אפשרויות אבטחה בתוך GPO
פרקי ההרצאה: אפשרויות אבטחה בתוך GPO
תמלול ההרצאה: אפשרויות אבטחה בתוך GPO
הטקסט המלא של הדקות הראשונות בהרצאה «אפשרויות אבטחה בתוך GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרט שמוקדש לאבטחה בתוך gpo נעשה פוליסה חדשה בטסטרס שנקראת סיקיוריטי מהי סיקיוריטי ואנחנו נפתח את הפוליסה שכרגע היא כמובן ריקה ניכנס לפוליסיז ונתחיל לדבר על החלק של הסיקיוריטי בתוך גרופוליסי זה החלק שבעצם מגדיר את האבטחה של הווינדוס את הסיקיוריטי של הווינדוס ובואו נראה מה יש לנו פה.
אז יש לנו פה account policies שזה הסיסמאות, כל מה שקשור לסיסמאות, לפסוורדים, לנעילה במקרה וטעית בסיסמה, להגדרות של קרברוס וכל ההגדרות האלו שקשורות לחשבון account policies.
אפשר לעשות רק אחד בדומיין כולו ורק ברמת דומיין שלם ולכן גם אם תגדיר פה שאורך סיסמה יהיה קטן יותר, גדול יותר, זה לא משנה כלום כי יש רק פוליסה אחת שיכולה להיות עם account policies, זאת מגבלה מיוחדת מאוד שיש רק על אקאונט פוליסיס ולכן דיפולט דומיין פוליסי, אתם זוכרים? יש דיפולט דומיין פוליסי?
אז הדיפולט דומיין פוליסי הוא היחיד בעצם שמטפל בכל הנושא של הסיסמאות בגרופוליסי. אי אפשר לעשות עוד פוליסה שמטפלת בסיסמאות כי רק אחת עובדת. אתם רואים בדיפולט דומיין פוליסי יש פה security account policy ואם אתה תעשה עוד פוליסה שיש לה אקאונט פוליסי אחר זה לא יעבוד לך.
רק ברמת דומיין ורק הראשון כרגע הפוליסה הראשונה שעובדת זה default domain policy אז היא תתפוס אם תעשה פוליסה משלך והיא תהיה מעליה בלינק אורדר פה עם מחריצים או אם אני יכול להוריד את זה למטה ולשים פה איזושהי פוליסה מעליה אז אם אני אעשה פוליסה משלי שמטפלת בסיסמאות אז היא תתפוס ו-default domain policy לא תתפוס
בקיצור רק פוליסה אחת והראשונה והיא רק ברמת דומיין ולא ברמת OU זאת המגבלה המיוחדת מאוד שיש על אורך סיסמה וכל מה שקשור לסיסמאות, ולכן נהוג שדיפול דומיין פוליסי מטפל בסיסמאות, ולא עושים שום פוליסה אחרת שמטפלת בנושא הזה.
אנחנו נדבר על אורך סיסמה שונה ליוזרים מסוימים במודול מיוחד. יש אופציה לעקוף את המגבלה הזאת, בשנת 2008 יש דרך לעקוף, להיכנס למה שנקרא בדלת האחורית ולעשות סיסמה באורך שונה ליוזרים מסוימים אבל לא בגרופ פוליסיה סטנדרטי ואנחנו נדבר על האופציה החדשה הזאת שיש ב-2008
בסרטונים הבאים ולא כרגע. אנחנו דיברנו על אקאונט פוליסיס בתוך ה-Security בתוך לוקל פוליסיס יש אפשרויות מאוד מאוד חשובות הן אומרות קודם כל אודיטינג לעשות מערכת תיעוד לתעד אירועים לדוגמה לתעד מי ניגש לוגון עשה לוגון דרך הרשת, דרך האקטיב דרקטורי,
מי עשה לוגון מיקומי למחשב, מי ניגש לאיזה קובץ, אודיטינג אובג'קט אקסס, על אודיטינג יהיה לנו סרט נפרד, אנחנו לא ניכנס כרגע לאודיטינג, לתיעוד, מערכת תיעוד כמו שיש ב-NTFS, אנחנו לא ניכנס לזה בסרטון הזה, נעשה את זה בסרטון הבא.
