इस ब्लॉग पर विंडोज सर्वर सुरक्षा का विषय एक से अधिक बार उठाया गया है। फिर भी, मैं एक बार फिर से रक्षा के पुराने तरीकों की याद को ताज़ा करना चाहूंगा और नए-नए ज्ञात लोगों के बारे में बात करूंगा। बेशक, हम अंतर्निहित टूल का अधिकतम उपयोग करेंगे।

तो, मान लीजिए कि हमारे पास एक छोटी सी कंपनी है जो रिमोट डेटा सेंटर में टर्मिनल सर्वर किराए पर देती है।

किसी भी सुरक्षा को डिजाइन करते समय, आपको एक धमकी मॉडल से शुरू करना चाहिए - किससे या क्या, वास्तव में, हम बचाव करेंगे। हमारे विशिष्ट कॉन्फ़िगरेशन में, मैं अक्षम (और शायद थोड़ा दुर्भावनापूर्ण) उपयोगकर्ताओं से बाहरी बुराई हैकर्स के खिलाफ एक रक्षा का निर्माण करूंगा। चलो रक्षा के बाहरी परिधि के साथ शुरू करते हैं - फ़ायरवॉल।

पीछे आग की दीवार की तरह

Windows 2003 के दिनों में, अंतर्निहित फ़ायरवॉल एक दयनीय दृष्टि थी, और यदि तृतीय-पक्ष टूल का उपयोग करना असंभव था, तो आपको IPSec का उपयोग करना होगा। इस तरह के कॉन्फ़िगरेशन का एक उदाहरण पर चर्चा की जाती है, उदाहरण के लिए, IPSec फ़ायरवॉल का उपयोग करके सामग्री सुरक्षित विंडोज सर्वर में ।

अब, WFP ( विंडोज फ़िल्टरिंग प्लेटफ़ॉर्म ) के आगमन के साथ, चीजें बेहतर हो गई हैं। सिद्धांत रूप में, शायद हर विंडोज सिस्टम एडमिनिस्ट्रेटर एक या दूसरे तरीके से इस फ़ायरवॉल पर आया था, इसलिए केवल कुछ IP से सर्वर तक दूरस्थ पहुँच स्थापित करना मुश्किल नहीं होना चाहिए। मैं कुछ "चिप्स" पर ध्यान दूंगा, जिनका उपयोग शायद ही कभी किया जाता है।

डिफ़ॉल्ट रूप से, फ़ायरवॉल स्पष्ट रूप से अनुमत लोगों को छोड़कर सभी आने वाले कनेक्शनों को अवरुद्ध करता है, लेकिन आउटगोइंग परमिटों को स्पष्ट रूप से मना किए गए सभी कनेक्शनों को छोड़ देता है। इस नीति को wf.msc के माध्यम से फ़ायरवॉल प्रबंधन खोलकर और "गुण" का चयन करके बदला जा सकता है।

फ़ायरवॉल सेटिंग्स।

अब, यदि हम टर्मिनल सर्वर के उपयोगकर्ताओं को इस सर्वर से इंटरनेट एक्सेस करने से रोकना चाहते हैं, तो हम सफल होंगे।

यह ध्यान देने योग्य है कि सर्वर एक्सेस नियमों (आने वाले कनेक्शन) की स्थापना करते समय, स्पष्ट रूप से आउटगोइंग ट्रैफ़िक के लिए नियम बनाना आवश्यक नहीं है। Iptables के संदर्भ में, स्थापित और संबंधित को हमेशा अनुमति दी जाती है।

