Preskočiť na obsah

Skupina Protected Users, overovanie Kerberos, silá AD a pracovná stanica PAW

Zabezpečenie adresárov Active Directory je zásadnou výzvou v oblasti zabezpečenia infraštruktúry.

ANSSI (francúzska národná agentúra pre kybernetickú bezpečnosť) kladie osobitný dôraz na význam rozdelenia do zón v rámci tohto zabezpečenia a na zavedenie síl serverov s overovaním Kerberos. Spomína to vo svojich odporúčaniach pre zabezpečenú správu informačných systémov založených na AD.

Naše riešenia CyberElements Bastion ponúkajú veľkú flexibilitu pri implementácii tohto zabezpečenia, ktoré je možné rozdeliť do štyroch rôznych úrovní integrácie uplatňovaných postupne:

Konfigurácia aplikácií RDP na podporu protokolu Kerberos

Upozornenie!

Ak chcete nakonfigurovať privilegovanú aplikáciu RDP alebo privilegovanú aplikáciu HTML5 RDP na podporu protokolu Kerberos, musíte najprv vykonať konfiguráciu 1 komponentov Edge Gateway, ktoré sa budú používať na pripojenie k RDP s protokolom Kerberos.

Aby sa privilegovaná aplikácia RDP alebo HTML5 RDP mohla pripojiť k serveru RDP pomocou protokolu Kerberos, musia byť splnené štyri konfiguračné podmienky:

  1. Nastavenie SSO nemôže mať hodnotu Disabled, musí teda mať hodnotu Enabled, Fixed alebo Request
  2. Režim bez agenta musí byť povolený
  3. Zadaný názov servera musí byť FQDN (zadanie IP adresy servera spôsobí zlyhanie overovania).
  4. Protokol Kerberos nesmie byť zakázaný v rozšírených nastaveniach aplikácie RDP alebo HTML5 RDP.
Príklad

Ak chcete nakonfigurovať privilegovanú aplikáciu RDP tak, aby sa pripájala k serveru RDP my-rds-server pomocou protokolu Kerberos, musíte:

  • Nastaviť úroveň SSO na inú hodnotu ako Disabled, v tomto prípade na Enabled (1), potom povoliť režim bez agenta (2) a nakoniec zadať FQDN servera RDP (3).
  • Overiť, že protokol Kerberos nie je zakázaný (4)
Vývojový diagram 
flowchart LR 
    subgraph WAN 
        USER(Pracovná stanica používateľa)
    end 
    subgraph Cloud alebo DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Server RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Používateľ otvorí privilegovanú aplikáciu RDP alebo HTML5 RDP s podporou overovania Kerberos.
  2. Používateľ je pripojený ku komponentu Edge Gateway v režime bez agenta
  3. Komponent Edge Gateway požiada radič domény Kerberos (KDC) o token TGT.
  4. KDC vráti zašifrovaný a podpísaný TGT
  5. Komponent Edge Gateway požiada o lístok služby, ktorý obsahuje predchádzajúci TGT
  6. KDC vráti lístok služby zašifrovaný kľúčom služby
  7. Komponent Edge Gateway odošle serveru RDP požiadavku na prístup vrátane lístka služby.
  8. Server RDP schváli prístup k službe a pripojenie RDP sa inicializuje.

Konfigurácia aplikácií RDP na podporu Kerberos armoring

Upozornenie!

Ak chcete úspešne nakonfigurovať privilegovanú aplikáciu RDP alebo HTML5 RDP na podporu Kerberos armoring, musíte najprv vykonať konfigurácie 1 a 2 pre komponenty Edge Gateway, ktoré sa budú používať na pripojenie k RDP s Kerberos armoring.

