স্থানীয় অ্যাকাউন্টগুলির জন্য আপনার কেন নেটওয়ার্ক লগইন অক্ষম করা উচিত?


8

এই প্রশ্নটি @ সুইফটঅনসিকিউরিটির টুইটার থ্রেডের সাথে সম্পর্কিত: https://twitter.com/SwiftOnSecurity/status/655208224572882944

থ্রেডটি পড়ার পরেও, কেন আপনি স্থানীয় অ্যাকাউন্টগুলির জন্য নেটওয়ার্ক লগইন অক্ষম করতে চান তা এখনও আমি পুরোপুরি পাই না।

সুতরাং আমি যা ভাবছি তা এখানে, দয়া করে যেখানে আমি ভুল তা সংশোধন করুন:

বলুন আমার একটি ডিসি এবং একাধিক ক্লায়েন্ট রয়েছে AD ক্লায়েন্টদের মধ্যে একজন হলেন জন। সকালে, জন কাজে যায়, এবং এডি এর শংসাপত্রগুলি সহ তার ডেস্কটপ পিসিতে লগইন করে। দুপুরে জন মিটিংয়ের উদ্দেশ্যে রওনা দেয় এবং তার কম্পিউটার (উইন্ডোজ + এল) লক করে। তারপরে তার ব্যক্তিগত ল্যাপটপটি দূরবর্তীভাবে (আরডিপি বা কোনও কিছুর মাধ্যমে) ব্যবহার করে অফিসে ফিরে তার পিসির সাথে সংযোগ স্থাপন করতে হবে। তবে, এই নতুন নীতিটি ব্যবহার করে, তিনি তা করতে সক্ষম হবেন না।

সিকুরিটি যে ব্যাখ্যা দেয় তা হ'ল পাসওয়ার্ডগুলি সল্ট হয় না। তবে কোনও আক্রমণকারী কীভাবে এই ক্ষেত্রে অ্যাক্সেস অর্জন করবে? পাসওয়ার্ডটি কোন প্রান্তে সল্ট হয় না? বা আমার মনে যে পরিস্থিতি আছে তা কি সে বলতে চাইছে তার সাথে পুরোপুরি সম্পর্কহীন? যদি এটি হয় তবে তিনি আসলে কী বলার চেষ্টা করছেন?


বর্ণিত সমস্যাটি কী তা আমি নিশ্চিত নই, তবে আপনার দৃশ্যে ব্যবহৃত অ্যাকাউন্টগুলির কোনওটিই স্থানীয় অ্যাকাউন্ট নয়। রাইট?
মার্টিজন হিমেলস

4
কিছুই না, এবং কোনও অপরাধের জন্য নয়, তবে আপনি কেন পোস্টটির লেখককে জিজ্ঞাসা করবেন না? "Someone on the internet said something. Let me ask someone else on the internet what the first person meant."
জোয়কওয়ার্টি

4
@ জোয়কওয়ার্টি লেখক অভিনয় করতে ব্যস্ত এবং প্রায়শই উত্তর দেয় না।
tedder42

1
@ জোয়কওয়ার্টি তিনি তার 1989 সফরে আছেন যাতে তিনি বেশ ব্যস্ত ...
দ্য ম্যান

স্থানীয় অ্যাকাউন্টগুলির জন্য নেটওয়ার্ক লগইনকে অক্ষম করা কি সত্যিই প্রয়োজনীয়? এটি ডিফল্টরূপে রিমোট ইউএসি দ্বারা অক্ষম করা হয়নি?
ক্রিস

উত্তর:


10

স্থানীয় অ্যাকাউন্টগুলির জন্য নেটওয়ার্ক লগনকে মঞ্জুরি দেওয়া বিপজ্জনক এবং একটি দুর্বল সুরক্ষা অনুশীলন। প্রশাসক গোষ্ঠী সদস্যদের জন্য, আমি আসলে এটি অবহেলা হিসাবে চিহ্নিত করব। এটি পার্শ্বীয় চলাচল সক্ষম করে, এবং অ্যাকাউন্ট লগইন কেন্দ্রীয়ভাবে (ডোমেন নিয়ন্ত্রকগুলিতে) লগইন না হওয়ার কারণে সনাক্ত করা এবং নিরীক্ষণ করা কঠিন।

