组策略管理|第 3 部分 #NCSAM - Microsoft 平台管理 - 博客 - Quest 社区

如果组策略管理出现错误，即使只是一个看似无害的设置的 Windows 系统，也可能在几分钟内对网络中数千个系统的安全状况造成巨大的有害影响。

带着冷冷的开场白，让我说：“欢迎回来！ ” 参加我的国家网络安全意识月系列，重点关注 Active Directory 安全指导原则。以下是我的系列文章的全部内容，其中包含已发布的系列文章的链接：

第 1 部分：IT 安全就是国家安全
第 2 部分：减少攻击面
第 3 部分：经常重新审视组策略管理
第 4 部分：持续警惕，又称监控和警报
第 5 部分：快速调查、修复和恢复

让我们来探索一下。

什么是组策略对象？

Active Directory (AD) 组策略在建立安全且合规的网络环境方面发挥着重要作用，因为从其基本定义来看，它控制计算机的配置以及用户可以在计算机上执行哪些操作和不能执行哪些操作。

组策略提供 Microsoft Active Directory 环境中操作系统、应用程序和用户设置的集中管理和配置。策略在 Windows 操作系统中最受信任的安全级别应用其配置 - 甚至对域控制器 (DC) 具有管理控制权。以下是组策略功能的简短列表：

强制执行密码复杂性系统，防止用户选择过于简单的密码
阻止或允许来自远程计算机的身份不明的用户连接到网络共享
限制对某些文件夹的访问。
安装软件
将帐户添加到本地管理员组
还有更多...

每组此类配置称为组策略对象 (GPO)。

尽管 GPO 旨在简化 IT 操作并在整个 Active Directory 环境中提供集中式安全策略，但与任何其他强大的系统一样，它们可能会被滥用或渗透以规避安全控制并获取对敏感数据的访问权限。一些中型和大型组织在广泛分布的环境中部署了数百甚至数千个 GPO，如果没有适当的补偿安全控制，不仅会造成巨大的内部威胁，还会造成较大的表面攻击区域。鉴于 GPO 在几分钟（或几秒钟）内传播变化的方式，扭转损害就像打破茶杯一样。

步骤 1：检查 GPO 设置

首先重要的是要了解 GPO 的目的是什么：GPO 允许或不允许在其链接的 AD 层次结构上发生什么情况。设置可以强制执行密码策略、启动和关闭脚本、安装软件、设置文件和注册表权限（以及更多）。

为了简化和创建更清晰的 GPO，每个组策略都应该是目的驱动的。 GPO 应严格分为“计算机设置 GPO”和“用户设置 GPO”。应注意限制启用“环回 GPO”，该“环回 GPO”应用用户设置但仅适用于特定计算机上的用户。限制 GPO 的操作将通过降低复杂性和错误的可能性来减少攻击面。

步骤 2：查看 GPO 权限委派

GPO 中的权限委派设置是锁定和定期检查组策略管理的一部分。攻击者如果危及对重要 GPO 具有编辑权限的用户帐户，可能会利用后门、运行代码或将域帐户添加到 RDP 组来创造持久性的机会——仅举几例。

两个内置 GPO（默认域策略和默认域控制器策略）经常成为攻击者的目标，因为默认情况下，它们位于每个 AD 域中，具有相同的 GUID，并且影响一切（例如用户权限分配、本地策略/安全）选项、密码策略、帐户锁定策略、网络访问和安全等）。而且由于这些 GPO 中分配了许多权限，并且具有 AD 管理员的升级路径，因此攻击者只需使用这两个默认值之一即可，因此无需尝试链接恶意 GPO！

需要定期验证 GPO 权限委派，并在默认值之上分层更严格的 GPO，以限制服务器操作员、备份操作员和打印操作员的用户权限分配和升级路径。

步骤 3：检查 GPO 链接

GPO 可以在 AD 层次结构中链接，例如链接到 DC、OU 或站点。确定 GPO 的链接位置并了解 GPO 的权限将帮助您了解该策略的影响。例如，如果黑客泄露了链接到 DC 的 GPO 的 GPO 创建者的帐户，则该攻击者现在拥有该 DC，并且可以创建和修改 GPO 以允许安装恶意软件。

同样，定期检查 GPO 链接对于减少攻击面非常重要。 GPO 最佳实践建议链接尽可能接近预期目标。这种方法降低了管理的复杂性，限制了意外或恶意更改的影响，并且通过消除每个客户端过滤一堆 GPO 来确定应用哪些 GPO 的需要来减少延迟。

步骤 4：实施基于批准的变更控制

本机 GPO 更改在窗口关闭后立即生效 - 甚至没有“应用”按钮。这既是一种安全风险，又会让组织面临简单的管理错误，从而产生毁灭性的影响。鉴于 GPO 对于建立良好的网络管理和安全性非常重要，您可以开始意识到需要监视 GPO 的更改并发出警报，以及实施基于批准的更改控制。

作为最佳实践，您需要设置一个自动化流程，允许使用审批工作流进行职责分离，以便编辑 GPO 设置的人员与批准将 GPO 更改部署到生产环境的人员不同。这似乎是显而易见的，但仍然需要正式解决和实施。您至少需要建立 ITIL 流程（或管理流程）以及实施该流程所需的工具（例如 Quest GPOADmin）。

下一步

正确设置 GPO 至关重要。如果您想回到基础知识，请查看这篇 Microsoft TechNet 文章，然后查看 Microsoft Certified Master Sean Metcalf 的文章，了解偷偷摸摸的组策略持久性。另外，请查看兰迪·富兰克林·史密斯 (Randy Franklin Smith) 在专家会议上的主题演讲，他在会上分享了保护 AD 的经验。