Информация Active Directory открыта для пользователей?

Введение

Большинство ИТ-специалистов, которых я знаю, имеют дело с:

• Физический доступ

• Доступ к сети через брандмауэры

• Доступ к сервисам на серверах

• Доступ к приложениям

Большая работа идет на обеспечение безопасности упомянутых выше областей, но как насчет информации, хранящейся в Active Directory? При использовании контроллеров домена Windows Server 2008 большинство людей чувствуют себя комфортно благодаря безопасности, встроенной в эту замечательную технологию, и они должны это делать. Однако вам нужно знать, что может быть конфиденциальная информация, к которой обычные пользователи могут получить доступ с помощью простых инструментов. Кроме того, вам также необходимо проверить, позволяете ли вы еще большему количеству пользователей видеть эту информацию с помощью «функции обратной совместимости», встроенной в Active Directory, начиная с Windows Server 2000.

В этой статье я пролью свет на то, какую информацию обычные пользователи домена могут видеть в Active Directory и почему она доступна для пользователей.

Проблема безопасности

В Active Directory есть много информации, которая, конечно же, включает конфигурацию домена, различные типы учетных записей, опубликованные принтеры и общие файлы. У вас также может быть программное обеспечение, которое расширяет схему и использует каталог для хранения данных конфигурации. Примером такого программного обеспечения могут быть приложения для бухгалтерского учета или устройства безопасности, которые используют каталог в качестве конфигурации для приложения и пользователей домена. Поэтому очень важно проверять, какую информацию контроллеры домена и серверы глобального каталога предоставляют пользователям домена и, возможно, анонимным пользователям.

Инфраструктура корпоративной сети должна быть максимально безопасной. Мы поручаем специалистам по безопасности настроить брандмауэры и шифрование и ограничить весь доступ к сети, серверам и приложениям, которые зарезервированы для корпоративных пользователей. Доступ контролируется учетными данными пользователя или другими типами средств проверки подлинности, такими как смарт-карты и биометрические данные (чтобы сделать эти учетные данные немного более безопасными, прочитайте серию статей, написанных Дереком Мелбером: Пароли Windows: обеспечение их безопасности).

Только аутентифицированные пользователи, вошедшие в систему на своем компьютере, должны иметь доступ к ресурсам домена для своих конкретных рабочих функций. ИТ-персонал следит за тем, чтобы пользователи получали доступ к нужным общим папкам, принтерам, почтовым ящикам и приложениям. Возможно ли, что какой-то корпоративный пользователь-«плохой парень» получает информацию, хранящуюся в Active Directory, которую он может использовать каким-либо образом? Проверяли ли вы свою собственную Active Directory в качестве стандартной учетной записи пользователя домена? Если вы отвечаете за безопасность домена, вам необходимо знать, какую информацию можно увидеть по умолчанию.

Проверка каталога

Если бы я хотел проверить это, я бы вошел в качестве обычного пользователя (с настройками домена по умолчанию) в своей тестовой среде. На своем компьютере я заходил на веб-сайт Microsoft TechNet SysInternals и загружал/запускал Active Directory Explorer с этого веб-сайта. На рисунке 1 вы можете видеть, что я должен предоставить программе свой домен и учетные данные:

Рисунок 1: Окно входа в Active Directory Explorer

Просматривая свой домен, я мог проверить, не выглядит ли что-нибудь интересным. На рис. 2 вы можете увидеть некоторые свойства, которые могут быть интересны тем, кто ищет ограниченную информацию, такую как пароль и политики аудита. Если у вас есть хорошие политики паролей, которые также включают политики блокировки, то это не такая уж большая проблема безопасности.

Рисунок 2: Свойства домена, читаемые обычным пользователем домена

Если мы продвинемся немного вниз в Active Directory, вы сможете найти пользователей. Я здесь смотрю на мою учетную запись администратора в домене. На рис. 3 вы можете увидеть некоторые сведения об этой учетной записи, включая часы входа в систему, членство в группе и дату смены пароля.

Рисунок 3: Свойства учетной записи администратора, читаемые обычным пользователем домена

Мы могли бы сделать несколько запросов перекрестных ссылок для поиска администраторов домена, у которых установлен атрибут «Срок действия пароля не ограничен» (часть атрибута userAccountControl). Программное обеспечение для отчетов и управления Active Directory, такое как ADToolkit от Javelina Software, создает множество отчетов для администраторов и очень простое в использовании.

Доступная информация каталога относится не только к объектам пользователей и групп, но и ко всей инфраструктуре домена, как вы видите ее в разделе «Сайты и службы Active Directory».

Несколько групп безопасности фактически имеют доступ для чтения к некоторым или ко всем свойствам.

• Авторизованные пользователи

• Доступ, совместимый с версиями до Windows 2000

Группа безопасности Pre-Windows 2000 может включать в себя другие группы, о которых я расскажу позже в этой статье. Разрешения на изменение и запись довольно хорошо обрабатываются в Microsoft Active Directory, поэтому пока не беспокойтесь об этом.

Причина

Учетным записям пользователей необходим доступ к большей части Active Directory как минимум с правами на чтение. Конечно, вы должны спланировать хорошую политику паролей и внедрить процедуру аутентификации, которая соответствует требуемому уровню безопасности вашей корпорации.

Я знаю, что многие из вас больше не работают с Windows 2000 Active Directory, но вы все еще можете иметь конфигурацию обратной совместимости в своей среде после более раннего обновления. Microsoft сделала эту «функцию» для операционных систем до Windows 2000. Этим системам требовался доступ к Active Directory, и была создана группа безопасности, чтобы помочь этим компьютерам, предоставив пользователям доступ к каталогу. Во время первого повышения роли контроллера домена Windows 2000 (DCPROMO) отображается следующее окно (рис. 4).

