Mantendo um ambiente mais seguro

Lei número dez: A tecnologia não é uma panaceia. - 10 Leis Imutáveis de Administração de Segurança

Quando você tiver criado um ambiente gerenciável e seguro para seus ativos críticos de negócios, seu foco deve mudar para garantir que ele seja mantido com segurança. Embora você tenha recebido controles técnicos específicos para aumentar a segurança de suas instalações do AD DS, a tecnologia por si só não protegerá um ambiente no qual a TI não trabalhe em parceria com a empresa para manter uma infraestrutura segura e utilizável. As recomendações de alto nível nesta seção devem ser usadas como diretrizes que você pode usar para desenvolver não apenas uma segurança eficaz, mas também um gerenciamento eficaz do ciclo de vida.

Em alguns casos, sua organização de TI pode já ter um relacionamento de trabalho próximo com as unidades de negócios, o que facilitará a implementação dessas recomendações. Em organizações nas quais a TI e as unidades de negócios não estão intimamente ligadas, talvez seja necessário primeiro obter patrocínio executivo para os esforços para forjar um relacionamento mais próximo entre TI e unidades de negócios. O Resumo Executivo destina-se a ser útil como um documento independente para revisão executiva e pode ser divulgado aos tomadores de decisão em sua organização.

Criando práticas de segurança Business-Centric para o Ative Directory

No passado, a tecnologia da informação dentro de muitas organizações era vista como uma estrutura de apoio e um centro de custo. Os departamentos de TI eram muitas vezes segregados dos utilizadores empresariais e as interações limitavam-se a um modelo de pedido-resposta em que os recursos solicitados pela empresa e a TI respondia.

À medida que a tecnologia evoluiu e proliferou, a visão de "um computador em cada desktop" efetivamente se concretizou em grande parte do mundo, e até mesmo foi eclipsada pela ampla gama de tecnologias facilmente acessíveis disponíveis hoje. A tecnologia da informação não é mais uma função de suporte, é uma função central do negócio. Se a sua organização não poderia continuar a funcionar se todos os serviços de TI não estivessem disponíveis, o negócio da sua organização é, pelo menos em parte, tecnologia da informação.

Para criar planos de recuperação de comprometimento eficazes, os serviços de TI devem trabalhar em estreita colaboração com as unidades de negócios em sua organização para identificar não apenas os componentes mais críticos do cenário de TI, mas as funções críticas exigidas pelo negócio. Ao identificar o que é importante para sua organização como um todo, você pode se concentrar em proteger os componentes que têm mais valor. Esta não é uma recomendação para fugir da segurança de sistemas e dados de baixo valor. Em vez disso, como você define níveis de serviço para o tempo de atividade do sistema, você deve considerar a definição de níveis de controle e monitoramento de segurança com base na criticidade do ativo.

Quando você investe na criação de um ambiente atual, seguro e gerenciável, pode mudar o foco para gerenciá-lo de forma eficaz e garantir que você tenha processos eficazes de gerenciamento do ciclo de vida que não sejam determinados apenas pela TI, mas pela empresa. Para conseguir isso, você precisa não apenas fazer parceria com a empresa, mas investir a empresa em "propriedade" de dados e sistemas no Ative Directory.

Quando os dados e sistemas são introduzidos no Ative Directory sem proprietários designados, proprietários de empresas e proprietários de TI, não há uma cadeia clara de responsabilidade pelo provisionamento, gerenciamento, monitoramento, atualização e, eventualmente, descomissionamento do sistema. Isso resulta em infraestruturas nas quais os sistemas expõem a organização a riscos, mas não podem ser desativados porque a propriedade não é clara. Para gerenciar efetivamente o ciclo de vida dos usuários, dados, aplicativos e sistemas gerenciados pela instalação do Ative Directory, siga os princípios descritos nesta seção.

