Protezione delle credenziali in Windows Server 2016

Le credenziali sono le chiavi di accesso a un account. Raccogliendo le credenziali, gli aggressori possono entrare nella tua rete, muoversi lateralmente ed elevare i loro privilegi per rubare i tuoi dati. Windows Server 2016 dispone di diverse funzionalità per ridurre al minimo la possibilità che gli aggressori possano raccogliere le credenziali.

Utilizzando il gruppo Protected Users

Inserire gli utenti, specialmente quelli con privilegi elevati, nel gruppo “Protected Users” aiuta a proteggere contro il compromesso delle loro credenziali disabilitando le opzioni di autenticazione meno sicure. Ad esempio, Windows non memorizza in cache le credenziali dei membri di questo gruppo localmente, quindi non vengono mai lasciate sulle postazioni di lavoro affinché gli attaccanti possano raccoglierle. Inoltre, gli account utente che sono membri di questo gruppo non possono:

• Utilizzare la delega delle credenziali predefinite
• Usa Windows Digest
• Usa NTLM
• Utilizzare le chiavi a lungo termine di Kerberos
• Accedi offline
• Utilizzare NT LAN Manager (NTLM) per l'autenticazione
• Utilizzare DES per la pre-autenticazione Kerberos
• Utilizzare suite di cifratura RC4 per la pre-autenticazione Kerberos
• Ricevi privilegi delegati utilizzando la delega vincolata
• Ricevi privilegi delegati utilizzando la delega senza vincoli
• Rinnova i ticket-granting ticket (TGT) degli utenti oltre la durata iniziale di 240 minuti

Utilizzando le preferenze dell'account

Account utente

Per gli account utente che necessitano di una protezione meno rigorosa, è possibile utilizzare le seguenti opzioni di sicurezza, disponibili per qualsiasi account AD:

• Orari di accesso — Consente di specificare quando gli utenti possono utilizzare un account.
• Stazioni di lavoro di accesso — Ti consente di limitare i computer ai quali l'account può accedere.
• Password Never Expires — Esenta l'account dall'impostazione della policy “Maximum password age”; non configurare questa opzione per gli account privilegiati.
• È richiesta una smart card per l'accesso interattivo — È necessaria una smart card affinché l'account possa accedere.
• L'account è sensibile e non può essere delegato — Garantisce che le applicazioni fidate non possano inoltrare le credenziali dell'account ad altri servizi o computer nella rete.
• Questo account supporta la crittografia Kerberos AES a 128 bit — Consente la crittografia Kerberos AES a 128 bit.
• Questo account supporta la crittografia Kerberos AES a 256 bit — Consente la crittografia Kerberos AES a 256 bit. Utilizza questa opzione per gli account privilegiati.
• Scadenza account — Consente di specificare una data di fine per l'account.

Account Computer

Oltre a controllare gli account utente, è necessario anche comprendere e gestire la portata degli account computer e servizio. Quando si unisce un computer al dominio per la prima volta, Windows crea un account computer in Active Directory nel contenitore “Computers” e gli assegna automaticamente una password. AD gestisce queste password e le aggiorna automaticamente ogni 30 giorni.

Per gestire i permessi degli account computer e controllare quali Criteri di Gruppo vengono applicati, è possibile aggiungerli a gruppi e spostarli in diverse OU. È anche possibile disabilitare e reimpostare gli account computer:

• Disabilitare un account computer significa che il computer non può più connettersi al dominio. Se elimini un account computer e il computer è ancora operativo, dovrai riconnettere il computer al dominio se vuoi che riacquisti l'appartenenza al dominio.
• Il ripristino di un account computer rimuove la connessione tra il computer e il dominio.

Account di servizio

Gli account di servizio sono un tipo speciale di account che i servizi Windows utilizzano per interagire con il sistema operativo e le risorse sulla rete. (È anche possibile creare account utente e configurarli per funzionare come account di servizio, ma ciò non è conveniente.)

