Қызметкерге белгілі бір бағдарламалар, корпоративтік құжаттарға қол жеткізу және күнделікті жұмысын орындау мүмкіндігі қажет. Кейде ыңғайлы болсын деп оған жергілікті әкімші құқықтары беріледі: бағдарлама орнату немесе компьютер баптауларын өзгерту үшін IT-маманға жүгінбеу мақсатында.
Бір қарағанда бұл зиянсыз көрінеді. Пайдаланушы бұрынғы міндеттерін орындай береді, ал техникалық қолдауға өтінімдер азаяды. Бірақ сонымен бірге оның есептік жазбасы жұмыс үшін шын мәнінде қажеттен әлдеқайда көп мүмкіндік алады.
Егер мұндай есептік жазба бұзылса, салдары тек қызметкердің өз құжаттарына емес, бүкіл жүйенің қауіпсіздігіне әсер етуі мүмкін. Артық құқықтар корпоративтік сервер пайдаланушыларына берілген жағдайда қауіп әсіресе жоғары болады.
Жергілікті әкімші құқықтары тек бағдарламаларды орнатуға мүмкіндік бермейді. Олар компьютердің немесе сервердің конфигурациясының елеулі бөлігін, соның ішінде жергілікті есептік жазбаларды, қызметтерді, қауіпсіздік баптауларын және жергілікті ресурстарға рұқсаттарды басқаруға мүмкіндік береді.
Жергілікті әкімші құқықтары деген не
Windows жүйесінде кіріктірілген Administrators жергілікті тобы бар. Осы топқа кіретін пайдаланушылар тиісті құрылғыда әкімшілік операцияларды орындай алады.
Бұл топқа мүшелік жеке жергілікті есептік жазбаға да, домен пайдаланушысына немесе домен тобына да берілуі мүмкін.
Мысалы, қызметкер Windows жүйесіне өзінің домендік есептік жазбасымен кіріп, сонымен бірге нақты жұмыс компьютерінде немесе корпоративтік серверде әкімшілік өкілеттікке ие болуы мүмкін.
Жергілікті әкімші мен домен әкімшісі — бір нәрсе емес
Жергілікті әкімші белгілі бір компьютерді немесе серверді басқарады. Оның жергілікті Administrators тобына мүше болуы ұйымның барлық құрылғыларында әкімшілік құқық бермейді және пайдаланушыны домен әкімшісіне айналдырмайды.
Домен әкімшісінің Active Directory инфрақұрылымын басқаруға байланысты өкілеттігі басқа деңгейде болады. Сонымен бірге домен топтары жекелеген компьютерлердің жергілікті Administrators топтарына кіре алады.
Сондықтан қорғалу деңгейін тексергенде жеке жергілікті есептік жазбаларды ғана емес, әкімшілік құқықтар берілетін домен топтарын да зерттеу маңызды.
Жергілікті әкімші не істей алады
Жергілікті әкімшінің мүмкіндіктері қарапайым пайдаланушы өкілеттігінен едәуір кең. Тиісті рұқсаттар мен құқықтарды көтеру мүмкіндігі болғанда ол мына әрекеттерді орындай алады.
Бағдарламалық жасақтаманы орнату және іске қосу
Әкімші жүйелік компоненттерді, драйверлерді, қолданбаларды және қызметтерді орната алады. Бұл техникалық қызмет көрсету үшін қажет, бірақ күнделікті кеңсе міндеттерінің көпшілігі үшін қажет емес.
Егер пайдаланушы сенімсіз қолданбаны жоғары құқықтармен іске қосса, ол да құрылғыда кеңейтілген мүмкіндіктерге ие болуы мүмкін.
Операциялық жүйе баптауларын өзгерту
Әкімшілік өкілеттік Windows конфигурациясын өзгертуге, қызметтерді басқаруға, кейбір қауіпсіздік параметрлерін орнатуға және жүйе компоненттерінің баптауларын өзгертуге мүмкіндік береді.
Кейбір әрекеттер домен саясаттарымен, қорғау құралдарымен және қосымша бақылау механизмдерімен шектелуі мүмкін. Дегенмен әкімшілік өкілеттіктің тұрақты болуы ықтимал қауіпті әрекеттердің мүмкіндігін кеңейтеді.
Жергілікті есептік жазбаларды басқару
Жергілікті әкімші басқа жергілікті есептік жазбаларды құрып, олардың топтарға мүшелігін басқара алады. Демек, қате берілген өкілеттік қосымша артықшылықты пайдаланушылардың пайда болуына негіз болуы мүмкін.
