Настройка безопасности windows server 2016

Обновлено: 06.07.2024

Однако для максимизации защиты рекомендуется зайти немного дальше. В общем случае рекомендуется конфигурировать каждый сервер на выполнение одной конкретной задачи. Например, вместо того, чтобы запускать службы DNS и DHCP на машине, уже выполняющей роль файлового сервера, с точки зрения безопасности лучше устанавливать каждую роль на выделенном сервере. Это не только позволяет сократить контактную зону, но также упрощает устранение неполадок, потому что конфигурация серверов значительно проще.

Понятно, что иногда использования отдельных серверов для каждой роли непрактично из соображений экономии или функциональных требований. Но даже в таких обстоятельствах, всегда лучше по возможности изолировать серверные роли.

Дополнительную экономию средств на серверы можно получить за счет виртуализации серверов. Например, лицензия на редакцию Windows Server 2008 R2 Enterprise предусматривает возможность размещения до четырех виртуальных машин при условии, что на сервере установлена только роль Hyper-V.

2. Форсирование безопасности DNS с помощью DNSSEC

Системы разрешения имен DNS, являющаяся одной из основ современной системе сетевых взаимодействий, разрабатывалась более 20 лет назад, когда о вопросах защиты информации почти не задумывались. Одним из основных недостатков системы DNS является возможность подделки ответа на DNS запрос.

Основные компоненты DNSSEC определены в следующих стандартах RFC:

Поддержка технология DNSSEC появилась еще в Windows Server 2008 R2 и Windows 7. Однако из-за сложности и неочевидности настроек, широкого распространения она не получила. Свое дальнейшее развитие DNSSEC получила в Windows Server 2012, в котором функционал DNSSEC был существенно расширен, и предполагает возможность настройки через графический интерфейс.

По умолчанию RDP слушает tcp порт 3389, брутфорсеры и прочие злодеи постоянно сканируют сеть на наличие открытого порта 3389 и 445, подбирая пароли, кормят протокол эксплоитами, сервер из за этого в лучшем случае может зависнуть или уйти в BSOD, а в худшем он может быть скомпрометирован. Поэтому стоит изменить стандартный порт 3389 на любой другой, свободный порт. Сделать это можно специальной утилитой от microsoft или изменив ключ реестра.

Внимание: Перед изменением порта, не забываем добавить соответствующие правило в брандмауэр и записать где нибудь порт, но не на том сервере на котором изменяли.

4. Конфигурируем брендмауэр: запрещаем всё кроме нужного

Редактируем правила входящих подключений в брандмауре, отключаем всё что не нужно, например обычно на веб-сервере не нужно ничего кроме:

5. Защита от намеренного подбора паролей к учетных записям

Так как мы выше изменили порт то теперь следует защитится от намеренного подбора паролей, делается это следующим образом

Заходим в локальную политику Control Panel\System and Security\Administrative Tools\Local Security Policy

Открываем правило и вводим новое имя учетной записи администратора.

Примечание: Выше есть правило отключения аккаунта администратора (Accounts: Administrator account status), но лучше просто переименовать, дело в том что учетные записи пользователей блокируются после определенного кол-ва неудачных попыток входа в систему, и только аккаунт администратора не подвержен блокировкам, сделано это специально, чтобы администратор не потерял контроль над сервером в период блокировки всех остальных учетных записей.

7. Отключаем показ пользователей сервера при интерактивном подключении.

Interactive logon: Display user information when the session is locket

Как только вы запустили новый сервер, нужно позаботится о том что бы до ввода в эксплуатацию, были установлены все доступные обновления. В процессе работы тоже очень желательно устанавливать выходящие обновления, для этого можно выделять 1 день в месяц, непосредственная недоступность сервера обычно занимает в районе 15 минут.

Многие годы в Windows используется механизм управления доступом на уровне пользователей и групп. Пользователь может работать в защищенной локальной сети или подключаться через общественную точку доступа. Человек один, а риски для бизнеса разные.

Защитить содержимое можно при помощи службы управления правами (Rights Management Services), но она снимает только часть проблем. Более глобально задачу управления доступом и аудита призвана решить технология динамического управления доступом (Dynamic Access Controls, DAC).

Реализована интеграция DAC со службой RMS, что позволяет в реальном времени защищать документы, которым присвоен соответствующий тег. Настройки упрощает автоматическое тегирование документов, которое создается при помощи правил, настраиваемых в диспетчере ресурсов файлового сервера (File Server Resource Manager).

Microsoft разработала технологию NAP (Network Access Protection), которая представлена в серверной операционной системе Windows Server 2008. Данная технология предназначена для блокирования/постановки в карантин компьютеров, не соответствующих политикам, принятым в локальной сети. Таким образом обеспечивается защита локальной сети.

Вопрос безопасности сервера был и будет актуальным. Рассмотрим базовые правила обеспечения безопасности серверов под управлением ОС семейства Window Server.

Регулярно устанавливать обновления операционной системы и установленного программного обеспечения.

