Posouzení zabezpečení: Řadiče domény s dostupnou službou zařazování tisku
Co je služba zařazování tisku?
Zařazování tisku je softwarová služba, která spravuje procesy tisku. Zařazování přijímá tiskové úlohy z počítačů a zajišťuje, aby byly k dispozici prostředky tiskárny. Zařazování také naplánuje pořadí, ve kterém se tiskové úlohy odesílají do tiskové fronty pro tisk. V prvních dnech osobních počítačů museli uživatelé čekat, až se soubory vytisknou před provedením dalších akcí. Díky moderním zařazování tisku má nyní minimální dopad na celkovou produktivitu uživatelů.
Jaká rizika zavádí služba zařazování tisku na řadičích domény?
I když je zdánlivě neškodný, každý ověřený uživatel se může vzdáleně připojit ke službě zařazování tisku řadiče domény a požádat o aktualizaci nových tiskových úloh. Uživatelé také můžou řadiči domény říct, aby oznámení odeslal do systému s nekontrénovaným delegováním. Tyto akce otestují připojení a zveřejní přihlašovací údaje účtu počítače řadiče domény (zařazování tisku je vlastněno systémem SYSTEM).
Vzhledem k možnosti vystavení musí řadiče domény a systémy pro správu služby Active Directory zakázat službu zařazování tisku. Doporučeným způsobem je použití objektu zásad skupiny (GPO).
I když se toto posouzení zabezpečení zaměřuje na řadiče domény, každý server je potenciálně ohrožen tímto typem útoku.
Poznámka:
- Před zakázáním této služby nezapomeňte prozkoumat nastavení, konfigurace a závislosti zařazování tisku a zabránit aktivnímu tisku pracovních postupů.
- Role řadiče domény přidá vlákno do služby zařazování, která je zodpovědná za provádění vyřazování tisku – odebrání zastaralých objektů tiskové fronty ze služby Active Directory. Proto doporučení zabezpečení zakázat službu zařazování tisku je kompromisem mezi zabezpečením a schopností provádět vyřazování tisku. Pokud chcete tento problém vyřešit, měli byste zvážit pravidelné vyřazení zastaralých objektů tiskové fronty.
Návody použít toto posouzení zabezpečení?
Zkontrolujte doporučenou akci https://security.microsoft.com/securescore?viewid=actions a zjistěte, které řadiče domény mají povolenou službu zařazování tisku.
Proveďte odpovídající akce na rizikových řadičích domény a aktivně odeberte službu zařazování tisku buď ručně, prostřednictvím objektu zásad skupiny nebo jiných typů vzdálených příkazů.
Poznámka:
I když se hodnocení aktualizují téměř v reálném čase, skóre a stavy se aktualizují každých 24 hodin. I když se seznam ovlivněných entit během několika minut od implementace doporučení aktualizuje, může tento stav chvíli trvat, než se označí jako Dokončeno.
Náprava
Opravte tento konkrétní problém zakázáním služby zařazování tisku na všech serverech, které ji nevyžadují.