Bài 8: Triển khai bảo mật sử dụng chính sách nhóm (Group policy) - Giáo trình FPT

Bài 8:Triển khai bảo mật sử dụng

chính sách nhóm (Group policy)

Bài 8:Triển khai bảo mật sử dụng

chính sách nhóm (Group policy)

Nội dung bài học trước

Cấu hình các thiết lập Group PolicyCấu hình Scripts và Folder Redirection với Group PolicyCấu hình Administrative TemplatesTriển khai cài đặt phần mềm bằng Group PolicyCấu hình Group Policy PreferencesGiới thiệu về Group Policy TroubleshootingKhắc phục sự cố về ứng dụng trong Group PolicyKhắc phục sự cố về thiết lập trong Group Policy

Cấu hình các thiết lập Group PolicyCấu hình Scripts và Folder Redirection với Group PolicyCấu hình Administrative TemplatesTriển khai cài đặt phần mềm bằng Group PolicyCấu hình Group Policy PreferencesGiới thiệu về Group Policy TroubleshootingKhắc phục sự cố về ứng dụng trong Group PolicyKhắc phục sự cố về thiết lập trong Group Policy

Bài 8 - Triển khai bảo mật sử dụng chính sách nhóm (Group policy) 2

Mục tiêu bài học

Quản trị nhóm người dùng bằng việc sử dụng các thiếtlập chính sách nhómCác thiết lập quản trị bảo mậtGiám sátChính sách hạn chế phần mềm và Applocker


Chính sách bảo mật

Chính sách bảo mật (Security Policy):


Chính sách tài khoản

Thiết lập mặc định

Password

Chính sách

• Quản lý độ phức tạp và thời gian tồn tại của mật khẩu• Thời gian tối đa của 1 mật khẩu: 42 ngày• Thời gian tối thiểu của 1 mật khẩu: 1 ngày• Chiều dài tối thiểu:7 ký tự• Độ phức tạp: yêu cầu• Lưu trữ mật khẩu bằng mã hóa có khả năng khôi phục: tắt

Account policies bao gồm:

Chính sách tài khoản (Account policy) giảm thiểu các mối đe dọa tới tài khoản

Password

Account lockout

Kerberos

• Quản lý độ phức tạp và thời gian tồn tại của mật khẩu• Thời gian tối đa của 1 mật khẩu: 42 ngày• Thời gian tối thiểu của 1 mật khẩu: 1 ngày• Chiều dài tối thiểu:7 ký tự• Độ phức tạp: yêu cầu• Lưu trữ mật khẩu bằng mã hóa có khả năng khôi phục: tắt

• Quản lý số lần nhập mật khẩu sai• Thời gian Lockout: duration not defined• Lockout threshold: 0 invalid logon attempts• Reset account lockout after: not defined

• Là 1 nhóm các thuộc tính của chính sách bảo mật domain• Chỉ được dụng ở cấp độ Domain


Chính sách cục bộ

Các chính sách cục bộ của các máy tính chạy Windows 2000 và các hệ điều hành sauđó là 1 phần của Group Policy cục bộ

Trong 1 workgroup, bạn phải cấu hình chính sách bảo mật cục bộ để cung cấpkhả năng bảo mật

Chính sách cục bộ (Local Policies) xác định các tùy chọn bảo mật cho người dùng hoặc tàikhoản cho các dịch vụ

Domain Policy sẽ ghi đè lên Local Policies (chính sách cục bộ) trong trường hợp cóxung đột.

Trong 1 workgroup, bạn phải cấu hình chính sách bảo mật cục bộ để cung cấpkhả năng bảo mật

Bạn có thể gán quyền thông qua Local Group Policies

Các tùy chọn bảo mật điều khiển nhiều khía cạnh khác nhau của 1 máy tính


Chính sách bảo mật mạng là gì?