এই হুমকিটি হ্রাস করতে, "নেটওয়ার্ক থেকে এই কম্পিউটারে অ্যাক্সেস অস্বীকার করুন" ব্যবহারকারীকে যুক্ত করতে মাইক্রোসফ্ট আসলে দুটি নতুন বিল্টিন সুরক্ষা শনাক্তকারী তৈরি করেছে:

S-1-5-113: NT AUTHORITY\Local account  
S-1-5-114: NT AUTHORITY\Local account and member of Administrators group  

http://blogs.technet.com/b/secguide/archive/2014/09/02/blocking-remote-use-of-local-accounts.aspx

http://blogs.technet.com/b/srd/archive/2014/06/05/an-overview-of-kb2871997.aspx


উত্তরের জন্য ধন্যবাদ. সুতরাং আমাকে এটি সঠিকভাবে বুঝতে দিন:
দ্য ম্যান

ধরা যাক আমার কাছে আরডিপি সক্ষম থাকা একটি ডিসি (SERVER1) রয়েছে। আমার ব্যক্তিগত ল্যাপটপে (AD ডোমেনের সাথে সংযুক্ত নয়), আমার একই প্রশাসকের ব্যবহারকারীর নাম এবং পাসওয়ার্ড রয়েছে। সুতরাং আমি যখন SERVER1 পরিচালনা করতে চাই, আমি আমার ব্যক্তিগত ল্যাপটপ থেকে আরডিপির মাধ্যমে এটিতে সংযুক্ত থাকি। যাইহোক, একদিন, আমার ব্যক্তিগত ল্যাপটপটি চুরি হয়ে গেছে, এবং চোর অ্যাডমিনের অনুমতি নিয়ে আমার ল্যাপটপে অ্যাক্সেস করতে সক্ষম হয়েছিল। সেখান থেকে তিনি স্থানীয় ব্যবহারকারীর পাসওয়ার্ড হ্যাশ দেখতে পাবেন এবং সার্ভারের সাথে সংযোগ করতে একই হ্যাশ ব্যবহার করতে পারেন use তাহলে কি এই দৃশ্যটি সঠিক হবে?
দ্য ম্যান

তবে (যদি এই পরিস্থিতিটি সঠিক হয়), এটি আরও প্রশ্ন উত্থাপন করেছে। আমি যদি অন্য ব্যবহারকারীদের জন্য বিভিন্ন পাসওয়ার্ডটি সহজভাবে ব্যবহার করতাম তবে কোনও ঝুঁকি থাকত না? এছাড়াও, এই ক্ষেত্রে নেটওয়ার্ক লগন সক্ষম করার বিষয়টি কীভাবে থাকবে? এটি কেবল কারণ যে আক্রমণকারী শারীরিক অ্যাক্সেস না করে অ্যাক্সেস অর্জন করতে এবং কনফিগার করতে পারে?
দ্য ম্যান

2
হ্যাঁ উভয়েরই, তবে আমি সন্দেহ করি যে কোনও অডিটর এই ঝুঁকির জন্য পর্যাপ্ত ক্ষতিপূরণ নিয়ন্ত্রণ হিসাবে বিভিন্ন পাসওয়ার্ড থাকা স্বীকার করবেন। নেটওয়ার্ক লগনের জন্য স্থানীয় প্রশাসক অ্যাকাউন্ট সক্ষম করা এমন এক ধরণের পার্শ্বীয় আন্দোলন যা আপনার উপর আক্রমণ করা হলে আপনার যুদ্ধক্ষেত্র ডুবে যায়। স্থানীয় প্রশাসক অ্যাকাউন্টগুলি কেবল স্থানীয় অ্যাক্সেসের জন্য হওয়া উচিত এবং কখনই নেটওয়ার্কের ওপরে নয়।
গ্রেগ Askew

