當(dāng)前位置 主頁 > 技術(shù)大全 >
無論是對于中型組織還是大型組織，跳轉(zhuǎn)服務(wù)器都提供了一種高效且安全的方法來管理和訪問不同安全區(qū)域中的設(shè)備
本文將詳細(xì)介紹如何高效且安全地跳轉(zhuǎn)服務(wù)器，確保您的IT管理更加順暢和安全
一、了解跳轉(zhuǎn)服務(wù)器 跳轉(zhuǎn)服務(wù)器是一種強(qiáng)化的服務(wù)器，主要用于訪問和管理其他安全區(qū)域中的設(shè)備，例如內(nèi)部網(wǎng)絡(luò)和外圍網(wǎng)絡(luò)之間的區(qū)域
這種服務(wù)器可以用作單一聯(lián)系和管理點(diǎn)，使得管理員能夠集中管理和控制各個(gè)設(shè)備和系統(tǒng)
對于中型組織來說，跳轉(zhuǎn)服務(wù)器尤其有助于增強(qiáng)那些物理安全性更具挑戰(zhàn)的位置的安全性，例如沒有數(shù)據(jù)中心的分支機(jī)構(gòu)
而對于大型組織，管理員可以在數(shù)據(jù)中心內(nèi)部部署跳轉(zhuǎn)服務(wù)器，提供對服務(wù)器和域控制器的高度受控訪問
二、跳轉(zhuǎn)服務(wù)器的安全配置 由于跳轉(zhuǎn)服務(wù)器通常不包含任何敏感數(shù)據(jù)，但用戶憑據(jù)存儲(chǔ)在內(nèi)存中，惡意黑客可能會(huì)將這些憑據(jù)作為攻擊目標(biāo)
因此，必須對跳轉(zhuǎn)服務(wù)器進(jìn)行嚴(yán)格的加固和安全配置
1.使用PAW（Privileged Access Workstation） PAW是一種專門配置的工作站，用于訪問高價(jià)值資產(chǎn)
使用PAW來訪問跳轉(zhuǎn)服務(wù)器，可以顯著提高安全性
PAW通常運(yùn)行在專用硬件上，支持基于硬件和軟件的安全功能，例如： -Windows Defender CredentialGuard：對內(nèi)存中的域憑據(jù)進(jìn)行加密
-Windows Defender Remote Credential Guard：防止將遠(yuǎn)程憑據(jù)發(fā)送到跳轉(zhuǎn)服務(wù)器，轉(zhuǎn)而使用Kerberos版本5單一登錄票證
-虛擬機(jī)監(jiān)控程序強(qiáng)制代碼完整性（HVCI）：實(shí)現(xiàn)基于虛擬化的安全性，強(qiáng)制內(nèi)核模式組件遵循代碼完整性策略
2.配置代碼完整性 使用配置代碼完整性功能，管理員可以創(chuàng)建自定義代碼完整性策略并指定受信任的軟件
這有助于防止惡意代碼在跳轉(zhuǎn)服務(wù)器上運(yùn)行
3.智能卡和遠(yuǎn)程桌面協(xié)議（RDP） 管理用戶可以使用智能卡和RDP連接到跳轉(zhuǎn)服務(wù)器，以執(zhí)行管理任務(wù)
智能卡提供了一種安全且便捷的身份驗(yàn)證方式，而RDP則允許管理員遠(yuǎn)程訪問服務(wù)器
三、邏輯安全區(qū)域的創(chuàng)建 通過使用帶或不帶PAW的跳轉(zhuǎn)服務(wù)器，可以創(chuàng)建邏輯安全區(qū)域
在一個(gè)區(qū)域內(nèi)，計(jì)算機(jī)的安全性和連接性配置類似，這有助于簡化管理并提高安全性
1.使用組策略對象（GPO） 在域環(huán)境中，可以使用GPO來配置這些設(shè)置
GPO允許管理員為不同的用戶或計(jì)算機(jī)組定義安全策略、軟件安裝和配置設(shè)置等
2.管理用戶和普通用戶的分離 管理用戶有一個(gè)管理帳戶，并使用智能卡來向其管理PAW進(jìn)行身份驗(yàn)證
普通用戶則使用標(biāo)準(zhǔn)帳戶進(jìn)行身份驗(yàn)證，并訪問標(biāo)準(zhǔn)應(yīng)用來執(zhí)行日常辦公任務(wù)
四、實(shí)現(xiàn)跳轉(zhuǎn)服務(wù)器的最佳實(shí)踐 在實(shí)現(xiàn)跳轉(zhuǎn)服務(wù)器時(shí)，有一些最佳實(shí)踐可以幫助提高安全性和效率
1.遠(yuǎn)程桌面網(wǎng)關(guān) 如果管理員必須直接連接到目標(biāo)服務(wù)器（使用RDP），請實(shí)現(xiàn)遠(yuǎn)程桌面網(wǎng)關(guān)
通過遠(yuǎn)程桌面網(wǎng)關(guān)，可以對跳轉(zhuǎn)服務(wù)器的連接以及將用于管理的目標(biāo)服務(wù)器實(shí)施限制，從而增加一層安全防護(hù)
2.Hyper-V和虛擬機(jī)（VM） 考慮為跳轉(zhuǎn)服務(wù)器上的每個(gè)管理員實(shí)現(xiàn)VM
每個(gè)VM都可以配置為允
