При присоединении компьютера к домену создается учетная запись компьютера. После этого при запуске системы для создания безопасного канала связи с контроллером домена используется пароль учетной записи компьютера.
Безопасный канал используется в доменной инфраструктуре для таких операций, как выполнение проверки подлинности NTLM, поиск имени или кода LSA и т. д.
1. Цифровая подпись или шифрование данных для организации безопасного канала
Весь трафик безопасного канала, инициированного членом домена, подписывается или шифруется. Безопасный канал не будет установлен до тех пор, пока не будет согласовано либо подписание, либо шифрование всего его трафика. Учетные данные, передаваемые по безопасному каналу, всегда шифруются, независимо от согласования шифрования остального трафика.
Настройка с помощью групповой политики:
Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности.
Параметр: Член домена: Всегда требуется цифровая подпись или шифрование потока данных безопасного канала.
Значение: Включен2. Шифрование данных безопасного канала
Член домена пытается согласовать шифрование всего трафика безопасного канала, который он инициирует.
Настройка с помощью групповой политики:
Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности.
Параметр: Член домена: Шифрование данных безопасного канала, когда это возможно.
Значение: Включен3.Стойкий ключ сеанса для зашифрованных данных безопасного канала
Для зашифрованных данных безопасного канала устанавливается 128-разрядный ключ.
Чтобы использовать этот параметр на рабочих станциях и серверах, входящих в домен, все контроллеры, формирующие домен, должны работать под управлением операционной системы Windows 2000 или более поздней версии.
Настройка с помощью групповой политики:
Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности.
Параметр: Член домена: Требовать стойкий ключ сеанса (Windows 2000 или выше).
Значение: Включен- Если ведется реестр групповых политик (GPO) - привязать соответствующую политику к карточке как инструмент
Область действия: Вся организация
Классификация
Ресурсная оценка
|
Качественная оценка |
Количественная оценка |
Итоговая оценка | ||||
|---|---|---|---|---|---|---|
|
Стоимость |
Трудозатраты |
Сложность |
Стоимость, тыс. руб |
Трудозатраты, дней/ год |
||
|
CAPEX ? |
Неизвестно
|
Неизвестно
|
Неизвестно
|
Неизвестно
|
Неизвестно
|
Отсутствует
|
|
OPEX ? |
Неизвестно
|
Неизвестно
|
Неизвестно
|
Неизвестно
|
Неизвестно
|
|
Связанные риски
| Риск | Связи | |
|---|---|---|
|
Обход систем защиты
из-за
возможности использования скомпрометированных билетов Kerberos
в ОС Windows
Повышение привилегий
Целостность
|
1
|
|
|
Боковое перемещение злоумышленника по локальной сети
из-за
возможности использования скомпрометированных билетов Kerberos
в ОС Windows
Конфиденциальность
Целостность
|
2
|
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.