È meglio aggiornare la propria foresta AD esistente ad Active Directory di Windows Server 2016 (noto anche come AD 2016) o lasciarla così com’è? Nonostante l’attenzione e l’attività che oggi ruotano attorno all’adozione dei servizi cloud, resta il fatto che Active Directory continua a costituire la base di tutto. Oltre al suo dominio di lunga data come fonte di identità on-premise, la stragrande maggioranza delle organizzazioni di medie e grandi dimensioni in tutto il mondo utilizza un modello di identità ibrido, basato su AD, per i propri servizi cloud. Di conseguenza, si tratta di una questione importante.
Uno dei motivi principali per cui i reparti IT non hanno ancora aggiornato il proprio ambiente AD a Windows Server 2016 da sistemi operativi in fase di supporto intermedio, come Windows Server 2012 o R2, è che non ritengono vi sia una “funzionalità di punta” chiara e convincente, come il Cestino di AD, che giustifichi l’aggiornamento. Se siete tra questi, dovreste dare un’occhiata più da vicino a Windows Server 2016.
Utilizziamo alcuni scenari – esempi aziendali e tecnici di ambienti ed esigenze che potrebbero riguardare anche voi – per esaminare i principali miglioramenti apportati alla sicurezza di Active Directory e del sistema operativo in Windows Server a partire dalla versione 2008 R2. Qualcuno di questi scenari corrisponde alla vostra organizzazione?
Se si virtualizzano i DC
La virtualizzazione è ormai diffusa da molti anni, ma la virtualizzazione dei domini di controllo (DC) è spesso rimasta indietro rispetto ad altri carichi di lavoro per un paio di validi motivi: integrità e sicurezza. Se avete virtualizzato alcuni o tutti i vostri DC, sia il sistema operativo Windows Server 2016 di base che Active Directory presentano importanti miglioramenti in termini di integrità e sicurezza di cui dovreste approfittare immediatamente.
Uno dei problemi legati alla virtualizzazione di un’applicazione come AD, che tiene traccia del proprio stato, è che, se ripristinata da uno snapshot della macchina virtuale creato in precedenza, il DC ripristinato non si rende conto di non essere più sincronizzato con gli altri DC. Questa condizione può causare gravi errori di divergenza nel dominio o nella foresta. Windows Server 2012 ha introdotto una funzionalità sia in AD che in Hyper-V, il VM-GenID, che essenzialmente comunica ad AD di essere stato ripristinato da uno snapshot e di adottare le misure appropriate per proteggersi.
Una volta ricevuto l'avviso relativo al ripristino dallo snapshot, il DC elimina il proprio pool di RID e reimposta l'ID di invocazione (il numero di versione del database AD) per evitare problemi di divergenza. (Tuttavia, non è comunque consigliabile ripristinare regolarmente i DC dagli snapshot.) Anche VMware, Xen e altri fornitori di soluzioni di virtualizzazione hanno adottato questo metodo, quindi i vostri DC non devono necessariamente essere su Hyper-V.
Se i vostri DC utilizzano Windows Server 2012 o 2012 R2 e non li avete ancora virtualizzati a causa di preoccupazioni relative alla sicurezza dei server host, Windows Server 2016 offre una funzionalità importante per voi. Il sistema operativo più recente risolve un problema di sicurezza fondamentale legato a qualsiasi macchina virtuale: chiunque disponga di diritti di amministratore sulla macchina host può semplicemente copiare i file della macchina virtuale dall’host e manometterli a proprio piacimento. Un DC è un bersaglio privilegiato per questo tipo di attacco poiché, ovviamente, contiene gli ID utente e le password di tutti i dipendenti dell’azienda. La funzionalità “Shielded VMs” protegge le macchine virtuali da amministratori compromessi o malintenzionati, quali gli amministratori dello storage, quelli dei backup, ecc., crittografando il disco e lo stato delle macchine virtuali in modo che solo gli amministratori della VM o del tenant possano accedervi.
