קורס שרתי דואר - Exchange 2007/2010

בס"ד

מאמר בנושא IDA

במאמר זה נדבר על מנגנון ה- IDA , מנגנון זה הוא מנגון הזהות והגישה הנועד בעיקרו לצורך אבטחת משאבי הארגון, כגון קבצים, דואר אלקטרוני, יישומים ומסדי נתונים.
מבנהו של ה- IDA נועד לבצע את הפעולות הבאות:

לאחסן מידע אודות המשתמשים, קבוצות, מחשבים, וזהויות אחרות זהות, בארגון שלנו ונתינת הרשאות לביצוע פעולות על אובייקטים אלו. לדוגמה, משתמש יפתח מסמכים מתיקיה משותפת בשרת ובד בבד המסמך יהיה מאובטח עם הרשאות ברשימת בקרת הגישה (ACL) כך שפעולות מסיומות שיפעיל המשתמש על אותו הקובץ יידחו באם הוגדר כך ב-ACL . חשוב לציין שאם השרת לא יכול לאמת את זהות המשתמש לא תוענק לאותו המשתמש הרשאת גישה למשאב או לקובץ שאליו רצה לפנות. עוד תכונה מאוד חשובה הינה תכונת התיעוד, בדרך כלל כל חברה תרצה לפקח ולתעד כל דבר אשר מתרחש ולכן ישנו מנגנון התיעוד " auditing" המובנה בתוך מנגון ה-IDA.

אז לפני שנקפוץ למים העמוקים בואו ונעשה הכרות כללית עם ניהול הגישה למשאבים בכלל:

גישה למסמך או כל משאב אחרר מנוהלת על ידי מערכת האבטחה המשנית של השרת, אשר משווה את זהותו של המשתמש לזהויות הרשומות ב- ACL בכדי לקבוע אם בקשתו של המשתמש לגישה או לכל פעולה אחרת (שינוי, קריאה, מחיקה) תאושר או תדחה. מחשבים, קבוצות, שירותים, ואובייקטים אחרים גם הם מבצעים פעולות ברשת, והם חייבים להיות מיוצגים על ידי זהויות. בין כלל המידע המאוחסן על כל זהות וזהות קיימים גם מאפיינים יחודיים הנועדו לזהות את האובייקט, כגון שם משתמש או מזהה האבטחה (SID) וכמובן הסיסמה עבור הזהות.
ישנן חמש טכנולוגיות עיקריות המספקות פתרונות ברמת IDA, חלקן אף מקלות על יכולת הניהול בצורה משמעותית מאוד:

ACTIVE DIRECTORY DS
טכנולוגיה זו מאפשרת ניהול מרכזי של כל האובייקטים ברשת שלנו, בין אם מדובר במחשבים, משתמשים, קבוצות, יחידות אירגוניות, מדפסות וכל מה שתוכלו להעלות על דעתכם ובמילה אחת ניהולן של כל הזהויות ממקום אחד טכנולוגיה זו גם מרכזת בתוכה את כל סיסמאות האבטחה של הארגון שלנו ולכן יש לנהוג במשנה זהירות, לא אגזים אם אומר שזהו בעצם ליבה הפועם של החברה, מנגנון זה כאשר מותקן על שרת בתצורת (FULL) מגיע עם ממשק גרפי נוח ואפשרויות מתקדמות שפשוט עושות למנהלי הרשת את החיים הרבה יותר קלים, כמו כן תוכלו לצפות בניהול שיתופים והרשאות גישה לכל אובייקט ואובייקט, אחת התכונות הנוספות לכלי זה הוא ניהול אובייקטים לפי "מדיניות" (POLICY) כך שתוכלו להכתיב ולכפות מדיניות אבטחה מסויימת מרמת אובייקט בודד ועד לקבוצות גדולות של אלפי משתמשים בהגדרה אחת בלבד.

Active Directory L D S
מנגון זה הוא בעצם אחיו הקטן והלא מפותח של מנגון ה-DS וכשאני אומר לא מפותח אין הכוונה שמנגנון זה לוקה בחסר מבחינת בנייה, מנגון זה תוכנן למטרה מסויימת ומבצע אותו בצורה משולמת. אז מהו ולמה הוא נועד – ישנן מצבים שתוכנות מסויימת הנחוצות לארגון שבו אתם עובדים ידרשו מנוע של ACTIVE DIRECTORY על מנת לפעול, כמו תוכנות צד שלישי למינהן (נפוץ ביותר) אך אבוי לא תמיד נרצה לסכן את כל המידע הרגיש של הארגון שלנו בכך שניתן הרשאה לתוכנת צד שלישי לגשת אליו. אכן בעיה... אז זהו שלא, בדיוק למטרה זו פותח המנגנון של AD DS בגירסת ה"לייט" שלו מה שאומר מנוע של AD DS אבל ללא כל המידע הרגיש שלנו, כך שהתוכנות יעבדו בצורה חלקה ללא כל סיכון למידע הרגיש שלנו והדבר היחיד שמאוחסן ועובר רפליקציה הוא מידע הקשור לאותן התוכנות.

