[玩转系统] 使用 ESAE 保护特权访问
作者:精品下载站 日期:2024-12-14 06:08:38 浏览:13 分类:玩电脑
使用 ESAE 保护特权访问
确保系统得到修补以及深度防御安全保护有效发挥作用,是 IT 部门最关心的问题。但尽管做出了这些努力,安全漏洞仍然在增加,因为操作问题通常被忽视。
最佳实践表明,特权 AD 组在大部分时间应保持为空。实际上,这意味着只有当批准的更改应用于 Active Directory 时,才应填充域管理员、内置管理员和企业管理员等组。但现实情况是,许多组织向 IT 员工发放的帐户是上述组之一的成员或其他特权 AD 组的成员。
在这篇博文中,我们将讨论 ESAE 所基于的分层管理模型,以更智能地重组组织中特权访问的分配流程。
分析安全依赖性
但在需要访问之前且在有限的时间内未能授予权限并不是唯一的卑鄙先生。清洁来源原则指出,系统可以依赖于较高信任度的系统,但不能依赖于较低信任度的系统。如果IT人员以域管理员权限登录他们的笔记本电脑,用于浏览互联网和阅读电子邮件等日常任务,那么干净来源原则就被打破了,因为用户帐户的安全依赖于设备的安全他们登录到。
受损的设备会使登录用户的帐户面临风险。黑客经常以用户工作站为目标,目的是获取特权 Active Directory 帐户的访问权限。一旦黑客能够访问加入域的设备,就可以获取凭据来访问网络上的其他设备,最终导致域控制器。
由于安全依赖性可能会危及域,因此域管理员帐户只能用于登录域控制器或配置为与域控制器具有相同信任级别的设备。为了实现此目标,请设置专门配置用于管理域控制器的 PC。跳转服务器还打破了干净源原则,因为它们依赖于发起远程桌面会话的设备的安全性。
如果预算紧张或者您不想部署专门用于管理域控制器的设备,另一种选择是将 IT 员工的 PC 配置为与域控制器相同的级别,并在 PC 上部署来宾虚拟机 (VM)。这些虚拟机可用于执行日常计算任务。但部署虚拟机来管理域控制器违反了清洁源原则,因为虚拟机的安全性依赖于主机。
根据 ESAE Microsoft 模型进行管理分离
作为 Active Directory 增强安全管理环境 (ESAE) 模型或 Active Directory 中所谓的红森林的一部分,Microsoft 建议使用分层管理来创建分隔管理的区域高风险最终用户设备和关键业务系统。 AD 对象,包括用户帐户和计算机,应分为三层。第 0 层代表最高级别的信任,第 2 层代表最低级别的信任。
域管理员帐户、特权 AD 组、域控制器以及对 AD 林具有直接或间接管理控制权的域应归类为第 0 层。这些对象可以跨所有三个层管理资产,但只能以交互方式登录到第 0 层资产,这再次意味着域管理员永远不应该以交互方式登录最终用户设备。
域成员服务器、应用程序、托管敏感业务数据的系统以及用于管理这些系统的帐户被归类为第 1 层对象。第 1 层用户帐户可以访问和管理第 1 层对象。第 1 层用户帐户可以使用网络登录类型访问第 0 层对象,但无法交互登录到第 0 层设备。他们可以管理第 1 层和第 2 层对象,但只能以交互方式登录到第 1 层设备。
图 1(图片来源:Microsoft)
第 2 层保留给最终用户 PC 和笔记本电脑。除了最终用户之外,IT 帮助台员工也被归类为第 2 层对象,可以对所有层中的设备执行网络登录,但仅限于管理第 2 层设备。同样,第 2 层用户也可以交互式登录到第 2 层设备。
为了帮助实施分层模型,可以使用受保护用户组等安全控制来防止具有域管理员权限的用户登录到第 0 层设备。其他安全控制(例如身份验证策略和孤岛)可以提供更精细的控制。有关如何使用受保护用户组的详细信息,请参阅 Netwrix 博客上的将敏感用户帐户添加到 Active Directory 受保护用户组。
特权访问管理
组织需要更加严格地规定如何将管理权限分配给用户、在何处使用这些权限以及它们的用途。通过实施特权帐户管理最佳实践,可以防止跨网络的横向移动,例如不在每台设备上使用相同的本地管理员密码、不使用域管理员帐户登录最终用户设备、使用分层管理模型对资产进行分类以及执行持续的用户活动监控。
基于分级管理模式的ESAE,只要有一定的规划,实施起来并不困难。不仅要考虑分配给用户的权限,还要考虑他们是否使用这些权限来访问或管理资源。如果您无法实施自动化 IT 管理,请设置手动流程来管理对特权 AD 组的访问。
猜你还喜欢
- 03-30 [玩转系统] 如何用批处理实现关机,注销,重启和锁定计算机
- 02-14 [系统故障] Win10下报错:该文件没有与之关联的应用来执行该操作
- 01-07 [系统问题] Win10--解决锁屏后会断网的问题
- 01-02 [系统技巧] Windows系统如何关闭防火墙保姆式教程,超详细
- 12-15 [玩转系统] 如何在 Windows 10 和 11 上允许多个 RDP 会话
- 12-15 [玩转系统] 查找 Exchange/Microsoft 365 中不活动(未使用)的通讯组列表
- 12-15 [玩转系统] 如何在 Windows 上安装远程服务器管理工具 (RSAT)
- 12-15 [玩转系统] 如何在 Windows 上重置组策略设置
- 12-15 [玩转系统] 如何获取计算机上的本地管理员列表?
