组策略 - 关键注意事项和安全保障 - Microsoft 平台管理 - 博客 - Quest Community

让我们继续回顾我对 2021 年的八个预测！到目前为止，我们已经介绍了为什么勒索软件受害者将面临处罚、您的数字声誉将如何受到攻击以及为什么 Zerologon 将继续给 IT 专业人员带来痛苦。今天，是时候进行预测#4了：人们会痛苦地记住他们拥有组策略。

关于组策略需要了解的三个关键事项

让我们首先简要回顾一下您需要了解的有关组策略的三件重要事项。

1. 它非常强大。

组策略是 Active Directory 中内置的一项关键功能。它使管理员能够对 IT 环境中可以执行的操作和不能执行的操作设置限制。他们可以为用户（从业务用户到管理员）和计算机（从用户端点到 AD 域控制器）创建设置。事实上，微软的参考电子表格列出了数千种设置。

以下是您可以使用它们执行的一些操作：

• 建立并执行密码策略。
• 防止使用可移动媒体驱动器，因为它们是恶意软件感染的载体。
• 限制对命令提示符的访问，以便用户无法运行未经授权的代码。
• 阻止用户在其系统上安装新软件。
• 禁用 NTLM 身份验证，该身份验证比更现代的 Kerberos 身份验证更弱。
• 防止 Windows 存储 LM 密码哈希值，该哈希值相当容易被破解。

2. 它经常被忽视、误用或忽视。

然而，组策略的力量常常没有得到足够的尊重，并且在组织的安全策略中也没有得到应有的重视。在许多公司，它被视为一种一劳永逸的技术——它很久以前就配置好了，从那时起就基本上没有受到影响。这种“眼不见心不烦”的态度就像是一道闪烁的“欢迎！ ” 向恶意行为者签名。

一些组织走向了另一个极端：他们大量使用 GPO，将其创建为快速解决他们需要的每件小事情的方法。多年来，他们已经积累了成百上千个 GPO，但没有人知道如何理解它们。在所有这些混乱和不断变化的噪音中，如果有人为了自己的邪恶目的而悄悄改变一两个设置，谁会注意到呢？

3. 攻击者不需要太多的技巧就可以破解它。

组策略是每个 Active Directory 环境的一部分，因此不良行为者不必为他们想要渗透的每个组织开发新的攻击手册。他们可以简单地重复使用多年来完善的（并相互共享的）技术。

此外，一旦攻击者进入，他们根本不需要太多的技术知识来调整正确的设置来获得他们想要的东西。为什么不？嗯，实际上有一个名为 BloodHound 的开源工具，它可以揭示 Active Directory 环境中的所有权限关系。它旨在帮助合法的 IT 专家提高安全性，但也无法阻止黑客使用它。只需运行 BloodHound，恶意行为者就可以获得准确攻击路径的详细地图，他们可以用来秘密进行侦察并获得更高的访问权限，直到他们准备好窃取您的数据、破坏您的操作或实现其他最终目标。

2021 年团体政策的重要性

如果您阅读了我关于为什么 Zerologon 将继续给 IT 专业人员带来痛苦的第三个预测，那么您已经有了一个明确的例子，说明为什么 IT 专业人员在 2021 年需要比以往任何时候都更加密切地关注组策略。使用 Zerologon 漏洞，以及攻击者可以获得对您的域控制器之一的访问权限，这意味着他们可以随心所欲地更改您的 GPO。正如我们刚才所看到的，这赋予了他们对整个领域的巨大权力。

再看一下我之前给出的示例，了解您可以使用组策略执行的一些操作。它们都始终出现在最重要的安全配置 GPO 的“前 10 名”列表中。现在考虑一下，如果有人只更改了其中一些 GPO，例如，他们禁用了您的密码策略并允许用户在其计算机上安装未经批准的应用程序，会发生什么情况。突然之间，您可能会发现自己的环境中不仅有一名黑客，而且用户（和管理员！）凭据每秒都在被泄露，并且恶意软件在整个 IT 生态系统中猖獗。

如何加强安全性

那么，你可以做什么来保护自己呢？直言不讳：让组策略成为安全策略的核心部分！首先，深入了解您拥有的 GPO。特别是，您希望发现冗余或冲突的设置并清理它们。 （如果您的组织属于“长期 GPO 扩散”阵营，而不是“一劳永逸”阵营，这一点尤其重要。）

接下来，您需要基于批准的工作流程，以帮助确保所有更改均经过授权且准确。毕竟，笨手笨脚的管理员可以像攻击者一样迅速地破坏您的 IT 运营或让您面临安全漏洞。为了获得更多保护，能够将特定策略的责任分配给特定管理员是非常有帮助的，这样任何人都不会意外或故意踩到他们不负责的设置。

最后，当然，您还需要立即了解 GPO 的更改，并能够在 GPO 更改未经授权或产生不良影响时快速恢复到已知良好的设置。更好的是，您希望能够一成不变地设置一些 GPO 值并防止它们被修改。

敬请关注…

在我的下一篇博文中，我将深入探讨我的第五个预测：随着并购的增加，越来越多的人将意识到租户到租户的迁移到底有多困难。我保证，你不会想错过的！