Tách biệt các chính sách không dây đối với Windows XP và Windows Vista

Chính sách cho Windows Vista bao gồm nhiều lựa chọn hơn cho mạng không dây

Chính sách không dây của Windows Vista có thể cấm truy cập vào các mạng không dây

Xác định khả năng sẵn sàng của mạng và các phương thức xác thực cho các kết nối không dâycho máy trạm Windows Vista và Windows XP và xác thực mạng LAN cho các máy trạmWindows Vista và Windows Server 2008

Chính sách không dây của Windows Vista có thể cấm truy cập vào các mạng không dây

Cơ chế xác thực 802.1x có thể được cấu hình qua chính sách nhóm

Chỉ từ phiên bản Vista trở đi mới có thể nhận các chính sách mạng dây

Windows XP

Windows VistaKhông dây

Chỉ mạngkhông dây Windows XP

Windows VistaMạng dâyGPO


Chính sách mặc định của DomainController

Ba khu vực cần phải được kiểm tra:Chính sách gán quyền người dùng: logging on locally, shutdown

Chính sách Event Log: log size, retention

Chính sách Security Options: auditing, devices, domain controller

Chính sách Event Log: log size, retention


Chính sách bảo mật Domain mặc định

• Cung cấp các chính sách tài khoản Domain, các thiết lập kháckhông được cấu hình bởi mặc định

• Sử dụng để cung cấp các thiết lập bảo mật sẽ ảnh hường tớitoàn bộ Domain

• Sử dụng Domain Policy để cung cấp các thiết lập bảo mật 1cách tốt nhất. sử dụng các GPO để thiết lập các loại bảo mậtkhác nhau

• Cung cấp các chính sách tài khoản Domain, các thiết lập kháckhông được cấu hình bởi mặc định

• Sử dụng để cung cấp các thiết lập bảo mật sẽ ảnh hường tớitoàn bộ Domain

• Sử dụng Domain Policy để cung cấp các thiết lập bảo mật 1cách tốt nhất. sử dụng các GPO để thiết lập các loại bảo mậtkhác nhau

DomainDefault domain policy

Account and security settings


Các đặc điểm của Security PolicySettings

Khi kiểm tra Security Policy settings,xem xét:

Các chính sách tài khoản được áp đặt tới máy trạm từ domaincontroller

Domain Controller nhận các chính sách tài khoản từ 1 domain level policy

Thiết lập bảo mật đến từ các GPO có mức ưu tiên cao nhất

Domain Controller nhận các chính sách tài khoản từ 1 domain level policy


Nhóm hạn chế

Chính sách nhóm hạn chế (Restricted Groups) cho phépquản trị các thành viên của nhóm

Members• Chính sách là dành cho 1 nhóm cục bộ• Xác định các thành viên (nhóm và người

dùng)• Tính xác thực

Member Of• Chính sách là dành cho 1 nhóm Domain• Xác định thành viên của nó trong một

nhóm cục bộ• Tính lũy kế


Xác định thành viên nhóm bằng cácquyền ưu tiên chính sách nhóm

Tạo, xóa, hoặc thay thế 1 nhóm cục bộSửa tên 1 nhóm cục bộThay đổi miêu tảThay đổi thành viên nhóm

Các quyền ưu tiên chínhsách nhóm cục bộ có ở cảCấu hình máy tính vàCấu hình người dùng

Tạo, xóa, hoặc thay thế 1 nhóm cục bộSửa tên 1 nhóm cục bộThay đổi miêu tảThay đổi thành viên nhóm

Các quyền ưu tiên chínhsách nhóm cục bộ có ở cảCấu hình máy tính vàCấu hình người dùng


Chính sách Fine-Grained Password

Phải đổi password:7 ngày

Fine-grained passwords cho phép nhiều chính sách passwordđối tượng trong Domain

Administratorgroup

Manager group End user group




Fine-Grained Password được thực thinhư thế nào?

Cần xem xét khi thực thi các PSO:Password Settings Container (PSC) và Password Setting Objects (PSO)là các lớp đối tượng trong Domain

PSOs chỉ có thể áp dụng tới người dùng hoặc global groups

PSOs có thể được tạo bằng ADSI Edit hoặc LDIFDE

PSOs chỉ có thể áp dụng tới người dùng hoặc global groups

Một PSO có sẵn các thiết lập sau:• Chính sách mật khẩu• Chính sách lockout tài khoản• Liên kết PSO• Quyền ưu tiên


Thực thi chính sách Fine-GrainedPassword

• Shadow groups có thể sử dụng để áp dụng PSO tới tất cảngười dùng mà đã không sẵn sàng chia sẻ tới 1 global group

• Một người dùng hoặc 1 nhóm có thể có nhiều PSO áp đặt tớiThuộc tính ưu tiên được dùng để giải quyết vấn đề xung đột

• PSOs được liên kết trực tiếp tới người dùng, ghi đè lên PSOđược liên kết tới 1 người dùng trong global groups

