Bảo mật dịch vụ trong Windows Server 2008 (Phần 1) ppt

Bảo mật dịch vụ trong Windows Server 2008 (Phần 1)
Cập nhật lúc 13h21' ngày 01/09/2009
 Bản
in
Chia
sẻ
Quản trị mạng - Hầu hết mọi máy chủ đang được sử dụng đều chạy một số loại dịch vụ
nhất định nào đó, những dịch vụ này cấp quyền truy cập vào dữ liệu, tài nguyên, ứng dụng
và thực hiện một số chức năng khác của mạng và máy chủ.
Nếu những dịch vụ này không được bảo vệ thì chúng rất dễ trở thành mục tiêu của tin tặc. Khi
một dịch vụ nào đó bị tấn công thì khả năng truy cập vào máy chủ và có thể là mạng đang bị đe
dọa. Điều này có thể dẫn đến những hậu quả nghiêm trọng và gây tổn thất lớn.
Do đó khi tung ra phiên bản Windows Server 2008, Microsoft đã bổ sung một số chức năng quản
lý dịch vụ. Khi sử dụng kết hợp những công cụ quản lý dịch vụ trong một Group Policy Object,
bạn có thể an tâm vì những dịch vụ của bạn đã được bảo vệ khá an toàn.
Loại dịch vụ cần được bảo mật
Dịch vụ thường ẩn chứa nhiều nguy hiểm cho hệ thống máy chủ và mạng bởi vì thực tế cho thấy
chúng luôn gây ra những lỗ hổng trên máy chủ cho người dùng, ứng dụng và nhiều máy chủ
khác truy cập vào tài nguyên. Khi lỗ hổng quá lớn hay những dịch vụ không được bảo vệ, tin tặc
có thể chiếm quyền truy cập vào máy chủ đó. Vì vậy việc bảo vệ dịch vụ là rất cần thiết trên hệ
thống máy chủ. Làm tốt được công việc này máy chủ mới có thể ngăn chặn được những phiên
truy cập không mong muốn.
Khi đánh giá mức độ cần thiết của bảo vệ dịch vụ, bạn cần phải xem xét những nguyên tắc cơ
bản mà lỗ hổng được tạo ra và xem xét những cuộc tấn công có thể thực hiện nhằm vào những
dịch vụ và những cài đặt liên quan của chúng. Dưới đây là một số vùng của dịch vụ cần được
bảo vệ:
• Danh sách quản lý truy cập (Access Control List).
• Chế độ khởi chạy dịch vụ
• Tài khoản dịch vụ
• Mật khẩu tài khoản dịch vụ
Tất cả những vùng dịch vụ có liên quan tới bảo mật này giờ đây có thể được kiểm soát trong

Group Policy của Windows Server 2008 hoặc bản Windows Vista Enterprise.
1. Truy cập Group Policy Objects (GPO)
Để sử dụng những cài đặt trong phần này, bạn cần phải sử dụng một trong số ứng dụng sau trong
mạng:
• Windows Server 2008 Domain Controller (Trình kiểm soát miền)
• Windows Vista SP1 có cài đặt Remote Server Administrative Tools (Bộ công cụ quản
trị máy chủ từ xa) và chạy trong một miền Windows Active Directory
Khi đã có hệ thống đáp ứng yêu cầu trên, bạn hãy sử dụng Group Policy Management Console
(GPMC) để quản lý và hiệu chỉnh GPO từ hệ thống đó. Bạn sẽ không thể thấy những cài đặt mới
từ một hệ thống khác không đáp ứng các tiêu chí trên.
2. Access Control List
Để kiểm soát Access Control List , bạn sẽ cần sử dụng mục Services của một GPO trong
Computer Configuration\Policies\Windows Settings\Security Settings\System Services.

Hình 1: Sử dụng System Services Policy để kiểm soát
Access Control List.
Để sử dụng chính sách này, bạn hãy tìm đến dịch vụ muốn quản lý trong danh sách ở bảng bên
phải và lựa chọn nó. Khi phải chuột lên tên dịch vụ đó, bạn sẽ có thể hiệu chỉnh những thuộc tính
cho dịch vụ đó. Khi hiệu chỉnh thuộc tính bạn sẽ thấy một hộp thoại thuộc tính Properties.

