Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Appendice B - Implementazione delle impostazioni Criteri di gruppo
Aggiornato: 23 maggio 2005
Nella seguente tabella sono elencate le impostazioni da applicare per la corretta configurazione delle impostazioni dei controlli di protezione di Criteri di gruppo. Sono inoltre indicate le impostazioni aggiuntive che hanno effetto sul sistema di monitoraggio della protezione e di rilevazione degli attacchi. Utilizzare questa tabella per verificare le impostazioni correnti nell'ambiente in uso.
Tabella B.1. Impostazioni dei controlli di protezione di Criteri di gruppo
| Percorso criterio | Criterio | Impostazione del criterio e commenti |
|---|---|---|
| Criteri locali/ Criteri di controllo | Controlla eventi accesso account | Attivare il controllo sulle operazioni riuscite per tutti i computer, poiché questo evento registra gli utenti che accedono al computer. L'attivazione del controllo sulle operazioni non riuscite deve essere effettuata con cautela. Un utente malintenzionato con accesso alla rete ma senza alcuna credenziale potrebbe infatti causare un attacco di tipo Denial of Service (DoS), poiché il computer utilizza risorse per generare questi eventi. Fare attenzione nell'attivazione del controllo sulle operazioni riuscite, poiché questa impostazione può causare attacchi di tipo DoS se è previsto l'arresto dei computer in caso di riempimento dei registri di controllo. Mettere in relazione gli accessi amministratore con qualsiasi altra voce sospetta. |
| Criteri locali/ Criteri di controllo | Controlla gestione degli account | Attivare il controllo sia sulle operazioni riuscite che non riuscite. Mettere in relazione tutte le voci di controllo relative alle operazioni riuscite con le autorizzazioni di amministratore. Considerare tutte le operazioni non riuscite come eventi sospetti. |
| Criteri locali/ Criteri di controllo | Controlla accesso al servizio directory | Questa impostazione è attivata automaticamente dal Criterio di gruppo controller di dominio predefiniti. Configurare le impostazioni di controllo sugli oggetti directory sensibili utilizzando gli elenchi di controllo accesso di sistema (SACL) in Utenti e computer di Active Directory o Active Directory Services Interface Editor (ADSI Edit). Una volta pianificata l'implementazione SACL, prima della distribuzione in un ambiente di produzione è necessario testare gli elenchi SACL in un ambiente di lavoro realistico. Questo approccio evita di sovraccaricare i registri di protezione con una quantità eccessiva di dati. |
| Criteri locali/ Criteri di controllo | Controlla eventi di accesso | Attivare il controllo sulle operazioni riuscite per tutti i computer, poiché questo evento registra gli utenti che accedono al computer. L'attivazione del controllo sulle operazioni non riuscite deve essere effettuata con cautela. Un utente malintenzionato con accesso alla rete ma senza alcuna credenziale potrebbe infatti causare l'utilizzo di risorse per generare questi eventi. |
| Criteri locali/ Criteri di controllo | Controlla accesso agli oggetti | Fare attenzione quando si attiva questa impostazione poiché potrebbe causare un volume molto elevato di controlli. Configurare le impostazioni di controllo solo sulle cartelle critiche mediante elenchi SACL e controllare soltanto il numero minimo dei tipi di accesso a cui si è interessati. Se il modello di rischio lo consente, controllare soltanto le scritture (non gli accessi in lettura). |
| Criteri locali/ Criteri di controllo | Modifica del criterio di controllo | Attivare il controllo sia sulle operazioni riuscite che non riuscite. Mettere in relazione eventuali operazioni riuscite con le autorizzazioni di amministratore. Considerare tutte le operazioni non riuscite come eventi sospetti. |
| Criteri locali/ Criteri di controllo | Controlla uso dei privilegi | Si consiglia di non attivare questo controllo a causa del volume elevato di eventi generato. |