Active Directory CS
אירגונים רבים עושים שימוש בכלי זה בכדי ליצור רשות מאובטחת שביכולתה לבצע הנפקה של תעודות דיגיטליות שיעזרו לנו בביצוע אימות זהותם של משתמשים, ניתן לחשוב על זה בצורה דיי פשוטה ובסיסית כמו "חוגר צבאי" כך שרק מי שמחזיק בחוגר עם רמת הסיווג המתאימה יוכל לקבל הרשאת גישה למקום כזה או אחר, כמובן שבמציאות ישנם הרבה רבדים ושימושים רבים ונרחבים ביותר אך רק לטובת ההבנה של הרעיון נתתי דוגמה פשוטה יחסית. כחלק ממסגרת העבודה על תשתית מבוססת מפתחות ציבוריים (PKI) שתפקידה הוא לבצע חיבור בין זהותו של האדם, המכשיר, או אפילו השירות להגיב למפתח הפרטי המתאים לו והייחודי לו נוכל להיות בטוחים שאכן לא מדובר בנסיון זיוף של זהות. בתעודות ניתן להשתמש בכדי לאמת משתמשים מחשבים, לספק אימות מבוסס אינטרנט (כמו כן כרטיס חכם תומך גם הוא באימות), תמיכה ביישומים, כולל רשתות אלחוטית מאובטחת, רשתות וירטואליות פרטיות(VPNs) פרוטוקול אבטחת אינטרנט (IPSEC) ,ביצוע הצפנת קבצים EFS- וכמובן חתימות דיגיטליות. מנגון זה מעניק לנו את היכולות להנפיק ולנהל בצורה מאובטחת תעודות דיגטליות כמו כן ניתן להשתמש ב- AD CS בכדי לספק שירותים אלה ליישובים חיצוניים כמובן שאם נרצה לבצע זאת יחוייב שהשרת שלנו יחובר ל- CA חיצוני, בסופו של דבר שם המשחק הוא להוכיח בצורה חד משמעית ובלתי ניתנת לערעור שאכן אתה מי שאת טוען שאתה (אימות) וכאן נכנסות התעודות הדיגיטליות לתמונה.

Active Directory Federation Services
מנגון זה מאפשר לנו ליצור ולעבוד עם מנגון ה-IDA בקנה מידה רחב בהרבה בין ארגונים שונים ואף עם מערכות הפעלה שונות בין אם מדובר בסביבת "חלנות" ובין אם מדובר במערכת הפעלה אחרת, הרעיון מאחורי מנגון זה הוא בעצם היכולת ליצור שיתוף עבודה בין חברות שנות מבלי לפגוע ברמת האבטחה של אף אחת מהן, כלומר, משתמשים מחברה X יוכלו לעבור אימות על מערכת בחברה Y מבלי שהחברות יצטרכו לחלוק את זהויות העובדים הרשומות במערכותיהן אחת עם השניה לא רק זאת אלא משתמשים שעברו אימות תחת מערכת אחת יוכלו בצורה מיידים לגשת למערכת האחרת מבלי לעבור אימות נוסף, למרות שהדבר נשמע טריוואלי דעו לכם שכשמדובר בקנה מידה רחב הדבר חוסף המון פעילות אדמיניסטרטיבית.

Active Directory RMS
עד כה דיברנו על אימות אימות ואימות אבל מה קורה כשאובייקט מסויים כבר עבר את שלב האימות והגיע לשלב הגישה?! אז בטח ובטח שתחשבו לעצמכם אין שום בעיה, הרי אין סיבה לדאגה המשתמש (לדוגמה) הוא אדם שאנו סומכים עליו הלא כן?! אז איך אומרים ברוב המקרים זה ממש לא נכון, עצם העובדה שהמשתמש אומת לא בהכרח אומרת שאתם רוצים להעניק לו גישה מלאה והרשאות מלאות, תארו לכם מצב שבו פקיד/ה יוכלו לגשת לקבצים המסווגים ביותר בחברה ולעשות בהם ככל הועלה על רוחם... אני מניח שהבנתם את התמונה הכללית, אז נכון ישנם שיבואו ויגידו בשביל זה קיימת מערכת ה- ACL שכל תפקידה הוא בעצם לקבוע לאיזה משתמש תהיה זכות גישה לקובץ כזה או אחר והאם יוכל רק לקרוא אותו או לבצע פעולות נוספות, אבל מה אם תרצו לבצע הגדרות הרבה יותר נקודתיות... כמו לדוגמה משתמש יוכל לקורא קובץ מסויים אך לא יוכל להדפיסו וכאן בדיוק נכנסת לתמונה מערכת ה- RMS שלנו מערכת ניהול ההרשאות, המאפשרת לנו בצורה פשוט לאשר רק את מה שאנו רוצים לאשר ולא לתת הרשאות גורפות העללות לפגוע בבטחון המידע היקר שלנו.

אז כמו שראיתם ה- IDA הינו מנגון חכם ובעצם מעורב כמעט בכל אספקט של עבודה עם שרתי מיקרוסופט ובכלל.
כמובן שקצרה היריעה מלהסביר ולפרט לעומקם של דברים אך את המושג הכללי בהחלט קיבלתם והכל בסופו של דבר מתחיל מהבנת הרעיון הבסיסי .

מאמר זה נכתב על ידי מר. עידו שדדי, מרצה בכללת PRACTICU.