В быту существует мнение, что Windows не нуждается в обновлениях и их вообще лучше отключить, якобы “чтобы система не тормозила”. Это одна из самых главных ошибок. Обновления важно устанавливать своевременно, особенно критические. Упрощает эту задачу специальная утилита, с которой можно ознакомиться на официальном сайте Центра обновления Windows.

Также важно поддерживать в актуальном состоянии установленное сопутствующее программное обеспечение, в том числе СУБД, различные фреймворки и прочее.

Использовать ПО из проверенных источников.

Рекомендуем перед загрузкой установочного пакета программного обеспечения, в том числе и Open Source, убедиться в надежности источника. Нередко бывает так, что визуально похожий на официальный сайт ресурс, распространяет уже скомпрометированое ПО. В пакет установки может быть добавлен файл с вредоносным кодом.

Грамотно настроить межсетевой экран.

Важно понимать, что сервер доступен из сети Интернет. По этой причине, ОС должна быть защищена любым устройством выполняющим функции файрволла. Если подобных устройств нет, то Брандмауэр Windows будет последней надеждой на защиту от несанкционированных подключений к серверу.

Чем меньше TCP/UDP портов доступно извне, тем меньше шансов провести атаку на сервер. В этом вопросе важно разобраться что блокировать. Если речь идет о web-сервере, то доступными необходимо оставить 80 и 443 TCP-порты (эти порты служба слушает по умолчанию).

Это были публичные порты, но не стоит забывать, что существуют порты, доступ к которым должен предоставляться по принципу “белого” списка, т.е. только определенному кругу лиц. Пример портов:

3389 - RDP (Remote Desktop Protocol);
135-139 - NetBIOS;
445 - Samba (общий доступ к файлам и папкам);
5000 - 5050 - FTP в пассивном режиме;
1433 - 1434 - порты SQL;
3306 - стандартный порт MySQL;
53 - DNS

Создать правило не сложно. Открываем Пуск → Панель управления → Система и безопасность → Администрирование → Брандмауэр Windows в режиме повышенной безопасности.

В окне программы кликаем правой кнопкой мыши по “Правила для входящих подключений”. В открывшемся контекстном меню выбираем “Создать правило...”.

Переименовать учетную запись администратора.

Использовать несколько аккаунтов администратора.

Если администрированием сервера занимается несколько специалистов, следует создать индивидуальную учетную запись для каждого. Подобная мера позволит выследить виновника в произошедшем.

Использовать учетную запись пользователя с ограниченными правами.

Для выполнения повседневных задач не всегда требуется использовать учетную запись с правами администратора. Рекомендуем создать учетную запись с ограниченными правами. В случае если учетная запись будет скомпрометирована, злоумышленнику придется постараться чтобы получить права администратора. Также, подобная мера может помочь спасти сервер от собственных действий.

В случае несанкционированного доступа под учетной записью администратора, злоумышленник получит полный доступ к системе.

Ограничить общий доступ к файлам и папкам, включить защиту паролем.

Мы настоятельно не рекомендуем предоставлять подключение к общим каталогам анонимным пользователям и пользователям без пароля. Даже если файлы, хранящиеся в папках, не представляют никакой ценности, ничто не мешает злоумышленнику подменить файл на файл с вредоносным содержимым. Последствия такой подмены могут быть самыми разными.

Кроме использования парольной защиты, рекомендуем ограничить разных пользователей в уровне доступа как к файлам, так и папкам (чтение, запись, изменение).

Включить запрос пароля для входа в систему при выходе из режима ожидания, а также отключение сессий при бездействии.

При использовании физического сервера (не удаленного и не виртуального), рекомендуется включить запрос пароля пользователя при выходе из режима ожидания. Данный параметр настраивается в панели управления: Панель управления → Все элементы панели управления → Электропитание.

Также важно установить лимиты бездействия пользователя, а “по возвращении” запросить пароль. Это исключит возможность входа другого лица от имени пользователя, в случае если тот отлучился или забыл закрыть RDP-сессию. Чтобы настроить этот пункт, следует воспользоваться настройкой локальных политик secpol.msc.

Использовать Мастер настройки безопасности.

Мастер настройки безопасности (SCW – Security Configuration Wizard) позволяет создавать XML-файлы политик безопасности, которые впоследствии, можно перенести на другие серверы. Эти политики включают в себя не только правила использования сервисов, но и общие параметры системы и правила Firewall.

Корректно настроить политики безопасности.

Кроме первоначальной настройки групповых политик Active Directory, периодически следует проводить их ревизию и повторную настройку. Это один из основных способов обеспечения безопасности Windows-инфраструктуры.

Для удобства управления групповыми политиками, можно воспользоваться не только встроенной в Windows Server утилитой «gpmc.msc», но и предлагаемую Microsoft утилиту «Упрощенные параметры настройки безопасности» (SCM-Security Compliance Manager).

Использовать локальные политики безопасности.

Кроме использования групповых политик безопасности Active Directory следует использовать и локальные политики, которые затрагивают права как удаленных пользователей, так и локальные аккаунты.

Для управления локальными политиками вы можете использовать соответствующую оснастку «Локальная политика безопасности», вызываемую командой secpol.msc из Пуск -> Выполнить (клавиша Windows + R).

Защитить службу удаленных рабочих столов (RDP).