Aby sa privilegovaná aplikácia RDP alebo HTML5 RDP mohla pripojiť k serveru RDP s Kerberos armoring, musí byť splnených päť konfiguračných podmienok:

  1. Nastavenie SSO nemôže mať hodnotu Disabled, musí teda mať hodnotu Enabled, Fixed alebo Request
  2. Režim bez agenta musí byť povolený
  3. Zadaný názov servera musí byť FQDN (zadanie IP adresy servera spôsobí zlyhanie overovania).
  4. Protokol Kerberos nesmie byť zakázaný v rozšírených nastaveniach aplikácie RDP alebo HTML5 RDP.
  5. Zadajte názov servisného účtu počítača, ktorý sa použije pre Kerberos armoring, a na jeho koniec pridajte $
Príklad

Ak chcete nakonfigurovať privilegovanú aplikáciu RDP tak, aby sa pripájala v režime Kerberos armoring k serveru RDP my-rds-server pomocou účtu počítača svc_cyberelements, musíte:

  • Nastaviť úroveň SSO na inú hodnotu ako Disabled, v tomto prípade na Enabled (1), potom povoliť režim bez agenta (2) a nakoniec zadať FQDN servera RDP (3).
  • Overiť, že protokol Kerberos nie je zakázaný (4) a že je zadaný názov servisného účtu počítača, a nezabudnúť pridať znak $ (5).
Vývojový diagram 
flowchart LR 
    subgraph WAN 
        USER(Pracovná stanica používateľa)
    end 
    subgraph Cloud alebo DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Server RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Používateľ otvorí privilegovanú aplikáciu RDP alebo HTML5 RDP s podporou overovania Kerberos.
  2. Používateľ je pripojený ku komponentu Edge Gateway v režime bez agenta
  3. Komponent Edge Gateway požiada radič domény Kerberos (KDC) o token TGT pomocou údajov servisného účtu počítača
  4. KDC vráti zašifrovaný a podpísaný TGT
  5. Komponent Edge Gateway požiada o lístok služby, ktorý obsahuje predchádzajúci TGT
  6. KDC vráti lístok služby zašifrovaný kľúčom služby
  7. Komponent Edge Gateway odošle serveru RDP požiadavku na prístup vrátane lístka služby.
  8. Server RDP schváli prístup k službe a pripojenie RDP sa inicializuje.

Špecifiká architektúry v prostredí AD so segmentáciou

Upozornenie!

V prostredí Active Directory so segmentáciou sa Kerberos armoring zvyčajne konfiguruje pre účty správcov. Preto je potrebné vykonať konfigurácie 1 a 2 pre komponenty Edge Gateway, ktoré sa budú používať na pripojenie k serverom RDP.

Keď sa CyberElements Bastion používa v prostredí AD so silami, účet počítača služby používaný na Kerberos armoring musí byť priradený k silu.
To znamená, že ak je potrebný prístup k počítačom RDP patriacim do rôznych vrstiev, bude potrebné vytvoriť zodpovedajúci počet servisných účtov počítačov umiestnených v jednotlivých cieľových vrstvách.

Môže to ovplyvniť aj architektúru produktu.
Táto zmena sa týka najmä počtu nasadených komponentov Edge Gateway, pričom sa odporúča mať aspoň jeden komponent vyhradený pre prístup do konkrétnej vrstvy. Ak však kontext neumožňuje nasadiť toľko komponentov Edge Gateway, možno použiť aj architektúru s jedným komponentom Edge Gateway:

flowchart LR
    subgraph WAN
        USER(Pracovná stanica používateľa)
    end
    subgraph Cloud alebo DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T2
            GW-T2(Edge Gateway T2)
            RDP-T2(Server RDP T2)
        end
        subgraph T1
            GW-T1(Edge Gateway T1)
            RDP-T1(Server RDP T1)
        end
        subgraph T0
            GW-T0(Edge Gateway T0)
            KDC(Kerberos Domain Controller)
            RDP-T0(Server RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW-T0
    MED ~~~ GW-T1
    MED ~~~ GW-T2

    GW-T0 ==TLS==> MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 --Kerberos/LDAPS--> KDC
    GW-T0 -..-> |RDP| RDP-T0

    GW-T1 ==TLS==> MED
    GW-T1 ~~~ MED
    GW-T1 ~~~ MED
    GW-T1 --Kerberos/LDAPS--> KDC
    GW-T1 -..-> |RDP| RDP-T1

    GW-T2 ==TLS==> MED
    GW-T2 ~~~ MED
    GW-T2 --Kerberos/LDAPS--> KDC
    GW-T2 -..-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Pri tejto architektúre je konfigurácia aplikácií RDP rovnaká ako pri podpore Kerberos armoring. 

