 |
|
|
|
Active Directory и безопасность. Часть 3. Методика защиты
Active Directory и безопасность В предыдущих статьях этого цикла [1, 2] мы выяснили актуальность защиты учетных записей привилегированных пользователей в службе каталога. Давайте посмотрим, как это можно выполнить, какие средства предлагает нам операционная система для реализации данной задачи Защищаем административные учетные записи Рассмотрим, что нужно сделать, на примере самой важной учетной записи в домене – записи Built-in Administrator. Руководствуясь приведенными ниже принципами, можно обеспечить защиту и других привилегированных учетных записей. Изучим те свойства, которые обычно многими администраторами игнорируются, и совершенно напрасно. Между прочим, не лишним будет вспомнить, что административная учетная запись обладает широчайшими, а по сути своей, гораздо большими, чем у системы, полномочиями в рамках своего домена, а если этот домен – корневой, то и во всем лесу. Так что обеспечение ее безопасности для нас весьма и весьма актуально. Вернемся к ее свойствам. Многое можно сделать простыми средствами. Воспользуемся консолью Active Directory Users and Computers и посмотрим, что у нас есть для того, чтобы защитить учетную запись пользователя (см. рис. 1).
Рисунок 1. Свойства учетной записи. Запрет делегирования Свойство Account is sensitive and cannot be delegated. Обратите внимание на то, что она не включена. Что же означает эта опция? По умолчанию все учетные записи в AD могут быть делегированы – это позволяет службам, функционирующим на данном компьютере, или самому компьютеру представляться другим компьютерам или службам от имени учетной записи, которая в настоящий момент используется. Проще говоря, некое зловредное ПО теоретически сможет работать от привилегированной учетной записи, что является угрозой безопасности. Разумеется, нам может потребоваться функция делегированной аутентификации, например, при работе с EFS на сетевом ресурсе, однако с административными записями надо быть предельно аккуратными, потому для них мы обычно включаем эту опцию. Статью целиком читайте в журнале «Системный администратор», №10 за 2014 г. на страницах 47-49. PDF-версию данного номера можно приобрести в нашем магазине. |
СТЕПАН МОСКАЛЕВ, инженер ИТ-систем, MCSE, MCSE:S, MCSE:M, MCITP EA, MCITP EMA, HP AIS. 
ЛЕОНИД ШАПИРО, архитектор ИТ-систем, MVP, MCT, MCSE, MCITP:EA, MCSE:S, MCSE:M, CCEE. 
Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