Рисунок 4: Мастер установки Active Directory для настройки разрешений

Заметили желтый восклицательный знак?

При выборе этого параметра совместимости группа безопасности «Доступ к совместимости до Windows 2000» будет заполнена группой безопасности «Все». В Windows 2000 Active Directory группа безопасности «Pre-Windows 2000 Compatibility Access» была заполнена группой «Все», которая также содержала анонимных пользователей.

Примечание:
Анонимные пользователи были удалены из группы «Все» в домене Windows 2003 и выше.

Команда Windows 2003 DCPROMO действительно изменила членство в группе «Доступ к совместимости до Windows 2000», чтобы включить анонимных пользователей, если группа «Все» уже присутствовала с добавлением «Прошедших проверку пользователей».

Я составил следующую таблицу, чтобы дать вам представление о членстве в группе по умолчанию на рис. 5.

Рис. 5. Членство в группе безопасности «Pre-Windows 2000 Compatibility Access»

* В мастере DCPROMO был дан ответ «Да», чтобы включить «Разрешения, совместимые с пред-Windows 2000».
** Если Windows 2003 была обновлена с Windows 2000, применяется тот же ответ, что и выше.

Допустим, у вас в среде не работают Windows 98 и Windows NT 4.0, нужна ли вам эта группа? Что ж, некоторые многофункциональные устройства, такие как копировальные машины со сканированием и поддержкой электронной почты, используют Active Directory для поиска информации, поэтому у вас могут быть устройства, использующие группу «Доступ к совместимости с версиями до Windows 2000».

Что мы можем с этим поделать?

Конечно, большая часть информации, которую мы видим в Active Directory, необходима клиентам в вашей организации для правильной работы. Некоторые детали относятся к делу, некоторые нет, а некоторые сведения следует хранить в тайне. Пожалуйста, проверьте свой собственный домен в качестве стандартного пользователя домена и посмотрите, не соответствует ли что-то политике безопасности в вашей организации.

Группа безопасности «Pre-Windows 2000 Compatibility Access»

Во-первых, вы должны убедиться, что у вас нет компьютеров, которые используют эту группу. Это включает; Windows 98, Windows NT 4.0 и другие устройства, которым необходим доступ к Active Directory с разрешением «полное чтение» или нулевые сеансы к серверам.

Далее необходимо удалить группы «Анонимный вход», «Все» и «Прошедшие проверку» из группы «Доступ к совместимости с версиями до Windows 2000». Вы можете использовать как пользователей и компьютеры Active Directory, так и командную строку для их удаления.

Последнее, что нужно сделать, это проверить, что все работает так, как вы ожидаете.

Если вы где-то найдете устройство, которому нужен этот доступ, и вы не можете настроить его для правильного входа в систему, тогда, конечно, вы можете добавить группы, которые вы удалили, если ваш план безопасности позволяет это. В противном случае вы удалите это устройство из своей установки (см. статью базы знаний Microsoft, упомянутую в разделе ссылок этой статьи).

Группа безопасности «Прошедшие проверку»

Я бы не рекомендовал применять для этого правила отказа, потому что функциональность в вашей среде может уменьшиться, и вы можете получить неподдерживаемую Active Directory. Таким образом, если вы точно не знаете, что вам нужно запретить, вам следует усилить безопасность, например, внедрив лучшую политику паролей и ограничив рабочие станции пользователей.

Установить флаг конфиденциальности в атрибутах схемы

Для всех объектов, кроме «базовых объектов схемы» (объекты категории 1 — те, для которых установлен бит 4 (14 декабря, шестнадцатеричный) в атрибуте systemFlag), вы можете пометить атрибут как конфиденциальный. Это отфильтровывает атрибут в поиске по каталогу, чтобы только администраторы домена могли прочитать подробности. Установка флага конфиденциальности выполняется путем добавления 128 к существующему флагу поиска атрибута.

Требование для этого флага состоит в том, чтобы все контроллеры домена работали под управлением Windows 2003 Server с пакетом обновления 1 (или более поздней версии) независимо от режима работы домена и леса. Флаг можно установить с помощью инструмента ADSIEdit. Прочтите и следуйте инструкциям в статье базы знаний Майкрософт, упомянутой в разделе «Ссылки» этой статьи.

Вывод

В этой статье мы узнали некоторую информацию, которую обычные пользователи домена могут запрашивать в Microsoft Active Directory. Из-за нормального поведения домена Windows и обратной совместимости это может быть более или менее подходящим для вашей корпорации. Мы рассмотрели, как мы ограничиваем доступ на чтение к Active Directory для членов группы безопасности «Доступ к совместимости до Windows 2000», а также помечаем несистемную базу как конфиденциальную.

Ссылки

• Microsoft TechNet: практическое руководство по обеспечению безопасности при установке Active Directory
• Microsoft TechNet: веб-сайт и инструменты SysInternals
• База знаний Microsoft: как добавить пользователей в группу доступа, совместимую с пред-Windows 2000
• База знаний Microsoft: описание вариантов разрешений Dcpromo
• База знаний Майкрософт: группа «Все» не включает анонимные идентификаторы безопасности
• База знаний Майкрософт: Членство в группе рассылки по-прежнему отображается после того, как вы скрыли членство
• База знаний Microsoft: Как пометить атрибут как конфиденциальный в Windows Server 2003 SP1
• Программное обеспечение Javelina (создатели ADToolkit): http://www.javelinasoftware.com/