آشنایی با Active Directory

[Vahid]

Active Directory که برLightweight Directory Access Protol ( LDAP ) بنا شده است بسیاری از مشکلات مربوط به پیدا کردن محل منابع و سرویس ها را از بین می برد . این یک مزیت مهم هم برای کاربران و هم برای برنامه ها در محیط های شبکه ای امروزی به حساب می آید . Active Directory در حقیقت مهمترین عنصر جدید ویندوز 2000 است و در خصوص مسایل امنیتی هیچ چیز مهمتر از Active Directory نیست . Active Directory یک نوع سرویس همه کاره است که با استفاده ازDNS یا همانDomain Name Service اطلاعات مناسب را به دیگر میزبان ها منتشر می کند و درست کار کردن Active Directory به این بستگی دارد که آیاDNS به درستی کار می کند یا خیر .DDNS یعنیDNS پویا ، بهنگام سازی های پویا از قبیل اینکه چه هنگامی یک سایت جدید ) یک میزبان یا مجموعه ای از میزبان ها که Active Directory را اجرا می کنند( به شبکه وصل می شود را ارایه می کند . Active Directory نه تنها به کاربران و برنامه ها کمک می کند تا منابع و سرویس ها را بیابند ، بلکه به عنوان یک مخزن بزرگ داده ها عمل می کند و اطلاعاتی در مورد Account ها ، واحدهای سازمانی(OU) ، سیاست های امنیتی ، فایل ها ، دایرکتوری ها ، چاپگرها ، سرویس ها ، Domain ها ، قوانین وراثت و خود Active Directory را ذخیره می کند و رمز ورودها وPassword های کاربران را در یک فایل به نامntds.nit ذخیره می کند . مهاجمان و هکرها می توانند این رمز ورودها را استخراج کنند و با استفاده از ابزار شکستن رمز ورود ویندوزNT آنها راCrack کنند و به شکل استاندارد در آورند که در درس های بعدی من راجع به این ابزارها کامل توضیح خواهم داد .

ویندوز2000 به یک مهاجم چندین نقطه دست یابی ممکن را ارائه می کند که در این بین حفاظت از Active Directory جایگاه خاص خود را دارد ، به تمام راه هایی که یک هکر ممکن است به Active Directory نفوذ کند فکر کنید . ورود غیر مجاز بهAdministrator Account بهترین فرصت را در اختبار ما می گذارد . مدیران تقریباً می توانند هر کاری با Active Directory انجام دهند . اگر افراد زیادی سطح اختیارات کامل مدیر را داشته باشند احتمال ورود غیر مجاز یک هکر و مهاجم به یکAccount با سطح اختیارات مدیر بسیار افزایش می یابد . بنابراین دادن سطح اختیارات مناسب به شئی Active Directory بسیار حساس و مهم است . در حالتMixed که در انتهای مقاله راجع به این حالت توضیح خواهم داد هکرها همچنین می توانند از طریق دست یابی مورد اعتماد از یکDomain ویندوزNT به اطلاعات Active Directory دست یابی پیدا کنند . بسته به تجربه و دانش هکرها ، ممکن است آنها بتوانند از یکAccount کاربری توافقی برای دست یابی به Active Directory و سوء استفاده از تنظیمات نادرست مجوزها استفاده کنند . تا جایی که به مسایل امنیتی مربوط است نصب Active Directory در دایرکتوری\WinNT فکر خوبی نیست زیراActive Directory را روی همان پارتیشن مربوط به سکتور بوت فایل های سیستمی وIIS ( که به صورت خودکار در ویندوز 2000 نصب می شود و همیشه محل نا امن و پر از آسیب پذیری است ) قرار می دهد .

به علاوه Active Directory نیاز به فضای دیسک بسیار زیادی دارد بنابراین بهتر است پارتیشن جداگانه ای برای Active Directory ایجاد کنید و یک راه خوب برای بالا بردن امنیت سرور این است که پارتیشن ها را به این صورت نصب کنیم :

C : فایل های سیستمی و بوت

D : Active Directory

E : برنامه ها و فایل های کاربردی

اگر بخواهم راجع به حالتMixed در ویندوز 2000 توضیح دهم به این صورت شروع می کنم که سرورهای ویندوز 2000 می توانند در دو حالت نصب شوند و کار کنند : حالتMixed و حالتNative . در حالتNative تمام کنترل کننده هایDomain سرورهای ویندوز 2000 هستند ولی در حالت Mixed محیط شامل هم کنترل کننده هایDomain ویندوز 2000 و هم کنترل کننده هایDomain ویندوزNT هستند . برای پشتیبانی از سازگاری با نسخه های قبلی ، حالتMixed همان قابلیت ها و نقطه ضعف های امنیتیDomain های ویندوزNT نسخه 4 را دارند . حالتNative از نقطه نظر امنیتی بهتر است نه تنها به خاطر اینکه با بسیاری از ضعف های ذاتی ویندوزNT سروکار ندارد بلکه به خاطر اینکه به کاربران امکان می دهد تا از قابلیت های امنیتی خاص ویندوز 2000 استفاده بهتری کنند . برای رمزنگاری داده ها در شبکه دو نسخه ازPPTP ( Point-to-Point Tunneling Protocol ) در ویندوز 2000 موجود است . در حالتMixed ، PPTP ویندوزNT موجود می باشد که نسخه ای دارای نقص و اشکال است ولی در حالتNative یک نسخه بهتر ازPPTP موجود است .




http://persiancomp.googlepages.com/AvtiveDirectory.pdf