flowchart LR
    subgraph WAN
        USER(Pracovná stanica používateľa)
    end
    subgraph Cloud alebo DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        GW(Edge Gateway)
        subgraph T2
            RDP-T2(Server RDP T2)
        end
        subgraph T1
            RDP-T1(Server RDP T1)
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
            RDP-T0(Server RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW

    GW ==TLS==> MED
    GW ~~~ MED
    GW --Kerberos/LDAPS--> KDC
    GW-.-> |RDP| RDP-T0
    GW -.-> |RDP| RDP-T1
    GW -.-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Pri tejto architektúre je konfigurácia aplikácií RDP rovnaká ako pri podpore Kerberos armoring.
Musíte však tiež naplánovať použitie súboru keytab obsahujúceho viacero servisných účtov na komponent Edge Gateway určený na pripojenie.

Špecifiká pripojenia k pracovnej stanici PAW

PAW (Privileged Access Workstation) je pracovná stanica vyhradená na administratívne úlohy v definovanej vrstve.
Vzhľadom na kritickú povahu tejto pracovnej stanice sa na ňu veľmi často uplatňujú sprísnené nastavenia zabezpečenia. Jedným z týchto sprísnení je princíp nevystavovania služieb v sieti, ktorý zaručuje, že nemožno zneužiť žiadne zadné vrátka ani služby s bezpečnostnými zraniteľnosťami.

Tento princíp preto teoreticky znemožňuje vzdialený prístup k pracovnej stanici PAW. CyberElements Bastion vám však umožňuje nadviazať pripojenie k pracovnej stanici PAW bez toho, aby v lokálnej sieti počúvali akékoľvek služby, a to vďaka:

  • aktivácii služieb vzdialenej pracovnej plochy
  • konfigurácii lokálnej brány firewall tak, aby zakazovala prístup k službe vzdialenej pracovnej plochy zo všetkých IP adries okrem adries pracovnej stanice PAW alebo localhost
  • inštalácii vstavaného komponentu Edge Gateway, ktorý umožní lokálny prístup k službe vzdialenej pracovnej plochy pracovnej stanice PAW
flowchart LR
    subgraph WAN
        USER(Pracovná stanica používateľa)
    end
    subgraph Cloud alebo DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Server RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW & GW-WIN
    GW & GW-WIN ==TLS==> MED
    GW & GW-WIN ~~~ MED

    GW & PAW_T1 --> |Kerberos/LDAPS| KDC

    GW-WIN -.-> |RDP| RDP

    GW --x |Nie je dostupné žiadne pripojenie| PAW_T1
Hold "Ctrl" to enable pan & zoom 
flowchart LR
    subgraph WAN
        USER(Pracovná stanica používateľa)
    end
    subgraph Cloud alebo DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Server RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER --- |1| MED --> |1| GW
    GW -.- |2| MED -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    MED --> |7| GW & GW-WIN
    GW --- |8| MED --- |8| GW-WIN --> |8| RDP
    RDP -.- |9| GW-WIN -.- |9| MED -.-> |9| GW
Hold "Ctrl" to enable pan & zoom
  1. Používateľ otvorí privilegovanú aplikáciu RDP alebo HTML5 RDP s podporou overovania Kerberos k pracovnej stanici PAW
  2. Používateľ je pripojený ku komponentu Edge Gateway v režime bez agenta
  3. Komponent Edge Gateway požiada radič domény Kerberos (KDC) o token TGT pomocou údajov servisného účtu počítača
  4. KDC vráti zašifrovaný a podpísaný TGT
  5. Komponent Edge Gateway požiada o lístok služby, ktorý obsahuje predchádzajúci TGT
  6. KDC vráti lístok služby zašifrovaný kľúčom služby
  7. Služba Mediation Controller oznámi komponentu Edge Gateway a vstavanému komponentu Edge Gateway, že sa medzi nimi otvoril tunel, ktorý prechádza cez službu Mediation Controller
  8. Komponent Edge Gateway odošle serveru RDP požiadavku na prístup vrátane lístka služby, a to cez službu Mediation Controller a vstavaný komponent Edge Gateway
  9. Server RDP schváli prístup k službe a pripojenie RDP sa inicializuje

