Raccomandazioni sui criteri di controllo del sistema

Questo articolo illustra le impostazioni dei criteri di controllo di Windows e le indicazioni di base e avanzate di Microsoft per workstation e server. Fornisce indicazioni per aiutare gli amministratori a scegliere i criteri di controllo appropriati in base alle esigenze dell'organizzazione.

Le raccomandazioni di base di Security Compliance Manager (SCM) illustrate di seguito, insieme alle impostazioni consigliate per rilevare la compromissione del sistema, sono destinate solo a una guida di base iniziale agli amministratori. Ogni organizzazione deve prendere le proprie decisioni relative alle minacce che devono affrontare, alle loro tolleranze di rischio accettabili e alle categorie di criteri di controllo o alle sottocategorie che devono abilitare. Gli amministratori senza criteri di controllo ponderati sono invitati a iniziare con le impostazioni consigliate qui e quindi modificare e testare prima di implementare nell'ambiente di produzione.

I consigli sono per i computer di livello aziendale, che Microsoft definisce come computer con requisiti di sicurezza medi e richiedono un livello elevato di funzionalità operative. Le entità che richiedono requisiti di sicurezza più elevati devono considerare criteri di controllo più aggressivi.

Le seguenti impostazioni dei criteri di controllo di base sono consigliate per i computer con normale sicurezza che non sono noti per essere sotto un attacco attivo e riuscito da parte di avversari determinati o malware.

Criteri di controllo del sistema consigliati per sistema operativo

Questa sezione contiene tabelle che elencano le raccomandazioni relative alle impostazioni di controllo che si applicano al sistema operativo Windows per client e server.

Legenda della tabella dei criteri di controllo sistema

Queste tabelle contengono l'impostazione predefinita di Windows, le raccomandazioni di base e le raccomandazioni più avanzate per la piattaforma del sistema operativo in esecuzione.

Impostare criteri di controllo su workstation e server

Una gestione efficace del registro eventi richiede il monitoraggio sia delle workstation che dei server. Concentrarsi esclusivamente su server o controller di dominio (DC) è un errore comune, poiché i segni iniziali di attività dannose vengono spesso visualizzati sulle workstation. Includendo le workstation nella strategia di monitoraggio, si ottiene l'accesso agli indicatori iniziali critici di compromissione.

Prima di distribuire i criteri di controllo in un ambiente di produzione, gli amministratori devono esaminare, testare e convalidare attentamente i criteri per assicurarsi che soddisfi i requisiti operativi e di sicurezza dell'organizzazione.

Eventi da monitorare

Un ID evento perfetto per generare un avviso di sicurezza deve contenere gli attributi seguenti:

• Probabilità elevata che l'occorrenza indichi un'attività non autorizzata

• Numero ridotto di falsi positivi

• L'occorrenza dovrebbe comportare una risposta investigativa/forense

È consigliabile monitorare e avvisare due tipi di eventi:

• Eventi in cui un'occorrenza è un indicatore forte di attività non autorizzate o sospette.

• Accumulo di eventi al di sopra di una baseline prevista e accettata.

Un esempio del primo evento è:

Se gli amministratori di dominio non possono accedere ai computer che non sono controller di dominio, una singola occorrenza di un membro amministratore di dominio che accede a una workstation dell'utente finale deve generare un avviso ed essere analizzata. Questo tipo di avviso è facile da generare usando l'evento Audit Special Logon 4964 (i gruppi speciali sono stati assegnati a un nuovo accesso). Altri esempi di avvisi a istanza singola includono:

• Se server A non deve mai connettersi al server B, avvisare quando si connettono tra loro.

• Avvisa se un account utente standard viene aggiunto in modo imprevisto a un gruppo di sicurezza con privilegi o sensibili.

• Se i dipendenti nella sede della fabbrica A non lavorano mai di notte, avvisare quando un utente effettua l'accesso di notte.

• Segnala se un servizio non autorizzato è installato su un controller di dominio.

• Verificare se un utente comune tenta di accedere direttamente a un'istanza di SQL Server senza avere un motivo chiaro.

• Se non si hanno membri nel gruppo Amministratore di dominio e qualcuno si aggiunge al gruppo, controllalo immediatamente.

Un esempio del secondo evento è:

Un numero elevato di tentativi di accesso non riusciti potrebbe segnalare un attacco di indovinamento delle password. Per rilevare questo problema, le organizzazioni devono prima determinare qual è la frequenza normale di accessi non riusciti nel proprio ambiente. Gli avvisi possono quindi essere attivati quando viene superata la baseline.

Per un elenco completo degli eventi da includere quando si monitorano i segni di compromissione, vedere Appendice L: Eventi da monitorare.

Oggetti e attributi di Active Directory da monitorare

Di seguito sono riportati gli account, i gruppi e gli attributi da monitorare per rilevare i tentativi di compromissione dell'installazione di Active Directory Domain Services.

• Sistemi per la disabilitazione o la rimozione di software antivirus e antimalware (riavvia automaticamente la protezione quando è disabilitata manualmente)

• Account amministratore per modifiche non autorizzate

• Attività eseguite tramite account con privilegi (rimuovere automaticamente l'account quando vengono completate le attività sospette o il tempo assegnato scaduto)

• Account con privilegi e vip in Servizi di dominio Active Directory. Monitorare le modifiche apportate agli attributi nella scheda Account, ad esempio:

  • cn

  • name

  • sAMAccountName

  • userPrincipalName

  • userAccountControl

  Oltre a monitorare gli account, limitare gli utenti autorizzati a modificare gli account in un set di utenti amministratori il più piccolo possibile. Fare riferimento all'Appendice L: Eventi da monitorare per un elenco di eventi consigliati da monitorare, le classificazioni di criticità e un riepilogo dei messaggi di evento.

• Raggruppare i server in base alla classificazione dei carichi di lavoro, in modo da identificare rapidamente i server che devono essere i più monitorati e configurati in modo più rigoroso

• Modifiche alle proprietà e all'appartenenza dei gruppi di Active Directory Domain Services seguenti:

  • Administrators

  • Amministratori di dominio

  • Enterprise Admins

  • Amministratori dello schema

• Account con privilegi disabilitati (ad esempio account amministratore predefiniti in Active Directory e nei sistemi membri) per abilitare gli account

• Account di gestione per registrare tutte le scritture nell'account

• Configurazione guidata di sicurezza integrata per configurare le impostazioni del servizio, del Registro di sistema, dell'audit e del firewall per ridurre la superficie di attacco del server. Usare questa procedura guidata se si implementa un *jump server* come parte della strategia relativa agli host amministrativi.

Informazioni aggiuntive per il monitoraggio di Active Directory Domain Services

Per altre informazioni sul monitoraggio di Active Directory Domain Services, vedere i collegamenti seguenti:

• La verifica degli accessi agli oggetti globali è magica

• Introduzione alle modifiche di controllo in Windows 2008

• Trucchi interessanti per l'auditing in Vista e 2008

• One-Stop Acquisti per auditing in Windows Server 2008 e Windows Vista

• Guida dettagliata al controllo di Active Directory Domain Services

Criticità relative alle raccomandazioni relative all'ID evento di sicurezza

Tutte le raccomandazioni relative all'ID evento sono accompagnate da una classificazione di criticità come indicato di seguito:

Queste raccomandazioni sono progettate per fornire una guida di base per un amministratore. Tutte le raccomandazioni devono essere esaminate attentamente prima dell'implementazione in un ambiente di produzione.

Vedere anche

• Impostazioni di configurazione avanzata dei criteri di controllo