कमांड लाइन के पारखी के लिए, आप netsh advfirewall के संदर्भ में फ़ायरवॉल को कॉन्फ़िगर कर सकते हैं। आप लेख में " उन्नत सुरक्षा के साथ विंडोज 7 फ़ायरवॉल " कमांड के बारे में पढ़ सकते हैं , मैं जोड़ूंगा कि आने वाले और बाहर जाने वाले कनेक्शन को कमांड द्वारा सक्षम किया गया है:

netsh advfirewall set currentprofile firewallpolicy blockinbound,blockoutbound 

विंडोज़ फ़ायरवॉल की एक अन्य विशेषता यह है कि कोई भी प्रोग्राम या सेटिंग बिना अधिसूचना के अपने नियमों को बदल देता है। उदाहरण के लिए, आपने हमारे दादाजी पर सभी नियमों को बंद कर दिया, एक दूसरा पास दिखाई दिया, आपने उनके बीच एक स्थानीय नेटवर्क बनाया, साझा पहुंच स्थापित की और ... अचानक आपने सभी आगामी परिणामों के साथ सभी और सभी के लिए smb चालू कर दिया।

मूल रूप से ढाई निकास हैं (मुझे याद दिलाएं, हम केवल अंतर्निहित उपकरणों के बारे में बात कर रहे हैं): नियमित रूप से यह देखने के लिए जांचें कि क्या नियम बदल गए हैं, और अच्छे पुराने IPSec का उपयोग करें या, मेरे लिए, सबसे उचित विकल्प समूह नीति के साथ फ़ायरवॉल को कॉन्फ़िगर करना है। कंप्यूटर कॉन्फ़िगरेशन में सेटिंग्स की जाती हैं - विंडोज कॉन्फ़िगरेशन - सुरक्षा सेटिंग्स - उन्नत सुरक्षा में विंडोज डिफेंडर फ़ायरवॉल मॉनिटर।

फ़ायरवॉल समूह नीति को कॉन्फ़िगर करना।

इसके अलावा, विंडोज़ फ़ायरवॉल का उपयोग करते हुए, आप एक साधारण फेल्यबैन लागू कर सकते हैं। यह विफल लॉगिन प्रयासों के ऑडिट को सक्षम करने के लिए पर्याप्त है और, यदि एक पंक्ति में कई विफलताएं, स्रोत आईपी को ब्लॉक करें। आप स्व-लिखित स्क्रिप्ट का उपयोग कर सकते हैं, या आप तैयार किए गए टूल का उपयोग कर सकते हैं, जो मैंने लेख में लिखा था " किसी कंपनी को डूबने के लिए एन्क्रिप्टर्स कैसे दें ।"

यदि अंतर्निहित फ़ायरवॉल पर्याप्त नहीं है और आप कुछ अधिक गंभीर उपयोग करना चाहते हैं, तो आप तृतीय-पक्ष सॉफ़्टवेयर स्थापित कर सकते हैं। यह अफ़सोस की बात है कि विंडोज सर्वर के लिए सबसे प्रसिद्ध समाधान का भुगतान किया जाता है। एक अन्य विकल्प सर्वर के सामने एक राउटर रखना होगा। यह स्पष्ट है कि अगर हम उपनिवेश का उपयोग करते हैं और विदेशों में कहीं दूर सर्वर किराए पर नहीं लेते हैं तो ऐसी स्थापना उपयुक्त है। यदि विदेशी डेटा केंद्र हमारी पसंद है, तो आप वर्चुअलाइजेशन का उपयोग कर सकते हैं - उदाहरण के लिए, अंतर्निहित हाइपर-वी - और वर्चुअल मशीन में परिचित GNU \ Linux या FreeBSD को स्थापित करें।

सवाल उठता है: वर्चुअल मशीन बनाने के लिए सीधे इंटरनेट का उपयोग कैसे किया जाता है, लेकिन सर्वर नहीं करता है? इसके अलावा, सर्वर का मैक पता होस्टर पर नहीं चमकता है और इस तरह उसे दूसरे आईपी पते की खरीद की आवश्यकता नहीं होती है।

चेतावनी! आगे की कार्रवाइयाँ IP-KVM के माध्यम से की जाती हैं!

