Segurança – Protegendo Servidores e Estações de Ataques

Alguns passos para proteção de servidores e Workstations que podem ser aplicados na Default Domain Policy para que seja propagada ao dominio.

por Jason Bonatelli

Restrição de Acesso Nulo

Criar a seguinte chave de registro para proteger a acessos via "Sessão Nula" de servidores e workstations, esta configuração serve para todas as versões do Windows 2003 Server e Windows 2008 Server e também para as workstations Windows XP Professional e Windows Vista.

Quando um programa ou serviço é iniciado usando a conta de usuário do sistema, o programa ou serviço faz logon com credenciais nulas. Se esse programa ou serviço tenta acessar um recurso de servidor Windows remoto como um compartilhamento de arquivo (usando uma sessão nula), a operação poderá falhar se o compartilhamento de arquivo não está configurado como um compartilhamento de sessão nula, ou se as restrições de registro, grupo ou diretiva estão em vigor no servidor que está hospedando o compartilhamento de arquivos

• MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters\RestrictNullSessAccess=4,1
• 4 = Chave do tipo Reg_Dword
• 1 = Número qual irá habilitar a chave de registro

Protegente o HashLM

Criar as seguintes chaves de registro para a proteção ao HashLM do servidores. Em vez de armazenar a senha da sua conta de usuário em texto sem formatação, o Windows gera e armazena as senhas de conta de usuário usando duas representações de senha diferentes, geralmente conhecidas como "hashes". Ao definir ou alterar a senha de uma conta de usuário para uma senha que contém menos de 15 caracteres, o Windows gera um hash do LM hash (LAN Manager) e um NT hash (hash do Windows NT) da senha. Estes hashes são armazenados no banco de dados SAM (Gerenciador de contas de segurança) local ou no Active Directory.

Sistemas compatíveis com a configuração - Windows 2000 Server, Windows 2003 Server, Windows XP Professional

• MACHINE\System\CurrentControlSet\Control\Lsa\NoLMHash=4,1
• MACHINE\System\CurrentControlSet\Control\Lsa\NoLMHash\NoLMHash=4,1
• 4 = Chave do tipo Reg_Dword
• 1 = Número qual irá habilitar a chave de registro

Restringir Acesso Anônimo e Acesso anônimo na SAM ( Security Account Manager )

O SAM é um banco de dados presente em servidores que executam o Windows Server 2003 que armazena contas do usuário e descritores de segurança para usuários no computador local. Para proteger o seu SAM, adicione as seguinte chaves de registro em seus servidores ou crie um tamplate e importa o mesmo aplicando em uma GPO.

• MACHINE\System\CurrentControlSet\Control\LSA\RestrictAnonymousSAM=4,1
• MACHINE\System\CurrentControlSet\Control\LSA\RestrictAnonymous=4,1
• 4 = Chave do tipo Reg_Dword
• 1 = Número qual irá habilitar a chave de registro