Hình 2: Hộp thoại System Services Properties.
Để thay đổi Access Control List cho dịch vụ đó, lựa chọn hộp chọn Define this policy setting
sau đó click vào nút Edit Security. Sau khi click nút này, bạn sẽ thấy một hộp thoại Security
for Windows Event Collector.

Hình 3: Hộp thoại Security quản lý Access Control List.
Chú ý rằng bạn có một số cấp phép chuẩn cài đặt cho dịch vụ, bao gồm:
• Full Control: Kiểm soát đầy đủ.
• Read: Chỉ đọc
• Start, stop and pause: Khởi chạy, tắt và tạm dừng.

• Write: Ghi.
• Delete: Xóa.
Bạn có thể click vào nút Advanced để tạo một danh sách cấp phép riêng cho mỗi dịch vụ. Bạn
có thể lựa chọn ra những cấp phép trong 14 cấp phép bảo mật chi tiết.
3. Chế độ khởi động dịch vụ
Chế độ khởi động dịch vụ rất quan trọng đối với những dich vụ không thể hay không muốn cái
đặt, nhưng bạn lại muốn chắc chắn rằng chúng sẽ không khởi chạy khi hệ thống khởi động. Có
ba cấp độ trong chế độ khởi động dịch vụ, gồm có:
• Automatic: Tự động khởi chạy.
• Manual: Khởi chạy thủ công.
• Disabled: Hủy chế độ khởi chạy.
Chế độ Automatic và Manual có thể khởi chạy dịch vụ vào bất kì thời điểm nào tùy thuộc vào
những cài đặt của dịch vụ đó. Hai chế độ khởi động này cho phép khởi chạy dịch vụ bằng một
cuộc gọi tới dịch vụ.
Tuy nhiên, khi một dịch vụ được cài đặt chế độ Disabled, thì nó sẽ không thể khỏi chạy theo chế
độ Automatic hay Manual. Do đó bạn có thể sử dụng chế độ này để chặn máy chủ khởi chạy
dịch vụ cho đến khi một admin kích hoạt lại nó. Sử dụng chế độ khởi động này cùng với Access
Control List là một sự kết hợp khá mạnh vì quá trình phân quyền có thể giới hạn quyền khởi
chạy hay thay đổi dịch vụ.
Bạn có thể quản lý chế độ khởi động trong chính sách tương tự khi thao tác với Access Control
List (Hình 2 ở trên minh họa ba tùy chọn của chế độ khởi động).
4. Tài khoản dịch vụ
Nhiều dịch vụ yêu cầu phải đăng nhập trước khi sử dụng. Đó là vì tài khoản này không chỉ cho
phép truy cập vào hệ thống nơi nơi dịch vụ đang chạy mà còn có thể truy cập vào những hệ
thống khác trong mạng. Trong những trường hợp này tài khoản Network Service hay Local
System sẽ không hoạt động.
Trước đây, quá trình cấu hình dịch vụ phải được thực hiện trên hệ thống chứa dịch vụ đang chạy.
Giờ đây, với Group Policy Preferences, bạn có thể kiểm soát tài khoản dịch vụ nào được sử
dụng từ Active Directory kèm Group Policy.
Cài đặt bạn muốn thực hiện cấu hình được lưu trữ trong Computer

Configuration\Preferences\Control Panel Settings\Services.

Hình 4: Sử dụng Group Policy Preferences để cấu hình tên tài khoản
dịch vụ.
Để cấu hình cho một chính sách thực hiện quản lý dịch vụ, bạn chỉ cần phải chuột lên Services
chọn New Service. Sau đó bạn có thể lựa chọn dịch vụ muốn cấu hình từ hộp thoại Services.

