ניהול משתמשים, קבוצות, הרשאות ומשאבים הינו נושא הדורש תשומת לב x24x3657 - מבחינת קביעת מדיניות ארגונית ברורה ואחידה, אכיפתה ותחזוקתה השוטפת. חשיבות ניהול הכלים המשמשים למטרה זו - כדוגמת ה-Active Directory של מיקרוסופט, אחד הנפוצים שבהם, גבוהה ביותר.

.במרבית הארגונים, ה-Active Directory מתנהל ולא מנוהל; כלומר - האילוצים והלחצים היומיומיים מכתיבים קביעת סדרי עדיפויות תפעוליים ובפועל ניתנת עדיפות לצרכי המשתמשים. כתוצאה, נזנחים במרבית המקרים עקרונות האבטחה ולאורך זמן יורדת רמת האבטחה הארגונית הכוללת. מטרת דף תמציתי זה הינה להצביע על דרכי פעולה בכדי לשמור על רמת אבטחה גבוהה של מערכת קריטית זו.

הבעיה
ה-Active Directory הוא כלי מרכזי וחיוני לניהול משאבי רשת, הרשאות משתמשים, סיסמאות, קבוצות, מדיניות וכו'. מטבע הדברים, ככל שהארגון גדול יותר ומשאביו מרובים יותר, גדלה גם כמות ההגדרות שבו ולכן, קיים צורך הכרחי לבדוק כלי זה מהיבטי אבטחת מידע ונהלים - מכיוון שהגדרות שגויות מהוות פרצה קריטית באבטחה וחושפות את הארגון לאיום ברור ומיידי על נכסיו העסקיים הקריטיים ביותר - ובראשם חשיפה ודליפת מידע מסווג על פעילות החברה ומוצריה.

הפתרון
מומלץ לבדוק באופן מתודי וקבוע, להעריך סיכונים ולהפיק דו"חות מה-Active Directory. בדיקה אשר מאפשרת קבלת תמונה מקיפה ופרטנית אודות "דליפות" ב-Active Directory שמקורן בהגדרות שגויות ו/או בהגדרות זמניות שניתנו במקור לצורך שימוש חד-פעמי אולם לא הוסרו לאחר השימוש וכד'. בעזרת ניתוח תוצאות הדו"חות מה-Active Directory צפות ועולות למעשה כל אותן בעיות אשר אינן עולות על פני השטח במהלך העבודה השוטפת, אולם עצם הימצאותן עשויה להוות פרצה קריטית באבטחה שעלולה להיות מנוצלת לפריצה ע"י תוקף. כ"כ ניתן לדעת ולהבין האם הגדרות שניתנו במקור (ולא באופן זמני) הינן הגדרות שעונות על הצורך הארגוני מבחינת אבטחת מידע.

מומלץ לבדוק

• מדיניות אבטחת סיסמאות - משתמשים אשר מוגדרים במערכת עם סיסמא שלא פג תוקפה או לחילופין שסיסמתם לא שונתה זמן רב.
• מדיניות נעילת המשתמשים בהקשת סיסמה שגויה.
• האצלת סמכויות והרשאות גישה העוברות בירושה (Inheritance) - איזה משתמש יורש אילו זכויות והרשאות.
• איתור Login Failures - מספר הפעמים בהם בוצעה כניסה שגויה למערכת, בעיקר עבור משתמשי מפתח כדוגמת Administrator, משתמשים בעלי הרשאות גבוהות כגון מנכ"ל/ית, סמנכ"ל/ית כספים או פיתוח וכו'.
• מידע מפורט על הוספת והסרת משתמשים לקבוצות חשובות (Domain Admin).
• Login Script - ניטור משתמשים שנמצאים או לא בקבוצות הללו.
• GPO - איתור קבוצות משתמשים אשר לא חלה עליהם כל מדיניות.
• מדיניות אבטחת סיסמאות - משתמשים עם סיסמא שלא פג תוקפה או לא שונתה זמן רב.
• משתמשים אשר קיימים במערכת עם הרשאות מסוימות, אך אינם פעילים בפועל, כלומר - לא נמנים עוד על עובדי החברה, אך עדיין בעלי הרשאות פעילות.
• איתור משתמשים שנמחקו מהמערכת.