इसके लिए, वर्चुअल मशीन को दो नेटवर्क एडेप्टर से लैस होना चाहिए। एक इंटरनेट से सीधे संबंध के लिए है, इसके लिए हम "बाहरी" प्रकार का एक वर्चुअल स्विच करेंगे और उस बॉक्स को अनचेक करेंगे जो ऑपरेटिंग सिस्टम को इस स्विच के साथ इंटरैक्ट करने की अनुमति देता है। इस चेकमार्क के द्वारा हम सर्वर को इंटरनेट तक सीधे पहुंच से वंचित करते हैं (फायरवॉल वर्चुअल मशीन को अग्रिम रूप से कॉन्फ़िगर करना बेहतर होता है), और इसका मैक होस्टर तक नहीं जाएगा।

बाहरी वर्चुअल स्विच कॉन्फ़िगर करें।

वर्चुअल मशीन और सर्वर के बीच बातचीत के लिए एक और वर्चुअल स्विच "आंतरिक" प्रकार का होना चाहिए। इसे पहले से ही स्थानीय पते को कॉन्फ़िगर करने की आवश्यकता है। यह एक वर्चुअल राउटर बनाएगा जो सर्वर के सामने खड़ा होता है और उसकी सुरक्षा करता है।

उसी समय, आप "रूटिंग और रिमोट एक्सेस" या अंतर्निहित IPSec की भूमिका से परेशान हुए बिना अपने पसंदीदा वीपीएन को इस आभासी मशीन पर कार्यालय या दूरदराज के कर्मचारियों को कॉन्फ़िगर कर सकते हैं, जैसा कि मैंने लेख " जर्मनी में 1C बेस को कैसे छिपाया " में वर्णित किया है। मुख्य बात यह है कि सिस्टम स्टार्टअप पर इस वर्चुअल मशीन के स्टार्टअप की जांच करना न भूलें।

आप नियमित आरडीपी का उपयोग करके ऐसे सर्वर से जुड़ सकते हैं या दो-कारक प्रमाणीकरण के साथ एचटीएमएल 5 ग्राहकों का उपयोग कर सकते हैं। ब्रूट फोर्स के मामले में दोनों असफल समाधानों की देखभाल करना और एक पंक्ति में अधिकृत करने के कई असफल प्रयासों के साथ कुछ समय के लिए खाते को अवरुद्ध करना सार्थक है।

बाहरी रूप से, हमने सर्वर को अधिक या कम संरक्षित किया है, चलो आंतरिक सुरक्षा पर चलते हैं।

आंतरिक सुरक्षा: बंद करो और जाने मत दो

बेशक, सर्वर को अंदर से बचाने के लिए, मैं वास्तव में कुछ प्रकार के एंटीवायरस स्थापित करना चाहता हूं - आप कभी नहीं जानते कि सर्वर उपयोगकर्ता इंटरनेट से क्या जमा कर रहे हैं या पंप कर रहे हैं। लेकिन व्यवहार में, सर्वर पर एंटीवायरस अच्छे से अधिक नुकसान कर सकता है। इसलिए, मैं आमतौर पर गैर-श्वेतसूचीबद्ध सॉफ़्टवेयर लॉन्च अवरुद्ध तंत्रों का उपयोग करता हूं - विशेष रूप से, एसआरपी (सॉफ्टवेयर प्रतिबंध नीतियां) तंत्र, जिसका मैंने लेख में भी उल्लेख किया था " एक कंपनी को बाढ़ करने के लिए एनक्रिप्टर्स कैसे सक्षम करें "।

मैं एक गड्ढे पर अधिक विस्तार से रहूंगा, जिसे हम अक्सर भूल जाते हैं जब आप मानक सेटिंग्स के साथ एसआरपी को चालू करते हैं, जब विंडोज और प्रोग्राम फाइलों के फ़ोल्डर्स के अलावा सब कुछ अवरुद्ध हो जाता है। दरअसल, यह लगभग सभी मैलवेयर को फ़िल्टर करता है। लेकिन यह वास्तव में कर्मचारियों की दुर्भावना के साथ काम नहीं करता है, क्योंकि सिस्टम फ़ोल्डर में उपयोगकर्ताओं द्वारा ऑब्जेक्ट बनाने के अधिकार के साथ सबफ़ोल्डर हैं। उदाहरण के लिए, आप फ़ोल्डर C: \ Windows \ Temp को देख सकते हैं।