יוזר רייט מנג'מנט, יוזר רייט מנג'מנט גם אופציות מאוד מאוד חשובות, רשאי לצרף מחשבים לדומיין ומי רשאי אסור לא להיכנס בשום פנים ואופן לתוך המחשב אז דיניי לוגון לוקאלי למי מותר לשנות את השעה של המחשב למי מותר להיכנס דרך רימורט דסקטופ למחשב למי מותר להיכנס לוקאלית למחשב למה אנחנו לא רואים פה כלום למה הכל not defined כי זאת פוליסה
חדשה לא מוגדר שם כלום אם אנחנו ניקח default domain policy או default gc policy אז אנחנו נראה שמוגדרים פה בעצם ערכים למי מותר לסגור את המחשב מרחוק יפה מאוד בקיצור זאת אלו הן אופציות חשובות אני לא אעבור על כל האופציות יש מעל 3000 אופציות אני לא אעבור על כל ה
3000 אופציות אתם צריכים להכיר את זה באופן כללי ולדעת איפה לחפש אם אתם צריכים לחפש כי אין פה חיפוש בכל הענף הזה אין חיפוש חיפוש יש רק פה למטה וגם לא חיפוש איזה פילטר כזה פה אין שום חיפוש, אתם חייבים להכיר לפחות את העקרונות.
אז ב-Local Policies יש לנו מערכת תיעוד, יש לנו זכויות של יוזרים לכבות, לשנות שעה, להיכנס למחשב, להיכנס דרכי מוד דסקטופ, לצרף מחשבים לדומיין.
כל הזכויות שיש ליוזר זה זכויות נקרא. דרך אגב, יש פה זכות שנקראת Shut Down, לכבות את המחשב. Shut Down the System, למי מותר לכבות את המחשב.
ונניח אני לא רוצה שמזכירה בסוף יום העבודה תכבה את המחשב, והיא כל יום שוכחת, מחבאה לי את המחשב. אני אומר לה, אל תכבי והיא מחבאה. למה? כי למחשב שלה מחוברת מדפסת ואני רוצה להדפיס במדפסת שלה בסוף יום העבודה.
גם כשהיא הלכה, אני עדיין ממשיך לעבוד. לא רוצה שהיא תכבה את המחשב. והיא כל יום מחבאה לי את המחשב ושוכחת. אז אני יכול לעשות shutdown the system ולהגיד שרק האדמיניסטרטור יכול לכבות את המחשב.
היא לא יכולה לכבות את המחשב. יפה מאוד. security options מדבר על אופציות של אבטחה. פוליסי לא רקע נכנס פה ל gpmc אתם תראו שכל זה מוגדר בתוך gpmc כל זה מוגדר בתוך דומיין קונטרולר right click edit default domain policy פוליסה שמגנה על דומיין קונטרולר ואנחנו נוכל לראות פה מה מוגדר security local policies user rights הנה אתם יכולים לראות שפה כבר מוגדרים הדברים מייקרוסופט
הגדירו בשבילנו לצרף לדומיין יכול אותי קזד יוזרס כל מי שעבר אימוץ אומר כל משתמש יכול לצרף מחשבים לדומיין עד עשרה ברירת מחדל. מי רשאי להריץ Backup תוכנות גיבוי?
כל מי ששייך לקבוצת Server Operators או Backup Operators או אדמיניסטרטור. כי להריץ גיבוי זה אומר שאתה מריץ תוכנה שרצה בשם של סיסטם ומגבה את כל הקבצים.
אז פעולה להעתיק ל-USB שלך את כל הקבצים זו פעולה לא ברורה מאליו שמותר לך. אז Server Operators קבוצה שנקראת Server Operators Backup Operators ואדמיניסטרטור יוזר רגיל לא יכול לעשות את זה.
מה יש לנו פה עוד מעניין? יש לנו פה Force Shutdown System From Remote מי רשאי לכבות את השרת מרחוק? לכבות את השרת From Remote מרחוק? רק קבוצת Server Operators ואדמיניסטרטורס.
זאת אומרת אני יכול לעשות חשבון נניח לטכנאי כלשהו ולהכניס אותו לקבוצת Server Operators ויהיה לו מותר לעשות את הדברים האלו. זה קבוצות מוכנות שיש באקטיב דירקטורי. יפה מאוד.