Hình 5: Hộp thoại chính sách Group Policy Preferences.
Bạn có thể duyệt tìm và lựa chọn dịch vụ muôn quản lý trong danh sách khi click vào nút bên
cạnh trường Service name. Sau khi đã lựa chọn dịch vụ, click chọn radio This account và tìm
tài khoản dịch vụ mà bạn muốn sử dụng từ Active Directory. Khi thực hiện xong các thao tác
trên là bạn đã hoàn thành cấu hình tài khoản cho dịch vụ trên mỗi hệ thống dưới sự quản lý của
GPO có chứa chính sách cài đặt.
5. Mật khẩu tài khoản dịch vụ
Trong phần trên chúng ta chỉ thực hiện cấu hình tài khoản dịch vụ, nhưng trên hình 5 bạn cũng
có thể thấy chúng ta có thể thực hiện tạo mật khẩu tại đó. Đây là một cài đặt rất mạnh, vì trước
đây bạn chỉ có thể thực hiện thao tác này trên máy tính chứa dịch vụ đang chạy hay sử dụng một
công cụ quản trị từ xa để kết nối tới máy chủ đó.
Sử dụng chính sách Group Policy Preferences bạn có thể đảm bảo rằng tài khoản dịch vụ được
cài đặt trong dịch vụ có một mật khẩu chính xác với mật khẩu mà bạn đã tạo trong cơ sở dữ liệu
Active Directory cho tài khoản đó. Điều này đồng nghĩa với việc khi thực hiện tạo lại mật khẩu
cho dịch vụ trong Active Directory bạn chỉ cần cập nhật chính sách này và mật khẩu cho tài
khoản để những mật khẩu này đồng bộ hóa với nhau.

Hình 6: Sử dụng GPO để đồng bộ hóa mật khẩu tài khoản dịch
vụ với Active Directory.
Nhờ có những công cụ quản lý mới được tích hợp trong Windows Server 2008 và Vista, những
dịch vụ trên mạng của bạn giờ đây đã được bảo vệ khá an toàn. Bảo mật dịch vụ là một nhiệm vụ
thiết yếu vì những dịch vụ này cung cấp cổng truy cập vào máy chủ và những dữ liệu quan trong
được lưa trữ trên máy chủ. Bảo mật có thể được thực hiện qua việc kiểm soát phân quyền, chế độ

khởi chạy, tài khoản và mật khẩu dịch vụ. Bằng việc sử dụng những cài đặt Group Policy tronmg
miền Active Directory bạn có thể bảo vệ được mọi loại dịch vụ đang chạy trên máy chủ trong
miền.
Bảo mật dịch vụ trong Windows Server 2008 (Phần 2)
Cập nhật lúc 16h24' ngày 03/09/2009

Bản in
Chia
sẻ
Quản trị mạng - Trong phần trước chúng ta đã đề
cập đến phương pháp bảo mật dịch vụ bằng
Group Policy và Group Policy Preferences.
Những cài đặt của hai loại Group Policy này cho
phép quản lý bảo mật dịch vụ theo nhiều phương
pháp khác nhau.
Phần này sẽ đi sâu vào những cài đặt bảo mật này để
cung cấp cho bạn nhiều quyền kiểm soát hơn nữa
với những tài khoản dịch vụ cũng như quá trình cập
nhật dịch vụ và các tài khoản của những dịch vụ này.
Việc đảm bảo các ứng dụng mạng cũng như các ứng
dụng bảo mật mạng luôn vận hành tốt là công việc rất quan trọng của người quản trị mạng và
người chuyên trách bảo mật, nhưng để những ứng dụng này có được sự cân bằng cần thiết cần
đến một vài thủ thuật nhỏ. Bài viết này sẽ hỗ trợ cho các bạn phương pháp quản lý dịch vụ, tài
khoản dịch vụ và các ứng dụng trong Windows Server 2008.
Bảo vệ tài khoản dịch vụ
Tài khoản dịch vụ thường được nhiều dịch vụ sử dụng để thực hiện những thao tác trên hệ thống
nơi mà dịch vụ đó được cài đặt, hay kết nối đến những nguồn tài nguyên mạng khác để thực
hiện một tác vụ nào đó. Và mỗi một tài khoản dịch vụ lại có một cấu hình và thẩm quyền khác
nhau. Trong nhiều trường hợp, những tài khoản dịch vụ được phân quyền quản trị ở vài mức độ
nhất định. Hầu hết các dịch vụ được sử dụng để hỗ trợ mạng người dùng thì những tài khoản của