Predpoklady na pracovnej stanici PAW

Špecifické predpoklady, ktoré sa majú uplatniť na pracovnej stanici PAW (Privileged Access Workstation) na pripojenie k CyberElements Bastion, sú zhrnuté takto:

  1. Povoľte službu vzdialenej pracovnej plochy
  2. Upravte lokálnu bránu firewall tak, aby odmietala prístup k službe vzdialenej pracovnej plochy všetkým počítačom okrem samotnej pracovnej stanice PAW
  3. Upravte správanie mechanizmu Kerberos armoring tak, aby vždy poskytoval deklarácie
  4. Nainštalujte komponent Windows Edge Gateway vo vstavanom režime

Povolenie služby vzdialenej pracovnej plochy

Službu vzdialenej pracovnej plochy možno povoliť manuálne podľa postupu v dokumentácii spoločnosti Microsoft Enable Remote Desktop on your PC.
Na povolenie služby však možno použiť aj objekt GPO:

  • Cesta k nastaveniu GPO: Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Connections
  • Nastavenie: Allow users to connect remotely by using Remote Desktop Services
  • Hodnota: Enabled

Úprava pravidiel brány firewall

Z bezpečnostných dôvodov je dôležité obmedziť prístup na úrovni brány firewall, aby sa zabránilo prístupu zvonku na port RDP.

Keď je protokol RDP povolený, systém Windows predvolene vytvorí 2 pravidlá brány firewall, ktoré povoľujú prístup k portu 3389 cez UDP a TCP.
Tieto dve pravidlá je potrebné upraviť tak, aby povoľovali iba pripojenia RDP zo vzdialenej IP adresy 127.0.0.1.

Ak tieto pravidlá neexistujú, je potrebné ich vytvoriť manuálne na serveri alebo prostredníctvom objektu GPO.

Úprava správania mechanizmu Kerberos armoring

Je tiež potrebné upraviť správanie protokolu Kerberos.

Na tento účel môžete nastaviť nasledujúci objekt GPO:

  • Cesta k nastaveniu GPO: Computer Configuration > Policies > Administrative Templates > System > KDC
  • Nastavenie: KDC support for claims, compound authentication and Kerberos armoring
  • Hodnota: Enabled, Always provide claims

Táto zmena nemá vplyv na zabezpečenie segmentácie AD ani na implementáciu posilneného protokolu Kerberos.

Inštalácia komponentu Windows Edge Gateway vo vstavanom režime

Predpoklady

Skôr ako budete pokračovať, nainštalujte na pracovnú stanicu PAW server Edge Gateway pre Windows a pripojte ho k serveru Mediation Controller: Nainštalovať server Edge Gateway pre Windows

Po inštalácii komponentu Windows Edge Gateway je potrebné prepnúť ho do vstavaného režimu.

Prejdite na webové rozhranie servera Mediation Controller pomocou URI /console.

Príklady

Ak je prístup k serveru Mediation Controller na jeho webovej IP adrese 10.0.10.10, konzola na správu je dostupná na adrese https://10.0.10.10/console.

Ak je server Mediation Controller dostupný cez názov DNS, napríklad cyberelements-bastion.domain.local, konzola na správu je dostupná na adrese https://cyberelements-bastion.domain.local/console.

Po pripojení nezabudnite odstrániť deklarovaný komponent Windows Edge Gateway z modulu Gateways Management.

Komponent Windows Edge Gateway je teraz pripravený na použitie ako vstavaný komponent Edge Gateway.

Pri otvorení relácie sa monitor komponentu Windows Edge Gateway spustí automaticky (je viditeľný ako ikona type:inline na paneli úloh). Keďže toto automatické spustenie nie je pre pracovné stanice PAW potrebné, musíte ho zakázať:

  1. Otvorte editor databázy Registry regedit.exe ako správca
  2. Prejdite do vetvy databázy Registry HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
  3. Odstráňte kľúč IPdivaGateway Monitor
  4. Reštartujte pracovnú stanicu PAW

Konfigurácia aplikácií RDP na pripojenie k pracovnej stanici PAW

Upozornenie!

