Средства Windows AD, которые помогут повысить безопасность

Есть ряд параметров, которые необходимо установить в AD для обеспечения безопасности в организации:

траблшутинг доступ

./путь до консула – запустить вручную

1. 1. 1. Вопросы для бизнеса:
         • Какие документы уже есть у заказчика?
         • Какие пожелания есть у заказчика? Сформулировать точнее вопрос, если не ответят в таком виде.
         • Как заказчик хочет видеть интернет? Не так: у нас есть предложение
         • Т.к. у вас есть дсп, вам потребуется аттестация. Мы предлагаем вотт такую схему сети и хотим согласовать с вами как с заказчиком. Обосновать почему это хорошо и выгодно. Я как специалист по ИБ вам рекомендую эту схему, она более разумна. Доступ в инет только у тех кому он нужен, в этом сегменте нельзя обрабатывать защищаемую информацию.
         • запросить перечень КТ
         • согласовать с госкорпорацией
         • на чем виртуализация?
      2. Windows:
         • Установка сертификата для почты. Изобрести любую хитрость – нажать галку доверять сертификату
         • Создать пользователей для проверки доступа к папкам
         • Сменить пароль локального администратора
         • Отключение небезопасных протоколов (smb v1, telnet)
         • Проверить работу парольных политик (сделать gpupdate или gpupdate /force и попробовать сменить пароль на небезопасный)
         • отключить powershell и cmd для пользователей
         • запретить установку ПО для пользователей
         • отключить ip v6 (на линуксе тоже)
         • включить опцию “Send NTLMv2 response only. Refuse LM & NTLM”
         • откл
      3. Антивирусная защита
         • Защита от эксплоитов
         • Защита от почтовых угроз
         • Защита от сетевых угроз
         • Контроль программ (если останется время)
         • Задачу обновления баз данных настроить
         • Ограничение доступа к реестру*
         • Поставить агентов (на линукс если останется время)
      4. Средства защиты от несанкционированного доступа
         • Разграничение прав доступа (проверить, если можем)
         • Включить контроль устройств
         • Контроль целостности (если решим, что он нам нужен)
      5. Межсетевое экранирование
         • настроить шифрование обязательно
         • настроить сегментацию если останется время
      6. Как DLP пробуем SearchInform
      7. Как ПАЗ пробуем RedCheck, добавляем узлы и какую-нибудь проверку
      8. PAM

Возможные проблемы:

1. Проблема в нотации SQL, она истекает памятью. Ставим или другой SQL или сразу фиксим на всякий случай.

Источники:

https://winitpro.ru/index.php/2019/03/13/otklyuchenie-ntlm-autentifikacii-v-domene-ad/
https://www.lepide.com/blog/top-10-most-important-group-policy-settings-for-preventing-security-breaches/