарии: 2
Анализ вредоносных программ

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

 Active Directory и безопасность. Часть 3. Методика защиты

Архив номеров / 2014 / Выпуск №10 (143) / Active Directory и безопасность. Часть 3. Методика защиты

Рубрика: Безопасность /  ИТ-инфраструктура

Степан Москалев СТЕПАН МОСКАЛЕВ, инженер ИТ-систем, MCSE, MCSE:S, MCSE:M, MCITP EA, MCITP EMA, HP AIS. msv121@mail.ru

Леонид Шапиро ЛЕОНИД ШАПИРО, архитектор ИТ-систем, MVP, MCT, MCSE, MCITP:EA, MCSE:S, MCSE:M, CCEE. shapiro_leonid@yahoo.com

Active Directory и безопасность
Часть 3. Методика защиты

В предыдущих статьях этого цикла [1, 2] мы выяснили актуальность защиты учетных записей привилегированных пользователей в службе каталога. Давайте посмотрим, как это можно выполнить, какие средства предлагает нам операционная система для реализации данной задачи

Защищаем административные учетные записи

Рассмотрим, что нужно сделать, на примере самой важной учетной записи в домене – записи Built-in Administrator. Руководствуясь приведенными ниже принципами, можно обеспечить защиту и других привилегированных учетных записей. Изучим те свойства, которые обычно многими администраторами игнорируются, и совершенно напрасно.

Между прочим, не лишним будет вспомнить, что административная учетная запись обладает широчайшими, а по сути своей, гораздо большими, чем у системы, полномочиями в рамках своего домена, а если этот домен – корневой, то и во всем лесу. Так что обеспечение ее безопасности для нас весьма и весьма актуально.

Вернемся к ее свойствам. Многое можно сделать простыми средствами. Воспользуемся консолью Active Directory Users and Computers и посмотрим, что у нас есть для того, чтобы защитить учетную запись пользователя (см. рис. 1).

Рисунок 1. Свойства учетной записи. Запрет делегирования

Рисунок 1. Свойства учетной записи. Запрет делегирования

Свойство Account is sensitive and cannot be delegated. Обратите внимание на то, что она не включена. Что же означает эта опция? По умолчанию все учетные записи в AD могут быть делегированы – это позволяет службам, функционирующим на данном компьютере, или самому компьютеру представляться другим компьютерам или службам от имени учетной записи, которая в настоящий момент используется. Проще говоря, некое зловредное ПО теоретически сможет работать от привилегированной учетной записи, что является угрозой безопасности. Разумеется, нам может потребоваться функция делегированной аутентификации, например, при работе с EFS на сетевом ресурсе, однако с административными записями надо быть предельно аккуратными, потому для них мы обычно включаем эту опцию.

Статью целиком читайте в журнале «Системный администратор», №10 за 2014 г. на страницах 47-49.

PDF-версию данного номера можно приобрести в нашем магазине.


Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru