IRCAR201008070
از آنجايي كه كنترل كننده هاي دامنه از راه هاي مختلف و متعددي بر روي دامنه ويندوز شما و تمامي كامپيوترهايي كه به آن متعلق هستند كنترل دارند، بايد احتياطات لازم را براي حصول اطمينان از اينكه كنترل كننده هاي دامنه شما امن بوده و امن باقي ميمانند به كار ببنديد. در اين مقاله، تعداد كمي از معيارهاي امنيتي مهم كه بايد در مورد كنترل كننده هاي دامنه در نظر گرفته شوند، مورد بررسي قرار ميگيرند.
امنيت فيزيكي كنترل كننده هاي دامنه
نخستين گام در امن كردن كنترل كننده هاي دامنه شبكه، حصول اطمينان از اين نكته است كه امكان دسترسي فيزيكي به آنها وجود ندارد. اين بدان معناست كه بايد آنها را در يك اتاق سرور قفل شده كه دسترسي به آن مستقيما و به صورت مستند كنترل ميشود قرار داد.
البته هيچ راهي براي صد در صد امن كردن يك خانه، يك اتومبيل، يك دفتر كار و يا يك سرور وجود ندارد. معيارهاي امنيتي مختلفي در هر مورد در نظر گرفته ميشوند، ولي اين كار با هدف غير ممكن ساختن دسترسي خرابكاران به داراييهاي شما انجام نميشود. بلكه هدف در تمام اين موارد اين است كه كار براي خرابكاران سخت گردد. ايجاد مانع بر سر راه خرابكاران باعث ميشود كه آنها دست از تلاش براي نفوذ بردارند و همچنين به شما فرصت ميدهد كه با آنها مقابله نماييد.
امنيت فيزيكي بايد در لايه هاي مختلفي اعمال گردد. قفل اتاق سرور صرفا لايه اول است. اما اگر اين لايه از امنيت به هر دليلي دچار مشكل گردد، بايد موانع امنيتي ديگري نيز بر سر راه فرد خرابكار قرار داشته باشد. استفاده از سيستم هشدار در محل در ورودي اتاق سرور كه در صورت ورود غير مجاز زنگ هشدار را به صدا در آورد، ميتواند لايه ديگري از امنيت فيزيكي باشد. همچنين در صورتي كه اتاق داراي ورودی‌هاي ديگري مانند پنجره است، اين وروديها نيز بايد در نظر گرفته شده و از سيستم تشخيص حركت استفاده شود.
در هنگام تهيه نقشه امنيت فيزيكي خود، پس از مرحله از خود بپرسيد كه «در صورتيكه اين لايه امنيتي مورد نفوذ قرار گرفت، چه مانعي بر سر راه مهاجم خواهد بود؟» به منظور امنيت بيشتر، موارد زير را در نظر بگيريد:
- حذف كليه درايوهاي خارجي قابل حمل مانند فلاپي درايو، درايورهاي CD و DVD، هارد ديسكهاي خارجي، دريواهاي zip، درايوهاي حافظه فلش و غيره. اين كار باعث ميشود كه فرد نفوذگر به سختي قادر باشد يك برنامه را بر روي سرور بارگذاري كرده و يا داده ها را از آن دريافت نمايد. همچنين غير فعال كردن پورتهايي كه براي اتصال وسايل خارجي مورد استفاده قرار ميگيرند (پورتهاي سريال، پورتهاي موازي، پورتهاي USB، پورتهاي SCSI و غيره) نيز در صورتي كه مورد نياز نيستند، توصيه ميشود.
- قفل كردن كيس به صورتي كه افراد ناشناس قادر به سرقت هارد ديسك يا ضربه وارد كردن به اجزاي سخت افزاري سيستم نباشند.
- قرار دادن سرور در يك كمد يا محفظه قفل شده به طوريكه فرد نفوذگر قادر نباشد به سادگي به منبع تغذيه و UPS سيستم دسترسي پيدا كند.
محافظت از كنترل كننده هاي دامنه در برابر نفوذهاي راه دور
زماني كه از امنيت فيزيكي سرور خود مطمئن شديد، بايد سعي كنيد از دسترسي هكرها و مهاجمان به كنترل كننده هاي دامنه از طريق شبكه جلوگيري كنيد. قطعا بهترين راه براي اين كار اين است كه اين سيستمها را از شبكه خارج نماييد كه البته اين كار غير منطقي بوده و آنها را بلا استفاده ميكند. بنابراين بايد گامهايي را براي مستحكم ساختن آنها در برابر روشهاي معمول حمله از راه دور انجام دهيد.
امن كردن حسابهاي كاربري دامنه
يكي از ساده ترين و معمولترين راه هاي دسترسي به شبكه و كنترل كننده هاي دامنه، ورود با استفاده از يك حساب كاربري و كلمه عبور معتبر است.
