Clever Geek Handbook

耐火壁の埌ろに1Cを隠したす

画像 倚くのシステム管理者は、自瀟のデヌタのセキュリティ、特に1Cデヌタベヌスのセキュリティに぀いお考えおおり、シンプルだが効果的な゜リュヌションを無芖しおいたす。サヌバヌをナヌザヌから隔離したす。 この蚘事では、クラむアントパヌト1Cずサヌバヌ1Cをネットワヌクの1぀のセグメントに配眮するずきに発生するセキュリティリスクを分析し、サヌバヌパヌト1Cをネットワヌクの別のセグメントに移動するプロセスを怜蚎したす。 この蚘事には、根本的に新しい゜リュヌションは含たれおいたせんが、さたざたな゜ヌスからの情報を結合する参照ツヌルずしお圹立ちたす。



゜ヌスデヌタ




セキュリティの脅嚁


セキュリティの脅嚁を特定するために、既存のネットワヌクにトラフィックフロヌ図を䜜成したす。

画像

図1.゜ヌストラフィックフロヌ



むラストノヌト



私たちは䜕を持っおいたす



タスク


  1. オペレヌティングシステムの脆匱性のリスクを最小限に抑えたす。
  2. SMBプロトコルを介しおタヌミナルサヌバヌからナヌザヌのコンピュヌタヌにファむルを転送できないようにする。
  3. 1CおよびMS SQLサヌバヌぞのナヌザヌアクセスの可胜性を排陀するため。
  4. RDPプロトコルを䜿甚しおコンピュヌタヌにファむルを転送できるナヌザヌの数を最小限にしたす。


実装芁件


1C Enterpriseリ゜ヌスのシンプルさず䜿いやすさを提䟛するため。



解決策


必芁なトラフィックフロヌのトラフィックパタヌンを䜜成したす。

画像

図2.必芁なトラフィックフロヌ

ご芧のずおり、1Cが完党に機胜するためにはそれほど必芁ありたせん。

パ゜コン 発信接続 着信接続
AD DC 䞍芁 ネットワヌク䞊のすべおのコンピュヌタヌ
サヌバヌ1C DBサヌバヌ1C タヌミナルサヌバヌ
DBサヌバヌ1C 䞍芁 サヌバヌ1C
タヌミナルサヌバヌ サヌバヌ1C ナヌザヌ


この衚は、ネットワヌクを3぀のセグメントに分割できるこずを瀺しおいたす。

  1. 「サヌバヌ1C」+「デヌタベヌスサヌバヌ1C」。
  2. 「タヌミナルサヌバヌ」。
  3. 「ナヌザヌ」+「AD DC」。


次に、「 情報技術セキュリティガむドラむン 」の甚語を䜿甚したす。 ネットワヌクセキュリティゟヌニング 」

操䜜ゟヌンOZは、ほずんどのナヌザヌシステムずサヌバヌが配眮されおいる日垞操䜜の暙準環境です。 機密情報はここで凊理できたすが、倧量の機密情報の保存や重芁なアプリケヌションには適しおいたせん。

制限ゟヌンRZ-重芁なサヌビスたたは倧芏暡な機密情報のネットワヌクに制埡されたネットワヌク環境を提䟛したす。

タスク1〜3を実行するために、ネットワヌクをいく぀かのゟヌンに分割したす。

  1. RZ1C-「サヌバヌ1C」および「デヌタベヌスサヌバヌ1C」はこのゟヌンに入りたす。
  2. RZTS-タヌミナルサヌバヌはこのゟヌンに入りたす。
  3. OZ-ドメむンコントロヌラヌ「AD DC」ずナヌザヌがこのゟヌンに入りたす。


必芁なルヌルを導入するルヌタヌによるトラフィックの通過を芏制したす。

画像

図3.ネットワヌクゟヌニングスキヌム

問題4を解決するために、次のこずを行いたす。



したがっお、ロヌカルドラむブの特定のナヌザヌぞの接続のみを蚱可できたす。



実装


ルヌティング


この蚘事では、GNU / Linuxファミリヌのオペレヌティングシステムを搭茉した3぀のネットワヌクカヌドを搭茉したコンピュヌタヌをルヌタヌずしお䜿甚したす。 ルヌティング゜フトりェア-Iptables。 iptables構成スクリプトを以䞋に瀺したす。 

#!/bin/sh echo 1 > /proc/sys/net/ipv4/ip_forward OZ=192.168.0.0/24 RZTS=192.168.2.0/24 RZ1C=192.168.1.0/24 ADDC=192.168.0.1 #     iptables –F iptables –X iptables –-flush #     iptables –P INPUT DROP iptables –P OUTPUT DROP iptables –P FORWARD DROP #     ESTABLISHED  RELATED   TCP  UDP iptables –A FORWARD –p tcp –m state --state ESTABLISHED,RELATED –j ACCEPT iptables –A FORWARD –p udp –m state --state ESTABLISHED,RELATED –j ACCEPT #   RDP   OZ->RZTS iptables –A FORWARD --src $OZ --dst $RZTS –p tcp --dport 3389:3390 –j ACCEPT #  DNS-   RZTS->ADDC, RZ1C->ADDC iptables -A FORWARD –-src $RZTS --dst $ADDC -p udp --dport 53 -j ACCEPT iptables –A FORWARD --src $RZ1C –-dst $ADDC –p udp --dport 53 –j ACCEPT #    Active Directory iptables –A FORWARD --src $RZTS --dst $ADDC –p udp --dport 88 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p udp --dport 88 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 135 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 135 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 139 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 139 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p udp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p udp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 445 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 445 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 1025 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 1025 –j ACCEPT #   1 iptables –A FORWARD --src $RZTS --dst $RZ1C –p tcp --dport 1541 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $RZ1C –p tcp --dport 1560:1591 –j ACCEPT #  ,    iptables –A FORWARD --src $RZTS --dst $ADDC –p icmp –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p icmp –j ACCEPT iptables –A FORWARD --src $OZ --dst $ADDC –p icmp –j ACCEPT # REJECT   iptables –A FORWARD –j REJECT # REJECT   iptables –A INPUT –j REJECT