chúng nói chung đều thuộc nhóm Domain Admin trong Active Directory. Và trong một số tình
huống, những tài khoản này lại là thành viên nhóm Enterprise Admin, khi đó chúng được phân
quyền cao hơn cho một dịch vụ và tài khoản của những dịch vụ này. Tuy nhiên, tùy thuộc vào
từng dịch vụ mà đây có thể là một cấu hình bắt buộc.
Khi tài khoản dịch vụ được sử dụng với với nhiều quyền hơn trong khi cài đặt và lên cấu hình,
thì những tài khoản này phải tuyệt đối bảo mật. Để đảm bảo bảo mật cho những tài khoản này,
người quản trị phải thiết lập thêm các biện pháp với mỗi và mọi tài khoản dịch vụ. Những biện
pháp này không quá phức tạp nhưng bạn phải áp dụng chúng để đảm bảo rằng những tài khoản
này được bảo vệ, quản lý và giám sát chặt chẽ để chống lại mọi hành động phá hoại.
Những biện pháp cần áp dụng để bảo vệ tài khoản dịch vụ bao gồm:
• Cấu hình giới hạn khả năng đăng nhập vào trạm làm việc đối với tài khoản người
dùng dịch vụ.
• Đặt thời hạn cho mật khẩu và thường xuyên thiết lập lại.
Giới hạn truy cập trạm làm việc
Mọi tài khoản người dùng được khởi tạo và lưu trữ trong Active Directory đều có thể bị giới
hạn đối với những hệ thống mà chúng có thể đăng nhập vào. Ít khi bạn giới hạn một tài khoản
người dùng chuẩn chỉ đăng nhập được vào vài trạm làm việc, nhưng trong một số tình huống thì
điều này cũng có thể xảy ra do tài khoản dịch vụ bị giới hạn về số lượng hệ thống cần đăng
nhập. Nếu một tài khoản đang được một người dùng chuẩn sử dụng hay đăng nhập vào nhiều hệ
thống ngoài hệ thống đang sử dụng dịch vụ đó thì đây là một vấn đề bảo mật đáng lo ngại. Do
đó, việc cấu hình tài khoản dịch vụ chỉ có thể đăng nhập vào những hệ thống chứa dịch vụ đó là
một biện pháp bảo mật khá hiệu quả.
Cài đặt giới hạn cho trạm làm việc (bao gồm cả máy trạm và máy chủ) nằm trong User
Properties của Active Directory Users and Computers. Phải chuột vào tài khoản người dùng
(có chức năng như tài khoản dịch vụ) chọn Properties. Hộp thoại User Properties sẽ xuất hiện,
tại đây chọn tab Account bạn sẽ thấy nút Log On To.
Hình 1: Giới hạn tài khoản người dùng đăng nhập vào trạm làm
việc trong hộp thoại User Properties.
Khi lựa chọn nút Workstation, bạn sẽ thấy một hộp thoại khác xuất hiện với danh sách trạm
làm việc. Tại đây, bạn chỉ cần nhập tên của những máy chủ nơi dịch vụ được cấu hình hỗ trợ cho