1. Блокировать RDP-подключения для пользователей с пустым паролем.

Наличие пользователей без паролей недопустимо, но если этого миновать не удается, то можно хотя бы запретить подключение к RDP. Для этого открываем Пуск → Средства администрирования.

В открывшемся каталоге, запускаем Локальная политика безопасности.

В окне локальный политик безопасности, слева, выбираем Локальные политики → Параметры безопасности. В основной части окна, находим “Учетные записи: Разрешить использование пустых паролей только при консольном входе”.

Выбираем этот пункт двойным кликом и переводим переключатель в положение “Отключен”. Нажимаем кнопку “OK”.

2. Поменить стандартный TCP-порт RDP.

Замена номеров TCP-портов стандартных сервисов на другие значения, вполне может повысить безопасность сервера, главное не забыть новый номер порта.

Для замены порта:

1. открываем редактор Реестра Windows - Windows + R

2. На всякий случай, создаем резервную копию реестра (Файл → Экспорт)

3. Разворачиваем ветку HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp и, в правой доле окна, находим параметр PortNumber.

4. Открываем параметр двойным кликом мыши. В открывшемся окне выбираем Систему исчисления: Десятичная, указываем новое значение порта, нажимаем кнопку “OK” и закрываем окно редактора реестра.

5. Чтобы была возможность подключиться к серверу, создаем соответствующее правило для Брандмауэра Windows. Кликаем правой кнопкой мыши по “Правила для входящих подключений”, в контекстном меню выбираем “Создать правило”.

В окне “Мастера”, выбираем “Для порта”

Затем выбираем “Протокол TCP”, “Определенные локальные порты” и указываем новый номер порта.

Следующим шагом выбираем “Разрешить подключение”

Настраиваем для каких сетей будет действовать правило, нужное отмечаем галками.

На итоговом шаге, указываем название правила и описание к нему.

6. Перезагружаем сервер чтобы применить изменения.

7. Для подключения к удаленному рабочему столу теперь используем IP-адрес или доменное имя, а через двоеточие указываем порт.

Настроить шлюз службы терминалов.

Пользователи или группы пользователей, которым разрешено подключаться к внутренним сетевым ресурсам;
Сетевые ресурсы, к которым могут подключаться пользователи;
Должны ли клиентские компьютеры иметь членство в Active Directory;
Необходимо ли клиентам использовать проверку подлинности на основе смарт-карт или пароля, или они могут использовать один из вышеперечисленных способов аутентификации.

Логика работы работы шлюза удаленных рабочих столов требует использования отдельной машины. Однако, не запрещает использовать самостоятельную виртуальную машину.

Установим службу шлюза TS.

1. Открываем Диспетчер серверов.

2. Выбираем “Добавить роли и компоненты”

3. На этапе “Тип установки”, выбираем “Установка ролей и компонентов.

4. Следующим шагом выбираем текущий сервер.

5. Роль сервера - Служба удаленных рабочих столов.

6. Переходим к службе ролей. Выбираем “Шлюз удаленных рабочих столов”.

7. Переходим к этапу подтверждения, нажимаем кнопку “Установить”.

Устанавливаем SSL-сертификат.

После установки роли, в окне Диспетчера серверов, выбираем Средства → Remote Desktop Services → Диспетчер шлюза удаленных столов.

В открывшемся окне, в левой его части, нажимаем по значку сервера. В основной части окна, выбираем “Просмотр и изменение свойств сертификата”.

В открывшемся окне “Свойства” переходим на вкладку “Сертификат SSL”. Выбираем пункт “Создать самозаверяющий сертификат”, нажимаем кнопку “Создать и импортировать сертификат”.

Если у вас есть созданный ранее сертификат, можно воспользоваться одним из пунктов ниже, в зависимости от того, кем он был выдан.

В новом окне следует проверить параметры. Если все верно - нажимаем “OK”.

Новым окном система оповестит об успешном создании сертификата и выдаст путь до файла.

Переходим к окну свойств сервера. Нажимаем “Применить”.

Остается только настроить групповые политики.

В окне “Диспетчер шлюза удаленных рабочих столов”, в левой колонке, раскрываем ветку сервера, выбираем “Политики”, затем “Политики авторизации подключений”. В правой колонке того же окна, выбираем “Создать новую политику” → “Мастер”.

В новом окне выбираем ”Создать только политику авторизации подключений к удаленным рабочим столам”, нажимаем “Далее”.

Указываем желаемое имя для политики. Мы рекомендуем указывать имя латиницей.

Следующим шагом будет выбор удобного метода аутентификации - пароль или смарт-карта. Оставляем отмеченным только “Пароль”. Нажимаем кнопку “Добавить группу. ”

В окне выбора групп кликаем по кнопке “Дополнительно”.

Размер окна изменится. Кликаем по кнопке “Поиск”. В найденных результатах выбираем “Администраторы домена” и нажимаем кнопку “OK”.

В окне выбора группы проверяем выбранные имена объектов и нажимаем “OK”.

Группа добавлена. Для перехода к следующему шагу нажимаем кнопку “Далее”.

