Jednym z naszych klientów jest firma PCI poziomu 1, a ich audytorzy zasugerowali, że jesteśmy administratorami systemu i naszymi prawami dostępu.
Administrujemy ich całkowicie opartą na systemie Windows infrastrukturą około 700 komputerów stacjonarnych / 80 serwerów / 10 kontrolerów domeny.
Sugerują przejście do systemu, w którym mamy trzy oddzielne konta:
DOMAIN.CO.UK\UserWS
DOMAIN.CO.UK\UserSRV
DOMAIN.CO.UK\UserDC
- Gdzie WS jest kontem logującym się tylko na stacjach roboczych, jest lokalnym administratorem na stacjach roboczych
- Gdzie SRV jest kontem, które loguje się tylko na serwerach innych niż DC, jest lokalnym administratorem na serwerach
- Gdzie DC jest kontem, które loguje się tylko do kontrolerów domeny, w rzeczywistości konto administratora domeny
Następnie obowiązują zasady zapobiegające logowaniu do niewłaściwego typu systemu z niewłaściwego konta (co obejmuje usuwanie interaktywnego logowania dla kont administratora domeny na komputerach innych niż DC)
Zapobiega to sytuacji, w której zaatakowana stacja robocza może ujawnić token logowania administratorów domeny i użyć go ponownie na kontrolerze domeny.
Wydaje się, że jest to nie tylko bardzo inwazyjna polityka w naszych codziennych operacjach, ale także znaczna ilość pracy, aby zająć się tym, co jest stosunkowo mało prawdopodobnym atakiem / exploitem (i tak to rozumiem, być może źle rozumiem wykonalność tego exploita) .
Chciałbym usłyszeć opinie innych administratorów, szczególnie tych, którzy byli zaangażowani w firmę zarejestrowaną w PCI i macie podobne rekomendacje. Jakie są twoje zasady dotyczące logowania administratora.
Dla przypomnienia, obecnie mamy konto użytkownika domeny, którego używamy normalnie, i konto administratora domeny, które podwyższamy również, gdy potrzebujemy dodatkowych praw. Szczerze mówiąc, wszyscy jesteśmy trochę leniwi i często po prostu używamy konta Domain Admin do codziennych operacji, chociaż jest to technicznie sprzeczne z zasadami naszej firmy (jestem pewien, że rozumiesz!).