Skoči na vsebino

Skupina Protected Users, preverjanje pristnosti Kerberos, silosi AD in delovna postaja PAW

Zaščita imenikov Active Directory je velik izziv pri varnosti infrastrukture.

ANSSI (francoska nacionalna agencija za kibernetsko varnost) posebej poudarja pomen razdelitve na območja pri tej zaščiti in uvedbe silosov strežnikov s preverjanjem pristnosti Kerberos. To je omenjeno v njenih priporočilih za varno upravljanje informacijskih sistemov, ki temeljijo na AD.

Naše rešitve CyberElements Bastion ponujajo veliko prilagodljivost pri uvajanju te zaščite, ki jo je mogoče razdeliti na štiri različne ravni integracije, ki jih lahko uvajate postopoma:

Konfiguriranje aplikacij RDP za podporo za Kerberos

Opozorilo!

Če želite privilegirano aplikacijo RDP ali privilegirano aplikacijo HTML5 RDP konfigurirati za podporo za Kerberos, morate najprej izvesti konfiguracijo 1 komponent Edge Gateway, ki se bodo uporabljale za povezovanje z RDP prek protokola Kerberos.

Da se lahko privilegirana aplikacija RDP ali HTML5 RDP poveže s strežnikom RDP prek protokola Kerberos, morajo biti izpolnjeni štirje konfiguracijski pogoji:

  1. Nastavitev SSO ne sme biti Disabled, zato mora biti Enabled, Fixed ali Request
  2. Način brez agenta mora biti omogočen
  3. Vneseno ime strežnika mora biti FQDN (če vnesete naslov IP strežnika, preverjanje pristnosti ne bo uspelo).
  4. Kerberos v naprednih nastavitvah aplikacije RDP ali HTML5 RDP ne sme biti onemogočen.
Primer

Če želite privilegirano aplikacijo RDP konfigurirati tako, da se prek protokola Kerberos poveže s strežnikom RDP my-rds-server, morate storiti naslednje:

  • Raven SSO nastavite na vrednost, ki ni Disabled, v tem primeru na Enabled (1), nato omogočite način brez agenta (2) in na koncu vnesite FQDN strežnika RDP (3).
  • Prepričajte se, da Kerberos ni onemogočen (4)
Diagram poteka 
flowchart LR 
    subgraph WAN 
        USER(Delovna postaja uporabnika)
    end 
    subgraph Oblak ali DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Strežnik RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Uporabnik odpre privilegirano aplikacijo RDP ali HTML5 RDP s podporo za preverjanje pristnosti Kerberos.
  2. Uporabnik je povezan s komponento Edge Gateway v načinu brez agenta
  3. Komponenta Edge Gateway od krmilnika domene Kerberos (KDC) zahteva token TGT.
  4. KDC vrne šifriran in podpisan TGT
  5. Komponenta Edge Gateway zahteva vstopnico storitve, ki vključuje prejšnji TGT
  6. KDC vrne vstopnico storitve, šifrirano s ključem storitve
  7. Komponenta Edge Gateway strežniku RDP pošlje zahtevo za dostop, ki vključuje vstopnico storitve.
  8. Strežnik RDP odobri dostop do storitve in povezava RDP se vzpostavi.

Konfiguriranje aplikacij RDP za podporo za Kerberos armoring

Opozorilo!

Če želite privilegirano aplikacijo RDP ali HTML5 RDP uspešno konfigurirati za podporo za Kerberos armoring, morate najprej izvesti konfiguraciji 1 in 2 za komponente Edge Gateway, ki se bodo uporabljale za povezovanje z RDP prek Kerberos armoring.