На следующем этапе выбираем пункт “Включить перенаправление устройств для всех клиентских устройств” и нажимаем “Далее”.

Настраиваем таймауты сессий. И действия по их истечении. Рекомендуем отключать сеанс, чтобы фоновые пользовательские процессы не отнимали процессорное время. Нажимаем “Далее”.

На крайнем этапе просматриваем сводку, нажимаем “Готово”.
На подтверждение создания политики нажимаем “Закрыть”.

Настроим политику авторизации ресурсов.

Процесс выполняется подобно предыдущему.

В окне диспетчера шлюза удаленных рабочих столов, раскрываем ветку Политики → Политики авторизации подключений. В правой части окна выбираем “Создать новую политику” → “Мастер”.

В открывшемся окне выбираем “Создать только политику авторизации ресурсов удаленных рабочих столов”, нажимаем кнопку “Далее”.

Первым шагом указываем желаемое имя для политики авторизации. Настоятельно рекомендуем указывать имя латиницей. Нажимаем кнопку “Далее”.

В окне выбора групп кликаем по кнопке “Дополнительно”.

Окно изменит размеры. Нажимаем кнопку “Поиск”. В результатах поиска находим “Администраторы домена” и нажимаем кнопку “OK”.

В окне выбора группы проверяем выбранные имена объектов и нажимаем “OK”.

Группа добавлена. Для перехода к следующему шагу нажимаем кнопку “Далее”.

На следующем шаге разрешаем подключение пользователей к любому сетевому ресурсу. Для этого выбираем соответствующий параметр и нажимаем кнопку “Далее”.

Настраиваем разрешенные порты. сли порт RDP-сервера не был изменен, то оставляем 3389. Нажимаем “Далее”.

Финальным этапом проверяем настройки и нажимаем кнопку “Готово”.

В обновленном окне нажимаем “Закрыть”.

Изолировать серверные роли. Отключить неиспользуемые сервисы.

На этапе предварительного планирования сетевой архитектуры, одной из основных задач является планирование рисков в случае выхода из строя какого-либо элемента сети. Причин этому может быть много - от выхода из строя оборудования, до “взлома” извне. Чем большее количество ролей возложено на сервер, тем тяжелее будут последствия при отказе сервера. Для минимизации рисков и ущерба следует, по возможности, разграничить роли серверов еще на этапе проектирования. Отключение сервисов и ролей сервера, в которых необходимости, также положительно скажется на его работе.

Идеальный случай - один сервер выполняет одну конкретную функцию, например Контроллер домена или файловый сервер, или сервер терминалов. На практике, подобное разделение ролей труднодостижимо.

Обзор Windows Nano Server.

Дальнейшим развитием Windows Server Core стал Nano Server. Данная версия дистрибутива исключает использование графического интерфейса пользователя. Всё управление сосредоточено на WMI - инструментарий управления Windows, а также Windows PowerShell. Данный дистрибутив Windows-сервер имеет на 92% меньше критических рекомендаций безопасности. Nano Server доступен только для клиентов Microsoft Software Assurance и на платформах облачных вычислений, например, Microsoft Azure и Amazon Web Services. Начиная со сборки Windows Server 1709, Nano Server можно устанавливать только внутри хоста контейнера .

Далее будут рассмотрены пять мер, позволяющих существенно повысить безопасность RDP в Windows 2016. В статье предполагается, что сервер терминалов уже прошел предварительную настройку и работает. Все скриншоты соответствуют Windows Server 2016.

Смена стандартного порта Remote Desktop Protocol

Начнем со стандартной меры — смены стандартного порта Windows 2016 RDP, что позволит предотвратить атаку всем известных портов (well-known ports).
Настройку порта можно осуществить с помощью реестра — HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber.

Рис. 1. Смена порта RDP в Windows Server 2016 с помощью редактора реестра

После этого запустите Брандмауэр Windows и на боковой панели слева выберите Дополнительные параметры. Далее — Правила для входящих соединений и нажмите кнопку Создать правило (на панели справа)

Рис. 2. Правила для входящих подключений

В появившемся окне выберите Для порта и нажмите кнопку Далее. Затем выберите Определенные локальные порты и введите порт, указанный при редактировании реестра (рис. 3). В следующем окне мастера нужно выбрать Разрешить подключение(рис. 4).

Рис. 3. Задаем новый порт

Рис. 4. Разрешаем подключение

Собственно, на этом настройка завершена. Отключитесь от сервера и установите новое соединение. Не забудьте в настройках RDP-клиента Windows Server 2016 указать новый порт: IP-адрес_сервера: порт.

Блокируем учетные записи с пустым паролем

Усилить RDP безопасность можно, запретив windows server подключаться учетным записям с пустым паролем. Для этого нужно включить политику безопасности «Учетные записи: разрешить использование пустых паролей только при консольном входе»:

Откройте локальную политику безопасности (нажмите Win + R и введите команду secpol.msc)
Перейдите в раздел Локальные политики, Параметры безопасности
Дважды щелкните на нужной нам политике и убедитесь, что для нее задано значение Включен (рис. 5).

