Większość incydentów nie wynika z braku narzędzi, lecz z uprawnień, które ktoś nadał dawno temu i o nich zapomniał. Ten obszar dotyczy podstaw, które działają niezależnie od budżetu: modelu warstw dla kont uprzywilejowanych, ograniczania powierzchni ataku, aktualizacji i higieny konfiguracji.
Konto usługi SQL Servera z hasłem, które nigdy nie wygasa i które zna kilka osób, zostaje bez zmian latami, bo zmiana hasła oznacza przestój na każdym serwerze. Jak wdrożyć grupowe zarządzane konto usługi (gMSA): klucz KDS, konto, instalacja na serwerach i zmiana konta w SQL Server Configuration Manager.
Uwierzytelnianie Windows w SQL Serverze działa także wtedy, gdy Kerberos zawodzi, bo klient po cichu przechodzi na NTLM. Jak klient buduje SPN, dlaczego instancja nazwana potrzebuje stałego portu i własnej nazwy DNS oraz jak sprawdzić, którym protokołem łączą się aplikacje.
Login wpuszcza na instancję, użytkownik daje dostęp do bazy, a łączy je SID, nie nazwa. Jak budować dostęp z grup katalogu i własnych ról, dlaczego aplikacja powinna logować się kontem Windows i jak naprawić użytkownika bez loginu po odtworzeniu bazy na innym serwerze.
Wymuszana zmiana hasła co 90 dni i reguły „wielka litera, cyfra, znak specjalny” to zalecenia, z których standardy się wycofały. Co je zastąpiło, jak sprawdzić obecne ustawienia domeny i które metody MFA są odporne na phishing.
Konto VPN dla dostawcy daje mu dostęp do całej sieci, bez zapisu tego, co zrobił, i często na lata po zakończeniu umowy. Bramka z nagrywaniem sesji, konta czasowe w Active Directory i MFA ograniczają dostęp do konkretnych maszyn i konkretnego okna czasu.
Im bardziej wszystko zależy od jednego miejsca logowania, tym bardziej potrzebny jest dostęp, który od niego nie zależy. Konta tylko-chmurowe z kluczami FIDO2, konto w katalogu z dzielonym hasłem, alert przy każdym użyciu i test co kwartał.
System CI, platforma GitOps, monitoring i baza wiedzy potrafią logować użytkowników kontem domenowym. Bezpośrednie LDAPS i OIDC przez pośrednika, takiego jak Dex lub Keycloak, dają ten sam efekt dla użytkownika i zupełnie inny dla bezpieczeństwa.
To samo hasło lokalnego administratora na wszystkich stacjach z jednego obrazu to otwarta droga od pierwszej zainfekowanej maszyny do pozostałych. Windows LAPS rozwiązuje to bez dodatkowych licencji, a kilka zapytań pokazuje, czy ochrona obejmuje całą flotę.
Hasła w playbookach, tokeny w zmiennych pipeline'u, ręcznie tworzone Secrety w klastrze. Jak w małym zespole przenieść sekrety do jednego źródła i dostarczać je konsumentom bez zapisywania wartości w repozytorium.
Bez żadnej polityki sieciowej każdy pod w klastrze może połączyć się z każdym. Jak wprowadzić domyślną odmowę per przestrzeń nazw, dopuścić DNS, ruch z kontrolera ingress i do bazy, i nie wyłączyć przy tym aplikacji.
Data wygaśnięcia certyfikatu jest znana od dnia wystawienia, a mimo to wygasłe certyfikaty zatrzymują usługi. Jak zbudować inwentarz z trzech źródeł, odczytać daty poleceniami i ustawić progi alertów dopasowane do sposobu odnawiania.
Jedna płaska sieć jest prosta do pierwszego incydentu. Plan stref z przykładowymi podsieciami, macierz dozwolonych przepływów i test, który pokazuje, że porty zarządzania są nieosiągalne ze stacji i z sieci gości.
Katalog, w którym nikt nie sprząta, zbiera konta osób, które odeszły, komputery, których już nie ma, i uprawnienia nadane na chwilę kilka lat temu. Zapytania, które to pokazują, i procedura usuwania, którą można cofnąć.
Administrator domeny, który loguje się na stację roboczą, zostawia na niej klucz do całego katalogu. Trzy warstwy, osobne konta i kilka praw użytkownika w zasadach grupy zamykają tę drogę bez dodatkowego oprogramowania.
Surowa polityka opublikowana w jeden dzień kończy się odrzuceniem własnych faktur i powiadomień. Etapy wdrożenia z gotowymi rekordami DNS, konfiguracją DKIM w Exchange Online i poleceniami do weryfikacji.
Wiadomość zatrzymana przez filtr nie zawsze generuje powiadomienie. O tym, czy użytkownik się o niej dowie i czy może ją zwolnić, decyduje zasada kwarantanny przypisana do mechanizmu, który ją zatrzymał.