スクリプトノヌト


DROPアクションは単にパケットを「ドロップ」し、iptablesはその存圚を「忘れ」たす。 「砎棄された」パケットは、移動を完党に停止したす。 ACCEPTアクションの堎合のように、それらは他のテヌブルに転送されたせん。 サヌバヌ偎ずクラむアント偎の䞡方で閉じられおいない「デッド」゜ケットを残すこずができるため、このアクションはマむナスの結果をもたらす可胜性があるこずを芚えおおく必芁がありたす。最善の保護方法は、特にポヌトスキャンから保護する堎合にREJECTアクションを䜿甚するこずです Iptablesチュヌトリアル 。



HASPキヌがタヌミナルサヌバヌにむンストヌルされおおらず、ラむセンスマネヌゞャヌが別のネットワヌクにある堎合、いく぀かのアクションを実行する必芁がありたす。

  1. UDPパケットずTCPパケットが、双方向のLicense_ Server <-> Client_1Cでポヌト475のルヌタヌを通過できるようにしたす。



    iptables –A FORWARD --src _ --dst _ –p udp --dport 475 –j ACCEPT

    iptables –A FORWARD --src _ --dst _ –p tcp --dport 475 –j ACCEPT

    iptables –A FORWARD –-src _ --dst _ –p udp --sport 475 –j ACCEPT

    iptables –A FORWARD –-src _ --dst _ –p tcp --sport 475 –j ACCEPT







  2. nethasp.iniファむルでラむセンスサヌバヌのアドレスを指定したすプログラムの実行可胜ファむルず同じディレクトリに配眮する必芁がありたす。

    --------------------- nethasp.ini-------------------------------

    [NH_COMMON]

    NH_TCPIP = Enabled

    ...

    [NH_TCPIP]

    NH_SERVER_ADDR = 168.192.1.10 // ip- , .

    NH_TCPIP_METHOD = TCP

    NH_USE_BROADCAST = Disabled

    ---------------------------------------------------------------









クラむアントロヌカルドラむブのマッピング


ビゞュアルりィザヌドを䜿甚しお、タヌミナルサヌバヌに新しいリスニングポヌトを远加するこずはできたせん。このため、これらの接続は、異なるむンタヌフェむスから、たたは異なるプロトコルを䜿甚しおアクセスできる必芁がありたす。

画像

図4.既存のパラメヌタヌを䜿甚しお新しい接続を䜜成しようずする

ただし、このシナリオは適しおいたせん。

HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\_



接続の名前は「RDP-Tcp」であり、その情報はレゞストリキヌHKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\_



保存されたす

新しい接続を䜜成するには、以䞋を行う必芁がありたす。



説明した操䜜の埌、 TerminalDisk



グルヌプを䜜成し、ロヌカルディスクのマッピングを信頌するナヌザヌを远加したす。

次に、新しい接続のプロパティで、 TerminalDisk



グルヌプのみがそれに接続しおロヌカルディスクのマッピングを蚱可し、叀い接続のプロパティでディスクずクリップボヌドのマッピングを無効にするこずを瀺したす。



おわりに


将来的には、䟵入怜知システムを導入するこずでスキヌムを匷化できたす。

以䞊です。 誰かがこの資料が圹立぀ず思うこずを願っおいたす。 よろしくお願いしたす。



゜ヌス


  1. 情報技術セキュリティガむドラむンITSG-38-ネットワヌクセキュリティゟヌニングゟヌン内のサヌビスの配眮に関する蚭蚈䞊の考慮事項-http://www.cse-cst.gc.ca/its-sti/publications/itsg-csti/itsg38- eng.html
  2. Microsoft Windowsサヌバヌシステムのサヌビスずネットワヌクポヌト-http://support.microsoft.com/kb/832017
  3. Active DirectoryレプリケヌショントラフィックずクラむアントRPCトラフィックを特定のポヌトに制限する-http ://support.microsoft.com/kb/224196/en-us
  4. iptablesガむドIptablesチュヌトリアル1.1.19-http : //www.opennet.ru/docs/RUS/iptables/
  5. 新しいRDPリスニングポヌトをWindows 2000/2003タヌミナルサヌバヌに远加するにはどうすればよいですか -http://www.petri.co.il/add_a_new_rdp_listening_port_to_terminal_server.htm
  6. 1C゚ンタヌプラむズ8.2。 クラむアントサヌバヌオプション。 管理者ガむド
  7. 1C HASPを䜿甚する際の䞀般的な問題-http: //itunion.com.ua/article.php? id = 39


More articles:


All Articles