למי מותר להתקין דרייברים של מדפסת, תסבירינט אופרטורס, זה קבוצות מוכנות כאלו. הרעיון של מייקרוסופט שתעשה יוזר, תשייך אותו לקבוצה מתאימה ולא תחטט פה בדברים, הם כבר הגדירו הכל בשבילך, אלא אם כן לא מתאימה לך הלוגיקה שלהם.
פרפורמנס, למי מותר לעשות, למי מותר לכבות את המחשב, שימו לב, לפרינט אופרטורס, סרבר אופרטורס, בקאפ אופרטורס ואדמיניסטרטור, יוזר רגיל שייכנס ל-DC, גם אם הוא ייכנס ל-DC, אסור לו לכבות את המחשב.
לא יהיה לו אופציה של כיבוי, תהיה לו רק אופציה של לוג-אוף. יפה. Take Ownership זה להשתלט על הבעלות על הקובץ.
זוכרים? ב-NTFS אפשר לקחת בעלות על הקובץ בכוח, והאדמיניסטרטור רשאי, רק האדמיניסטרטור רשאי לעשות את זה. ברגע שלקחת בעלות על הקובץ, אתה יכול לשנות את כל ההרשאות לקובץ הזה.
זאת אומרת, בהתחלה לא היה לך שום דבר, היה אסור לך הכל. גנבת בעלות ועכשיו אתה יכול להציל לעצמך סמכויות, לתת לעצמך הרשאות.
אז קבוצת אדמיניסטרטורס, אלו שרשאים לעשות את זה, זה Local Policies. Security Options זה אופציות של אבטחה שיש לנו פה.
אני לא נכנס לכל האופציות ואפילו לא לרבע שלהם. בואו נראה אולי אחד-שתיים שאתם מכירים. אתם מכירים פה User Account Control, שזה ה-USC הודעה שקופצת, אני יכול להגיד, תקשיב, בשרת, שלא יקפוץ.
זאת אומרת, אני אומר בגרופ, בשרת, אף אחד לא נכנס סתם, אף אחד לא גולש סתם, אף אחד לא מוריד מיילים. אל תקפיץ להודעה, האם אתה בטוח שאתה רוצה להיות אדמיניסטרטור?
זה נקרא admin approval mode for built-in administrator account. לא, זה לא זה. הנה, behavior, התנהגות of elevation prompt for administrators.
אני אומר, צריך עוד להבין את האנגלית שלהם. Elevate without prompting, תעלה אותי למעלה, תעשה לי Elevation בלי prompting, בלי לשאול אותי שם וסיסמה, בלי להודיע לי שום דבר, ישר פשוט אני אדמיניסטרטור בלי שאלות נוספות.
יפה, אז נתתי, זה רק על DCים נתתי, כי על DCים לא מכניסים דברים סתם ואין טעם. זה לא שבן אדם אדמיניסטרטור עובד על DC סתם כמו על תחנת העבודה, ואז פתאום הוא צריך לעבור לכובש של אדמיניסטרטור.
אז פה ב-DC אני מבטל את זה. יפה מאוד, Auditing פה לא מוגדר, הודיטינג נדבר בנפרד, אני לא רוצה להיכנס עכשיו, למרות שזה לא כזה קשה, אבל זה לא עכשיו.
Event Log, מה קורה עם יומן האירועים, מה הגודל המקסימלי של יומן האירועים. Restricted Groups, אופציה מאוד מאוד חשובה, אבל אני לא רוצה לגעת ב-Default Domain Policy, כי אני כבר סיימתי עם כל מה שיש מעניין ב-Default Domain Policy, אני יוצא ונכנס לתוך הפוליסה שלנו ב-Testors,
My Security, Right Click Edit, Policies, Windows Settings, security ואנחנו ברסטריקטרד גרופס מה זה רסטריקטרד גרופס זה לנהל קבוצות מקומיות של ווינדוס 7 דרך גרופ פוליסי תחשבו שאני לא יודע בתוך ווינדוס 7 ויש לי כאלו 500 ווינדוס 7 בארגון
יש לי 500 תחנות אני לא יודע אולי מישהו רשום באיזושהי תחנה כאדמיניסטרטור בקבוצת אדמיניסטרטור שמה תסתכלו נעשה את זה דוגמה פשוטה נבוא פה לווינדוס 7 נסגור את כל החלונות שיש לנו פה מיותרים ונבדוק מי רשום פה באדמיניסטרטור.