Ci sono tre tipi di account di servizio integrati:

• Sistema locale — L'account NT AUTHORITYSYSTEM ha privilegi equivalenti al gruppo degli Amministratori locali sul computer.
• Servizio locale — L'account NT AUTHORITYLocalService ha privilegi equivalenti al gruppo di Utenti locali sul computer.
• Servizio di rete — L'account NT AUTHORITYNetworkService ha privilegi equivalenti al gruppo di Utenti locali sul computer.

Per proteggere questi account, assicurati che un sysadmin aggiorni le loro password regolarmente. Questo è un processo manuale se utilizzi strumenti nativi.

Account di servizio gestiti dal gruppo e Account virtuali

Un Group Managed Service Account è un tipo speciale di account di servizio; AD aggiorna automaticamente le password di questi account. Un account virtuale è l'equivalente locale specifico per computer di un Group Managed Service Account.

Utilizzando Windows Defender Credential Guard

Windows Defender Credential Guard è una nuova tecnologia in Windows 10 e Windows Server 2016 che aiuta a proteggere le credenziali dagli attacchi di chi cerca di rubarle utilizzando malware. Windows Defender Credential Guard utilizza la sicurezza basata sulla virtualizzazione che consente di isolare i segreti, come le credenziali memorizzate nella cache, in modo che solo il software privilegiato possa accedervi.

Nella sicurezza basata sulla virtualizzazione, i processi specifici che utilizzano credenziali o dati e la memoria associata a tali processi, vengono eseguiti in un sistema operativo separato in parallelo, ma indipendente, dal sistema operativo host. Questo sistema operativo virtuale protegge i processi dai tentativi di qualsiasi software esterno di leggere i dati che tali processi memorizzano e utilizzano. Windows Defender Credential Guard sfrutta la sicurezza hardware, inclusi l'avvio sicuro e la virtualizzazione.

Puoi gestire Windows Defender Credential Guard utilizzando Group Policy, Windows Management Instrumentation (WMI) o Windows PowerShell.

Windows Defender Credential Guard non consente l'uso di:

• Delega Kerberos senza vincoli
• NT LAN Manager versione 1 (NTLMv1)
• Microsoft Challenge Handshake Authentication Protocol (MS-CHAPv2)
• Digest
• Credential Security Support Provider (CredSSP)
• Cifratura Kerberos DES

Utilizzando la soluzione per la password dell'amministratore locale

La soluzione Local Administrator Password Solution (LAPS) di Microsoft offre un repository centrale sicuro per le password di tutti gli account amministratore locali integrati e automatizza la corretta gestione di tali password. In particolare, LAPS:

• Assicura che le password degli amministratori locali siano uniche su ogni computer
• Cambia automaticamente tutte le password degli amministratori locali ogni 30 giorni
• Fornisce permessi configurabili per controllare l'accesso alle password
• Trasmette le password al cliente in modo sicuro e criptato

Utilizzando l'Active Directory Administrative Center

Il Centro amministrativo di Active Directory ti consente di cercare nel tuo Active Directory gli account che sono maturi per essere presi in controllo dagli attaccanti. In particolare, dovresti cercare regolarmente i seguenti tipi di account:

• Account utente i cui password non scadono mai — Si dovrebbe evitare di configurare account con password fisse perché sono meno sicuri rispetto agli account con password che gli utenti devono aggiornare periodicamente.
• Account utente inattivi — Gli account utente inattivi appartengono generalmente a persone che hanno lasciato l'organizzazione. La console del Centro amministrativo di Active Directory consente di trovare account che non hanno effettuato l'accesso per un numero specificato di giorni.

Eliminare o disabilitare questi account utente impedisce che vengano utilizzati impropriamente da attaccanti esterni o insider malintenzionati.

Sommario

Come puoi vedere, Windows Server 2016 offre molti strumenti per aiutarti a proteggere le credenziali nel tuo ambiente. Puoi utilizzarne alcuni o tutti. In particolare, è intelligente sfruttare Group Managed Service Accounts, Windows Defender Credential Guard e LAPS perché possono migliorare notevolmente la sicurezza IT con relativamente poco sforzo.