2

У меня есть сервер Windows 2008 R2, который должен содержать конфиденциальные документы в небольшой локальной сети. Два пользователя, которые используют сервер, делают это через RDP, поэтому никакие документы не передаются на клиентские рабочие станции. Во время проведения комплексной проверки я определил, что многочисленные службы и запланированные задачи, встроенные в Windows, могут позвонить домой и потенциально утратить данные.

Я бы хотел, чтобы любой из этих встроенных сервисов не делал этого, если это возможно, на уровне сервера.

К сожалению, у меня нет контроля над брандмауэром в локальной сети, так как это удаленный и консервированный сервер с длительным контрактом. Контроль этого также не будет использоваться, так как исходящий HTTP требуется для двух пользователей RDP на компьютере.

Патчи отправляются на компьютер через PowerShell с рабочей станции. Обновление Windows уже отключено.

Я рассмотрел брандмауэр Windows, но я не доверяю ему на 100%, и я знаю, что некоторые службы могут добавлять исключения к правилам во время выполнения.

Какие есть решения для решения этой проблемы, и есть ли документация о том, что потенциально может происходить по проводам, или это работа обратного инжиниринга?

Любая помощь приветствуется!

1 ответ1

3

Самый простой способ сделать это - сделать это с помощью групповой политики. Используя групповую политику, вы можете установить не переопределяемые правила брандмауэра, чтобы блокировать все исходящие соединения, если они не добавлены в явный список разрешений, который могут добавлять только пользователи Администратора домена. Если все программное обеспечение на сервере запущено с правами локального администратора или ниже, они не могут переопределить правила групповой политики (и даже если у них есть способ изменить его, проверка итоговых правил брандмауэра очень проста для аудита. Windows).

Если вам нужна дополнительная информация о том, как настроить правила брандмауэра с помощью групповой политики, я могу попытаться добавить дополнительную информацию.


Я сказал, что это самый простой способ, есть более мелкие элементы управления, где вы можете отключить каждую из специфических функций Windows, которые используют доступ в Интернет.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .