Корректно настроенный Forefront TMG, запущенный на последней версии безопасно настроенной сетевой ОС Windows, является безопасным и надежным межсетевым экраном и безопасным web-шлюзом. Общий уровень безопасности решения может быть улучшен с помощью советов, изложенных в этой статье.
Введение
Исторически сложилось мнение, что межсетевой экран, входящий в состав ОС общего назначения, например Microsoft Windows, не может быть безопасным. Однако, это мнение было успешно опровергнуто благодаря SDL (Security Development Lifecycle), хорошо описанным процессом уведомления об уязвимостях и управления обновлениями безопасности, а также длинным послужным списком безопасности и надежности Microsoft ISA Server и Forefront Threat Management Gateway (TMG). Межсетевой экран Forefront TMG, который работает на базе Windows Server 2008 R2, сегодня, пожалуй, более надежен с точки зрения безопасности, чем многие его конкуренты.
С помощью советов по настройке TMG можно существенно повысить общее состояние безопасности системы и уменьшить пространство атаки, что, в свою очередь, гарантирует наивысший уровень безопасности TMG. При создании политики управления для TMG, лучше всего обеспечить соблюдение принципа наименьших привилегий. Ниже приведен список рекомендаций, которые будут полезны для реализации этого принципа.
Лучшие советы по администрированию
Ограничьте членство в административной роли Forefront TMG уровня массива - роль администратора TMG уровня массива предоставляет полные права на администрирование массивом любому пользователю и/или группе пользователей, входящих в состав роли. После установки TMG на систему, эта роль по умолчанию назначается группе локальных администраторов Windows (а также пользователю, установившему TMG).
Рисунок 1
Глобальная группа администраторов домена, как правило, является членом группы локальных администраторов, а это означает, что члены этой группы унаследуют полные административные привилегии над межсетевым экраном TMG. Однако, это не совсем хорошая идея. Для оптимальной безопасности, группа локальных администраторов должна быть удалена из роли администратора Forefornt TMG уровня массива. Члены этой роли должны быть определены путем указания конкретных учетных записей Active Directory вместо добавления в роль групп. Почему индивидуальные учетные записи, а не группы? Потому что это дает администратору МСЭ TMG четкий контроль над тем, кто именно имеет полный административный доступ к МСЭ TMG. Использование конкретных учетных записей вместо групп не позволяет, например, администратору домена добавить учетную запись пользователя в глобальную группу домена, входящую в роль администратора уровня массива, и таким образом получить контроль над TMG. Если все же требуется использовать доменные группы для управления TMG, используйте группы с ограниченным доступом (http://technet.microsoft.com/ru-ru/library/cc785631(WS.10).aspx).
Ограничьте членство в административной роли Forefront TMG уровня предприятия - административная роль TMG уровня предприятия предоставляет всем членам этой роли полный доступ ко всему предприятию, включая все массивы TMG внутри предприятия. После установки TMG EMS, встроенная группа локальных администраторов по умолчанию становится членом роли (а также пользователь, установивший приложение).
Рисунок 2
Рекомендуется удаление встроенной группы администраторов из этой роли по ранее описанной причине для администраторов TMG массива.
Используйте отдельные административные учетные записи - Лучше всего использовать отдельные учетные записи Active Directory для администрирования МСЭ TMG. Не используйте эти учетные записи для администрирования других систем. Для этих учетных записей должны быть установлены жесткие политики паролей, предусматривающие использование длинных и сложных паролей с коротким временем жизни. Если домен работает на функциональном уровне Windows Server 2008, существует возможность включения подробных политик паролей для автоматического назначения требуемых политик (http://technet.microsoft.com/ru-ru/library/cc770394(WS.10).aspx).
Для управления TMG используйте отдельную изолированную рабочую станцию - Настройте отдельную рабочую станцию на управление МСЭ TMG. Установите административную консоль на эту машину и удалено управляйте МСЭ TMG. Осуществляйте вход на эту машину только с отдельной учетной записи администратора TMG. Локальные политики безопасности должны ограничивать вход на эту систему для других учетных записей. Эта рабочая станция должна быть хорошо защищена, недоступна для удаленных пользователей и отключена от сети Интернет. Предпочтительно использовать многофакторную аутентификацию (смарткарту или токен) для доступа к этой системе.
Ограничьте членство для сетевого объекта удаленного управления компьютерами - Ограничение количества членов сетевого объекта удаленного управления компьютерами является основным методом уменьшения пространства атаки на МСЭ TMG. По умолчанию, хосты, входящие в состав объекта удаленного управления компьютерами, имеют доступ ко многим службам, запущенным на МСЭ TMG, включая RDP, NetBIOS, RPC, Ping и другие. Предоставление доступа к этим службам создает уровень рисков, который может быть существенно понижен за счет ограничения доступа к этой группе. В идеальном варианте, в этой группе будет находиться только выделенная для задач администрирования рабочая станция.
Ограничьте доступ в сеть для агентов управления - часто, МСЭ TMG требует установки системных агентов управления от Microsoft или сторонних производителей. Избегайте создания политик доступа, которые позволяют агенту осуществлять подключения к целой сети или подсети. Политики МСЭ должны разрешать подключения агентов только к требуемым хостам.
Запреты
Не используйте МСЭ TMG в качестве рабочей станции - избегайте использования браузера на TMG для посещения сайтов в сети Интернет, посещения поисковых систем или загрузки исправлений и обновлений. Все исправления, а также необходимое программное обеспечение должны загружаться на обычную рабочую станцию (не на рабочую станцию, которая используется для управления TMG - для этого хоста должен быть запрещен доступ в Интернет!), на которой файлы могут быть просканированы перед их загрузкой и установкой на TMG.
Не используйте МСЭ TMG для выполнения ежедневных задач - лучше всего установить консоль управления TMG на отдельную рабочую станцию, как написано выше, и максимально ограничить количество локальных входов в систему МСЭ TMG.
Не устанавливайте на МСЭ TMG утилиты для администрирования от стороннего производителя - многие компоненты для МСЭ TMG содержат собственное ПО для управления, иногда с использованием HTTP сервера (например, IIS, Apache и др.). Подобное ПО является проблемным, поскольку оно увеличивает пространство атаки на МСЭ TMG и привносит потенциально дополнительные вектора атаки. Где возможно, не следует устанавливать ПО для управления от стороннего производителя на сам МСЭ TMG. Это ПО должно быть установлено на отдельную систему, предпочтительно на рабочую станцию для управления TMG.
Не создавайте общедоступные папки на МСЭ TMG - в предыдущих версиях ISA сервера, после установки продукта на системе автоматически создавалась общедоступная папка для обмена данными с клиентами МСЭ. Эта опция была позже удалена из продукта, как небезопасная. МСЭ TMG - это межсетевой экран и только. Он ни при каких обстоятельствах не должен использоваться в качестве файлового сервера. Если требуется удаленный доступ к системе, например, для получения текстовых журналов, он должен осуществляться с помощью утилиты для работы с журналами от стороннего производителя, например Epilog, ArcSight или Splunk.
Не устанавливайте инфраструктурные службы на МСЭ TMG - никогда не устанавливайте на МСЭ TMG инфраструктурные службы, такие как DNS, DHCP, Центр сертификации и пр. В большинстве случаев, подобная установка завершится конфигурацией, которая не поддерживается (http://technet.microsoft.com/ru-ru/library/ee796231.aspx). Но даже, если конфигурация поддерживается, наличие подобных служб на TMG увеличивает пространство атаки и привносит дополнительные векторы атаки. Подобные службы потребуют большего количества обновлений по сравнению с отдельным TMG, что увеличит простои системы. Эти службы также потребуют дополнительные системные ресурсы (процессорное время, память, сеть и дисковое пространство) и могут отрицательно повлиять на стабильность работы системы и производительность межсетевого экрана.
Заключение
Корректно настроенный Forefront TMG, запущенный на последней версии безопасно настроенной сетевой ОС Windows, является безопасным и надежным межсетевым экраном и безопасным web-шлюзом. Общий уровень безопасности решения может быть улучшен с помощью советов, изложенных в этой статье. Соблюдая принцип наименьших привилегий путем ограничения членства в административных TMG ролях уровней массива и предприятия, использования отдельных учетных записей на изолированной рабочей станции, ограничения членства в сетевом объекте удаленного управления компьютерами, ограничения сетевого доступа для агентов управления TMG позволит уменьшить пространство атаки на МСЭ TMG. К тому же, отказ от практики небезопасного использования TMG в качестве рабочей станции, для установки административного ПО от стороннего производителя, создания общедоступных папок или установки инфраструктурных служб предоставит еще большую защищенность.