- 12-15 [玩转系统] 在 Visual Studio Code 中连接到 MS SQL Server 数据库
- 12-15 [玩转系统] 如何降级 Windows Server 版本或许可证
- 12-15 [玩转系统] 如何允许非管理员用户在 Windows 中启动/停止服务
取消回复欢迎 你 发表评论:
- 精品推荐!
-
- 最新文章
- 热门文章
- 热评文章
[影视] 黑道中人 Alto Knights(2025)剧情 犯罪 历史 电影
[古装剧] [七侠五义][全75集][WEB-MP4/76G][国语无字][1080P][焦恩俊经典]
[实用软件] 虚拟手机号 电话 验证码 注册
[电视剧] 安眠书店/你 第五季 You Season 5 (2025) 【全10集】
[电视剧] 棋士(2025) 4K 1080P【全22集】悬疑 犯罪 王宝强 陈明昊
[软件合集] 25年6月5日 精选软件22个
[软件合集] 25年6月4日 精选软件36个
[短剧] 2025年06月04日 精选+付费短剧推荐33部
[短剧] 2025年06月03日 精选+付费短剧推荐25部
[软件合集] 25年6月3日 精选软件44个
[剧集] [央视][笑傲江湖][2001][DVD-RMVB][高清][40集全]李亚鹏、许晴、苗乙乙
[电视剧] 欢乐颂.5部全 (2016-2024)
[电视剧] [突围] [45集全] [WEB-MP4/每集1.5GB] [国语/内嵌中文字幕] [4K-2160P] [无水印]
[影视] 【稀有资源】香港老片 艺坛照妖镜之96应召名册 (1996)
[剧集] 神经风云(2023)(完结).4K
[剧集] [BT] [TVB] [黑夜彩虹(2003)] [全21集] [粤语中字] [TV-RMVB]
[实用软件] 虚拟手机号 电话 验证码 注册
[资源] B站充电视频合集,包含多位重量级up主,全是大佬真金白银买来的~【99GB】
[影视] 内地绝版高清录像带 [mpg]
[书籍] 古今奇书禁书三教九流资料大合集 猎奇必备珍藏资源PDF版 1.14G
[电视剧] [突围] [45集全] [WEB-MP4/每集1.5GB] [国语/内嵌中文字幕] [4K-2160P] [无水印]
[剧集] [央视][笑傲江湖][2001][DVD-RMVB][高清][40集全]李亚鹏、许晴、苗乙乙
[电影] 美国队长4 4K原盘REMUX 杜比视界 内封简繁英双语字幕 49G
[电影] 死神来了(1-6)大合集!
[软件合集] 25年05月13日 精选软件16个
[精品软件] 25年05月15日 精选软件18个
[绝版资源] 南与北 第1-2季 合集 North and South (1985) /美国/豆瓣: 8.8[1080P][中文字幕]
[软件] 25年05月14日 精选软件57个
[短剧] 2025年05月14日 精选+付费短剧推荐39部
[短剧] 2025年05月15日 精选+付费短剧推荐36部
- 最新评论
-
- 热门tag