Рис. 5. Включение политики безопасности в Windows 2016 RDP «Учетные записи: разрешить использование пустых паролей только при консольном входе»

Настраиваем политику блокировки

Основная проблема в том, что по умолчанию Windows-server (даже 2016!) не защищен от брутфорса, поэтому безопасность RDP в Windows 2016 пребывает не на очень высоком уровне. При наличии какого-либо сервиса, в частности, FTP, вас могут брутфорсить, пока не получат доступ к системе, перебирая огромное множество логинов и паролей. Именно поэтому необходима настройка временной блокировки пользователя после нескольких неудачных попыток.

Необходимый набор правил и настроек называется Политика блокировки учетной записи (Account Lockout Policy). Пока вы еще не закрыли окно Локальная политика безопасности, перейдите в раздел Политики учетных записей, Политика блокировки учетной записи. Установите Пороговое значение блокировки — 5 (максимум 5 неудачных попыток входа), Продолжительность блокировки учетной записи — 30 (на 30 минут учетная запись будет заблокирована после 5 неудачных попыток входа).

Рис. 6. Настройка политики блокировки учетной записи

Настройка службы шлюза служб терминалов

Служба позволяет контролировать доступ к машинам, устанавливая правила авторизации и требования к удаленным пользователям. Администратор сможет контролировать пользователей, которые могут подключаться к внутренним сетевым ресурсам, сетевые ресурсы, к которым могут подключаться пользователи, определять, должны ли клиентские компьютеры быть членами групп Active Directory и др.

Порядок действий для установки службы «Шлюз ТS»:

Рис. 7. Установка службы ролей

Рис. 8. Все готово для установки

Далее нужно создать сертификат для шлюза служб удаленных рабочих столов. Запустите Диспетчер служб IIS, выберите пункт Сертификаты сервера. На панели справа выберите Создать сертификат домена. Введите необходимые сведения (рис. 11).

Рис. 9. Диспетчер служб IIS

Рис. 10. Выберите Создать сертификат домена

Рис. 11. Информация о сертификате

Далее нужно выбрать центр сертификации, который подпишет сертификат, и нажать кнопку Готово. Сертификат появится в списке сертификатов.

Следующий шаг — настройка шлюза TS на использование сертификата. Вернитесь к Диспетчеру серверов и, используя меню Средства, запустите Диспетчер шлюза удаленных рабочих столов. Обратите внимание, что есть одна ошибка — Сертификат сервера еще не установлен или не выбран. Собственно, все, что остается сделать — нажать ссылку рядом Просмотр и изменение свойств сертификата и выбрать ранее созданный сертификат, нажав кнопку Импорт сертификата (рис. 13). В этом окне также можно создать самозаверяющийся сертификат.

Рис. 12. Диспетчер шлюза удаленных рабочих столов

Рис. 13. Выбор сертификата SSL

Используем протокол SSL/TLS для защиты RDP

Если соединение с RDP-сервером реализовывается не через VPN, для обеспечения защиты подключений рекомендуется активировать SSL/TLS-туннелирование соединения.

В этой статье автор хотел бы дать пару хороших советов по администрированию серверов на Windows, которые по какой-то причине не нашел в интернете.

Следуя этим принципам вы сильно обезопасите свои серверы под управлением Windows как в локальных средах, так и в публичных.

1. Правильно вводим компьютер в AD

Не используйте пользователей с административными привилегиями для ввода компьютеров в Active Directory. Никто не гарантирует того, что на компьютере сотрудника уже не появился Keylogger. Имея же отдельную учетную запись. Злоумышленник похитивший учетные данные сможет только добавить в AD еще компьютеров.

1.1. Создаем нового пользователя

Для этого нужно перейти в ADUC (Active directory users and Computers). Нажать на пустое место в папке Users and Computers и создать пользователя. Для простоты назовем его JoinAdmin.

1.2. Делегируем полномочия

После того, как пользователь был создан, ему нужно назначить полномочия. Для этого нужно нажать ПКМ по папке «Users» и выбрать «Delegate Control». Жмём «Далее» и выбираем нашего админа.

Мы хотим чтобы пользователь выполнять только одну функцию, поэтому выбираем второй вариант.

Далее выбираем «Computer objects» и все его подпункты.

Используйте этого юзера и не беспокойтесь о том, что кто-то мог украсть пароль от администратора.

2. Controlled folder access

В Windows Server 2019 появилась очень недооцененная возможность — controlled folder access. Она запрещает доступ к записи программам, которых нет в белом списке на выбранных папках или разделах.

Её включение поможет защитить данные от вирусов-шифровальщиков даже если ваш сервер был заражен. Однако это не обезопасит ваши данные от похищения, их можно будет прочитать.

Включить функцию можно в центре безопасности Windows или через Powershell:

Добавляем разрешенные программы:

Разрешенные программы можно добавить через центр безопасности Windows, а через Powershell нужно вводить полный путь до исполняемых файлов через запятую.

Добавляем защищенные папки:

Папки добавляются ровно так же, как и программы. К примеру этой командой мы добавляем диск C: целиком:

3. SYSWOW64 и SMB

Все 32 битные программы работают на 64 битных через слой совместимости — SYSWOW64. Отключение этого компонента делает несовместимым все 32 битное ПО, в том числе и вирусы.