কেবল কয়েকটি বিষয় স্পষ্ট করার জন্য। হ্যাঁ উভয়ের দ্বারা, আপনি বোঝাতে চেয়েছিলেন যে আমি যে নতুন দৃশ্যের প্রস্তাব দিয়েছি তা সঠিক, তাই না? এছাড়াও, নেটওয়ার্ক লগন সক্ষম করা থাকলে জিনিসগুলি কতটা খারাপ হতে পারে? আমি এটি জিজ্ঞাসা করেছি কারণ আমি এখনও দেখতে পাচ্ছি না যে নেটওয়ার্ক লগন সক্ষম করা কীভাবে আক্রমণকারীদের অ্যাক্সেসের অনুমতি দেবে। এছাড়াও, যদি আমি নেটওয়ার্ক লগন অক্ষম করি, তবে কি সার্ভারকে ইন্টারফেসিং / কনফিগার করার একমাত্র উপায় দৈহিক অ্যাক্সেস পাচ্ছে?
দ্য ম্যান

3

না, আপনার উদাহরণটি ভুল। যদি সে লগ ইন করতে AD শংসাপত্রগুলি ব্যবহার করে, তবে সবকিছু ঠিক আছে। সমস্যাটি স্থানীয় অ্যাকাউন্টগুলির সাথে, এটি হ'ল পৃথক কম্পিউটারগুলিতে তৈরি এবং কেবলমাত্র বিদ্যমান on উদাহরণস্বরূপ,। \ প্রশাসক, তবে এটি কম্পিউটারের ডোমেনের কোনও অ্যাকাউন্টে (COMPUTERNAME \ USERNAME) প্রযোজ্য। সুরক্ষা ঝুঁকি ", এআইইউআই হ'ল স্থানীয় অ্যাকাউন্টগুলি (যেমন স্থানীয় প্রশাসক) একাধিক মেশিনে একই পাসওয়ার্ড ভাগ করে নিলে কম্পিউটার থেকে পাসওয়ার্ড হ্যাশগুলি বের করা এবং কিছু ক্ষেত্রে হ্যাশগুলি পুনরায় ব্যবহার করা সম্ভব (ম্যালওয়্যার আক্রমণ হিসাবে) বা অন্যান্য আক্রমণকারী) কম্পিউটারের মধ্যে দীর্ঘস্থায়ী সরানো।


উত্তরের জন্য ধন্যবাদ. তবে, কীভাবে সুরক্ষার সাথে আপোস করা যেতে পারে তার উদাহরণ উদাহরণ দিতে পারেন?
দ্য ম্যান

কন্টোসো একটি নির্দিষ্ট স্থানীয় প্রশাসক পাসওয়ার্ড ব্যবহার করে। কনটোস স্থানীয় অ্যাকাউন্টগুলির জন্য নেটওয়ার্ক লগইন প্রতিরোধ করে না। ব্যবহারকারী একধরনের ম্যালওয়ার পায়, এটি অ্যাডমিন অধিকারের সাথে চলে এমন পয়েন্টে পৌঁছে। এটি পাসওয়ার্ডের হ্যাশগুলি বের করে। যদি আমার ভুল না হয় তবে কিছু পরিস্থিতিতে প্রমাণীকরণের জন্য একটি হ্যাশ ব্যবহার করার উপায় রয়েছে। অথবা হতে পারে হ্যাশটি ক্র্যাক করা সহজ, বা একটি রামধনু টেবিল বা অন্য কিছুতে। ম্যালওয়্যারটি তখন সমস্ত মেশিনে সংযুক্ত হয় এবং তাদের কাছে ছড়িয়ে পড়ে। কেবল এটিই নয়, তবে কী চলছে তা সন্ধান করাও কঠিন, কারণ এটি ডিসি বা অন্য কোথাও কেন্দ্রীয়ভাবে লগ করা হচ্ছে না, কেবল পৃথক পিসিগুলিতেই।
মিশা
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.