• Nếu không có PSO, chính sách domain account thường sẽđược áp dụng

• Shadow groups có thể sử dụng để áp dụng PSO tới tất cảngười dùng mà đã không sẵn sàng chia sẻ tới 1 global group

• Một người dùng hoặc 1 nhóm có thể có nhiều PSO áp đặt tớiThuộc tính ưu tiên được dùng để giải quyết vấn đề xung đột

• PSOs được liên kết trực tiếp tới người dùng, ghi đè lên PSOđược liên kết tới 1 người dùng trong global groups

• Nếu không có PSO, chính sách domain account thường sẽđược áp dụng


Hạn chế Group Membership

Group Policy có thể điều khiển group membership:

• Đối với bất kỳ nhóm trên một máy tính cục bộ: áp dụng một GPO cho OUđể giữ tài khoản máy tính

• Đối với bất kỳ nhóm trên AD DS: áp dụng 1 GPO tới Domain Controller


Auditing là gì?

• Auditing theo dõi người sử dụng và hoạt động hệ điều hành, và hồ sơ lựachọn các sự kiện trong nhật ký an ninh ( Logs), chẳng hạn như:

• Cái gì đã xảy ra?• Ai đã làm?• Khi nào?• Kết quả là gì?

• sử dụng Auditing để:• Tạo 1 baseline• Phát hiện các mối đe dọa và tấn công• Xác định thiệt hại• Ngăn chặn các thiệt hại

• sử dụng Auditing để:• Tạo 1 baseline• Phát hiện các mối đe dọa và tấn công• Xác định thiệt hại• Ngăn chặn các thiệt hại

• Auditing kiểm soát truy cập vào các đối tượng, quản lý tài khoản, và ngườisử dụng đăng nhập và tắt máy


Chính sách giám sát

• Chính sách giám sát (Audit policy) xác định các sự kiện an ninh sẽđược báo cáo cho người quản trị mạng

• Thiết lập 1 Audit Policy để:• Theo dõi sự thành công hay thất bại của sự kiện• Giảm thiểu sử dụng trái phép các nguồn tài nguyên• Duy trì một hồ sơ về hoạt động

• Security events được lưu trong security logs

• Chính sách giám sát (Audit policy) xác định các sự kiện an ninh sẽđược báo cáo cho người quản trị mạng

• Thiết lập 1 Audit Policy để:• Theo dõi sự thành công hay thất bại của sự kiện• Giảm thiểu sử dụng trái phép các nguồn tài nguyên• Duy trì một hồ sơ về hoạt động

• Security events được lưu trong security logs


Các loại sự kiện để Audit

• Tài khoản đăng nhập• Quản lý tài khoản• Truy cập Directory Service

• Các thay đổi trong Directory Service• Sao lưu Directory Service• Chi tiết về sao lưu Directory Service

• Đăng nhập• Đối tượng truy cập• Thay đổi chính sách• Quyền sử dụng• Theo dõi quá trình xử lý• Hệ thống

• Tài khoản đăng nhập• Quản lý tài khoản• Truy cập Directory Service

• Các thay đổi trong Directory Service• Sao lưu Directory Service• Chi tiết về sao lưu Directory Service

• Đăng nhập• Đối tượng truy cập• Thay đổi chính sách• Quyền sử dụng• Theo dõi quá trình xử lý• Hệ thống


Khắc phục sự cố chính sách AuditKiểm tra Security Log trong Event Viewer

Sau khi cấu hình audit, nó có thể vẫn không hoạt động do 1 số nguyên nhân sau:• Thiết lập do chính sách của 1 site, 1 domain, hoặc 1 OU trùm lên chính sách Audit

này• 1 GPO có độ ưu tiên cao hơn trùm lên chính sách này• Thiết lập do chính sách của 1 site, 1 domain, hoặc 1 OU có bao gồm chính sách

audit này nhưng không được sao lưu sang các máy tính khác

Sau khi cấu hình audit, nó có thể vẫn không hoạt động do 1 số nguyên nhân sau:• Thiết lập do chính sách của 1 site, 1 domain, hoặc 1 OU trùm lên chính sách Audit

này• 1 GPO có độ ưu tiên cao hơn trùm lên chính sách này• Thiết lập do chính sách của 1 site, 1 domain, hoặc 1 OU có bao gồm chính sách

audit này nhưng không được sao lưu sang các máy tính khác

Giám sát đối tượng truy cập• Nắm được sự kế thừa ảnh hưởng như thế nào đến file và thư mục giám sát• Kiểm thử 1 audit rule cho 1 file hoặc 1 thư mục