Сами по себе 32 битные приложения более уязвимые, 64-битные программы не поддаются атаке на переполнение буфера и через них гораздо труднее исполнить код который этими программами не предусмотрен. Если на сервере работают только встроенные компоненты или только 64 битные программы, обязательно удалите этот компонент.

А помните Wannacry, который гулял через SMB1? SMB первой версии до сих пор является стандартным компонентом Windows Server и установлен по умолчанию в каждой редакции.
Wannacry проникал через уязвимость EternalBlue, уязвимость пропатчили, но осадочек остался.
Эта команда удалить и SMB1 и SYSWOW64:

Воспринимать рекомендацию стоит не как повод для удаления этих конкретных компонентов, но как отключение всех неиспользуемых компонентов в целом.

4. Отключите ping

По умолчанию компьютер под управлением Windows отвечает на ICMP только в локальной сети. Отключение ICMP немного повышает безопасность вашего сервера. Отчасти, это обусловлено тем, что на форумах кулхацкеров и других script kiddie существуют руководства, как нужно искать цели, которые можно брутфорсить.

Для того, чтобы показать что вы выиграете, если отключите ICMP, было создано два сервера. На обоих из них был открыт RDP, однако один из серверов не отвечал на ICMP.

ICMP отключен:

ICMP включен:

Как можно видеть из скриншота, это остановило не всех, но многих. Собрать данные о том, насколько сильно хотят взломать вас, можно этим скриптом:

Вы все еще сможете мониторить ваш сервер, к примеру, проверяя доступность определенного порта:

5. Не все имена одинаково хороши

Используя еще один скрипт, вытащим наиболее популярные имена пользователей, которые подвергались атаке.

Если вы устанавливаете службы удаленных рабочих столов, настоятельно рекомендуем вам избегать этих имен. В сочетании со слабым паролем, можно гарантировать быстрый взлом учетной записи.

Для вашего удобства, список «плохих» имен был переписан в таблицу:

Получить такой же список на вашем сервере можно этим скриптом:

6. Очевидные вещи

Ну а закончим мы статью очевидными вещами:

Создайте шлюз – Для управления большой инфраструктурой лучше всего обезопасить себя имея единую точку входа. Подробне.
Устанавливайте обновления. В особенности, на боевые сервера.
Отключите службы, которыми вы не пользуетесь – это лишняя площадь для атаки.
Используйте Server Core, он имеет наименьшую площадь атаки и наименьшее количество перезагрузок при установке обновлений
Сервер удаленных рабочих столов на несколько пользователей – плохая идея. Придерживайтесь принципа один человек или служба – один сервер.
Делайте резервные копии и обязательно тестируйте их. Бэкап, который не был протестирован не является бэкапом.

Предлагаем обновлённый тариф UltraLite Windows VDS за 99 рублей с установленной Windows Server 2019 Core.

Цель курса - предоставить слушателям знания и навыки, необходимые для настройки безопасности ИТ-инфраструктуры. В курсе рассказывается о значимости настроек безопасности и демонстрируются средства обнаружения сетевых вторжений, описываются методы защиты административных учетных записей и распределение прав доступа для делегирования определённых задач.

Ближайшая группа

Для физ.лиц

Для организаций*

Преподаватели

Клевогин Сергей Павлович

Чернов Дмитрий Михайлович

Описание курса

Также подробно рассмотрены угрозы со стороны вредоносных программ, описаны процессы обнаружения проблем безопасности с помощью аудита и средства расширенного анализа угроз (Advanced Threat Analysis) в Windows Server 2016, рассмотрены способы повышения безопасности за счёт использование платформы виртуализации и новых параметров развертывания ОС, таких как Nano Server и контейнеры. Курс также описывает способы защиты доступа к файлам с помощью шифрования и динамического контроля доступа (Dynamic Access Control), а также средства для повышения безопасности сети.

Курс предназначен для IT-специалистов, которые администрируют доменную среду Windows Server, управляют доступом к интернет и облачным службам.

Модуль Обновление Windows Server (3 ак. ч.) рассматривается ТОЛЬКО в формате персонального обучения.

Вы научитесь

Настроить безопасность Windows Server.
Управлять безопасностью при разработке приложений для серверной инфраструктуры.
Управлять базовыми планами безопасности.
Настроить и использовать функционал Just-In-Time (JIT) administration и Just Enough administration(JEA).
Управлять безопасностью данных.
Настроить брандмауэр Windows и распределенный программный брандмауэр.
Управлять безопасностью сетевого трафика.
Защищать виртуальную инфраструктуру.
Управлять обнаружением вредоносных программ и угроз.
Настроить расширенный аудит.
Управлять обновлениями программного обеспечения.
Управлять обнаружением угроз с помощью средства расширенного анализа угроз (Advanced Threat Analysis) и Microsoft Operations Management Suite (OMS).

Специалисты, обладающие этими знаниями и навыками, в настоящее время крайне востребованы.

Большинство выпускников наших курсов делают успешную карьеру и пользуются уважением работодателей.

