Sto guardando un'applicazione in esecuzione su IIS che richiede account di servizio per eseguire alcuni servizi / software, tuttavia l'account di servizio richiede l'accesso ADMIN LOCALE che è contro la politica.
Ci sono alternative? Questo è un segno di un'applicazione che è mal fatta che richiede che gli account di servizio abbiano bisogno di un accesso di amministratore locale?
Sembra un uomo super abbozzato. La politica è giusta ... Sembra un'app che mi piacerebbe distribuire e testare le mie capacità di pentesting. :)
Vado con la politica e spingo gli sviluppatori a fornire una guida standard di protezione dei diritti minimi possibile per evitare vulnerabilità all'host e, infine, all'intera rete, se l'host è compromesso. Debole vulnerabilità in un'applicazione web potrebbe consentire a un hacker di generare shell per eseguire comandi sul tuo host, ottenere un punto d'appoggio nella tua rete e iniziare attacchi all'interno della tua rete ...
Probabilmente lo testerei su un server di sviluppo di laboratorio ... manterrai i tweaking e hardening con i diritti utente di base. Quindi continua a indurire finché l'applicazione non si rompe. Una volta indurito, dovresti utilizzare solo un account amministratore non di dominio sulla casella. Soprattutto con un amministratore non di dominio, dovrebbe essere una parola molto complessa, non di dizionario, e almeno una password di 14 caratteri utilizzata solo per quella casella. Evita il riciclaggio delle credenziali.
Quindi, quando si effettua il login come amministratore dopo che tutte le credenziali del dominio sono state cancellate e la casella è stata rinforzata, se l'account admin della casella viene ottenuto tramite gli attacchi di escalation dei privilegi, ridurrà la superficie di minaccia in rapida crescita dell'attacco. L'attaccante deve iniziare il backover a ground-0 sul pivot perché le credenziali per gli amministratori di dominio non risiedono sul sistema da strumenti come mimikatz o fgdump. Quindi devono enumerare e ricominciare da zero, dando al team delle operazioni di sicurezza il tempo di rispondere. Non è un sacco di tempo, ma abbastanza per rilevare i comportamenti anomali degli account di servizio.
Se stai solo cercando una serie di istruzioni su come avviare il lavoro di base di hardening in Windows. Potresti voler fare un'immersione profonda e sperimentare con una scatola di sviluppo isolata per Windows fino a quando non ti abbassi. Basta configurare IIS con una "shell Web" di base e bloccarlo finché la shell Web non sarà quasi inutilizzabile. Puoi google "ASP Webshell" e ti darà del codice da testare in IIS. Quindi rimuovere completamente la webshell dal sistema! < - molto importante per ovvi motivi!
Continua ad accordare il tuo indurimento fino a quando non sei pronto per eseguire la configurazione di produzione e assicurati di prendere molte note. Sono certo che ci sono guide là fuori e MSDN ha molte risorse da aiutare.
Panoramica di base su ciò che farai ... questo è per lo più basato sulla memoria delle nozioni di base essenziali, consulta le guide di approfondimento da CIS per ulteriori consigli sulle policy più dettagliate.
Leggi altre domande sui tag iis service-account