Ошибка: Failed to parse the Currency Converter XML document.
$35 878.37


Ошибка: Failed to parse the Currency Converter XML document.
$26 874.48


Ошибка: Failed to parse the Currency Converter XML document.
$924.10


10 советов по обеспечению безопасности Active Directory

10 советов по обеспечению безопасности Active DirectoryИспользуйте Windows Server 2003
Версия Windows Server 2003 с поддержкой службы каталогов «Активная директория» (Active Directory, далее AD) гораздо безопаснее версии Windows 2000. Это не значит, что нельзя сделать Windows 2000 более безопасной. Это значит, что для работы с AD легче использовать версию Windows Server 2003, которая не требует дополнительных настроек параметров защиты. Если нет возможности обновить систему до версии Windows Server 2003, убедитесь, что отключены все функции вида «pre-Windows 2000», например «Разрешения совместимы с версиями, предшествующими Windows 2000 Server» (Permissions compatible with pre–Windows 2000 servers).


Ограничьте доступ пользователей с правами администратора

При помощи таких технологий AD, как «Делегирование полномочий административного контроля» (Delegation of Administrative Control) или грамотно применяя возможности «Встроенных групп» (Built In Groups) и «Полномочий Активных директорий» (Active Directory Permissions), организация может существенно улучшить безопасность Active Directory. Вместо того, чтобы предоставлять широкие полномочия всем администраторам, следует распределить права IT-специалистов в соответствии с выполняемыми ими специфическими задачами (тоже самое касается и конечных пользователей вашей сети — не позволяйте им иметь слишком много прав). Если организация имеет несколько офисов, деревьев, доменов и лесов, убедитесь в том, что административные права соответствуют принятой политике разграничения полномочий.


Защитите DNS

AD сильно зависит от DNS. В частности, записи расположения служб необходимы для оповещения компьютера о местонахождении в сети функций контроллера домена. Поскольку DNS содержит необходимую информацию о сети Active Directory, необходимо убедиться в том, что DNS-сервера надёжно защищены от посторонних как на программном, так и на аппаратном уровне. Рекомендуется разрешать только «Безопасные динамические обновления» (Secure Dynamic Updates). О том, как включить эту опцию, можно узнать, если пройти по этой ссылке.

Защитите роли FSMO

Роли «Операций одиночного гибкого хозяина» (Flexible Single Master Operations, далее FSMO) имеют очень важное значения для Active Directory. В частности, «Эмулятор основного контроллера домена» (PDC Emulator) ответственен за выполнение многих важных функций, в том числе синхронизацию, приоритетные обновления «Групповой политики» (Group Policy) и операции по блокировке учётной записи. Помимо этого, «Мастер схемы» (Schema Master) регулирует обновления для «Схемы» (Schema) и поэтому тоже должен быть максимально защищён. Использование отказоустойчивых серверов, надёжных средств резервирования и применение других известных контрмер также содействует повышению уровня безопасности ролевых объектов FSMO.

Включите аудит

Аудит позволяет проверять работу Active Directory. Включив соответствующую опцию можно осуществлять аудит «Управления учётными записями» (Account Management), «Аудит событий входа в систему» (Logon Events), «Аудит изменения политики» (Policy Change) и «Аудит использования привилегий» (Privilege Use). Хотя это и очевидно, сам по себе аудит бесполезен без регулярной проверки журналов событий.

Отключите бесполезные служб и удалите ненужные приложения

В свете того, что все контроллеры доменов в идеале должны использоваться исключительно по своему прямому назначению, логично будет воздержаться от установки и запуска на них ненужных служб и программ. Убедитесь в том, что на серверах установлен минимальный набор необходимых служб и приложений. Крайне не рекомендуется когда бы то ни было использовать контроллер домена в качестве хранилища файлов или веб-сервера.