• Mở và đóng file hoặc thư mục• Xem security log để đảm bảo Event ID 4663 bị ghi lại


Các thiết lập Giám sát nhất định cho 1file hoặc thư mục

Thay đổi danh sách điều khiển truy cập hệ thống (SACL)PropertiesAdvancedAuditingEdit


Kích hoạt chính sách giám sát

Kích hoạt sự giám sát cho 1 đối tượng truy cập: thànhcông (Success) và/hoặc thất bại (Failure)GPO phải có phạm vi là serverThiết lập chính sáchSuccess/Failure phảikhớp với các thiết lậpgiám sát(success/failure)

Kích hoạt sự giám sát cho 1 đối tượng truy cập: thànhcông (Success) và/hoặc thất bại (Failure)GPO phải có phạm vi là serverThiết lập chính sáchSuccess/Failure phảikhớp với các thiết lậpgiám sát(success/failure)


Chính sách Software Restriction

• Cơ chế policy-driven để xác định và điều khiển phần mềm trên mộtmáy trạm

• Cơ chế hạn chế cài đặt phần mềm và virus• Gồm 2 phần:

• Một quy tắc mặc định với 3 tùy chọn: Unrestricted, Basic,và Disallowed

• Các ngoại lệ cho quy tắc mặc định

• Cơ chế policy-driven để xác định và điều khiển phần mềm trên mộtmáy trạm

• Cơ chế hạn chế cài đặt phần mềm và virus• Gồm 2 phần:

• Một quy tắc mặc định với 3 tùy chọn: Unrestricted, Basic,và Disallowed

• Các ngoại lệ cho quy tắc mặc định


Các tùy chọn cho việc cấu hình chính sáchSoftware Restriction

Certificate Rule• Kiểm tra chữ ký số trên ứng dụng• Dùng khi muốn hạn chế các ứng

dụng Win32 và ActiveX



Hash Rule• Sử dụng hàm băm MD5 hoặc

SHA1 của 1 file để đảm bảo tínhduy nhất

• Dùng để cho phép hoặc cấm 1phiên bản file nào đó thực thi






Internet Zone Rule• Kiểm soát làm thể nào để có thể

truy cập vào Internet Zones• Dùng trong môi trường bảo mật

cao để kiểm soát truy cập vào ứngdụng Web

Internet Zone Rule• Kiểm soát làm thể nào để có thể

truy cập vào Internet Zones• Dùng trong môi trường bảo mật

cao để kiểm soát truy cập vào ứngdụng Web




Path Rule• Dùng khi hạn chế 1 đường dẫn file• Dùng khi nhiều file tồn tại cho

cùng 1 ứng dụng• Cần thiết khi SRPs là hạn chế

Path Rule• Dùng khi hạn chế 1 đường dẫn file• Dùng khi nhiều file tồn tại cho

cùng 1 ứng dụng• Cần thiết khi SRPs là hạn chế


Giới thiệu về các chính sách kiểm soátứng dụng

Các chính sách kiểm soát ứng dụng được ứng dụng trong Windows Server 2008R2 vàtrong Windows 7 bằng việc dùng AppLockerCác chính sách kiểm soát ứng dụng được ứng dụng trong Windows Server 2008R2 vàtrong Windows 7 bằng việc dùng AppLocker

AppLocker gồm các khả năng mới và mở rộng giúp là giảm sự quá tải người quản trị vàkiểm soát bằng cách nào người dùng có thể truy cập và sử dụng các file, ví dụ các filethực thi .exe, scripts, Windows Installer files (.msi and .msp files), vàDLLs


Ưu điểm của AppLocker:

• Kiểm soát các user có thể truy cập và chạy tất cả các kiểu ứng dụng


• Cho phép sự định nghĩa các rule dựa trên sự thay đổi rộng lớn của biến

• Cung cấp cho việc Import và Export chính sách AppLocker


So sánh Applocker và SoftwareRestriction

Feature SRP AppLocker

Rule scope 1 người dùng hoặc 1 nhóm xác định(mỗi GPO)

Nhiều người dùng hoặcnhiều nhóm (mỗi rule)

Rule conditions provided File hash, path, certificate, registrypath, Internet zone File hash, path, publisher

Rule types provided Cho phép và cấm Cho phép và cấm

Default Rule action Cho phép và cấm Mặc định cấmDefault Rule action Cho phép và cấm Mặc định cấm

Audit only mode No Yes

Wizard to create multiple rules atone time No Yes

Policy import or export No Yes

Rule collection No Yes

Windows PowerShell support No Yes

Custom error messages No YesBài 8 - Triển khai bảo mật sử dụng chính sách nhóm (Group policy) 26

Security Template

Security template:Cho phép administrator áp đặt nhiều thiết lập bảo mậtphù hợp tới nhiều máy tính.