dịch vụ đang chạy trên máy chủ đó. Hình 2 minh họa ví dụ tài khoản của một dịch vụ hỗ trợ cho
ứng dụng HR, và dịch vụ đó chạy trên ba máy chủ HR khác nhau.
Hình 2: Hộp thoại Workstation cho phép nhập tên của
máy chủ.
Với cấu hình này, tài khoản dich vụ đó chỉ được cho phép đăng nhập vào ba máy chủ trong danh
sách. Có nghĩa là tài khoản đó sẽ không được đăng nhập vào bất kì máy chủ nào khác trên mạng.
Giới hạn hiệu lực mật khẩu và thiết lập lại mật khẩu
Viêc tạo thời hạn cho cho mật khẩu đã từng trở thành một vấn đề thảo luận khá nhiều. Trong đó
xuất hiện nhiều ý kiếm phản đối hơn đồng tình với nhiều lí lẽ được đưa ra.
Nhưng với công nghệ hiện nay, mật khẩu tài khoản dịch vụ có thể được thiết lập thời hạn sử
dụng và xác lập lại một các dễ dàng. Quá trình này chỉ gói gọn trong bốn bước đơn giản sau:
Bước 1: Cấu hình cho tài khoản dịch vụ một mật khẩu hết hiệu lực.
Trong hình 1 ở trên, có một tùy chọn cho mật khẩu không bao giờ hết hiệu lực ở phía cuối của
hộp thoại. Bạn cần phải bỏ chọn tùy chọn này. Khi bỏ chọn tùy chọn này thì tài khoản dịch vụ sẽ
được bổ sung vào chính sách mật khẩu cho toàn miền với thời hạn mật khẩu này hết hiệu lực.
Windows Server 2003 và Windows Server 2008 mặc định ngày hết hiệu lực mật khẩu là 42
ngày. Có nghĩa là bạn sẽ phải xác lập lại mật khẩu cho dịch vụ mỗi tháng một lần.
Bước 2: Xác lập lại mật khẩu cho tài khoản
Trong ADUC bạn hãy lựa chọn đối tượng tài khoản dịch vụ rồi phải chuột lên nó. Trong menu
chuột phải (hay menu ngữ cảnh) có một tùy chọn Reset Password. Click chọn tùy chọn này bạn
sẽ thấy hộp thoại Reset Password xuất hiện, tại đây hãy nhập mật khẩu mới cho tài khoản.
Lưu ý: Không được click chọn hộp chọn User must change password at next logon (người dùng
phải thay đổi mật khẩu trong lần đăng nhập tới), bởi vì nếu chọn tùy chọn này sẽ gây ra một
vấn đề lớn đó là tài khoản dịch vụ sẽ không cập nhật được mật khẩu của tài khoản đó vì nó chỉ
được cấu hình thông qua dịch vụ.
Hình 3: Hôp thoại Reset Password cho tài khoản dịch vụ.
Bước 3: Áp dụng cài đặt Group Policy Preferences cho dịch vụ.
Đây là một cài đặt mới chỉ xuất hiện khi bạn hiệu chỉnh GPO từ hệ thống Windows Server 2008
hay Windows Vista SP1 (khi đã cài đặt RSAT). Cài đặt mới này nằm trong Computer
Configuration\Preferences\Control Panel Settings\Services. Trong hộp thoại New Service

Properties bạn sẽ phải nhập chính xác tên tài khoản dịch vụ và mật khẩu mới. Bạn chỉ cần nhập
mật khẩu tại đây và như vậy là bạn đã nhập vào ADUC cho tài khoản người dùng và mọi hệ
thống được hướng vào GPO sẽ nhận được mật khẩu mới của tài khoản dịch vụ.
Hình 4: Những cài đặt Group Policy Preferences Services có
thể xác lập lại mật khẩu cho dịch vụ đang chạy trên hệ thống
đích.
Bước 4: Cập nhật tiến trình GPO ngay khi có thể
Bạn có thể vào mỗi máy chủ và khởi chạy tiện ích GPUPDATE, nhưng bạn sẽ phải mất thời
gian chờ đợi và máy chủ có thể không thể khởi chạy. Bạn có thể sử dụng một công cụ khác
trong Special Operations Software (SOS) có tên GPUPDATE, trùng tên với tiện ích sẵn có
nhưng phương pháp vận hành lại hoàn toàn khác nhau. Đây là một sự thay thế snap-in cho
ADUC cho phép quản trị viên refesh nền của Group Policy từ một trình quản lý miền. Tiện ích
GPUPDATE trong SOS có thể cập nhật mọi hệ thống trong miền, trong một OU, hay một hệ
thống riêng lẻ. Bạn có thể tải công cụ này tại đây.
Tóm lại, tài khoản dịch vụ được đặc trưng bởi quá trình phân quyền, rất ít khi được kiểm soát và
rất ít khi được xác lập lại mật khẩu. Điều này có thể tạo điều kiện cho tin tặc tấn công. Và không
có lí do gì để cho phép một tài khoản dịch vụ đăng nhập vào bất kì hệ thống nào trong miền. Do
đó, thực hiện các thao tác trên là bạn đã có thể bảo vệ được máy chủ, mạng và mọi hệ thống
trong miền.