Acht gaten in Windows login (In)Secure Magazine
Windows heeft meer beveiligingsfeatures dan andere besturingssystemen, maar het ontbreekt aan fundamentele en klassieke login controls, die onder andere mainframes, UNIX en Netware wel hebben. Dit leidt tot ergernis van veel systeembeheerders. Het eerste mankement in Windows, is dat er geen mogelijkheid is om het inloggen van een account te beperken tot één computer tegelijk. Een beheerder kan niet voorkomen dat een gebruiker inlogt op de ene computer, vervolgens iemand onder zijn naam laat werken of het systeem achter te laten, om daarna naar een andere computer te lopen en daar ook in te loggen. De reden hierachter is, dat er niet bijgehouden wordt op welke plekken een gebruiker is ingelogd, daar elke computer dat individueel regelt.
Honderden logs
Dan het tweede probleem. Windows houdt niet bij wanneer een gebruiker in- of uitlogt. De gebruiker, die nog steeds achter zijn systeem zit, heeft domweg geen idee dat hij zojuist van de server is uitgelogd. Als hij vervolgens een bestand op de server probeert te openen, merkt de computer dat de verbinding verbroken is, en verbindt stilzwijgend naar de server, die weer een nieuwe loginsessie genereert.
Wanneer de gebruiker eenmaal het bestand sluit en geen overige bestanden meer heeft open staan op de server, verbreekt de verbinding, wat weer een nieuw "logoff event", creëert. Dat is de reden waarom fileservers vaak honderden log-in en out events voor één gebruiker laten zien. Er is echter geen manier om al die logs aan elkaar te knopen. Windows biedt de mogelijkheid om een tijdrestrictie aan een bepaalde gebruiker te koppelen. Een beheerder kan in een gebruikersaccount instellen op welke dagen en tijden de gebruiker al dan niet mag inloggen. Maar is er geen manier om dit per groep in te stellen. De enige optie die er is, is om meerdere gebruikers tegelijkertijd te selecteren, maar dit is erg onhandig, zo niet, onhandelbaar.
IT-professionals kiezen door deze redenen steeds vaker voor alternatieve producten, zo meldt (In)Secure Magazine. Het complete artikel, inclusief alle acht gaten, is hier te lezen.
1) interactief inloggen op een werkstation met lokale authenticatie of vanuit een (AD) domain
2) het mounten van een netwerkshare
Bij het tweede punt kun je, zeker bij grotere organisaties (en daar schrijft meneer François Amigorena zo te zien over) vaak niet meer spreken over de server.
Of het op meerdere PC's tegelijkertijd ingelogd zijn ondertussen met standaard MS boordmiddelen is te blokkeren weet ik niet (kan best dat de goede man gelijk heeft) maar met logonscrips en evt. een programmatje moet dat wel te maken zijn.
Ah. François Amigorena is the founder and CEO of IS Decisions. The IS Decisions portfolio includes UserLock (www.userlock.com), a software solution designed to secure access to Windows networks by etc. etc. Toilet-Gans reclame dus.
Je kan wel degelijk 1 iemand laten aanloggen op een systeem dmv Computer policies
En de rest kan je ook dichttimmeren met group policies zolang je maar met security groups werkt.
Je flikkert alle computers in je AD in de Security Group
Daar zet je een computer restrictie op van na 17:00 geen logons meer op deze pc
Na 5 minuten idle lock het systeem.
Blijkbaar wordt er weer wat geflamed hier
Je kan wel degelijk 1 iemand laten aanloggen op een systeem dmv Computer policies
En de rest kan je ook dichttimmeren met group policies zolang je maar met security groups werkt.
Je flikkert alle computers in je AD in de Security Group
Daar zet je een computer restrictie op van na 17:00 geen logons meer op deze pc
Na 5 minuten idle lock het systeem.
Blijkbaar wordt er weer wat geflamed hier
Sinds Windows NT kan men al op een user-account aangeven waar men mag inloggen. Echter hebben de meeste bedrijven een beleid dat men overal op elke desktop mag inloggen. Men zet als uitzondering juiste op enkele user-accounts deze rechten.
Deze optie zorgt er ook voor dat men kan beperken op welke server men wel mag aanloggen.
De login en log off van een gebruiker wordt al heel lang bijgehouden in de Domain Controller(s).Men hoeft slechts te filteren op de juiste event-id's en eventuele andere items om tot een goede log te komen.
In een Active Directory omgeving werkt dit op basis van Kerberos en tickets. Men hoeft geen connectie open te houden met de server. Op die wijze kan men met minder connecties meerdere gebruikers aan. Het opnieuw verbinden met een server geneert dan ook geen nieuwe login, echter wordt bekeken of de Kerberos Ticket nog valide is en wordt men op basis van die Ticket geautoriseerd.
Dit heeft men overgelaten aan Third Party applicaties of men doet dit via scripts.
Neen, dit doet men dan ook niet per groep, maar via een Windows Policy. Indien men toch handmatig accounts wil instellen, dan kan men dit doen met diverse methodes. Men kan onder andere kiezen om dit via VBS, via VBA en VBS, via VBS en HTA te doen.
Een voorbeeld script kan men vinden bij Microsoft of via Google. Een voorbeeld script om de Logon Hours te lezen uit een Active Directory kan men vinden op: http://www.microsoft.com/technet/scriptcenter/scripts/ad/users/list/uslsvb05.mspx
Eerde, dat duidt alleen maar aan dat je waarschijnlijk geen enkel idee hebt hoe een Windows omgeving in elkaar steekt. Het geeft waarschijnlijk ook jouw onkunde aan om alleen een dergelijke antwoord te geven.
Door aanpassing in de gebruikersaccount in de Active Directory kan je dat dus wel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?