Жергілікті ресурстарға құқықтарды өзгерту
Windows жүйесінде файлдар мен каталогтарға қол жеткізу NTFS файлдық жүйесінің рұқсаттарымен реттеледі. Әкімшілік өкілеттік жергілікті нысандардың рұқсаттары мен иелерін өзгертуге мүмкіндік беруі мүмкін.
Бұл барлық корпоративтік құжаттарға автоматты түрде қол жеткізуді білдірмейді: деректер басқа серверлерде орналасуы, қосымша шектеулері болуы немесе шифрлануы мүмкін. Бірақ әкімшінің өз құрылғысындағы мүмкіндіктері қарапайым пайдаланушыға қарағанда әлдеқайда кең.
Неліктен бұл корпоративтік серверде әсіресе қауіпті
Жұмыс компьютерінде артық өкілеттік ең алдымен сол құрылғыға және онымен байланысты ресурстарға қосымша қауіп тудырады.
Серверде жағдай күрделірек. Онымен бір мезгілде ондаған қызметкер жұмыс істеуі мүмкін, ал дискілерінде ортақ құжаттар, бухгалтерлік базалар, қолданбалар және ұйым үшін маңызды басқа деректер орналасуы ықтимал.
Егер қарапайым пайдаланушы осындай серверде әкімшілік өкілеттік алса, күнделікті жұмыс пен инфрақұрылымды басқару арасындағы шекара едәуір әлсірейді.
Қызметкерлер RDP арқылы қосылатын корпоративтік серверді елестетейік. Әр пайдаланушыға жеке есептік жазба берілген, бірақ олардың кейбірі қосымша жергілікті Administrators тобына енгізілген.
Осындай есептік жазбалардың бірі бұзылса, шабуылдаушы қолайлы жағдайларда сервердің өзіне әкімшілік қол жеткізуі мүмкін.
Бұл нақты тапсырыс берушідегі расталған оқиғаның сипаттамасы емес, оқу сценарийі.
Егер Administrators тобының құрамын ғана емес, сервердің басқа да негізгі баптауларын бағалау қажет болса, пайдаланыңыз Windows Server қауіпсіздігін тексеруді.
Шабуылдаушылар артық құқықтарды қалай пайдаланады
Оқиғаның дамуының типтік ретін қарастырайық. Ол әр жағдайда міндетті түрде дәл осылай жүрмейді, бірақ артық артықшылықтардың ықтимал залалды неге арттыратынын көрсетеді.
1. Бастапқы бұзу
Қызметкер зиянды тіркемені ашуы, жалған авторизация бетіне өтуі немесе әлеуметтік инженерия нәтижесінде есептік деректерін беруі мүмкін.
Егер шабуылдаушы оның есептік жазбасына қол жеткізсе немесе пайдаланушы сеансында зиянды бағдарламаны іске қоса алса, кейінгі салдар көбіне қолда бар өкілеттіктер мен қолданыстағы қорғаныс механизмдеріне байланысты болады.
2. Әкімшілік өкілеттіктерді пайдалану
Егер бұзылған есептік жазба Administrators тобына кірсе, жүйеге әсер етудің қосымша мүмкіндіктері пайда болады.
Есептік жазбаларды бақылау баптауларына, қауіпсіздік саясаттарына және қорғау құралдарына байланысты кейбір әрекеттер үшін құқықтарды көтеру қажет болуы мүмкін.
Бірақ әкімшілік топта тұрақты мүшеліктің өзі қарапайым есептік жазбамен салыстырғанда қолжетімді мүмкіндіктерді айтарлықтай кеңейтеді.
3. Серверге әсер ету
Қажетті әкімшілік өкілеттіктерді алғаннан кейін шабуылдаушы жүйе конфигурациясын өзгертуге, қолданбалар мен қызметтердің жұмысына араласуға, жергілікті рұқсаттарды өзгертуге немесе қосымша қол жеткізу нүктелерін жасауға әрекет етуі мүмкін.
Нақты салдар сервер конфигурациясына, орнатылған қорғау құралдарына және ұйымның басқа ресурстарының қолжетімділігіне байланысты.
4. Салдардың таралуы
Бірнеше компьютерде бірдей жергілікті әкімшілік парольдерді пайдалану бөлек қауіп тудырады.
Егер мұндай есептік деректер бұзылса, қол жеткізу конфигурациясы бірдей басқа құрылғылар да қауіпке ұшырауы мүмкін.