Da se lahko privilegirana aplikacija RDP ali HTML5 RDP poveže s strežnikom RDP prek Kerberos armoring, mora biti izpolnjenih pet konfiguracijskih pogojev:

  1. Nastavitev SSO ne sme biti Disabled, zato mora biti Enabled, Fixed ali Request
  2. Način brez agenta mora biti omogočen
  3. Vneseno ime strežnika mora biti FQDN (če vnesete naslov IP strežnika, preverjanje pristnosti ne bo uspelo).
  4. Kerberos v naprednih nastavitvah aplikacije RDP ali HTML5 RDP ne sme biti onemogočen.
  5. Navedite ime storitvenega računa računalnika, ki se bo uporabljal za Kerberos armoring, in mu na koncu dodajte $
Primer

Če želite privilegirano aplikacijo RDP konfigurirati tako, da se v načinu Kerberos armoring poveže s strežnikom RDP my-rds-server z računom računalnika svc_cyberelements, morate storiti naslednje:

  • Raven SSO nastavite na vrednost, ki ni Disabled, v tem primeru na Enabled (1), nato omogočite način brez agenta (2) in na koncu vnesite FQDN strežnika RDP (3).
  • Prepričajte se, da Kerberos ni onemogočen (4) in da je navedeno ime storitvenega računa računalnika, pri čemer ne pozabite dodati znaka $ (5).
Diagram poteka 
flowchart LR 
    subgraph WAN 
        USER(Delovna postaja uporabnika)
    end 
    subgraph Oblak ali DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Strežnik RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Uporabnik odpre privilegirano aplikacijo RDP ali HTML5 RDP s podporo za preverjanje pristnosti Kerberos.
  2. Uporabnik je povezan s komponento Edge Gateway v načinu brez agenta
  3. Komponenta Edge Gateway od krmilnika domene Kerberos (KDC) zahteva token TGT s podatki storitvenega računa računalnika
  4. KDC vrne šifriran in podpisan TGT
  5. Komponenta Edge Gateway zahteva vstopnico storitve, ki vključuje prejšnji TGT
  6. KDC vrne vstopnico storitve, šifrirano s ključem storitve
  7. Komponenta Edge Gateway strežniku RDP pošlje zahtevo za dostop, ki vključuje vstopnico storitve.
  8. Strežnik RDP odobri dostop do storitve in povezava RDP se vzpostavi.

Posebnosti arhitekture v okolju AD, razdeljenem na silose

Opozorilo!

V okolju Active Directory, razdeljenem na silose, je Kerberos armoring običajno konfiguriran za skrbniške račune. Zato je treba izvesti konfiguraciji 1 in 2 za komponente Edge Gateway, ki se bodo uporabljale za povezovanje s strežniki RDP.

Kadar se CyberElements Bastion uporablja v okolju AD s silosi, mora biti računalniški račun storitve, ki se uporablja za Kerberos armoring, dodeljen silosu.
To pomeni, da bo treba, če je potreben dostop do računalnikov RDP, ki pripadajo različnim plastem, ustvariti ustrezno število storitvenih računov računalnikov in jih umestiti v posamezne ciljne plasti.

To lahko vpliva tudi na arhitekturo izdelka.
Ta sprememba vpliva predvsem na število uvedenih komponent Edge Gateway: priporočljivo je imeti vsaj eno, namenjeno dostopu do posamezne plasti. Če pa okoliščine ne dopuščajo uvedbe toliko komponent Edge Gateway, je mogoče uporabiti tudi arhitekturo z eno samo komponento Edge Gateway:

flowchart LR
    subgraph WAN
        USER(Delovna postaja uporabnika)
    end
    subgraph Oblak ali DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T2
            GW-T2(Edge Gateway T2)
            RDP-T2(Strežnik RDP T2)
        end
        subgraph T1
            GW-T1(Edge Gateway T1)
            RDP-T1(Strežnik RDP T1)
        end
        subgraph T0
            GW-T0(Edge Gateway T0)
            KDC(Kerberos Domain Controller)
            RDP-T0(Strežnik RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW-T0
    MED ~~~ GW-T1
    MED ~~~ GW-T2

    GW-T0 ==TLS==> MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 --Kerberos/LDAPS--> KDC
    GW-T0 -..-> |RDP| RDP-T0

    GW-T1 ==TLS==> MED
    GW-T1 ~~~ MED
    GW-T1 ~~~ MED
    GW-T1 --Kerberos/LDAPS--> KDC
    GW-T1 -..-> |RDP| RDP-T1

    GW-T2 ==TLS==> MED
    GW-T2 ~~~ MED
    GW-T2 --Kerberos/LDAPS--> KDC
    GW-T2 -..-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Pri tej arhitekturi je konfiguracija aplikacij RDP enaka kot pri podpori za Kerberos armoring. 