Ak chcete nakonfigurovať privilegovanú aplikáciu RDP alebo HTML5 RDP na pripojenie k pracovnej stanici PAW, musíte najprv vykonať konfigurácie 1 až 3 pre komponenty Edge Gateway, ktoré sa budú používať na pripojenie k pracovným staniciam PAW.

Aby sa privilegovaná aplikácia RDP alebo HTML5 RDP mohla pripojiť k pracovnej stanici PAW, musí byť splnených šesť konfiguračných podmienok:

  1. Nastavenie SSO nemôže mať hodnotu Disabled, musí teda mať hodnotu Enabled, Fixed alebo Request
  2. Režim bez agenta musí byť povolený
  3. Zadaný názov servera musí byť FQDN (zadanie IP adresy servera spôsobí zlyhanie overovania).
  4. Nakonfigurujte smerovanie cez vstavaný komponent Edge Gateway
  5. Protokol Kerberos nesmie byť zakázaný v rozšírených nastaveniach aplikácie RDP alebo HTML5 RDP.
  6. Zadajte názov servisného účtu počítača, ktorý sa použije pre Kerberos armoring, a na jeho koniec pridajte $

Podmienka 4 vyplýva z konfigurácie pracovných staníc PAW, na ktorých nesmú v lokálnej sieti načúvať žiadne služby. Ak sa komponent Edge Gateway nainštaluje vo forme programu pre Windows, môže pristupovať iba k službám, ktoré načúvajú na localhost.

Príklad

Ak chcete nakonfigurovať privilegovanú aplikáciu RDP tak, aby sa pripájala v režime Kerberos armoring k serveru RDP my-rds-server pomocou účtu počítača svc_cyberelements, musíte:

  • Nastaviť úroveň SSO na inú hodnotu ako Disabled, v tomto prípade na Enabled (1), potom povoliť režim bez agenta (2), zadať FQDN servera RDP (3) a nakoniec povoliť režim vstavaného komponentu Edge Gateway a zadať názov komponentu Windows Edge Gateway nainštalovaného na pracovnej stanici PAW (4).
  • Overiť, že protokol Kerberos nie je zakázaný (5) a že je zadaný názov servisného účtu počítača, a nezabudnúť pridať znak $ (6).

Ladenie otvárania aplikácií RDP s overovaním Kerberos

Ak chcete vykonať prvotnú analýzu alebo získať informácie, ktoré CyberElements potrebuje na podrobnú analýzu zlyhaní overovania Kerberos, vykonajte nasledujúce kroky:

  1. Povoľte logy ladenia: na tento účel nastavte parameter debug pod značkou [Kerberos] na true v súbore /etc/ipdiva/cleanroom/xrdprecord.ini servera Edge Gateway použitého na pripojenie. Môžete to urobiť pomocou nasledujúceho príkazu:

    1
    sed -i "3s/false/true/" /etc/ipdiva/cleanroom/xrdprecord.ini

  2. Prihláste sa na používateľský portál a spustite privilegovanú aplikáciu, RDP alebo RDP HTML5, v režime bez agenta a nakonfigurovanú na používanie protokolu Kerberos. Poznamenajte si nasledujúce informácie:

    • Čas otvorenia aplikácie
    • Meno používateľa použité na pripojenie k serveru RDP

  3. Na serveri Edge Gateway použitom na predchádzajúce pripojenie získajte nasledujúce súbory:

    • /var/log/syslog: tento súbor obsahuje okrem iného logy spustenia relácie v režime bez agenta.
    • /var/lib/ipdiva/carerecord/log/freerdpout-<USER>-<DATE>.txt: nahraďte <USER> menom používateľa a <DATE> dátumom a časom otvorenia aplikácie, ktoré ste si poznamenali v predchádzajúcom kroku. Tento súbor obsahuje logy súvisiace s nadväzovaním relácie RDP vrátane fázy overovania Kerberos.

  4. Zakážte logy ladenia: na tento účel nastavte parameter debug pod značkou [Kerberos] na false v súbore /etc/ipdiva/cleanroom/xrdprecord.ini servera Edge Gateway použitého na pripojenie. Môžete to urobiť pomocou nasledujúceho príkazu:

    1
    sed -i "3s/true/false/" /etc/ipdiva/cleanroom/xrdprecord.ini