Có thể áp dụng qua Group Policy

Có thể thiết kế dựa trên vai trò máy chủ

Có thể áp dụng qua Group Policy


Security Configuration Wizard

SCW cung cấp hướng dẫn giảm thiểutấn công bề mặt:

• Vô hiệu hóa các dịch vụIIS không cần thiết

• Chặn các cổng không sửdụng và bảo mật các cổngđã được mở bằng IPSec

• Giảm tiếp xúc tới các giaothức

• Cấu hình các thiết lậpđể kiểm tra

Security Configuration Wizard hỗ trợ:

• Rollback• Phân tích• Cấu hình từ xa• Hỗ trợ sử dụng dòng lệnh• Tích hợp Active Directory• Sửa đổi chính sách

• Vô hiệu hóa các dịch vụIIS không cần thiết

• Chặn các cổng không sửdụng và bảo mật các cổngđã được mở bằng IPSec

• Giảm tiếp xúc tới các giaothức

• Cấu hình các thiết lậpđể kiểm tra

• Rollback• Phân tích• Cấu hình từ xa• Hỗ trợ sử dụng dòng lệnh• Tích hợp Active Directory• Sửa đổi chính sách


Các tùy chọn cho tích hợp SecurityConfiguration Wizard và Security Template

Các tùy chọn:

• Các chính sách được tạo bằng SCW có thể được áp đặt tới 1 cá nhân• Security Template có thể được đưa vào SCW

Tiện ích dòng lệnh Scwcmd.exe có thể sử dụng để chuyển đổi chính sách XML vào1 GPO


Cấu hình bảo mật và công cụ phân tích

Template SettingTemplate Setting Actual SettingActual SettingSetting That DoesNot Match TemplateSetting That DoesNot Match Template


Quản trị chính sách bảo mật

Chính sách bảo mật IT Enterprise cấu hình bảo mật

Các thiết lậpQuản trị cấu hình bảo mật

Tạo chính sách bảo mậtÁp dụng chính sách bảo mật cho 1 hoặc nhiều hệ thốngPhân tích các thiết lập bảo mật dựa vi phạm chính sáchCập nhật chính sách, hoặc chỉnh sửa các điểm sai khác trong hệ thống

Các công cụLocal Group Policy and Domain Group PolicySecurity Templates snap-inSecurity Configuration Wizard

Chính sách bảo mật IT Enterprise cấu hình bảo mật

Các thiết lậpQuản trị cấu hình bảo mật

Tạo chính sách bảo mậtÁp dụng chính sách bảo mật cho 1 hoặc nhiều hệ thốngPhân tích các thiết lập bảo mật dựa vi phạm chính sáchCập nhật chính sách, hoặc chỉnh sửa các điểm sai khác trong hệ thống

Các công cụLocal Group Policy and Domain Group PolicySecurity Templates snap-inSecurity Configuration Wizard


Local Security Policy Domain Group Policy

Cấu hình Local Security Policy


Tổng kết bài học

Khái niệm về Security Policy, Account Policy, Local PolicyChính sách mặc định và chính sách bảo mật mặc địnhcủa DCChính sách nhóm, nhóm hạn chế và chính sách Fine-Grained PasswordKhái niệm về Auditing và Audit policyChính sách hạn chế phần mềm và khác biệt so vớiApplockerKhái niệm về Security Template và Security ConfigurationWizard

Khái niệm về Security Policy, Account Policy, Local PolicyChính sách mặc định và chính sách bảo mật mặc địnhcủa DCChính sách nhóm, nhóm hạn chế và chính sách Fine-Grained PasswordKhái niệm về Auditing và Audit policyChính sách hạn chế phần mềm và khác biệt so vớiApplockerKhái niệm về Security Template và Security ConfigurationWizard


Bài 8: Triển khai bảo mật sử dụng chính sách nhóm (Group policy) - Giáo trình FPT

Documents

Transcript of Bài 8: Triển khai bảo mật sử dụng chính sách nhóm (Group policy) - Giáo trình FPT