A melhor configuração de domínio para computadores de baixa segurança no campo

2

Temos várias estações de trabalho que vão viver em locais remotos onde não temos necessariamente uma boa segurança física. Precisamos ter certeza de que temos acesso completo a essas máquinas (via desktop remoto, política de grupo, IPVM / KVM remoto, etc), por isso estaremos utilizando VPNs de hardware em cada um dos locais. Como estamos usando uma VPN de hardware, isso significa que alguém poderia se conectar à porta da VPN, mas precisaria ter conhecimento de nossa infraestrutura de rede, nome de usuário / senhas etc. e também estaríamos bloqueando todo o tráfego de entrada de volta para o nosso escritório no firewall, exceto para o tráfego do Active Directory.

Então, isso trouxe a questão, que tipo de controlador de domínio usar? No início, configurei um controlador de domínio somente leitura que é um membro do nosso domínio principal, mas mesmo isso nos deixou desconfortáveis. Além disso, ele tem seu próprio conjunto de problemas associados a ele, então agora estou considerando outras opções antes de realmente começarmos a usar o sistema (ele ainda está em desenvolvimento).

Estou pensando em configurar um domínio filho ou seguir a rota de um domínio totalmente separado. Eu ainda precisaria configurar relações de confiança entre os domínios, embora eu queira que os usuários do meu escritório possam gerenciar facilmente os computadores remotos no campo, mas é puramente para fins de gerenciamento e a conexão pode ser interrompida a qualquer momento enquanto ainda deixando os computadores de campo totalmente operacionais. Sim, eu poderia não ter nenhuma relação de confiança, mas gostaria de gerenciar a maioria dos recursos de usuário de um domínio, se possível. A chave aqui é que temos a capacidade de gerenciar e acessar remotamente esses computadores sem permitir que eles comprometam a segurança da rede do escritório.

Existe uma maneira melhor de fazer isso? O que outros fizeram em situações como esta? Obrigado!

    
por Mike 23.06.2017 / 05:40

1 resposta

1

Tudo vai se resumir a uma troca de segurança pela conveniência de poder usar um conjunto de credenciais de administrador de seu domínio principal. Minha recomendação é não configurar um novo domínio e confiar, porque isso só vai lhe dar uma falsa sensação de segurança. Nem implante um controlador de domínio no local. Não faça engenharia. Você vai acabar tendo mais trabalho do que o necessário para muito pouco ganho em termos de segurança. Use a VPN para permitir que os clientes se autentiquem nos DCs do escritório. Bloqueie seu acesso à rede em seu firewall para limitá-los apenas aos IPs, portas e protocolos necessários para sua finalidade. Ative o armazenamento em cache de credenciais nos clientes para que o usuário ainda possa efetuar login quando a rede falhar. Ative a criptografia de unidade BitLocker nos clientes para reduzir o acesso ao disco off-line. Use a solução Microsoft LAPS para garantir que as senhas de administrador locais sejam exclusivas e com backup no Active Directory. Mais importante ainda, nunca faça logon nos clientes com uma conta de domínio com acesso administrativo a qualquer um dos outros computadores da sua rede. Aplique uma política de grupo para negar a rede de contas de administrador de domínio e o logon interativo a esses sistemas para garantir que isso nunca aconteça. Melhor ainda, use a conta LAPS para toda a administração remota destes. Dessa forma, se alguém ficar comprometido, ele estará limitado a esse sistema e a todas as contas que ainda estiverem na memória. Deixe-me saber se você tem dúvidas ou preocupações sobre essas sugestões. Conveniência / usabilidade e segurança sempre estarão em conflito umas com as outras. A chave é encontrar o ponto ideal onde ele é seguro e também utilizável, mas nem sempre conveniente, infelizmente.

    
por 23.06.2017 / 21:49