Atribuir um proprietário de empresa aos dados do Active Directory

Os dados no Ative Directory devem ter um proprietário de negócios identificado, ou seja, um departamento ou usuário especificado que seja o ponto de contato para decisões sobre o ciclo de vida do ativo. Em alguns casos, o proprietário comercial de um componente do Ative Directory será um departamento de TI ou usuário. Componentes de infraestrutura, como controladores de domínio, servidores DHCP e DNS e Ative Directory, provavelmente serão "de propriedade" da TI. Para dados adicionados ao AD DS para dar suporte à empresa (por exemplo, novos funcionários, novos aplicativos e novos repositórios de informações), uma unidade de negócios ou usuário designado deve ser associado aos dados.

Se você usa o Ative Directory para registrar a propriedade dos dados no diretório ou se implementa um banco de dados separado para rastrear ativos de TI, nenhuma conta de usuário deve ser criada, nenhum servidor ou estação de trabalho deve ser instalado e nenhum aplicativo deve ser implantado sem um proprietário de registro designado. Tentar estabelecer a propriedade dos sistemas depois que eles foram implantados na produção pode ser, na melhor das hipóteses, desafiador e, em alguns casos, impossível. Portanto, a propriedade deve ser estabelecida no momento em que os dados são introduzidos no Ative Directory.

Implementar o gerenciamento do ciclo de vida Business-Driven

O gerenciamento do ciclo de vida deve ser implementado para todos os dados no Ative Directory. Por exemplo, quando um novo aplicativo é introduzido em um domínio do Ative Directory, deve-se esperar que o proprietário da empresa do aplicativo ateste, em intervalos regulares, o uso continuado do aplicativo. Quando uma nova versão de um aplicativo é lançada, o proprietário do aplicativo deve ser informado e deve decidir se e quando a nova versão será implementada.

Se um proprietário de empresa optar por não aprovar a implantação de uma nova versão de um aplicativo, esse proprietário de empresa também deve ser notificado da data em que a versão atual não será mais suportada e deve ser responsável por determinar se o aplicativo será desativado ou substituído. Manter aplicativos herdados em execução e sem suporte não deve ser uma opção.

Quando as contas de usuário são criadas no Ative Directory, seus gerentes de registro devem ser notificados na criação do objeto e obrigados a atestar a validade da conta em intervalos regulares. Ao implementar um ciclo de vida orientado para os negócios e um atestado regular da validade dos dados, as pessoas que estão mais bem equipadas para identificar anomalias nos dados são as pessoas que revisam os dados.

Por exemplo, os invasores podem criar contas de usuário que parecem ser contas válidas, seguindo as convenções de nomenclatura e o posicionamento de objetos da sua organização. Para detetar essas criações de conta, você pode implementar uma tarefa diária que retorna todos os objetos de usuário sem um proprietário comercial designado para que você possa investigar as contas. Se os invasores criarem contas e atribuírem um proprietário de empresa, implementando uma tarefa que relata a criação de novos objetos ao proprietário da empresa designado, o proprietário da empresa poderá identificar rapidamente se a conta é legítima.

Você deve implementar abordagens semelhantes para grupos de segurança e distribuição. Embora alguns grupos possam ser grupos funcionais criados pela TI, ao criar cada grupo com um proprietário designado, você pode recuperar todos os grupos pertencentes a um usuário designado e exigir que o usuário ateste a validade de suas associações. Semelhante à abordagem adotada com a criação de conta de usuário, você pode acionar modificações do grupo de relatórios para o proprietário da empresa designado. Quanto mais rotineiro se tornar para um proprietário de empresa atestar a validade ou invalidade de dados no Ative Directory, mais equipado você estará para identificar anomalias que podem indicar falhas de processo ou comprometimento real.

Classificar todos os dados do Ative Directory

Além de registrar um proprietário de empresa para todos os dados do Ative Directory no momento em que são adicionados ao diretório, você também deve exigir que os proprietários de empresas forneçam classificação para os dados. Por exemplo, se um aplicativo armazena dados críticos para os negócios, o proprietário da empresa deve rotular o aplicativo como tal, de acordo com a infraestrutura de classificação da sua organização.

