Изучение и защита учетных записей служб

Что такое учетные записи служб?

Учетные записи служб — это специализированные удостоверения в Active Directory, используемые для запуска приложений, служб и автоматизированных задач. Эти учетные записи часто требуют повышенных привилегий для выполнения назначенных заданий. Тем не менее, поскольку они не могут проходить проверку подлинности так же, как учетные записи человека, они обычно не получают преимуществ от повышения безопасности современных методов проверки подлинности, таких как MFA (многофакторная проверка подлинности). Учитывая их потенциальные повышенные привилегии и присущие им ограничения политик доступа, которые ими управляют, тщательное управление и мониторинг имеют решающее значение, чтобы они не стали уязвимостью безопасности.

Учетные записи служб классифицируются на несколько типов:

• gMSA (групповые управляемые учетные записи служб): gMSA предоставляют единое решение для идентификации для нескольких служб, требующих взаимной проверки подлинности на нескольких серверах, так как они позволяют Windows обрабатывать управление паролями, уменьшая административные издержки.
• sMSA (управляемые учетные записи служб). Предназначен для отдельных служб на одном сервере, а не для групп.
• Учетная запись пользователя: эти стандартные учетные записи пользователей обычно используются для интерактивного входа в систему, но также могут быть настроены для запуска служб.

Функция автоматического обнаружения быстро определяет учетные записи gMSA и sMSA и учетные записи пользователей в Active Directory, соответствующие определенным критериям. Эти критерии включают в себя наличие имени субъекта-службы и присвоенного атрибута "Никогда не истекает срок действия пароля ". Функция классифицирует эти учетные записи как учетные записи служб. Эти учетные записи выделяются и отображаются вместе с соответствующей информацией, включая сведения о недавних аутентификациях, а также об источниках и конечных точках этих взаимодействий, в специальном реестре в интерфейсе Defender. Это поможет вам лучше понять назначение учетных записей, чтобы было проще определить аномальную активность и понять ее последствия.

Типы служебных учетных записей отображаются в таблице Сведения об удостоверениях в разделе «Расширенный поиск».

Страница учетных записей служб

Перейдите на страницу учетных записей служб.

На портале Microsoft Defender по адресу https://security.microsoft.com перейдите в раздел Идентификации > Учетные записи служб.

На следующем рисунке показана страница учетных записей служб:

Настройка представления страницы

Можно выбрать один из нескольких вариантов, чтобы настроить представление списка идентификаторов. В верхней области навигации можно:

• Добавление или удаление столбцов.

• Применить фильтры.

• Экспорт списка в CSV-файл.

• Отсортируйте и отфильтруйте список учетных записей служб.

Сведения об учетной записи службы

• Всего: общее количество перечисленных учетных записей служб.

• Управляемые: Общее количество служебных учетных записей, являющихся gMSA (групповыми управляемыми служебными учетными записями) или sMSA (управляемыми служебными учетными записями).

• Пользователь: общее количество стандартных учетных записей пользователей, используемых для интерактивного входа в систему или настроенных для запуска служб.

• Критическое. Общее количество учетных записей служб, определенных как критические.

Вы можете использовать функцию сортировки и фильтрации на каждой вкладке учетной записи службы, чтобы получить более подробное представление.

Подключения

Чтобы получить более подробные сведения о том, что происходит в учетной записи службы, выберите доменное имя, чтобы просмотреть следующие сведения:

При изучении конкретной учетной записи службы на вкладке Подключения отображаются следующие сведения:

Определите правила классификации служебных учетных записей

Правила классификации учетных записей служб позволяют определить собственные критерии для идентификации учетных записей служб. Эти правила помогают добавлять учетные записи служб, которые Defender for Identity не обнаруживает автоматически. Например, некоторые организации называют все свои учетные записи служб префиксом , например srv. Defender for Identity не обнаруживает такие соглашения об именовании автоматически. Создав правило классификации на основе этого шаблона, вы можете включить эти учетные записи в представление учетных записей служб.

Правила классификации используются вместе с функцией автоматического обнаружения Defender for Identity и предоставляют более полное и адаптированное представление о служебных учетных записях в вашей среде.

Чтобы создать правило, выполните приведенные далее действия.

1. Перейдите в раздел: Параметры > Microsoft Defender XDR > Классификация учетных записей служб.
2. Выберите + Создать новое правило.
3. Введите название правила.
4. Необязательно. Добавьте описание.
5. Выберите один или несколько из следующих фильтров:
   • Отображаемое имя учетной записи
   • Домен учетной записи
   • Имя SAM учетной записи
   • Подразделение.
6. Нажмите кнопку Создать, чтобы сохранить правило.

Дополнительные сведения о Defender for Identity см. в статье Анализ ресурсов.

Связанные материалы

• Имена субъектов-служб
• Как настроить SPN

Если у вас возникнут какие-либо проблемы, мы здесь, чтобы помочь. Чтобы получить помощь или поддержку по проблеме с вашим продуктом, узнайте, как открыть запрос в службу поддержки, в статье Поддержка Microsoft Defender для удостоверений.