Zasady Grupy (GPO) i ich rola w bezpieczeństwie danych

Jeśli piszemy o atakach to warto zapoznać się z naszymi wcześniejszymi artykułami, o ransomware Lockbit, który automatyzuje szyfrowanie danych w domenie Windows Active Directory przy użyciu GPO. Oraz błąd pozwalający między innymi na załadowanie własnej polityki GPO bez poświadczeń administratora, omijający zabezpieczenia antywirusowe, czy nawet pozwalający wykonać dowolny kod na uprawnieniach zwykłego użytkownika.

Jak są przetwarzane obiekty zasad grupy?

Kolejność przetwarzania GPO wpływa na to, jakie ustawienia są stosowane do komputera i użytkownika. Kolejność przetwarzania GPO określana jest jako LSDOU, co oznacza skrót od local, site, domain, organizational unit. Jako pierwsza przetwarzana jest polityka dla komputera lokalnego, następnie polityka AD od poziomu site’u do domeny, a na końcu do jednostek organizacyjnych. Jeśli w LSDOU wystąpi konflikt polityk, wygrywa ta, która została zastosowana jako ostatnia.

Czy należy używać GPO?

Zasady grupy można wykorzystać na wiele sposobów do zwiększenia bezpieczeństwa, w tym do wyłączenia przestarzałych protokołów, uniemożliwienia użytkownikom wprowadzania pewnych zmian i wielu innych. Przyjrzyjmy się niektórym korzyściom wynikającym z zastosowania GPO. Należy jednak pamiętać, aby nie tworzyć tych polityk zbyt wiele, ponieważ może to wprowadzić chaos w zarządzaniu.

Korzyści z zasad grupy dla bezpieczeństwa danych

Korzyści płynące z zasad grupy nie ograniczają się wyłącznie do bezpieczeństwa. Istnieje szereg benefitów, o których warto wiedzieć. >1. Używaj polityki haseł
Wiele organizacji stosuje luźne zasady dotyczące haseł, a wielu użytkowników często ma hasła ustawione tak, aby nigdy nie wygasały. Hasła, które nie są regularnie zmieniane, są zbyt proste lub należą do popularnych haseł, są narażone na złamanie metodą „brute force”. Do ustalania długości haseł, ich złożoności i innych wymagań można wykorzystać GPO.

2. Aktualizuj oprogramowanie
GPO mogą być używane do wdrażania aktualizacji oprogramowania i poprawek systemowych, aby zapewnić, że środowisko jest zdrowe i aktualne w stosunku do najnowszych zagrożeń bezpieczeństwa. Jednak w tym przypadku istnieją specjalistyczne aplikacje firm trzecich do zarządzania, które posiadają o wiele bardziej zaawansowane funkcjonalności.

3. Nie ustawiaj GPO na poziomie domeny
Każdy obiekt Zasad Grupy ustawiony na poziomie domeny zostanie zastosowany do wszystkich obiektów użytkowników i komputerów. Może to spowodować, że niektóre ustawienia zostaną zastosowane do obiektów, których nie chcemy. Dlatego jedynym GPO, który powinien być ustawiony na poziomie domeny, jest Domyślna polityka domeny (Default Domain Policy). Inne zasady lepiej stosować na bardziej szczegółowym poziomie.

4. Nie używaj głównych kontenerów Users i Computers w Active Directory
Te „foldery” nie są jednostkami organizacyjnymi (OU), więc nie mogą mieć powiązanych z nimi GPO. Jedynym sposobem zastosowania polityk do tych folderów jest powiązanie ich z poziomem domeny, ale jak wspomniano powyżej, należy tego unikać. Dlatego gdy tylko w tych folderach pojawi się nowy użytkownik lub obiekt komputera, należy natychmiast przenieść go do odpowiedniej jednostki OU.

5. Nie wyłączaj GPO
Jeśli GPO jest powiązane z OU, a nie chcemy, aby było stosowane, należy usunąć to powiązanie zamiast wyłączać GPO. Usunięcie łącza z OU nie spowoduje usunięcia GPO, lecz tylko usunięcie łącza z OU, a jego ustawienia nie zostaną zastosowane. Wyłączenie GPO spowoduje, że nie będzie ono stosowane w całości w domenie, co może powodować problemy, ponieważ jeśli użyjemy tego Group Policy w innym OU, nie będzie ono już tam działać.

6. Kontrola dostępu do Wiersza poleceń
Wiersz poleceń może być używany do uruchamiania poleceń, które dają użytkownikom dostęp wysokiego poziomu i pozwalają omijać inne ograniczenia systemu. Dlatego, aby zapewnić bezpieczeństwo zasobów systemowych, warto wyłączyć Wiersz polecenia.

7. Wyłączanie dysków wymiennych, DVD, CD i urządzeń USB
Napędy wymienne są bardzo podatne na infekcje i mogą zawierać wirusy lub złośliwe oprogramowanie. Jeżeli użytkownik podłączy zainfekowany napęd do komputera sieciowego, może to mieć wpływ na całą sieć. Podobnie podatne na infekcje są dyski DVD, CD i urządzenia USB.