Como evitar a execução remota de código de um servidor membro do domínio?

Question 1

Isso não é possível. Se você ingressar em um domínio, o domínio poderá registrar usuários no seu computador e aplicar GPOs a ele. Os GPOs podem fazer com que o software seja instalado a partir da rede e modificar entradas arbitrárias do registro.

Usar um RODC no enclave protegerá o domínio do seu enclave, mas não protegerá o enclave do seu domínio. Você pode usar isso ao contrário para aumentar a segurança e fazer com que todos os seus computadores gerenciados se comuniquem apenas com RODCs e permitir que apenas outros DCs acessem os DCs graváveis.

Se você tiver computadores confidenciais que deseja proteger contra comprometimento em seu domínio, considere criar um domínio separado (em uma floresta separada) para esses hosts e gerenciá-los separadamente; isso é muito comum quando são necessários enclaves seguros. Você também pode considerar não associá-los a um domínio, especialmente se houver poucos deles.

Olhando seus comentários, não tenho certeza de qual é o seu modelo de ameaça.

O que exatamente você fará dependerá muito do seu modelo de ameaça. No entanto, normalmente membros de domínio e usuários arbitrários não possuem execução de código em controladores de domínio. Se você está preocupado com explorações, aplicar patches é uma boa política e, em ambos os casos, usar um RODC pode ajudar a limitar o impacto, já que os RODCs não podem alterar nada no domínio.

Se você estiver preocupado com os usuários executando comandos remotamente ou fazendo login no controlador de domínio (o que não lhes daria nenhum direito para fazer coisas como implantar software no domínio sem que eles também usassem algum tipo de exploração de escalonamento de privilégios ou similar), você pode impedi-los de fazer login nos DCs por política de grupo.

As configurações para isso estão no GPO que se aplica aos DCs, em Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment... se é isso que você está tentando fazer.

Os usuários (e outras entidades de segurança) estão vinculados ao domínio ou à máquina, mas não a ambos. Você realmente não pode fazer coisas como negar direitos de administrador de domínio com base no computador de onde eles estão se conectando no AD. Porém, o que você pode fazer é restringir o acesso à rede a DCs que não sejam RODCs, e isso provavelmente deve ser suficiente (dependendo do seu modelo de ameaça) para evitar ações administrativas de estações de trabalho de usuários aleatórios. Se você quiser impedir que os usuários usem RODCs como pontos de articulação (é isso que você quer fazer?), suponho que você poderia negar todos os direitos de login a eles, mas isso tornaria a administração bastante difícil - em vez disso, recomendo permitir apenas as portas de replicação DS em um firewall entre o RODC e outros DCs.

As portas que você deve abrir são aquelas identificadas na documentação para implantação do RODC; consulte a seção "Portas de comunicação necessárias" emhttps://technet.microsoft.com/library/dd728028%28v=ws.10%29.aspx. Mas, infelizmente, o RPC deve ser permitido, e é assim que o psexec funciona. Isso só permitirá que você proíba o login por meio de coisas como RDP.

Para completar e evitar o uso de psexec com credenciais roubadas, você sempre pode proibir os administradores de domínio de fazer login em tarefas em lote por meio do GPO mencionado acima nos controladores de domínio graváveis. Isso reduzirá um pouco a capacidade de gerenciamento, mas é uma decisão que você pode tomar. Há um documento muito bom sobre esta e outras dicas para segurança de contas de administrador de domínio emhttps://technet.microsoft.com/en-us/library/dn487454.aspx. Usar o acesso delegado, em que contas administrativas recebem direitos administrativos específicos por meio de delegação, em vez de administração de domínio geral, também pode ser uma opção para você.

Answer