Как предотвратить удаленное выполнение кода с сервера-члена домена?

Question 1

Это невозможно. Если вы присоединяетесь к домену, домену разрешено регистрировать пользователей на вашем компьютере и применять к нему объекты групповой политики. Объекты групповой политики могут приводить к установке программного обеспечения из сети и изменению произвольных записей реестра.

Использование RODC в анклаве защитит домен от вашего анклава, но не защитит анклав от вашего домена. Однако вы можете использовать это наоборот, чтобы повысить безопасность, и заставить все ваши управляемые компьютеры общаться только с RODC и разрешить только другим DC доступ к доступным для записи DC.

Если у вас есть чувствительные компьютеры, которые вы хотите защитить от компрометации вашего домена, рассмотрите возможность создания отдельного домена (в отдельном лесу) для этих хостов и управления ими отдельно; это очень распространено, когда требуются безопасные анклавы. Вы также можете рассмотреть возможность вообще не присоединять их к домену, особенно если их очень мало.

Глядя на ваши комментарии, я действительно не уверен, какова ваша модель угроз.

Что именно вы будете делать, во многом будет зависеть от вашей модели угроз. Однако обычно члены домена и произвольные пользователи не выполняют код на контроллерах домена. Если вас беспокоят эксплойты, исправление — это хорошая политика, и в любом случае использование RODC может помочь ограничить воздействие, поскольку RODC не могут ничего изменить в домене.

Если вы беспокоитесь о том, что пользователи будут удаленно запускать команды или входить в контроллер домена (что не даст им никаких прав на выполнение таких действий, как развертывание программного обеспечения в домене, без использования ими какого-либо эксплойта повышения привилегий или чего-то подобного), вы можете запретить им входить в контроллеры домена с помощью групповой политики.

Настройки для этого находятся в GPO, который применяется к контроллерам домена, в разделе Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment..., если это то, что вы пытаетесь сделать.

Пользователи (и другие субъекты безопасности) привязаны к домену или к машине, но не к обоим. Вы не можете делать такие вещи, как запрет прав администратора домена на основе того, с какого компьютера они подключаются в AD. Но вы можете ограничить сетевой доступ к контроллерам домена, которые не являются RODC, и этого, вероятно, должно быть достаточно (в зависимости от вашей модели угроз), чтобы предотвратить административные действия со случайных рабочих станций пользователей. Если вы хотите запретить пользователям использовать RODC в качестве опорных точек (это то, что вы хотите сделать?), я полагаю, вы можете запретить им все права входа, но это сделает администрирование довольно сложным — вместо этого я бы рекомендовал разрешить только порты репликации DS на брандмауэре между RODC и другими контроллерами домена.

Порты, которые вам необходимо открыть, указаны в документации по развертыванию RODC; см. раздел «Требуемые порты связи» по адресуhttps://technet.microsoft.com/library/dd728028%28v=ws.10%29.aspx. Но, увы, RPC должен быть разрешен, и именно так работает psexec. Это позволит вам запретить вход только с помощью таких вещей, как RDP.

Чтобы завершить это и предотвратить использование psexec с украденными учетными данными, вы всегда можете запретить администраторам домена вход в пакетное задание через вышеупомянутый GPO на контроллерах домена с возможностью записи. Это немного снизит управляемость, но это решение, которое вы можете принять. Есть действительно хороший документ об этом и других советах по безопасности учетной записи администратора домена наhttps://technet.microsoft.com/en-us/library/dn487454.aspx. Использование делегированного доступа, при котором административным учетным записям предоставляются определенные административные права посредством делегирования вместо общего администрирования домена, также может быть вариантом для вас.

Answer