Установите шаблоны безопасности

Шаблоны безопасности осуществляют эффективные меры по обеспечению последовательной защиты домена, они всегда могут пригодиться толковому ответственному администратору. Если шаблоны с предзаданными значениями (например, HiSecDc.inf) не могут удовлетворить ваших потребностей, создайте свой собственный.

Установите приоритет для обновлений контроллеров домена

Microsoft выпускает свои защитные патчи ежемесячно (иногда чаще). Администраторам необходимо настроить обновления так, чтобы в первую очередь обеспечивать защитными заплатками контроллеры домена.

Обеспечьте безопасность на физическом уровне

Позаботьтесь о том, чтобы ваши сервера находились в запертом помещении или специальной охраняемой комнате. Злоумышленник, которому удастся физически подобраться к серверу и войти в систему под учётной записью администратора, может существенно разрушить инфраструктуру Active Directory.

Планируйте сбоеустойчивую топологию

Поскольку любая защита строится на основе уже известных видов атак, всегда есть возможность столкнуться с неведомой доселе проблемой. Готовы ли вы к восстановлению? Active Directory — это мультисерверная среда, где несколько контроллеров домена имеют несколько ролей. Таким образом, при сбое одного контроллера страдает вся директория. Вы должны разобраться в схемах Active Directory, разработать методы восстановления и спланировать топологию так, чтобы снизить риск возникновения всех возможных проблем и аварийных ситуаций. Планируйте и будьте готовы.

Автор: Jeremy Smith

 

Интересное

Опасности, связанные с...
Внимание: Всегда интересуйтесь мнением юриста, если у Вас есть какие-либо сомнения по поводу приобретения доменного имени.На протяжении многих лет далеко не один человек сколотил состояние на...
Подробнее...
Забавное программирование...
Приведённый здесь материал можно озаглавить не иначе как «Чем заняться программисту, если нечего делать». На самом деле, Delphi настолько интересная среда, что в ней наряду с разработкой серьёзных...
Подробнее...
Эксклюзив: пять основ...
Довольно старый принцип, когда Microsoft базирует новую операционную систему на центральных приоритетах. И этот принцип вернулся. Оглядываясь назад, первоначальной основой Longhorn был Avalon...
Подробнее...
Многоязычность в РНР
Что же я имел ввиду, говоря о мультиязычности. Ну, наверняка каждый из моих достопочтенных читателей не раз видели крутые порталы и между всем сбродом информации находили две маленькие иконки,...
Подробнее...
Обучение компьютерным...
Сегодня новые компьютерные технологии появляются так стремительно, что надо быть хорошим специалистом, чтобы уследить за рождением всех новшеств. Каждый человек хочет считать себя образованным,...
Подробнее...
Прячем трафик: техника...
До сих пор рассматриваемые нами способы маскировки трафика сводились к сокрытию сетевых соединений, но на физическом уровне весь левый трафик элементарно обнаруживался сниферами и прочими...
Подробнее...
Массивы в РНР
Если Вы четко представляете себе, что такое массив, предлагаю Вам сразуперейти к чтению следующего абзаца. Если нет, тогда именно это Вы сейчаси узнаете. Массив – это ряд переменных, упорядоченных...
Подробнее...
Оптимальный выбор ключевых...
Очень часто при заказе услуги «Продвижение сайта» клиенты требуют вывод сайта в ТОП по определенным поисковым запросам, которые сами же и сообщают. Фирмы-оптимизаторы не отказываются от условий...
Подробнее...
Диски, разделы, буквы...
Вот, не кажется мне MS Windows такой дружественной, как утверждают её пользователи. Ничего удивительного, впрочем: сам я её пользователем практически не являюсь, и сталкиваюсь с ней...
Подробнее...
Определение наличия...
По статистике, около 90% пользователей в наши дни пользуются Internet Explorer (5-й или 6-й версией). В этих браузерах Flash, как правило, уже установлен (если же нет, то, при наличии...
Подробнее...