תחשבו שיש לי עכשיו 500 Windows 7 כאלו, לך תדע מי רשום כאדמיניסטרטור ב-Windows 7 הזה. אני הולך פה ל- Groups, Local Groups ב-Windows 7, רואה אדמיניסטרטורס ואני רואה שיוני רשום פה ודומן האדמין רשום פה, מן הסתם כל מי שבדומן אדמינס, בקבוצה של דומן האדמינס הוא אדמיניסטרטור על כל אחד מהמחשבים,
שימו לב אני ב-Windows 7, וגם איזה יוזר פה נכנס וביקש אדמיניסטרטור לחמש דקות ושכחתי להוריד לו אותו. נניח יש לי יוזר שקוראים לו טסטר, ופתאום הטסטר הזה מגיע לווינדוס 7 והוא פה אדמיניסטרטור על הווינדוס 7 הזה, על ווינדוס 7 אחר הוא לא.
זה נקרא הוא אדמיניסטרטור לוקאלי, אדמיניסטרטור על תחנה מסוימת. ואם הייתי מכניס אותו לדומיין אדמינס, בדומיין הייתי משלח אותו לקבוצה, אז הוא היה אדמיניסטרטור בכל המחשבים בארגון, אצל כולם.
אני לא הכנסתי אותו לדומיין האדמינס, אבל הוא נכנס כאדמיניסטרטור מקומי בתחנה הזאת. עכשיו, איך אני יכול לעלות על זה? איך אני יכול לנהל את הדברים האלו? איך אני יכול לדעת שזה קרה?
אני לא יכול. למה? כי יש לי 500 תחנות כאלו, והכנסתי אותו לחמש דקות להיות אדמיניסטרטור, ושכחתי. עכשיו הוא אדמיניסטרטור על המחשב, והוא יכול להתקין תוכנות, לעשות שיתופים, להחליף כתובות IP, להכניס לי וירוסים פנימה.
לא רוצה שהוא יהיה אדמיניסטרטור, יוזר לא אמור להיות אדמיניסטרטור על המחשב. כמו שהנהג ברכב לא אמור לפרק בו חלקים, אלא רק לנהוג במה שיש. ככה אנחנו גם יוזרים ואדמיניסטרטורים, יוזר אמור להשתמש במה שיש. יש בעיה, שיבוא לאדמיניסטרטור, שיתקן לו את הבעיה.
אז איך אני אעלה, איך אני אעיף מפה את הטסטר הזה? כי אני לא רוצה לבוא לעשות פה רימוב ידני. כי אם אני אעשה פה רימוב ידני, אתם מבינים שאני יכול לעשות רימוב ידני, אבל יש לי פה 500 מחשבים.
אבל מה אני אעשה כל בוקר? אני אעבור בין כל המחשבים ואני אבדוק. אולי יש שם מישהו מיותר. מבחינתי, אני רוצה לעשות פה פוליסה שאומרת, קבוצה מקומית של אדמיניסטרטורס, נמצאים בה רק אדמיניסטרטור ודומיין אדמינס.
זהו, אף אחד אחר לא נמצא שמה. אז איך אנחנו נעשה את זה? ואנחנו בכוונה משאירים אותו פה בשביל לבדוק שזה אכן עובד. אז אנחנו נעבור ל Group Policy, לשרת, נעשה Restricted Group, Right Click, Add Groups, זאת אומרת תנהל קבוצות מקומיות, Restricted Group זה קבוצות מקומיות שנקרא אדמיניסטרטורס, קבוצה שנקראת אדמיניסטרטורס,
אוקיי, הוא אומר, טוב, בסדר, מה אתה רוצה שנעשה פה? אני אומר שפה באדמיניסטרטורס, Members of this Group, מי צריך להיות חבר בקבוצה הזאת?
יוזר שקוראים לו אדמיניסטרטור, ואת זה אתם חייבים לעשות, אם לא תעשו שאדמיניסטרטור הוא חבר באדמיניסטרטורס, זה לא יעבוד לכם כי בווינדוס 7 ובווינדוס XP יש כלל שיוזר שקוראים לו אדמיניסטרטור חייב להיות בקבוצת אדמיניסטרטורס אחרת הוא יותן