उस फ़ोल्डर के लिए अनुमतियां जो श्वेतसूची में है।

और ऐसा फ़ोल्डर अकेला नहीं है। आप निश्चित रूप से, ऑडिट सिस्टम फ़ोल्डर्स को स्वयं कर सकते हैं, या आप उन लोगों पर भरोसा कर सकते हैं जो पहले से ही ऐसा कर चुके हैं। उदाहरण के लिए, उनके ब्लॉग पर एक स्टीफन कंठक विशेषज्ञ (संदर्भ द्वारा एक EICAR परीक्षण वायरस है, एक एंटीवायरस काम कर सकता है) एंटीवायरस और विंडोज सुरक्षा विधियों के माध्यम से एक आक्रामक तरीके से चलता है और साथ ही एक पहले से ही इकट्ठे SRP सेटिंग्स पैकेज प्रदान करता है जो इस तरह के संदिग्ध फ़ोल्डरों को भी रोक देगा। अनुरोध पर, लेखक इन रजिस्ट्री सेटिंग्स को स्थानीय नीति फ़ाइलों में परिवर्तित करने के लिए एक कार्यक्रम प्रदान करता है।

यदि आप अधिक लचीली सेटिंग्स के साथ AppLocker तंत्र का उपयोग करना पसंद करते हैं, तो AaronLocker समाधान आपकी मदद कर सकता है ।

संपादक इंटरनेट पर स्क्रिप्ट और अन्य कार्यक्रमों का उपयोग करने और स्थापित करने की सलाह नहीं देते हैं, बिना उनका अध्ययन किए।

यदि AppLocker लंबे समय तक दिखाई दिया, और SRP की आयु 15 वर्ष से अधिक हो गई, तो अपेक्षाकृत ताज़ा विकल्प WDAC (Windows Defender Application Control) है। दरअसल, सिक्योरिटी एसेंशियल के बाद से, अंतर्निहित "एंटीवायरस" ने कई दिलचस्प विशेषताओं का अधिग्रहण किया है। उदाहरण के लिए, डब्ल्यूडीएसी वह मॉड्यूल है जो एप्लिकेशन और लाइब्रेरी के लिए एक्सेस पॉलिसियों के लिए जिम्मेदार है। पहले, यह डिवाइस गार्ड (कंप्यूटर की रक्षा करना, जिसमें वर्चुअलाइजेशन तकनीकों का उपयोग करना शामिल था) का हिस्सा था, और इसके कॉन्फ़िगरेशन के बारे में थोड़ा सा लेख " विंडोज 10 में एस मोड का सिद्धांत और अपने हाथों से डिवाइस गार्ड स्थापित करना " में वर्णित किया गया था। सभी बारीकियों के बारे में अधिक विवरण आधिकारिक दस्तावेज में पाया जा सकता है, लेकिन मैं कुछ कमियां जोड़ सकता हूं जो इसे एसआरपी और ऐपलॉकर जैसे क्लासिक समाधानों से अलग करती हैं:

• कोई ग्राफिकल कॉन्फ़िगरेशन नहीं है, सभी PowerShell cmdlets के माध्यम से।
• उपयोगकर्ता स्लाइस में कोई सेटिंग्स नहीं हैं, केवल कंप्यूटर के लिए।
• सेटअप काफी असामान्य किया जाता है - एक xml फ़ाइल तैयार की जाती है, जिसे बाद में बाइनरी में बदल दिया जाता है, और कंप्यूटर पर वितरित किया जाता है।

लेकिन एप्लिकेशन को एक स्लाइस में कॉन्फ़िगर करना संभव है: उदाहरण के लिए, यदि आप अपनी स्क्रिप्ट को cmd.exe एक्सेस देना चाहते हैं, और तीसरे पक्ष के वायरस को नहीं, तो इसे लागू किया जा सकता है। इसके अलावा, पॉलिसी को यूईएफआई का उपयोग करके सिस्टम को बूट करने से पहले लागू किया जा सकता है।

