¿Qué requisitos de seguridad tiene para los administradores de dominio?

Habiendo trabajado tanto en el sector público como en el privado como informante, tuve la oportunidad de ver cuántas organizaciones abordan esto y aquí están algunas de mis observaciones;

Do you require/support Smart Card Authentication?

Todavía tengo que encontrar una organización que haya implementado la autenticación con tarjeta inteligente.

Restrict logins from a particular workstation?

Este debería ser un bloque de construcción básico, pero muchos sitios aún no pueden restringir el acceso de esta manera. Además, las cuentas específicas que requieren privilegios de administrador también deben restringirse a los servidores / estaciones de trabajo específicos requeridos. Los derechos excesivamente permisivos pueden llevar a un compromiso de dominio.

Require more complex passwords for Administrator accounts?

Un sitio tenía un enfoque fantástico para esto, usaban una frase de contraseña larga para las cuentas de administrador. Esto sirvió dos objetivos. Uno: está protegido contra ataques de fuerza bruta (¿quién va a tener un diccionario o una tabla hash para una oración de quince palabras?) Y, en segundo lugar, se usó para evitar que el equipo de soporte proporcione la contraseña en el teléfono, ya que sería obvio. lo estaban haciendo ¡Ese equipo tenía una larga historia de pasar las contraseñas de administrador para evitar que tengan que abandonar su oficina y visitar a los usuarios!

The use of a different computer, or VM for administrative tasks

El uso de una VLAN de administración u otra segregación es un buen enfoque. Tomar tráfico sensible y el acceso fuera de la red corporativa es un comienzo.

También debe tener un enfoque para abordar el uso y la actualización de las herramientas de administración. Las herramientas de administración en desuso pueden llevar a un compromiso de dominio completo y prolífico en redes internas. ¿Cuántas veces ha pensado en parchar su 'Servicio de administración de HP' o incluso apagarlo? ¿Cuántas herramientas de conexión remota necesita su equipo de soporte? ¡He estado en el sitio donde Terminal Services / VNC / DameWare y otras herramientas remotas estaban en uso en la misma red para los mismos servidores!

Por lo tanto, retirar aquí sería revisar su enfoque del uso de las herramientas de administración, deshabilitar aquellas que no necesita, reducir la superposición de herramientas utilizadas para completar la misma tarea y parchear las que elija mantener.

David y AviD también han cubierto la mayoría de mis experiencias, la única adición que daré es para un gran departamento gubernamental que usó la autenticación con tarjeta inteligente en todo momento.

Esto se hizo para cumplir con un requisito percibido de granularidad absoluta en las actividades. Estas tarjetas se utilizaron para el acceso físico a ubicaciones y el acceso lógico a terminales de computadoras. Desafortunadamente, la implementación hizo que fuera muy difícil cubrir las ausencias, por lo que el personal desarrolló un conjunto de procedimientos no oficiales que efectivamente socavaron todo el marco (compartir y clonar tarjetas, etc.)

Se argumentó que era excesivo y demasiado oneroso para los requisitos reales.

YMMV - pero parecía un punto de referencia relevante

Esto realmente no se aplica a mi empresa ( muy pequeña empresa), pero estas son algunas de las recomendaciones que generalmente hago a mis clientes de consultoría:

• Do you require/support Smart Card Authentication? Muy recomendable, pero a menudo no implementado. En organizaciones de alta seguridad (por ejemplo, grandes bancos, militares, etc.), a menudo se pueden encontrar tarjetas inteligentes parcialmente implementadas, solo para administradores.
• Restrict logins from a particular workstation?
• The use of a different computer, or VM for administrative tasks
  Estos dos realmente van de la mano, y esto dependería en gran medida del tamaño, la complejidad y la sensibilidad de los sistemas y la red. Para una red más grande / sistemas sensibles, sí, esto generalmente se requiere. También una red que ya sea compleja, es decir, no "plana", sería más fácil de implementar con sensatez.
• Require more complex passwords for Administrator accounts? Absolutamente, se requiere una política de contraseña separada y mucho más estricta para los administradores. Más largo, más complejo, con un vencimiento más corto y una historia más larga. También se recomiendan las contraseñas aleatorias, o mejor aún las frases de contraseña complicadas. (Esto también está conectado al siguiente punto, para desalentar de uso general).
• Issue two accounts per use (admin, and standard account)? Nuevamente, para redes más grandes / organizaciones altamente seguras, muy recomendable. Las redes más pequeñas y menos sensibles pueden renunciar a este requisito, especialmente considerando UAC en las versiones actuales de Windows.
• Enforce through policy or otherwise, that the non admin account is used locally Igual que el anterior, y GPO es un mecanismo muy fácil de implementar (aunque los administradores generalmente pueden omitir esto, depende de cómo se implementa).
• Puntos adicionales que no mencionó: AUDITORÍA, es decir, registros de seguridad. Se deben colocar requisitos de auditoría más estrictos sobre el uso de las funciones administrativas y sobre las acciones del administrador en general (por ejemplo, a través de SCL y la Política de seguridad local / de dominio).
• También el otro tipo de auditoría, terceros / terceros deben revisar periódicamente los registros anteriores y todas las configuraciones anteriores. También cualquier usuario con privilegios elevados.
• En las organizaciones altamente sensibles, a menudo se requiere control dual. P.ej. el administrador no puede acceder al servidor sensible, a menos que el oficial de seguridad abra la puerta y le otorgue acceso físico. (Se ve a menudo en entornos de tipo militar).
• Restricciones administrativas: aunque en principio el administrador está habilitado para hacer cualquier cosa en el sistema "su", hay productos (por ejemplo, de CA) que pueden restringir los permisos de su sistema operativo. He visto esto desplegado en numerosos bancos / compañías financieras.