Usar jump-servers
O relatório de segurança produzido pela Contoso recomenda implementar jump-servers, além de usar PAWs. Depois de determinar como usar as PAWs, você decide investigar os jump-servers ainda mais para descobrir como eles poderiam beneficiar o TI da Contoso.
O que são jump-servers?
Um jump-server é um servidor protegido usado para acessar e gerenciar dispositivos em uma zona de segurança diferente, como entre uma rede interna e uma rede de perímetro. O jump-server pode funcionar como o único ponto de contato e gerenciamento.
Para organizações de médio porte, os jump-servers podem fornecer meios para ajudar a aprimorar a segurança em locais onde a segurança física é mais desafiadora. Por exemplo, em filiais onde não há um datacenter. Para organizações de grande porte, os administradores podem implantar jump-servers hospedados no datacenter. Eles podem fornecer acesso altamente controlado a servidores e controladores de domínio.
Os jump-servers normalmente não têm dados confidenciais, mas as credenciais do usuário são armazenadas na memória e os hackers mal-intencionados podem visar essas credenciais. Por esse motivo, os jump-servers devem ser protegidos.
Dica
Normalmente, você usa uma PAW para acessar um jump-server para ajudar a garantir o acesso seguro.
Esse servidor será executado em um hardware dedicado que dê suporte a recursos de segurança baseados em hardware e software, como:
- O Windows Defender Credential Guard, para criptografar as credenciais de domínio na memória.
- O Windows Defender Remote Credential Guard, para impedir que credenciais remotas sejam enviadas ao jump-servers e em vez disso usar tíquetes de logon único do Kerberos versão 5.
- Windows Defender Device Guard:
- Usar a Integridade de Código Imposta do Hipervisor (HVCI) para usar a segurança baseada em virtualização e impor os componentes do modo Kernel para obedecer a política de integridade de código.
- Usar a integridade do código de configuração para permitir que os administradores criem uma política de integridade de código personalizada e especifiquem um software confiável.
Ao usar os jump-servers, com ou sem as PAWs, você pode criar zonas de segurança lógica. Dentro delas, os computadores têm configurações semelhantes de segurança e conectividade. Você pode usar GPOs para definir essas configurações em um ambiente de domínio.
Dica
Os usuários administrativos podem se conectar aos seus jump-servers usando o protocolo RDP e cartões inteligentes para executar tarefas administrativas.
Implementar jump-servers
O gráfico a seguir ilustra uma implantação típica de jump-server e de uma PAW. Um usuário administrativo usa um cartão inteligente para fazer a autenticação em uma estação de trabalho padrão usando uma conta padrão. O usuário pode acessar aplicativos padrão para realizar tarefas diárias de produtividade do escritório. O administrador também tem uma conta administrativa e usa um cartão inteligente para fazer a autenticação na sua PAW administrativa. O que por sua vez faz com que ele se conecte ao jump-server administrativo configurado, que tem acesso administrativo ao objeto apropriado.
Quando você implementa os jump-servers, existem várias considerações. Estão incluídos:
- Gateway de Área de Trabalho Remota. Se um administrador precisar se conectar diretamente a um servidor de destino (usando o RDP), implemente o Gateway de Área de Trabalho Remota. Isso permite que você implemente restrições em conexões com o jump-server e para os servidores de destino que serão usados para gerenciar.
- Hyper-V. Considere implementar VMs para cada administrador em seus jump-servers. Cada VM pode ser configurada para permitir um determinado ou subconjunto de tarefas administrativas. Portanto, instale o Hyper-V em seus jump-servers.
Dica
Você pode impor o desligamento dessas VMs após a conclusão das tarefas administrativas. Ao desligar as VMs quando elas não estiverem em uso, você reduzirá sua superfície de ataque.
Recursos de servidor. Para implementar os jump-servers, os computadores do servidor devem oferecer suporte aos seguintes recursos:
- Inicialização segura da UEFI.
- Suporte à virtualização.
- Drivers de modo Kernel assinados.
Ferramentas de Administração Remota. Você sempre deve usar as ferramentas de administração remota para gerenciar servidores. Instale o Windows Admin Center e as Ferramentas de Administração de Servidor Remoto (RSAT) nas VMs do administrador (ou no jump-server físico se você não implementar o Hyper-V).
Cuidado
Você também deve impedir o uso de ferramentas de administração remota em computadores de uso geral.
Conectividade RDP. Verifique se os administradores estão conectados usando o RDP em suas VMs quando executam tarefas administrativas.