flowchart LR
    subgraph WAN
        USER(Delovna postaja uporabnika)
    end
    subgraph Oblak ali DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        GW(Edge Gateway)
        subgraph T2
            RDP-T2(Strežnik RDP T2)
        end
        subgraph T1
            RDP-T1(Strežnik RDP T1)
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
            RDP-T0(Strežnik RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW

    GW ==TLS==> MED
    GW ~~~ MED
    GW --Kerberos/LDAPS--> KDC
    GW-.-> |RDP| RDP-T0
    GW -.-> |RDP| RDP-T1
    GW -.-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Pri tej arhitekturi je konfiguracija aplikacij RDP enaka kot pri podpori za Kerberos armoring.
Vendar morate predvideti tudi uporabo datoteke keytab, ki vsebuje več storitvenih računov, na komponenti Edge Gateway za povezavo.

Posebnosti povezovanja z delovno postajo PAW

PAW (Privileged Access Workstation) je delovna postaja, namenjena skrbniškim nalogam v določeni plasti.
Zaradi kritične narave te delovne postaje se zanjo zelo pogosto uporabljajo okrepljene varnostne nastavitve. Med temi okrepitvami je načelo, da se storitve ne izpostavljajo v omrežju, ki zagotavlja, da ni mogoče izkoristiti nobenih zadnjih vrat ali storitev z varnostnimi ranljivostmi.

To načelo torej teoretično onemogoča oddaljeni dostop do delovne postaje PAW. Vendar CyberElements Bastion omogoča vzpostavitev povezave z delovno postajo PAW, ne da bi v lokalnem omrežju poslušale kakršne koli storitve, in sicer zahvaljujoč:

  • aktiviranjem storitev oddaljenega namizja
  • konfiguracijo lokalnega požarnega zidu, ki prepove dostop do storitve oddaljenega namizja vsem naslovom IP razen naslovov same delovne postaje PAW ali localhost
  • namestitvijo vgrajene komponente Edge Gateway, ki bo omogočila lokalni dostop do storitve oddaljenega namizja delovne postaje PAW
flowchart LR
    subgraph WAN
        USER(Delovna postaja uporabnika)
    end
    subgraph Oblak ali DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Strežnik RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW & GW-WIN
    GW & GW-WIN ==TLS==> MED
    GW & GW-WIN ~~~ MED

    GW & PAW_T1 --> |Kerberos/LDAPS| KDC

    GW-WIN -.-> |RDP| RDP

    GW --x |Nobena povezava ni na voljo| PAW_T1
Hold "Ctrl" to enable pan & zoom 
flowchart LR
    subgraph WAN
        USER(Delovna postaja uporabnika)
    end
    subgraph Oblak ali DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Strežnik RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER --- |1| MED --> |1| GW
    GW -.- |2| MED -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    MED --> |7| GW & GW-WIN
    GW --- |8| MED --- |8| GW-WIN --> |8| RDP
    RDP -.- |9| GW-WIN -.- |9| MED -.-> |9| GW
Hold "Ctrl" to enable pan & zoom
  1. Uporabnik odpre privilegirano aplikacijo RDP ali HTML5 RDP s podporo za preverjanje pristnosti Kerberos do delovne postaje PAW
  2. Uporabnik je povezan s komponento Edge Gateway v načinu brez agenta
  3. Komponenta Edge Gateway od krmilnika domene Kerberos (KDC) zahteva token TGT s podatki storitvenega računa računalnika
  4. KDC vrne šifriran in podpisan TGT
  5. Komponenta Edge Gateway zahteva vstopnico storitve, ki vključuje prejšnji TGT
  6. KDC vrne vstopnico storitve, šifrirano s ključem storitve
  7. Storitev Mediation Controller obvesti komponento Edge Gateway in vgrajeno komponento Edge Gateway, da je bil med njima odprt tunel, ki poteka prek storitve Mediation Controller
  8. Komponenta Edge Gateway strežniku RDP prek storitve Mediation Controller in vgrajene komponente Edge Gateway pošlje zahtevo za dostop, ki vključuje vstopnico storitve
  9. Strežnik RDP odobri dostop do storitve in povezava RDP se vzpostavi

