Admin absichern.. welche Dienste erforderlich?

[Sebbl2k]

Hallo,

weiß jemand, welche Dienste man mit 2FA absichern muss um den Zugang zum Server zu beschränken?

RDP ist klar... aber es gibt z.B. auch irgendwelche Dienste, die eine Ferninstallation von Software zulassen (Veeam z.B.).

 

[Phil_81]

Für sowas wie Veeam-Zugriffe (u.a. auch Agent-Installationen) nimmt man dedizierte Service-User, mit welchen nicht produktiv gearbeitet wird...

 

[B3rry]

Bist du da im Firmenumfeld unterwegs ?

 

[Sebbl2k]

Privat

 

[nutrix]

Eigentlich sichert man nur den Zugang zum Server irgendwie per MFA ab. Das man das für einzelne Dienste tun kann oder soll wäre mir neu.

 

[TechX]

Wo befindet sich denn der Server? Im heimischen LAN?
Welche Dienste werden wo angeboten?
Gibt es Dienste, die ins Internet gehen?

Wenn alles sich lokal abspielt, braucht man sich nur über eine evtl. VPN Gedanken machen.

 

[Sebbl2k]

nehmen wir hypothetisch an, dass jemand an admin kommt... dann kann er ja auch an das gerät, wenn rdp gesperrt wird. oder über welchen dienst läuft z.B. die veeam installation?

Im heimischen LAN. Dienste im Internet werden nicht angeboten.
Aber wenn z.B. ich mir was einfange und irgendwo admin abgegriffen wird.. dann reicht es wohl nicht, den ms server rdp dienst per mfa abzusichern.. richtig?

 

[VDC]

Ist total einfach, das Netzwerkkabel ziehen und nie wieder einstecken. Oder anders herum, du wirst nie alle Lücken und Schlupflöcher erwischen. Suchbegriff wäre sonst "Server Hardening <Serverversion>"


Ansonsten ist das einzige was hilft brain.exe beim Umgang im Netz und eine ordentliche Backupstrategie.

 

[H3llF15H]

Deine gesuchte Absicherung lautet VLAN.

 

[VDC]

Nein, VLAN ist keine alleinige Lösung.

 

[gaym0r]

@Sebbl2k
Du machst dir sorgen, dass jemand irgendwie an deine admin credentials kommt, dann bei dir zu Hause einbricht und sich mit dem Server verbindet? Findest du das nicht ein wenig weit hergeholt?

 

[Sebbl2k]

eigentlich mache ich mir sorgen, dass jemand irgendwo im netz einen trojaner installiert...
dann irgendwo an die credentials kommt.. und letztlich mehr löscht, verschlüsselt oder abzieht als eigentlich freigegeben ist.

 

[VDC]

Also deine Daten dürften bis auf ein wenig Kreditkarte/Banking, Onlinekonten oder ähnliches nicht wirklich interessant sein und zumindest so uninteressant sein, dass da keiner etwas händisch oder gar einen gezielten Angriff macht.

Da wird der normale Rechner interessanter sein und da kann man wahrscheinlich auch alles einfacher abgreifen. Ein wenig verschlüsseln auf freigaben gehört halt dazu

 

[gaym0r]

eigentlich mache ich mir sorgen, dass jemand irgendwo im netz einen trojaner installiert...

Dann hast du doch schon ganz andere Probleme. Im privaten Umfeld hat der Angreifer dann schon quasi alles was er braucht. Eventuelle SMB-Shares sind ja auch direkt gemappt, warum sollte er sich dann noch die Mühe machen irgendeinen Server zu kapern? Das passiert im privaten Umfeld nicht.

 

[Innensechskant]

Prinzipiell sollte der eingebaute Admin deaktiviert werden, nachdem ein neuer administrativer Benutzer angelegt wurde. Oft finden Angriffe auf Basis der SID statt und die ist beim Built-In-Admin immer auf jedem Gerät gleich.

 

[Sebbl2k]

welcher dienst wird denn für die installation genutzt?
vermutlich dann die datei- und druckerfreigabe?!

die freigegebenen smb shares nehme ich dann ich kauf.. aber das ding soll sich nicht überall verbreiten.

 

[s1ave77]

Zero Trust auch in den eigenen 4 Wänden. Traue niemals, verifiziere immer! Vertrauen in Schutz durch Software ist trügerisch .

Ein aktuelles System mit ebenso aktueller Software, ein entsprechend gehärteter Browser und das Bewußtsein um die Gefahren im Netz mit entsprechendem Verhalten eliminieren 99,9% der Angriffsvektoren ohne dass die AV-Software arbeiten muß.

Der Einsatz von 2FA wo nur irgend möglich ist da selbstredend.

 

[Sebbl2k]

ja.. sag das mal jugendlichen 😂

 

[nutrix]

nehmen wir hypothetisch an, dass jemand an admin kommt...

Dann hast Du eh schon verloren. Was für ein OS verwendest Du genau? Eventuell kannst Du einstellen, daß Du eine Benachrichtigung bekommst, sobald ein Admin sich anmeldet oder etwas als Admin startet. Ansonsten RDP mit Zertifikaten absichern, daß nur Du von Deinem Client aus hast. VPN wurde schon genannt, falls Du von außen kommst.

aber es gibt z.B. auch irgendwelche Dienste, die eine Ferninstallation von Software zulassen (Veeam z.B.).

Auf einem wichtigen Server dann deaktivieren und nur dann nur für die Zeit aktivieren, wenn wirklich Du Installationen vornimmst.

 

[Sebbl2k]

welcher dienst lässt denn das zu?
es reicht ja, wenn ich bei veeam die credentials und ip eingebe und schon läuft die installation.