Usuários não confiáveis em serviços de terminal

Question

Estamos pensando em permitir que nossos fornecedores de mais de 10 fornecedores (principalmente da China) insiram / editem / visualizem dados por meio de uma interface unificada. A maneira preferida é usar o mesmo aplicativo .NET / MSSQL baseado em Windows usado internamente.

Como o aplicativo precisa de uma conexão direta com o banco de dados, minha ideia é conceder a todos os fornecedores acesso a um servidor em nosso site por meio de serviços de terminal. Mas há preocupações sobre a segurança desta abordagem, de modo que o plano atual é desenvolver uma interface web para o aplicativo (caro) ou continuar a usar o excel / txt / word / pdf para envio de dados (bem ...). / p>

Em detalhes deep , minha abordagem consistiria em:

servidor externo

Windows Server 2003, SQL Server 2005, o aplicativo

• atualização do windows definida como automática

• Serviços de terminal, concedidos a usuários individuais

• inicie diretamente o aplicativo (diretiva de grupo), o logoff automático após o encerramento

• ajuste as ACLs do sistema de arquivos para evitar:

  • qualquer gravação de arquivo (exceto, por exemplo, arquivos de perfil)
  • execução de taskmgr, cmd, ftp, telnet, ( explorer.exe? )
As ACLs de registro

• devem estar ok

• altere a porta RDP

• com firewall adequadamente

• auditoria ativada (política de grupo), reportar eventos via e-mail para administradores:

  • execução de cmd, taskmgr, etc. (todos os usuários, incluindo system / admin /...)
  • alteração de permissões de segurança

servidor interno

• conectado via crossover ethernet

• completamente protegido por firewall (entrada)

• sincronize a cada 5 minutos:

  • interface LAN aberta
  • sincronizar arquivos via compartilhamento de rede
  • sincronizar banco de dados via replicação do SQL Server (algumas tabelas de entrada, muitas de saída)
  • fechar a interface da LAN

• backups de backup e histórico (como o servidor externo possui a cópia principal do banco de dados de aplicativos)

Como uso uma abordagem semelhante em meu departamento (web, em vez de serviços de terminal), não tenho objeções à configuração. O único ataque viável com o qual estou preocupado, é uma violação do próprio aplicativo, que pode levar a um comprometimento de dados específicos do aplicativo (sobre todos os fornecedores).

No entanto, como tenho que convencer um grupo de pessoas a favor da abordagem do excel, gostaria de ouvir seus pensamentos.

Muito obrigado.

    

Answer 1

É uma pena que você esteja no Server 2003, já que os recursos RemoteApp do Server 2008 serviriam de maneira brilhante nesse cenário. No entanto, o que você tem lá deve muito bem cobri-lo do ponto de vista da segurança.

Costumávamos ter um TS com usuários não confiáveis e a configuração era semelhante. Usando o GPO nós bloqueamos as contas para remover tudo - o menu Iniciar só tinha "log off", tudo na tela do Windows Security estava desabilitado (exceto Alterar Senha e Logoff), se eles pudessem Organizamos uma tela de navegação, o acesso a todos os discos locais foi desativado e eles eram membros de um grupo restrito que realmente negava acesso a recursos da rede. Inferno, nós até mesmo desativamos a capacidade de clicar com o botão direito do mouse em sua área de trabalho. Desabilitamos a capacidade de mapear dispositivos clientes através de serviços de terminal, juntamente com o prompt de comando, tudo.

Basicamente, passamos por um GPO e desativamos todos os recursos da interface do usuário que pudemos descobrir. No entanto, tivemos problemas para desabilitar o explorer, mas se você puder impor a inicialização de um único programa na inicialização, sinta-se à vontade para desativá-lo também.

Algumas coisas que você pode não ter pensado:

• Eu não me incomodaria em mudar a porta. Isso é apenas segurança através da obscuridade, e é uma dor no rabo toda vez que você tem que ler o endereço do TS para alguém
• Ativar criptografia compatível com FIPS na conexão
• Se este fosse o Server 2008, eu forçaria a autenticação no nível de rede

Na verdade, se você puder, sugiro strongmente sugerir a mudança para o 2008 R2, se possível, pois tem ainda mais recursos de segurança para serviços de terminal (ou RDS, como agora é chamado)