Предварительная подготовка

Успешное окончание курсов 20740A: Установка, хранение данных и вычисления с Windows Server 2016, 20741A: Сетевое взаимодействие с Windows Server 2016, 20742A: Идентификация в Windows Server 2016, или эквивалентная подготовка
Понимание основ сетей, включая стек протоколов TCP/IP, протоколы UDP и DNS
Понимание принципов работы доменных служб Active Directory (AD DS)
Понимание основ виртуализации Microsoft Hyper-V
Понимание принципов безопасности Windows Server

Программа курса

Модуль 1. Обнаружение нарушений и использование инструментов Sysinternals (3 ак. ч.)

В этом модуле объясняется, как обнаружить нарушения, определить тип атаки и векторы вторжения киберпреступности, а также как анализировать активность системы, используя инструменты Sysinternals.

Темы

Обзор возможностей обнаружения нарушений
Использование инструментов Sysinternals для выявления нарушений

Лабораторная работа: Основные обнаружения нарушений и стратегии реагирования на инциденты

Выявление типов атак
Применение стратегии реагирования на инциденты
Изучение средств Sysinternals

Модуль 2. Защита учетных данных и привилегированный доступ (3,5 ак. ч.)

В этом модуле объясняется, как настроить права пользователя и параметры безопасности, защитить учетные данные пользователей с помощью Охранника учетных данных (credential guard), осуществлять привилегированный доступ к рабочим станциям, управлять и разворачивать решения для управления паролем локального администратора.

Темы

Понимание работы прав пользователя
Учетные записи компьютера и служб
Защита учетных данных
Понимание привилегированного доступа к рабочим станциям и серверам
Развертывание решения для управления паролем локального администратора

Лабораторная работа: Права пользователя, параметры безопасности и групповые управляемые сервис аккаунты

Настройка параметров безопасности
Настройка групп с ограниченным доступом
Делегирование привилегий
Создание и управление групповых управляемых сервис аккаунтов
Настройка функций Охранника учетных данных (Credential Guard)
Обнаружение проблемных учетных записей

Лабораторная работа: Настройка и развертывание решений управления паролем локального администратора (local administrator password - LAPS)

Установка решений управления паролем локального администратора (LAPS)
Настройка решений LAPS
Развертывание решений LAPS

Модуль 3. Ограничение прав администратора с помощью функции Just Enough Administration (2,5 ак. ч.)

В этом модуле объясняется, как развернуть и настроить Just Enough Administration.

Темы

Понимание Just Enough Administration
Настройка и развёртывание Just Enough Administration

Лабораторная работа: Ограничение прав администратора с помощью функции Just Enough Administration

Создание файла с перечнем возможностей
Создание файла конфигурации сеанса
Создание точки подсоединения Just Enough Administration
Подключение к точке подсоединения Just Enough Administration
Развертывание Just Enough Administration с помощью Desire State Configuration (DSC)

Модуль 4. Управление привилегированным доступом и администрирование леса (2,5 ак. ч.)

В этом модуле объясняются концепции расширенной административной среды безопасности (Enhanced Security Administrative Environment - ESAE) леса, Microsoft Identity Manager (MIM), функционал Just In Time (JIT) Administration и привилегированный доступ к управлению.

Темы

Понимание расширенная административная среда безопасности леса
Обзор MIM
Реализация Just In Time (JIT) Administration и управление привилегированным доступом с помощью MIM

Лабораторная работа: Ограничение прав администратора с помощью управления привилегированным доступом

Использование многоуровневого подхода к безопасности
Изучение MIM
Настройка веб-портала MIM
Настройка функции привилегированного доступа
Запрос привилегированного доступа

Модуль 5. Противодействие вредоносным программам и угрозам (2,5 ак. ч.)

В этом модуле описывается настройка Защитника Windows, AppLocker и Device Guard.

Темы

Настройка и управление Защитником Windows
Использование политик ограничения программного обеспечения (SRP) и AppLocker
Настройка и использование Device Guard
Использование и развертывание Enhanced Mitigation Experience Toolkit (EMET)

Лабораторная работа: Защита приложений с помощью AppLocker, защитника Windows, правил Device Guard и EMET

Настройка Защитника Windows
Настройка AppLocker
Настройка и развертывание Device Guard
Развертывание и использование EMET

Модуль 6. Анализ активности с помощью расширенного аудита и журналов аналитики (3 ак. ч.)

В этом модуле объясняется, как использовать расширенный аудит и отчёты Windows PowerShell.

Темы

Обзор технологий аудита
Понимание расширенный аудит
Настройка аудита в Windows PowerShell и ведение журнала

Лабораторная работа: Настройка шифрования и расширенный аудит

Настройка аудита доступа к файловой системе
Аудит входа в систему домена
Управление конфигурацией расширенной политики аудита
Протоколирование и аудит в Windows PowerShell

Модуль 7. Анализ активности с помощью Microsoft Advanced Threat Analytics и Operations Management Suite (2,5 ак. ч.)

В этом модуле объясняется, как использовать инструменты Microsoft Advanced Threat Analytics и Microsoft Operations Management suite (OMS), как настраивать через них мониторинг и проводить анализ безопасности развертывания Windows Server.

