Как использовать штатные возможности Windows при построении ИБ

Андрей Нуйкин на интенсиве для CISO Код ИБ Профи

Код ИБ

Краткий конспект мастер-класса с закрытого выступления Андрея Нуйкина на интенсиве для CISO Код ИБ Профи

Андрей Нуйкин

Окончил Военный институт правительственной связи в Орле. Некоторое время работал в ФАПСИ. Более 15 лет занимается вопросами обеспечения информационной безопасности. Член Ассоциации руководителей служб информационной безопасности (АРСИБ). С 2010 года обладатель международных сертификатов Certified information security manager, Certified information security auditor, Certified in risk and information systems control от организации ISACA.За это время работал в различных компаниях в разных областях экономики (банки, ритейл, промышленность и так далее): «ЕВРОЦЕМЕНТ», «Промсвязьбанк», SELA и др.В настоящее время – начальник отдела обеспечения безопасности информационных систем в компании ЕВРАЗ.

Microsoft WSUS (Windows Server Update Services) — что это?

Сервер обновлений ОС и продуктов компании Microsoft. ПО может быть скачано бесплатно с сайтов Microsoft и инсталлировано на серверную ОС семейства Windows Server. Сервер обновлений синхронизируется с сайтом Microsoft и скачивает обновления, которые потом могут быть распространены внутри локальной сети. Такой метод экономит внешний трафик компании и ускоряет установку обновлений с целью исправления ошибок и уязвимостей в ОС. Также это позволяет централизованно управлять обновлениями рабочих стаций и серверов.

Что еще можно сделать?

• Отключите общие папки на ПК пользователей

• Весь обмен через папки на сервере с четким разграничением доступа

• Запретите папки на серверах с правами «Запись» для групп «Anyone» или «Для всех»

Чем полезен Microsoft Local administrator password solution?

Позволяет централизованно управлять паролями локальных администраторов на всех компьютерах домена и хранить информацию о пароле и дате его смены непосредственно в объектах типа Computer в ActiveDirectory.

Как работает Mimikatz?

Утилита французских разработчиков mimikatz позволяет получать зашифрованные данные из памяти и расшифровывать их с помощью функции LsaUnprotectMemory, позволяя вывести на консоль все учетные записи пользователей, авторизованных в системе, и их пароли (в открытом, уже расшифрованном виде!). В инструментарии mimikatz есть и другие инструменты получения паролей и их хэшей из памяти (WDigest, LM-hash, NTLM-hash, модуль для захвата билетов Kerberos), поэтому рекомендуется реализовать следующие меры:

• Запретить хранить пароли с использование обратимого шифрования (Reversible Encryption)

• Отключить NTLM

• Запретить использование сохранённых паролей в Credential Manager

• Запретить кэшировать учетные данные доменных пользователей (ключ CachedLogonsCount и политика Interactive logon: Number of previous logons to cache)

• Если функциональный уровень домена не ниже Windows Server 2012 R2, нужно добавить учетные записи администарторов в специальную группу Protected Users

• Отключите Debug режим

• Отключите Wdigest

Какие настройки рекомендуется включить в политике управления паролями:

Вести журнал паролей
(Enforce password history)

– определяет количество старых паролей, которые хранятся в AD, запрещая пользователю повторно использовать старый пароль

Максимальный срок действия пароля
(Maximum password age)

– определяет срок действия пароля в днях

Минимальный срок жизни пароля
(Minimum password age)

– тут стоит оставить 1 день, чтобы предоставить пользователю самому сменить пароль в случае его компрометации (иначе менять пароль пользователю придется администратору)

Минимальная длина пароля
(Minimum password length)

– не рекомендуется делать пароль короче, чем 8 символов (если указать тут 0 – значит пароль не требуется).

Пароль должен отвечать требованиям сложности
(Password must meet complexity requirements)

– при включении этой политики пользователю запрещено использовать имя своей учетной записи в пароле (не более чем два символа подряд из username или Firstname), также в пароле должны использоваться 3 типа символов из следующего списка: цифры (0 – 9), символы в верхнем регистре, символы в нижнем регистре, спец символы ($, #, % и т.д.).

И напоследок: Deception технология — это ...
Новая технология информационной безопасности, которая предназначена для борьбы с направленными атаками, атаками нулевого дня и вредоносным программным обеспечением. Технология базируется на специальной, параллельной сети замаскированных сетевых ловушек и приманок, разбросанной по всей ИТ инфраструктуре заказчика, что позволяет со 100% вероятностью выявлять атаки на этапе распространения, когда хакеры начинают исследовать сеть и «расползаться» по ней.

Если эта тема Вам интересна, есть возможность ознакомиться с полной версией выступления здесь:

Посмотреть мастер-класс целиком

Corp vs BYOD в эпоху удалёнки: Борьба двух мировоззрений

Рассказывает эксперт интенсива Код ИБ Профи Александр Луганский

Код ИБ

Как использовать штатные возможности Windows при построении ИБ

Андрей Нуйкин на интенсиве для CISO Код ИБ Профи

Какие настройки рекомендуется включить в политике управления паролями:

Вести журнал паролей (Enforce password history)

Максимальный срок действия пароля (Maximum password age)

Минимальный срок жизни пароля (Minimum password age)

Минимальная длина пароля (Minimum password length)

Пароль должен отвечать требованиям сложности (Password must meet complexity requirements)