Әкімшілер артықшылықты домендік есептік жазбаларды қорғанысы төмен компьютерлерде пайдаланса, қосымша тәуекелдер туындайды.
Ал UAC әкімшіні қорғамай ма?
User Account Control (UAC) — пайдаланушылардың есептік жазбаларын бақылау жүйесі — бағдарламаларды күнделікті іске қосуды жоғары артықшылықтарды талап ететін операциялардан ажыратуға көмектеседі.
Көптеген әкімшілік операцияларда Windows құқықтарды көтеруді растауды немесе әкімшілік есептік деректерді енгізуді сұрайды.
Алайда UAC өкілеттіктерді ажыратудың толыққанды баламасы емес. Оның әрекеті баптауларға, пайдаланылатын есептік жазбаға және операцияның сипатына байланысты.
Атап айтқанда, кіріктірілген Administrator есептік жазбасы үшін әкімшінің мақұлдау режимінің жеке параметрлері қолданылады.
Windows жүйесінде UAC қосулы екен деп барлық пайдаланушыға әкімшілік құқық беру — дұрыс тәсіл емес. Күнделікті жұмыс үшін қарапайым есептік жазбаларды пайдаланып, құқықтарды көтеруді тек шынымен қажет әкімшілік міндеттерге беру керек.
Кім жергілікті әкімші екенін қалай білуге болады
Тексерудің бірінші кезеңі — жергілікті Administrators тобының нақты құрамын анықтау.
Ол үшін Windows стандартты басқару консолін немесе PowerShell пайдалануға болады.
PowerShell арқылы тексеру
Қарапайым жұмыс компьютерінде немесе Windows Server 2022 қатардағы серверінде орындаңыз:
$admins = Get-LocalGroup -SID 'S-1-5-32-544'
Get-LocalGroupMember -Group $admins.Name |
Select-Object Name, ObjectClass, PrincipalSource
Идентификатор S-1-5-32-544
орнатылған Windows тіліне қарамастан кіріктірілген Administrators тобын білдіреді.
Команда тікелей енгізілген пайдаланушылар мен топтардың тізімін алуға мүмкіндік береді. Егер тізімде домен топтары болса, олардың құрамын, соның ішінде кірістірілген топтарды бөлек зерттеу қажет.
Домен контроллерлерінде артықшылықты топтарды тексеру тәсілі өзгеше: оларда қатардағы серверлерге тән кәдімгі жергілікті пайдаланушылар базасы болмайды.
Тексеру кезінде неге назар аудару керек
Administrators жергілікті тобында қарапайым қызметкерлер бар ма
Пайдаланылмайтын есептік жазбалар бар ма
Бұрынғы қызметкерлердің құқықтары сақталған ба
Сыртқы мердігерлердің әкімшілік қол жеткізуі қалған ба
Administrators тобына домен топтары енгізілген бе
Кірістірілген домен топтарының құрамы тексерілген бе
Әкімшілер жеке есептік жазбаларды пайдалана ма
Бірнеше құрылғыда бірдей жергілікті әкімшілік пароль қолданыла ма
Қарапайым жұмыс компьютерлері үшін қосымша түрде өтуге болады жұмыс орнының қауіпсіздігін тексерудіОл жергілікті әкімшілік құқықтарды, жаңартуларды, қорғау БҚ-сын, MFA-ны, қашықтан қол жеткізуді және жұмыс деректерінің сақталуын қамтиды.
Маңызды жайт: белгісіз есептік жазбаның болуының өзі бұзылғанын дәлелдемейді. Ол жүйелік компонентке, қызметке немесе бұрын орнатылған қолданбаға тиесілі болуы мүмкін.
Пайдаланушыларды топтан шығармас бұрын әр әкімшілік қол жеткізудің мақсатын анықтау қажет.
Administrators құрамының өзгеруін қалай бақылауға болады
Топ құрамын бір рет тексерумен қатар өзгерістерді тіркеуді ұйымдастырған жөн. Бұл пайдаланушының әкімшілік өкілеттікті қашан алғанын немесе жоғалтқанын анықтауға мүмкіндік береді.
Ол үшін кеңейтілген қауіпсіздік саясатында Audit Security Group Management ішкі санаты қарастырылған.