Predpogoji na delovni postaji PAW

Posebni predpogoji, ki jih je treba uporabiti na delovni postaji PAW (Privileged Access Workstation) za povezovanje s CyberElements Bastion, so povzeti v nadaljevanju:

  1. Omogočite storitev oddaljenega namizja
  2. Spremenite lokalni požarni zid tako, da bo zavrnil dostop do storitve oddaljenega namizja vsem računalnikom razen sami delovni postaji PAW
  3. Spremenite delovanje Kerberos armoring tako, da bo vedno zagotavljal zahtevke
  4. Namestite komponento Windows Edge Gateway v vgrajenem načinu

Omogočanje storitve oddaljenega namizja

Storitev oddaljenega namizja lahko omogočite ročno, kot je opisano v Microsoftovi dokumentaciji Enable Remote Desktop on your PC.
Za omogočanje storitve pa je mogoče uporabiti tudi GPO:

  • Pot do nastavitve GPO: Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Connections
  • Nastavitev: Allow users to connect remotely by using Remote Desktop Services
  • Vrednost: Enabled

Spreminjanje pravil požarnega zidu

Iz varnostnih razlogov je pomembno omejiti dostop na ravni požarnega zidu, da se prepreči dostop od zunaj na vratih RDP.

Ko je RDP omogočen, Windows privzeto nastavi 2 pravili požarnega zidu, ki dovoljujeta dostop do vrat 3389 prek UDP in TCP.
Ti dve pravili je treba spremeniti tako, da dovoljujeta samo povezave RDP z oddaljenega naslova IP 127.0.0.1.

Če ti pravili ne obstajata, ju je treba ustvariti ročno na strežniku ali prek GPO.

Spreminjanje delovanja Kerberos armoring

Spremeniti je treba tudi delovanje protokola Kerberos.

V ta namen lahko nastavite naslednji GPO:

  • Pot do nastavitve GPO: Computer Configuration > Policies > Administrative Templates > System > KDC
  • Nastavitev: KDC support for claims, compound authentication and Kerberos armoring
  • Vrednost: Enabled, Always provide claims

Ta sprememba ne vpliva na varnost razdelitve AD na plasti in okrepljene izvedbe protokola Kerberos.

Namestitev komponente Windows Edge Gateway v vgrajenem načinu

Predpogoji

Preden nadaljujete, na delovno postajo PAW namestite komponento Edge Gateway za Windows in jo povežite s strežnikom Mediation Controller: Namestitev komponente Edge Gateway za Windows

Po namestitvi komponente Windows Edge Gateway jo je treba preklopiti v vgrajeni način.

Odprite spletni vmesnik strežnika Mediation Controller z URI /console.

Primeri

Če je strežnik Mediation Controller dostopen na spletnem naslovu IP 10.0.10.10, je skrbniška konzola dostopna na naslovu https://10.0.10.10/console.

Če je strežnik Mediation Controller dosegljiv prek imena DNS, na primer cyberelements-bastion.domain.local, je skrbniška konzola dostopna na naslovu https://cyberelements-bastion.domain.local/console.

Po povezavi ne pozabite odstraniti deklaracije komponente Windows Edge Gateway iz modula Gateways Management.

Komponenta Windows Edge Gateway je zdaj pripravljena za uporabo kot vgrajena komponenta Edge Gateway.

Ob odprtju seje se nadzornik komponente Windows Edge Gateway samodejno zažene (viden je z ikono type:inline v opravilni vrstici). Ker ta samodejni zagon za delovne postaje PAW ni potreben, ga je treba onemogočiti:

  1. Odprite urejevalnik registra regedit.exe kot skrbnik
  2. Pojdite v panj registra HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
  3. Izbrišite ključ IPdivaGateway Monitor
  4. Znova zaženite delovno postajo PAW

Konfiguriranje aplikacij RDP za povezovanje z delovno postajo PAW

Opozorilo!

Če želite privilegirano aplikacijo RDP ali HTML5 RDP konfigurirati za povezovanje z delovno postajo PAW, morate najprej izvesti konfiguracije od 1 do 3 za komponente Edge Gateway, ki se bodo uporabljale za povezovanje z delovnimi postajami PAW.

