Min jista’ jċempel? Awditjar ta’ msNPAllowDialin qabel aċċess VPN

Il-password hija tajba, il-kont jinsab fil-grupp VPN, u l-konnessjoni xorta titwarrab b’mess li ma jsemmi l-ebda politika. Meta dan jiġri fuq server tal-aċċess mill-bogħod ta’ Windows, l-ewwel post li nħares lejh mhuwiex ir-regola NPS imma attribut wieħed ta’ Active Directory li ħadd ma jiftaħ: msNPAllowDialin, il-valur wara t-tab Dial-in. Għandu tliet stati, u t-tielet wieħed jgħaddi d-deċiżjoni bil-kwiet lil post ieħor. Ħafna drabi ħadd ma biddlu apposta: il-kont ġie kklonat minn mudell, jew inħoloq minn skritt li kiteb ċaħda espliċita snin ilu u qatt ma reġa’ ġie rivedut.

Iċ-ċaħda tista’ ssir qabel ma tiġi mqarrba l-politika

Windows jivverifika l-permess taċ-ċempel tal-kont waqt li jibni d-deċiżjoni tal-awtorizzazzjoni, għalhekk ċaħda espliċita ttemm il-konversazzjoni kmieni. Dak li tara fuq il-klijent huwa falliment ġeneriku tal-awtentikazzjoni, xi drabi wara li jitlesta l-iskambju taċ-ċertifikati, u għalhekk in-nies iqattgħu nofs ta’ wara nofsinhar jittestjaw kredenzjali li qatt ma kienu l-problema.

Il-każ oppost huwa daqstant konfuż. Kont li qatt ma ġie stabbilit il-bandiera tiegħu jista’ jgħaqqad b’suċċess għax il-politika ppermettietu, u mbagħad l-istess kont jieqaf jgħaqqad meta xi ħadd jeditja r-regola NPS għal raġuni mhux relatata. L-ebda wieħed miż-żewġ avvenimenti ma jidher minn barra bħala bidla fil-permess taċ-ċempel.

Tliet stati, u t-tielet wieħed huwa inviżibbli

TRUE jippermetti ċ-ċempel, FALSE jiċħdu, u NULL ifisser li l-kont jiret it-tweġiba tiegħu mill-politika tal-aċċess mill-bogħod jew mill-awtorizzazzjoni NPS. Il-GUI turi dak it-tielet stat bħala "Control access through NPS Network Policy", u jinqara bħala kaxxa tal-ittikkjar mhux immarkata aktar milli bħala deċiżjoni.

Għalhekk l-għadd tal-utenti permessi mill-konsol kważi ma jgħid xejn. Kont mitluf jista’ jkun permess illum u miċħud għada mingħajr ma jintmiss il-kont, u FALSE kont xorta jista’ jgħaqqad fuq server li l-politika tiegħu hija konfigurata biex tinjora l-propjetajiet taċ-ċempel tal-utent. Aqra l-attribut u l-politika flimkien, inkella tkun qed tawditja nofs deċiżjoni.

Esporta l-bnadar mingħajr ma titlef il-kontijiet mitlufa

Mexxi l-esportazzjoni minn kontrollur tad-dominju, jew minn stazzjon tax-xogħol bil-modulu Active Directory, u żomm il-fajl nej bħala prova minflok ma terġa’ tikteb sommarju:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Filtru LDAP wieħed huwa eħfef biex tippejstjah f’rekord tal-bidla. Dan jirritorna biss il-permessi espliċiti:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Imbagħad staqsi mill-ġdid mingħajr il-klawsola taċ-ċempel u fittex kontijiet li l-valur tagħhom huwa nieqes. Dawk huma dawk mitlufa, normalment l-akbar grupp fid-dominju, u jekk taqbiżhom l-awdit isir lista tal-ftit nies li xi ħadd ftakar jikkonfigura bl-idejn.

Ifred il-bandiera mill-aċċess tal-grupp u mis-saħħa tal-kont

L-attribut iwieġeb għal mistoqsija waħda: jistax dan il-kont iċempel. Ma jgħid xejn dwar jekk il-persuna għadha taħdem hawn, jekk il-kont huwiex attivat, jew jekk hemmx password kondiviża f’nota tal-helpline. Par l-esportazzjoni mal-istat tal-attivazzjoni, mad-data tal-aħħar dħul u mal-membru tal-grupp li jagħti aċċess għas-server.

Il-kombinazzjonijiet huma dak li taġixxi fuqu. Kont diżattivat b’TRUE huwa biss storbju. Kont attivat b’TRUE li ma daħalx għal sena huwa kandidat għat-tneħħija. Kont mitluf fil-grupp VPN li ħadd ma jista’ jispjega huwa s-sejba li tabilħaqq tiswa, għax l-ebda konfigurazzjoni waħda ma tirrekordja għaliex ingħata.

Aqrah mill-kontrollur tad-dominju li s-server VPN verament jawtentika kontrih. Dewmien fir-replikazzjoni jista’ juri valur li s-server diġà ssostitwixxa, u awdit li jikkwota valur DC skadut jiġi sfidat fil-mument li xi ħadd jerġa’ jivverifika.

Ibdel kont wieħed u ppruva li l-bidla waslet

Biex tneħħi l-aċċess, issettja l-attribut għal FALSE minflok ma tikklerjah. It-tindif iġib il-kont lura għall-wirt tal-politika, li jista’ jerġa’ jippermettih fil-konnessjoni li jmiss, u l-bidla tidher bħala tiswija filwaqt li fil-verità hija deċiżjoni differenti:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

It-tieni linja hija r-reset tal-wirt, miżmuma apposta għall-wahda tagħha biex ħadd ma jħawwad iż-żewġ operazzjonijiet. Imbagħad ikkonferma minn sessjoni oħra, aqra l-attribut mill-ġdid, u ċċekkja l-avvenimenti tal-kontabilità NPS għaċ-ċaħda minflok ma tafda fit-tiġdid tal-konsol.

Fl-aħħar, ikteb liema mekkaniżmu jippossjedi d-deċiżjoni għal kull servizz tal-aċċess mill-bogħod. Jekk il-politika tinjora l-propjetajiet taċ-ċempel tal-utent, il-kundizzjoni tal-grupp hija awtorevoli u l-attribut huwa biss konsultattiv għal dak is-servizz. Żewġ servizzi fl-istess dominju jistgħu leġittimament iwieġbu b’mod differenti, u r-rekord tar-reviżjoni għandu jgħid dan f’linja waħda għal kull servizz.

Ir-riżultat li jiflaħ għal awdit huwa qasir: min jista’ jgħaqqad, b’liema mekkaniżmu, meta ġie rivedut, minn min. Il-bandiera taċ-ċempel tagħti l-ewwel żewġ tweġibiet; ir-reviżjoni tal-politika biss tagħti l-bqija.