فقط دو نكته وجود دارد كه هكرها بايد بدانند تا بتوانند وارد شبكه گردند: يك نام حساب كاربري معتبر و كلمه عبور مربوط به آن حساب كاربري. استفاده از حساب كاربري administrator با نام كاربري Administrator كه هر هكري آن را ميداند، كار هكرها را بسيار راحتتر ميكند. چرا كه در اين صورت هكر مزبور بايد صرفا به دنبال كلمه عبور بگردد. بر خلاف ساير حسابهاي كاربري، در صورتي كه چندين بار براي ورود به حساب كاربري Administrator با كلمات عبور مختلف تلاش شود، اين حساب قفل نخواهد شد. اين بدان معناست كه فرد هكر به سادگي ميتواند تا زمان پيدا كردن كلمه عبور، به حدس زدن در مورد آن ادامه دهد.
به همين دليل شما هميشه بايد در ابتداي كار، نام پيش فرض حساب كاربري Administrator را تغيير دهيد. اين كار به اين منظور انجام ميشود كه حساب كاربري با حق دسترسي administrator به سادگي در اختيار فرد نفوذگر قرار نگيرد. به خاطر داشته باشيد كه شما با اين كارها صرفا سرعت كار فرد نفوذگر را كم ميكنيد. يك هكر با تجربه و داراي اطلاعات، ميتواند راههاي ديگري براي عبور از معيارهاي امنيتي شما پيدا كند (براي مثال، SID مربوط به حساب administrator قابل تغيير نبوده و هميشه با 500 تمام ميشود. برنامه هاي نرم افزاري هك وجود دارند كه ميتوانند براي كشف SID و در نتيجه شناسايي حساب كاربري admin مورد استفاده قرار گيرند).
در Server 2003 اين امكان وجود دارد كه حساب كاربري administrator پيش فرض به طور كلي غير فعال گردد. در اين حالت، شما بايد ابتدا يك حساب كاربري ديگر با حق دسترسي administrator ايجاد نماييد. در غير اينصورت قادر نخواهيد بود برخي كارهاي ضروري را انجام دهيد. حساب كاربري مهمان كه به صورت پيش فرض بر روي سيستم وجود دارد، بايد هميشه غير فعال باشد. در صورتي كه شما مايليد حق دسترسي مهمان براي كاربري ايجاد نماييد، يك حساب جديد با نام ديگري ايجاد كرده و حق دسترسي آن را به مهمان محدود نماييد.
تمامي حسابهاي كاربري و مخصوصا حسابهاي administrator، بايد كلمات عبور محكمي متشكل از حداقل 8 كاراكتر داشته باشند. اين كلمات عبور بايد شامل حروف كوچك و بزرگ الفبا، ارقام و كاراكترهاي نمادين بوده و از كلمات موجود در ديكشنري نباشند. كاربران بايد بدانند كه نبايد كلمه عبور خود را جايي يادداشت كنند يا آن را در اختيار كسي قرار دهند (مهندسان اجتماعي با پرسيدن كلمه عبور كاربران ناآگاه، به سيستمهاي شبكه دسترسي پيدا ميكنند). همچنين بايد سياست مدوني براي تغيير كلمه عبور به طور منظم (مثلا ماهانه) وجود داشته باشد.
تغيير محل پايگاه داده Active Directory
پايگاه داده Active Directory پر از اطلاعات حساس است و بايد در برابر حملات محافظت گردد. يك راه براي محافظت از اين پايگاه داده، انتقال اين فايلها از محل پيش فرض آن (بر روي درايو system) است. چرا كه مهاجمان اين محل پيش فرض را ميشناسند. براي محافظت بيشتر، بهتر است اين فايلها بر روي يك درايو ديگر نيز قرار گيرند تا در صورت خرابي ديسك، قابل بازيابي باشند.
اين فايلها عبارتند از:
- Ntds.dit
- Edb.log
- Temp.edb
شما ميتوانيد با استفاده از ابزار NTDSUTIL.EXE، پايگاه داده و فايلهاي log را منتقل نماييد. اين كار را بنا بر دستورات زير انجام دهيد:
1- كنترل كننده دامنه را راه اندازي مجدد نماييد.
2- در زمان راه اندازي مجدد F8 را فشار داده و به منوي Advanced Options دسترسي پيدا كنيد.
3- از اين منو، Directory Services Restore Mode را انتخاب كنيد.
4- اگر بيش از يك ويندوز Server 2003 نصب كرده ايد، ويندوز مورد نظر خود را انتخاب كرده و كليد Enter را فشار دهيد.
5- در زمان ورود، با حساب كاربري administrator كه در طول پروسه DCPROMO براي استفاده براي Active Directory Restore انتخاب شده بود، وارد شويد.