Algumas organizações implementam políticas de classificação de dados que rotulam os dados de acordo com os danos que a exposição dos dados incorreria se fossem roubados ou expostos. Outras organizações implementam a classificação de dados que rotula os dados por criticidade, por requisitos de acesso e por retenção. Independentemente do modelo de classificação de dados em uso em sua organização, você deve garantir que seja capaz de aplicar a classificação aos dados do Ative Directory, não apenas aos dados de "arquivo". Se a conta de um usuário for uma conta VIP, ela deverá ser identificada em seu banco de dados de classificação de ativos (quer você implemente isso por meio do uso de atributos nos objetos no AD DS ou implante bancos de dados de classificação de ativos separados).

No seu modelo de classificação de dados, você deve incluir a classificação para dados do AD DS, como os seguintes.

Systems

Você não deve apenas classificar os dados, mas também suas populações de servidores. Para cada servidor, você deve saber qual sistema operacional está instalado, quais funções gerais o servidor fornece, quais aplicativos estão sendo executados no servidor, o proprietário do registro de TI e o proprietário do registro da empresa, quando aplicável. Para todos os dados ou aplicativos em execução no servidor, você deve exigir classificação, e o servidor deve ser protegido de acordo com os requisitos para as cargas de trabalho que ele suporta e as classificações aplicadas ao sistema e aos dados. Você também pode agrupar servidores pela classificação de suas cargas de trabalho, o que permite identificar rapidamente os servidores que devem ser monitorados mais de perto e configurados com mais rigor.

Applications

Você deve classificar os aplicativos por funcionalidade (o que eles fazem), base de usuários (quem usa os aplicativos) e o sistema operacional no qual eles são executados. Você deve manter registros que contenham informações de versão, status do patch e quaisquer outras informações pertinentes. Você também deve classificar os aplicativos pelos tipos de dados que eles manipulam, conforme descrito anteriormente.

Utilizadores

Quer você os chame de usuários "VIP", contas críticas ou use um rótulo diferente, as contas em suas instalações do Ative Directory com maior probabilidade de serem alvo de invasores devem ser marcadas e monitoradas. Na maioria das organizações, simplesmente não é viável monitorar todas as atividades de todos os usuários. No entanto, se você conseguir identificar as contas críticas em sua instalação do Ative Directory, poderá monitorar essas contas em busca de alterações, conforme descrito anteriormente neste documento.

Você também pode começar a criar um banco de dados de "comportamentos esperados" para essas contas à medida que audita as contas. Por exemplo, se você achar que um determinado executivo usa sua estação de trabalho segura para acessar dados críticos para os negócios de seu escritório e de sua casa, mas raramente de outros locais, se você vir tentativas de acessar dados usando sua conta de um computador não autorizado ou de um local no meio do planeta onde você sabe que o executivo não está localizado no momento, Você pode identificar e investigar mais rapidamente esse comportamento anômalo.

Ao integrar informações comerciais com sua infraestrutura, você pode usar essas informações comerciais para ajudá-lo a identificar falsos positivos. Por exemplo, se as viagens executivas forem registradas em um calendário acessível à equipe de TI responsável pelo monitoramento do ambiente, você poderá correlacionar as tentativas de conexão com os locais conhecidos dos executivos.

Digamos que o Executivo A esteja normalmente localizado em Chicago e use uma estação de trabalho segura para acessar dados críticos para os negócios de sua mesa, e um evento é acionado por uma tentativa fracassada de acessar os dados de uma estação de trabalho não segura localizada em Atlanta. Se você conseguir verificar se o executivo está atualmente em Atlanta, poderá resolver o evento entrando em contato com o executivo ou com o assistente do executivo para determinar se a falha de acesso foi resultado do esquecimento do executivo de usar a estação de trabalho segura para acessar os dados. Ao construir um programa que usa as abordagens descritas em Planejando o comprometimento, você pode começar a criar um banco de dados de comportamentos esperados para as contas mais "importantes" em sua instalação do Ative Directory que pode potencialmente ajudá-lo a descobrir e responder mais rapidamente a ataques.