Темы

Обзор Advanced Threat Analytics
Понимание OMS

Лабораторная работа: Microsoft Advanced Threat Analytics и OMS

Использование Microsoft Advanced Threat Analytics и OMS
Подготовка и развертывание Microsoft Advanced Threat Analytics
Подготовка и развертывание OMS

Модуль 8. Защита виртуальной инфраструктуры (3,5 ак. ч.)

Этот модуль объясняет, как настроить защищённую фабрику виртуальных машин (ВМ), обеспечить требования по экранировании и поддержка шифрования ВМ.

Темы

Обзор защищённой фабрики виртуальных машин
Понимание требований экранирования и поддержка шифрования ВМ

Лабораторная работа: Развертывание и использование защищенной фабрики с доверенной проверкой администратора и экранированием ВМ

Развертывание защищенной фабрики ВМ с доверенной проверкой администратора
Развертывание экранированных ВМ

Модуль 9. Настройка безопасности при разработке приложений для серверной инфраструктуры (5 ак. ч.)

Этот модуль объясняет, как применять диспетчер проверки на соответствие требованиям безопасности (Security Compliance Manager), как настраивать, управлять и проверять базовые планы. Также в модуле рассмотрены развертывание и настройка режима Nano Server, Microsoft Hyper-V и контейнеров Windows Server.

Темы

Использование Security Compliance Manager
Введение в Nano Server
Понимание концепции контейнеров

Лабораторная работа: Использование Security Compliance Manager

Настройка базового плана по безопасности для Windows Server 2016
Развертывание базовой плана по безопасности для Windows Server 2016

Лабораторная работа: Развертывание и настройка Nano Server и контейнеров

Развертывание, управление и обеспечение безопасности Nano Server
Развертывание, управление и обеспечение безопасности контейнеров Windows Server
Развертывание, управление и обеспечение безопасности контейнеров Hyper-V

Модуль 10. Защита данных с помощью шифрования (3,5 ак. ч.)

В этом модуле описывается настройка шифрования диска с помощью BitLocker и защита файлов с помощью шифрованной файловой системы (EFS).

Темы

Планирование и реализация шифрования
Планирование и реализация BitLocker

Лабораторная работа: Настройка EFS и BitLocker

Шифрование и восстановление доступа к зашифрованным файлам
Использование BitLocker для защиты данных

Модуль 11. Ограничение доступа к файлам и папкам (3 ак. ч.)

Этот модуль объясняет, как оптимизировать файловые службы путем настройки диспетчера ресурсов сервера файлов (FSRM) и распределенной файловой системы (DFS). В модуле рассмотрены способы защиты данных и шифрования устройств с помощью BitLocker, а также показано, как управлять доступом к общим файлам путем настройки динамического контроля доступа (DAC).

Темы

Введение в Диспетчер ресурсов файлового сервера
Реализация управления классификацией и задачи управления файлами
Понимание динамического контроля доступа (DAC)

Лабораторная работа: Настройка квот и блокировки файлов

Настройка квот FSRM
Настройка блокировки файлов

Лабораторная работа: Внедрение DAC

Модуль 12. Использование брандмауэров для контроля сетевого трафика (3 ак. ч.)

Этот модуль объясняет, как настроить брандмауэры, встроенные в Windows Server.

Темы

Общие сведения о брандмауэре Windows
Распределенные программные брандмауэры

Лабораторная работа: Брандмауэр Windows в режиме повышенной безопасности

Создание и тестирование правил входящих подключений
Создание и тестирование правил исходящих подключений

Модуль 13. Обеспечение безопасности сетевого трафика (2,5 ак. ч.)

В этом модуле объясняется, как обеспечить безопасность сетевого трафика и как использовать Microsoft Message Analyzer, шифрование SMB и DNSSEC.

Темы

Угрозы безопасности сети и правила безопасного подключения
Настройка дополнительных параметров DNS
Анализ сетевого трафика с Microsoft Message Analyzer
Обеспечение безопасности трафика SMB и анализа трафика SMB

Лабораторная работа: Правила безопасного подключения и обеспечение безопасности DNS

Создание и тестирование правила безопасного подключения
Настройка и тестирование DNSSEC

Лабораторная работа: Шифрование SMB и Microsoft Message Analyzer

Использование Microsoft Message Analyzer
Настройка и проверка шифрования SMB на общих папках

Аудиторная нагрузка в классе с преподавателем: 40 ак. ч. + 20 ак. ч. бесплатно*

* По данному курсу бесплатно предоставляются дополнительные часы для самостоятельной работы в компьютерных классах Центра, где проводятся занятия. Вы можете закрепить полученные знания, выполнить домашние задания, проконсультироваться у специалистов Центра. Дополнительные часы предоставляются в дни занятий по предварительному согласованию с администратором комплекса.

утренним группам с 8:30 до 10:00
дневным группам - по 1 ак.ч. до и после занятий (13.15-14.00, 17.10-17.55)

По окончании обучения на курсе проводится итоговая аттестация. Аттестация проводится в виде теста на последнем занятии или на основании оценок практических работ, выполняемых во время обучения на курсе.

Читайте также: