Como posso impedir que o Windows Server 2008 R2 ligue para casa?

Question

Eu tenho um servidor Windows 2008 R2 que deve conter documentos confidenciais em uma pequena LAN. Os dois usuários que usam o servidor fazem isso por meio do RDP, portanto, nenhum documento é transferido para as estações de trabalho do cliente. Durante uma operação de due diligence, determinei que inúmeros serviços e tarefas agendadas incorporadas ao Windows podem telefonar para casa e possivelmente vazar dados.

Eu gostaria de impedir que qualquer um desses serviços internos fizesse isso, se possível, em um nível de servidor.

Eu não tenho controle do firewall na LAN, infelizmente, como é um conservado remotamente enlatado com um longo contrato. O controle disso seria inútil, já que o HTTP de saída é necessário para dois usuários do RDP na máquina.

Os patches são enviados para a máquina pelo PowerShell a partir de uma estação de trabalho. A atualização do Windows já está desativada.

Eu considerei o Firewall do Windows, mas não confio 100% em suas ferramentas de configuração e sei que alguns serviços podem adicionar exceções às regras em tempo de execução.

Quais são as soluções disponíveis para resolver este problema e há alguma documentação sobre o que potencialmente passa pela rede ou isso é um trabalho de engenharia reversa?

Qualquer ajuda apreciada!

    

Answer 1

A maneira mais simples de fazer isso é fazer isso por meio da Política de Grupo . Usando a Diretiva de Grupo, você pode definir regras de firewall não substituíveis para bloquear todas as conexões de saída, a menos que elas sejam adicionadas em uma lista de permissões explícitas que somente Usuários do administrador de domínio podem adicionar a. Se todo o software no servidor estiver sendo executado como Administrador Local ou inferior, eles não poderão substituir as regras da Diretiva de Grupo (e, mesmo que tenham conseguido alterá-lo, revisar as regras de firewall resultantes é algo muito fácil de auditar. Windows).

Se você precisar de mais informações sobre como configurar regras de firewall por meio da política de grupo, posso tentar adicionar mais informações.

Eu disse que é a maneira mais fácil, há controles mais refinados onde você pode desativar cada um dos recursos específicos do windows que usam o acesso à internet.