Assistenza ai clienti in un mondo ibrido
Ovviamente, un'organizzazione non si limita ai soli server. Anche i client con cui gli utenti interagiscono sono importanti. In passato, il reparto IT doveva occuparsi solo dei client Windows aderenti al dominio, ma oggi gli utenti aziendali hanno a disposizione una vasta gamma di opzioni tra cui scegliere. Nel corso di diverse versioni, AD si è adattato per gestire questa maggiore varietà.
Se la vostra organizzazione sta adottando la “trasformazione digitale” dei servizi cloud – in particolare Azure Active Directory con client Windows 10 – esiste uno scenario in cui è necessario esaminare più da vicino AD 2016. Innanzitutto, alcune informazioni di base sul supporto dei dispositivi in AD aiuteranno a comprendere meglio lo scenario.
Active Directory supporta storicamente i dispositivi Windows uniti al dominio. A partire da Windows Server 2012 R2, AD ha anche permesso a un utente di eseguire una registrazione (si può pensare a un'unione leggera) di un dispositivo mobile come uno smartphone. Questa funzionalità di Workplace Join conferisce al dispositivo una presenza in AD e lo associa a un utente. Questa associazione conferisce al dispositivo un grado di fiducia superiore a quello di un dispositivo sconosciuto, e quindi gli può essere concesso il single sign on e l'accesso a risorse di rete più sicure.
Anche il “fratello maggiore” di AD nel cloud – Azure AD – supporta entrambi questi tipi di dispositivi. È possibile collegarli direttamente al servizio cloud utilizzando l’Azure AD Join per i dispositivi Windows 10 e la registrazione Intune per i dispositivi iOS, Android e Mac OS. Questa architettura già di per sé complessa diventa ancora più intricata in un ambiente ibrido con client Windows 7 e 8 on-premise; è possibile far sì che Azure AD ne riconosca la presenza tramite un Azure AD Join ibrido, necessario per applicare criteri di accesso condizionale basati sul dispositivo.
Stai valutando Windows Hello for Business per garantire un’autenticazione sicura che vada oltre le password? Fin da subito, Hello ti offre la possibilità di sbloccare il tuo dispositivo Windows 10 utilizzando un dato biometrico o un PIN. Hello for Business è un framework MFA più ampio che utilizza chiavi asimmetriche (memorizzate nel modulo di sicurezza del dispositivo) per autenticare l’utente. Esiste uno scenario MFA in un ambiente ibrido Active Directory locale/Azure AD in cui sono necessari sia AD 2016 che AD FS 2016. Parlerò dei motivi per cui vale la pena considerare l’aggiornamento ad AD FS 2016 in un prossimo post sul blog.
Migliore sicurezza
A prescindere dai miglioramenti apportati ad Active Directory, l’aggiornamento al sistema operativo sottostante, Windows Server 2016, offre notevoli vantaggi in termini di sicurezza. Se dovessi trovarti ancora su 2008 R2, con l’aggiornamento avrai a disposizione un’interfaccia utente per il Cestino di Active Directory che ne semplifica notevolmente l’utilizzo. Potrete inoltre iniziare a colmare una falla di sicurezza di lunga data: le password obsolete e immutabili degli account di servizio. Gli account di servizio gestiti dal gruppo (gMSA) aggiornano automaticamente la password di questi account al posto vostro, anche se vengono utilizzati in un cluster.
Se state già utilizzando la versione 2012 R2, Windows Server 2016 presenta alcuni miglioramenti in termini di sicurezza da tenere in considerazione. Windows Defender Credential Guard e Remote Guard proteggono le credenziali NTLM e Kerberos in AD, impedendo che vengano raccolte dagli aggressori e utilizzate per attacchi "pass-the-hash". Windows Defender Application Control protegge l’integrità del sistema operativo di base consentendo l’esecuzione solo di determinate applicazioni (pratica nota anche come whitelisting): un’ottima misura di sicurezza per un server che esegue un carico di lavoro dedicato come AD.
Gestione degli accessi privilegiati per AD
Se avete ricevuto l'indicazione di proteggere rigorosamente i vostri account amministrativi di AD, AD 2016 introduce anche la Gestione degli accessi privilegiati (PAM). In combinazione conun'implementazione dedicatadi MIM, la PAM consiste in una foresta "rossa" speciale e altamente protetta che potete creare per controllare i gruppi amministrativi di una foresta AD di destinazione.