6- روي Start كليك كرده و Run را انتخاب نموده و دستور cmd را تايپ كنيد تا يك پنجره واسط خط دستور باز شود.
7- در پنجره خط دستور، NTDSUTIL.EXE را وارد كنيد.
8- در پيغام NTDSUTIL، FILES را وارد نماييد.
9- پايگاه داده يا فايل لاگي را كه ميخواهيد انتقال دهيد انتخاب كنيد. دستور MOVE DB TO يا MOVE LOGS TO را وارد كنيد.
10- دوبار دستور QUIT را وارد كنيد تا به محيط خط دستور برگرديد و سپس پنجره واسط خط دستور را ببنديد.
11- دوباره سيستم را راه اندازي مجدد نماييد تا به صورت عادي وارد Server 2003 گرديد.
امن كردن اطلاعات كلمه عبور با Syskey
يكي از حساسترين داده هاي ذخيره شده در Active Directory، اطلاعات مربوط به كلمات عبور حسابهاي دامنه است. System Key (Syskey) براي رمزگذاري اطلاعات كلمه عبور ذخيره شده در پايگاه داده سرويسهاي دايركتوري روي كنترل كننده دامنه به كار ميرود.
Syskey در سه مود كار ميكند. در مود اول، كه بر روي تمامي سيستمهاي Server 2003 به صورت پيش فرض فعال است، يك كليد سيستم به طور تصادفي توسط كامپيوتر توليد شده و نسخه رمز شده آن نيز به صورت محلي ذخيره ميشود. در اين مود، شما هنوز ميتوانيد كامپيوتر را به صورت عادي راه اندازي مجدد نماييد.
در مود دوم، كليد سيستم توليد شده و به روشي مشابه مود اول ذخيره ميشود، ولي يك كلمه عبور ديگر كه توسط administrator انتخاب شده است، محافظت بيشتري ايجاد ميكند. زماني كه شما سيستم را راه اندازي مجدد مينماييد، بايد اين كلمه عبور كليد سيستم را نيز وارد كنيد. اين كلمه عبور اضافي، به صورت محلي ذخيره نميشود.
مود سوم، امن ترين مود محافظتي است. كليد توليد شده توسط كامپيوتر بر روي يك فلاپي ديسك ذخيره ميشود. شما بدون داشتن آن فلاپي، قادر به راه اندازي مجدد سيستم نخواهيد بود.
نكته:
پيش از پياده سازي مودهاي دوم و سوم، فاكتورهاي منطقي را در نظر بگيريد. براي مثال، استفاده از مود سوم به اين معناست كه شما براي راه اندازي مجدد سيستم حتما بايد در محل حضور داشته باشيد و نميتوانيد اين كار را از راه دور انجام دهيد.
نحوه توليد كليد سيستم به صورت زير است:
1- از منوي Start گزينه Run را انتخاب كرده و دستور cmd را تايپ نماييد.
2- در پنجره واسط خط دستور، SYSKEY را وارد كنيد.
3- بر روي UPDATE كليك كنيد. گزينه ENCRYPTION ENABLED بايد انتخاب شده باشد.
4- براي ايجاد كلمه عبور اضافي در هنگام راه اندازي مجدد، بر روي PASSWORD STARTUP كليك كنيد.
5- يك كلمه عبور قوي وارد كنيد (بين 12 تا 128 كاراكتر)
6- اگر استفاده از كلمه عبور اضافي مورد نظر شما نيست، بر روي SYSTEM GENERATED PASSWORD كليك كنيد.
7- گزينه پيش فرض STORE STARTUP KEY LOCALLY است. اگر مايليد كلمه عبور را بر روي فلاپي ذخيره كنيد، STORE STARTUP KEY ON FLOPPY DISK را انتخاب كنيد.
اگر از مود سوم استفاده ميكنيد، اطمينان حاصل كنيد كه يك نسخه پشتيبان از فلاپي ديسك مزبور ايجاد كرده باشيد.
بايد بدانيد كه در صورت گم شدن فلاپي ديسك يا خراب شدن آن، يا در صورت فراموش كردن كلمه عبور syskey انتخاب شده توسط administrator، هيچ راهي براي بازيابي نداريد و مجبور خواهيد بود كنترل كننده دامنه را مجددا نصب نماييد.
خلاصه
محافظت از كنترل كننده هاي دامنه، بخشي مهم از استراتژي امنيتي شبكه شما است. در اين مقاله، ما در مورد نحوه محافظت فيزيكي از كنترل كننده هاي دامنه، امن كردن حسابهاي دامنه، تغيير محل فايلهاي پايگاه داده Active Directory، و چگونگي استفاده از ابزار Syskey براي محافظت از اطلاعات كلمات عبور توضيح داديم.
- 10