| Criteri locali/ Criteri di controllo | Controlla tracciato processo | Non attivare questa impostazione nei server Web Common Gateway Interface (CGI), nei computer di test, nei server su cui sono in esecuzione processi batch o nelle workstation degli sviluppatori. Attivare questa impostazione nei computer vulnerabili e intervenire immediatamente in caso di attività impreviste nelle applicazioni, se necessario mediante l'isolamento fisico del computer. Questa impostazione può causare il riempimento dei registri di eventi. |
| Criteri locali/ Criteri di controllo | Controlla eventi di sistema | Attivare il controllo sia sulle operazioni riuscite che non riuscite. |
| Criteri locali/ Assegnazione diritti utente | Generazione di controlli di protezione | Questa impostazione viene assegnata automaticamente agli account Sistema locale, Servizio locale e Servizio di rete. Questo diritto deve essere applicato soltanto agli account dei servizi. Un utente malintenzionato può utilizzare questa impostazione per generare eventi falsi o inesatti nel registro di protezione. |
| Criteri locali/ Assegnazione diritti utente | Gestione file registro di controllo e di protezione | Utilizzare questa impostazione per impedire agli amministratori con diritti di modifica di controllare le impostazioni relative ai file, alle cartelle e al Registro di sistema. Prendere in considerazione la creazione di un gruppo di protezione per gli amministratori che possono apportare modifiche alle impostazioni di controllo, quindi rimuovere il gruppo Administrators dalle impostazioni di Criteri di protezione locali. Soltanto i membri del nuovo gruppo di protezione devono essere in grado di configurare le impostazioni di controllo. |
| Criteri locali/ Opzioni di protezione | Controllo: controllo accesso oggetti di sistema globale | Questa impostazione aggiunge elenchi SACL a determinati oggetti di sistema quali eventi di esclusione reciproca, semafori e periferiche MS-DOS. Per impostazione predefinita, in Windows Server 2003 questa opzione non è attivata. Si consiglia di non attivare questa impostazione, poiché causa la generazione di un numero molto elevato di eventi. |
| Criteri locali/ Opzioni di protezione | Controllo: controllo utilizzo dei privilegi di backup e di ripristino | Le operazioni di backup e ripristino forniscono l'opportunità di appropriarsi di dati protetti dagli ACL. Si consiglia di non attivare questa impostazione, poiché causa la generazione di un numero molto elevato di eventi. |
| Criteri locali/ Opzioni di protezione | Controllo: arresto del sistema immediato se non è possibile registrare i controlli di protezione | Attivare questa impostazione, dopo un'attenta analisi, soltanto sui computer critici, poiché gli utenti malintenzionati possono utilizzare questa funzionalità per attacchi di tipo DoS. |
| Registro eventi | Dimensione massima registro protezione | La dimensione massima del registro di protezione deve essere un multiplo di 64 KB. La dimensione media degli eventi è 0,5 KB. Le impostazioni consigliate dipendono dai volumi previsti per gli eventi e dalle impostazioni relative alla gestione dei registri di protezione. Per gli ambienti in cui viene generato un numero elevato di eventi, è preferibile impostare il valore più grande possibile (fino a 250 MB). Poiché la dimensione totale di tutti i registri di eventi non può superare 300 MB, è necessario non superare questo valore. |
| Registro eventi | Impedisci accesso guest locale al registro applicazione | Per impostazione predefinita, in Windows Server 2003 questa opzione è attivata e non deve essere modificata. |
| Registro eventi | Gestione registro protezione | Questa impostazione deve essere attivata solo se è selezionata l'opzione Sovrascrivi eventi ogni giorno. Se si utilizza un sistema di correlazione basato sul polling degli eventi, assicurarsi che il numero dei giorni sia almeno il triplo della frequenza di polling, in modo da consentire cicli di polling non riusciti. |
| Registro eventi | Criteri gestione registro protezione | Negli ambienti con requisiti di protezione elevati si consiglia di attivare l'opzione Non sovrascrivere eventi. In questo caso, occorre definire procedure per lo svuotamento e l'archiviazione periodica dei registri, in particolare se è previsto l'arresto del computer in caso di riempimento del registro di protezione. |