AD 2016 introduce aggiornamenti ai gruppi di sicurezza, denominati "shadow principals", che consentono ai gruppi amministrativi della foresta di destinazione di essere "replicati" nella foresta rossa tramite una nuova forma di trust tra foreste. Quando un account amministratore nella foresta "red" viene aggiunto a un gruppo di amministratori "shadowed" in quella foresta, acquisisce lo stesso SID del gruppo di amministratori e, di conseguenza, gli stessi diritti. Grazie a questa funzionalità, gli account amministrativi vengono rimossi dalla foresta di destinazione ed esistono solo nella foresta "red" protetta.
AD 2016 ha anche aggiornato il protocollo Kerberos che consente di limitare nel tempo l'appartenenza a un gruppo (memorizzata nel campo PAC del ticket Kerberos). In combinazione con i presidi ombra e il flusso di richieste di accesso integrato in MIM, gli amministratori possono richiedere e ottenere diritti di amministrazione (tramite l'appartenenza a un gruppo) per un determinato periodo di tempo. Allo scadere del tempo, questi diritti vengono automaticamente revocati.
Motivi per rimanere dove siete
Francamente, non ci sono molti motivi per rimanere su un livello AD ribassista.
Se disponi di una foresta di prova in una rete isolata, in esecuzione su DC fisici, che non supporta dispositivi client, allora forse puoi rimandare un po'.
Forse il budget è un problema al momento. Il vostro management deve guardare al quadro generale: la maggior parte delle aziende ha meno di cinquanta DC. Il costo delle licenze, dell'aggiornamento e dell'implementazione di nuove funzionalità su questi server è insignificante rispetto al costo di una violazione che si verifica con l'acquisizione di credenziali di dominio da versioni precedenti di AD.
La compatibilità di AD con applicazioni molto datate, o con vecchi software client integrati in hardware molto costoso, come le apparecchiature di produzione computerizzate, può rappresentare una questione più spinosa. Ma 2008 R2 non sarà più utilizzabile ancora per molto: la fine del supporto (con SP1 applicato, si badi bene) è prevista peril 14 gennaio 2020. Manca solo un anno e quattro mesi. La fine del supporto significa che Microsoft non fornirà più aggiornamenti di sicurezza – un servizio essenziale nell’odierno mondo delle vulnerabilità e delle patch, in cui vige una continua lotta tra aggressori e difensori. Le foreste 2012 e 2012 R2 hanno più tempo a disposizione: fino al 10 ottobre 2023. (Si noti che sia la versione 2012 che la R2 hanno la stessa data di fine del supporto.)
Raccomandazioni
I miei consigli sono:
- Se i vostri DC sono in esecuzione con 2008 R2, indipendentemente dagli scenari precedenti, dovreste pianificare gli aggiornamenti ed eseguire subito i test di compatibilità delle applicazioni.
- Per gli utenti di 2012 o 2012 R2, i miglioramenti apportati alla virtualizzazione e alla sicurezza di base del sistema operativo giustificano un aggiornamento. È inoltre consigliabile collaborare con i team di ingegneria server e sicurezza in qualità di parte interessata per promuovere l'implementazione dei miglioramenti di sicurezza di 2016 nell'immagine di build standardizzata della piattaforma. I problemi di compatibilità delle applicazioni dovrebbero essere minimi.
- A meno che non rientriate nello scenario ibrido specifico di Hello for Business, i miglioramenti nella gestione dei dispositivi non costituiranno un fattore determinante per l'adozione di AD 2016.
Se si analizza attentamente la scelta tra l'aggiornamento ad AD 2016 e il mantenimento della situazione attuale, a parte la compatibilità delle applicazioni non ci sono davvero validi motivi per non procedere all'aggiornamento. Probabilmente il motivo principale per non aggiornare è l'autocompiacimento: il sistema funziona bene così com'è. Tuttavia, i miglioramenti alla sicurezza sia nel sistema operativo di base che in AD rafforzeranno in modo significativo la protezione della vostra organizzazione contro gli attacchi. Ciò significa che dovreste iniziare a pianificare i vostri aggiornamenti fin da oggi.