Windows жүйесінің негізгі оқиғалары
| Event ID | Оқиға | Мәні |
|---|---|---|
| 4732 | Қатысушыны қосу | Жергілікті қауіпсіздік тобына қай есептік жазба қосылғанын және операцияны кім орындағанын анықтауға мүмкіндік береді. |
| 4733 | Қатысушыны жою | Есептік жазбаның жергілікті қауіпсіздік тобынан шығарылуын тіркейді. |
| 4735 | Топты өзгерту | Жергілікті қауіпсіздік тобы параметрлерінің өзгерістерін көрсетеді. |
| 4624 | Сәтті кіру | Пайдаланушы сеанстары мен қашықтан кірулерді зерттеу кезінде қолданылады. |
| 4672 | Арнайы артықшылықтар | Арнайы артықшылықтар берілген сеанстарды анықтауға көмектеседі. Оқиғаның өзі теріс пайдалануды дәлелдемейді. |
| 4688 | Процесті құру | Тиісті ішкі санат қосылғанда процестердің іске қосылуын зерттеуге мүмкіндік береді. |
Пайдаланушыларды Administrators тобына қосуды талдағанда 4732 оқиғасына ерекше назар аудару керек. Оның деректерінен қосылған қатысушы, өзгертілген топ және операцияны бастаған есептік жазба туралы мәліметтерді табуға болады.
Оқиғаларды қарау мысалы
Тиісті рұқсаттар болғанда соңғы жеті күндегі жергілікті топтар құрамының өзгеру оқиғаларын тексеруге болады:
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4732,4733
StartTime = (Get-Date).AddDays(-7)
} |
Select-Object TimeCreated, Id, MessageКоманда тек ағымдағы журналда шынымен сақталған жазбаларды көрсетеді.
Егер Security журналы әлдеқашан қайта жазылып кетсе, бұдан ертерек өзгерістерді тек осы командамен қалпына келтіру мүмкін емес. Сондықтан әкімшілік құқықтарды тексеруді оқиғаларды дұрыс сақтау баптауымен бірге жүргізу қажет.
Егер әкімшілік құқықтар құрамы Active Directory ішінде өзгеретін домен тобы арқылы берілсе, тиісті оқиғаларды домен контроллерлерінен немесе журналдарды орталықтандырылған жинау жүйесінен зерттеу қажет болады.
Бір ғана жергілікті Security журналын тексеру өкілеттіктерді беру тарихын әрдайым толық көрсетпейді.
Әкімшілік қол жеткізуді қалай дұрыс ұйымдастыру керек
Ұйымның міндеті — әкімшілерге жабдықты басқаруға тыйым салу емес, әкімшілік операцияларды күнделікті пайдаланушы қызметінен бөлу.
1. Минималды артықшылықтар қағидатын қолдану
Әр пайдаланушыда тек өзінің жұмыс міндеттерін орындауға қажетті рұқсаттар болуы керек.
Қызметкерге бухгалтерлік бағдарламамен, корпоративтік құжаттармен немесе браузермен жұмыс істеу қажет болуы Windows-ты толық басқару құқығын беруге өздігінен негіз болмайды.
2. Қарапайым және әкімшілік есептік жазбаларды бөлу
IT-маманға күнделікті жұмыс үшін қарапайым есептік жазбаны, ал әкімшілік операциялар үшін жеке артықшылықты есептік жазбаны пайдаланған дұрыс.
Мұндай тәсіл сенімсіз бағдарламаларды жоғары өкілеттікпен кездейсоқ іске қосу тәуекелін азайтады.
3. Administrators тобының құрамын қайта қарау
Әкімшілік топтың әр қатысушысы үшін қандай міндеттер тиісті өкілеттікті талап ететінін және неғұрлым шектеулі қол жеткізу беруге болатынын анықтау қажет.
Пайдаланылмайтын және негізсіз рұқсаттарды олардың мақсатын тексеріп, өзгерістерді келіскеннен кейін жою керек.
4. Бірегей әкімшілік парольдерді пайдалану
Бірнеше компьютерде жергілікті әкімшінің бірдей паролін пайдалану бұзылу салдарының таралу тәуекелін арттырады.
Жергілікті әкімшілердің парольдерін орталықтандырып басқару үшін Microsoft Windows LAPS — Local Administrator Password Solution құралын ұсынады.
Қажетті жаңартулар, соның ішінде 2023 жылғы сәуір немесе одан кейінгі жаңартулар орнатылған болса, Windows LAPS Windows Server 2022 жүйесінде қолдау көрсетеді.
Сонымен бірге Windows LAPS аясында жаңа жергілікті есептік жазбаны автоматты түрде құру және басқару тек Windows-тың жаңа нұсқаларында қолжетімді. Windows Server 2022 үшін бар жергілікті есептік жазбаны басқаруды жоспарлау керек.