Da se lahko privilegirana aplikacija RDP ali HTML5 RDP poveže z delovno postajo PAW, mora biti izpolnjenih šest konfiguracijskih pogojev:

  1. Nastavitev SSO ne sme biti Disabled, zato mora biti Enabled, Fixed ali Request
  2. Način brez agenta mora biti omogočen
  3. Vneseno ime strežnika mora biti FQDN (če vnesete naslov IP strežnika, preverjanje pristnosti ne bo uspelo).
  4. Konfigurirajte usmerjanje prek vgrajene komponente Edge Gateway
  5. Kerberos v naprednih nastavitvah aplikacije RDP ali HTML5 RDP ne sme biti onemogočen.
  6. Navedite ime storitvenega računa računalnika, ki se bo uporabljal za Kerberos armoring, in mu na koncu dodajte $

Pogoj 4 izhaja iz konfiguracije delovnih postaj PAW, na katerih nobena storitev ne sme poslušati v lokalnem omrežju. Če je komponenta Edge Gateway nameščena kot program za Windows, lahko dostopa samo do storitev, ki poslušajo na localhost.

Primer

Če želite privilegirano aplikacijo RDP konfigurirati tako, da se v načinu Kerberos armoring poveže s strežnikom RDP my-rds-server z računom računalnika svc_cyberelements, morate storiti naslednje:

  • Raven SSO nastavite na vrednost, ki ni Disabled, v tem primeru na Enabled (1), nato omogočite način brez agenta (2), vnesite FQDN strežnika RDP (3) ter na koncu omogočite način vgrajene komponente Edge Gateway in navedite ime komponente Windows Edge Gateway, nameščene na delovni postaji PAW (4).
  • Prepričajte se, da Kerberos ni onemogočen (5) in da je navedeno ime storitvenega računa računalnika, pri čemer ne pozabite dodati znaka $ (6).

Odpravljanje napak pri odpiranju aplikacij RDP s preverjanjem pristnosti Kerberos

Za začetno analizo ali za pridobitev informacij, ki jih CyberElements potrebuje za poglobljeno analizo neuspešnih preverjanj pristnosti Kerberos, izvedite naslednje korake:

  1. Omogočite dnevnike za odpravljanje napak: v ta namen v datoteki /etc/ipdiva/cleanroom/xrdprecord.ini strežnika Edge Gateway, uporabljenega za povezavo, nastavite parameter debug pod oznako [Kerberos] na true. To lahko storite z naslednjim ukazom:

    1
    sed -i "3s/false/true/" /etc/ipdiva/cleanroom/xrdprecord.ini

  2. Prijavite se v uporabniški portal in v načinu brez agenta zaženite privilegirano aplikacijo, RDP ali RDP HTML5, konfigurirano za uporabo protokola Kerberos. Zabeležite si naslednje informacije:

    • Čas odprtja aplikacije
    • Uporabniško ime, uporabljeno za povezavo s strežnikom RDP

  3. Na komponenti Edge Gateway, uporabljeni za prejšnjo povezavo, pridobite naslednje datoteke:

    • /var/log/syslog: ta datoteka vsebuje zlasti dnevnike zagona seje v načinu brez agenta.
    • /var/lib/ipdiva/carerecord/log/freerdpout-<USER>-<DATE>.txt: <USER> zamenjajte z uporabniškim imenom, <DATE> pa z datumom in časom odprtja aplikacije, ki ste ju zabeležili v prejšnjem koraku. Ta datoteka vsebuje dnevnike, povezane z vzpostavljanjem seje RDP, vključno s fazo preverjanja pristnosti Kerberos.

  4. Onemogočite dnevnike za odpravljanje napak: v ta namen v datoteki /etc/ipdiva/cleanroom/xrdprecord.ini strežnika Edge Gateway, uporabljenega za povezavo, nastavite parameter debug pod oznako [Kerberos] na false. To lahko storite z naslednjim ukazom:

    1
    sed -i "3s/true/false/" /etc/ipdiva/cleanroom/xrdprecord.ini