WDAC के माध्यम से क्रोम लॉक।

सामान्य तौर पर, दर्दनाक विन्यास के कारण, धारणा थी कि कंप्यूटर को प्रबंधित करने के लिए WDAC अब अपने आप से तैनात नहीं था, लेकिन एक उपकरण के रूप में जो आपको Microsoft Intune जैसे केंद्रीकृत MDM सिस्टम के साथ एकीकृत करने की अनुमति देता है। लेकिन उसी समय, विंडोज 10 1803 में अच्छे पुराने एसआरपी का विकास बंद कर दिया गया था।

अगर हम विंडोज डिफेंडर के बारे में बात करते हैं, तो आप मदद नहीं कर सकते लेकिन क्रेडेंशियल गार्ड और रिमोट क्रेडेंशियल गार्ड का उल्लेख करें।

पहला उपकरण फिर से वर्चुअलाइजेशन का उपयोग करता है, ऑपरेटिंग सिस्टम से अलग प्रक्रिया में एलएसए (स्थानीय सुरक्षा प्राधिकरण) घटक शुरू करता है, जो पासवर्ड और केर्बरोस टिकटों की चोरी करने की प्रक्रिया को बहुत जटिल करता है। आधिकारिक प्रलेखन में प्रौद्योगिकी के बारे में और पढ़ें। प्रोसेसर को काम करने के लिए, इसे वर्चुअलाइजेशन का समर्थन करना चाहिए, और सिस्टम में सुरक्षित बूट सक्षम होना चाहिए और उपकरण के लिए क्रेडेंशियल्स को बांधने के लिए टीपीएम मॉड्यूल होना चाहिए। आप समूह नीति के माध्यम से क्रेडेंशियल गार्ड को सक्षम कर सकते हैं कंप्यूटर कॉन्फ़िगरेशन - प्रशासनिक टेम्पलेट - सिस्टम - डिवाइस गार्ड - वर्चुअलाइजेशन-आधारित सुरक्षा सक्षम करें।

क्रेडेंशियल गार्ड को सक्षम करना।

दूसरा उपकरण रिमोट कनेक्शन के लिए प्रेषित क्रेडेंशियल्स (विशेष रूप से व्यवस्थापक!) की रक्षा करने का कार्य करता है, उदाहरण के लिए, उसी आरडीपी पर। पहले, इन उद्देश्यों के लिए प्रतिबंधित व्यवस्थापन मोड तंत्र प्रस्तावित किया गया था, लेकिन यह केवल एक सर्वर से कनेक्शन को सीमित करता था। सर्वर से जुड़ा होने के बाद, नेटवर्क संसाधनों का उपयोग करना असंभव था, केवल एक सर्वर पर एक स्थानीय सिस्टम खाता के लिए लागू प्रशासक अधिकार।

रिमोट क्रेडेंशियल गार्ड आपको एक स्पष्ट पासवर्ड दर्ज किए बिना स्थानीय मशीन से क्रेडेंशियल्स को रिमोट सर्वर में स्थानांतरित करने की अनुमति देता है, जो उन्नत सुरक्षा के अलावा, सर्वर (एसएसओ) से कनेक्ट करने की सुविधा भी प्रदान करेगा। आप दस्तावेज़ीकरण में अधिक पढ़ सकते हैं, लेकिन मैं यह जोड़ना चाहूंगा कि तंत्र के लिए सर्वर पर इसके समर्थन को सक्षम करने के लिए पर्याप्त काम करना है - उदाहरण के लिए, कमांड के साथ रजिस्ट्री के माध्यम से:

 reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 

और फिर कमांड के साथ सर्वर से कनेक्ट करें:

 mstsc.exe /remoteGuard 

अब क्रेडेंशियल सुरक्षित हैं, और सर्वर काफी सुरक्षित है। सच है, उस सामग्री में जो मैं जानबूझकर एक दुर्भावनापूर्ण हॉस्टलर के खिलाफ सुरक्षा के मुद्दों पर नहीं छूता था, लेकिन यहां यह सामान्य रूप से एक चीज के लिए नीचे आता है - डिस्क एन्क्रिप्शन।