5. Қашықтағы әкімшілік қосылымдарды бақылау
RDP арқылы әкімшілік қол жеткізуді жауапты мамандардың шектеулі тобына ғана беру керек.
Әкімшілік топтарға мүшеліктен бөлек қашықтан кіру құқығын, RDP-дің желілік қолжетімділігін, қолданыстағы қосылым шектеулерін және қолданылатын қосымша аутентификация механизмдерін тексеру қажет.
Маңызды серверлер үшін қорғалған әкімшілік жұмыс станциялары және қашықтан қол жеткізудің орталықтандырылған құралдары пайдаланылуы мүмкін.
6. Әкімшілік әрекеттерді тіркеуді баптау
Кіру оқиғаларының, артықшылықты топтар өзгерістерінің, жергілікті есептік жазбалар құрудың және басқа маңызды әкімшілік операциялардың сақталуын қамтамасыз ету ұсынылады.
Процестердің командалық жолдарын тіркеуді қосқанда қолданбаларға аргумент ретінде берілген сезімтал деректер журналға түсуі мүмкін екенін ескеру қажет.
Сондықтан кеңейтілген журналдау параметрлерін қауіпсіздік пен ақпаратты қорғау талаптарын ескере отырып таңдау керек.
Неге барлық артық әкімшілерді жай ғана жойып тастауға болмайды
Артық құқықтарды жою қажет, бірақ мұны бірізді түрде жасау керек. Кейбір қолданбалар, қызметтер және әкімшілік рәсімдер қолданыстағы өкілеттіктерге тәуелді болуы мүмкін.
Топтарды ойланбай өзгерту маңызды бағдарламалық жасақтаманың тоқтауына немесе серверге әкімшілік қол жеткізудің жоғалуына әкелуі мүмкін.
Өзгерістер алдында есептік жазбалардың мақсатын анықтап, резервтік қол жеткізу тәсілін дайындап, конфигурацияны қайтару тәртібін белгілеу қажет.
Алдымен қолданыстағы рұқсаттарға техникалық тексеру жүргізіледі, содан кейін пайдаланылатын қолданбалар мен инфрақұрылым ерекшеліктерін ескеретін өзгерістер жоспары жасалады.
Осыдан кейін ғана әкімшілік қол жеткізу кезең-кезеңімен ажыратылады.
Техникалық қорғаныс қызметкерлерді оқытуды алмастырмайды
Минималды артықшылықтар қағидаты кейбір қателердің салдарын шектеуге мүмкіндік береді, бірақ оларды толығымен болдырмайды.
Мысалы, әкімшілік құқықтары жоқ қызметкер де шабуылдаушыға есептік деректерін беруі, қауіпті тіркемені ашуы немесе заңды қол жеткізуі бар құпия ақпаратты жария етуі мүмкін.
Сондықтан WEB-LABS техникалық шараларды қызметкерлердің киберқауіпсіздік мәселелері бойынша хабардарлығын арттырумен толықтыруды ұсынады.
«Қызметкерлерге арналған киберқауіпсіздік негіздері» курсы
WEB-LABS бағдарламасы фишингті тануға, парольдер мен есептік жазбаларды қорғауға, әлеуметтік инженерияға, файлдармен және корпоративтік деректермен қауіпсіз жұмыс істеуге, сондай-ақ инциденттерге дұрыс әрекет етуге арналған.
Корпоративтік оқыту құны — 20 қызметкерге дейінгі топ үшін 110 000 ₸Одан кейін жаңа қызметкерлерді оқыту үшін оқу материалдарына тұрақты қол жеткізу сыйлық ретінде беріледі.
Корпоративтік серверіңізді шын мәнінде кім басқарады ?
Windows Server жүйесіне техникалық тексеру жүргіземіз: әкімшілік өкілеттіктерді, артықшылықты топтардың құрамын, қашықтан қол жеткізу баптауларын, корпоративтік ресурстарға рұқсаттарды және қауіпсіздік оқиғаларының тіркелуін тексереміз.
Анықталған мәселелер мен нақты ұсыныстар көрсетілген техникалық қорытынды дайындаймыз.
Microsoft техникалық құжаттамасы
- Жергілікті есептік жазбалар және Administrators тобы
- Минималды әкімшілік артықшылықтар қағидаты
- UAC есептік жазбаларды бақылау баптаулары
- Windows LAPS
- 4732 оқиғасы — жергілікті топқа қатысушы қосу
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.