Upload
carmela-quijano
View
5
Download
1
Embed Size (px)
Citation preview
Agenda
• Introducción
• Infraestructura de GPO
• GPMC
• Plantillas de Seguridad
• Migración de GPO
Introducción
• Las GPO gestionan configuraciones especificas para máquinas y usuarios
• Incluyen entre otras las siguientes opciones:– Seguridad– Instalacion de Software– Redireccion de carpetas– Mantenimiento de Internet Explorer
• Las GPO se vinculan a contenedores:– Sitios– Dominios– Unidades organizativas
Requisitos
• Para el uso de GPO:– Directorio Activo– Clientes con Windows 2000 o posteriores
• Para el uso de la GPMC– Un dominio Windows 2000 o Windows 2003– Aunque la herramienta debe instalarse en
Windows 2003 o Windows XP con SP1
Novedades en Windows 2003
• Restauracion del sistema
• Terminal server.
• Personal firewall.
• Panel de control
• Windows Media® Player.
• Configuracion Wireless
• Restricciones de software
GPMC
Agenda
• Infraestructura de GPO
Caracteristicas generales
• Las GPOs no pueden vincularse directamente a usuarios, equipos o grupos.
• Una GPO puede vincularse a más de un sitio, dominio o unidad organizativa.
• Un sitio, dominio o unidad organizativa puede tener varias GPOs vinculadas
Orden general de aplicación
Local Security Policy
Site Policy
Domain Policy
Parent OU Policy
Child OU Policy
Ejemplo de aplicacionGroup Policy and the Active Directory
Site
OU’s
Resources
Group Policy Objects
A1
A2
A3
A5A4
Streetmarket.com
Domain
Accounts
DesktopsHeadquarters Marketing Servers
A6
Server OU GPOs applied = A3, A1, A2, A4, A6Marketing OU GPOs applied = A3, A1, A2, A5
Gestion de la herencia de las GPO
• Precedencia cuando existen varias GPO vinculadas a un contenedor
• Bloqueo de la herencia, a nivel del contenedor que no recibe la herencia desde el contenedor padre– P.e.bloquear una GPO que se aplica para todo el dominio en
una determinada OU.
• No sobreescritura, asegura la precedencia de la GPO del contenedor de mas alto nivel
• Deshabilitacion de la GPO– Completa– A nivel de equipo, o de usuario
Filtrado del ambito de la GPO
• Filtrado de Seguridad
• Filtros WMI
Filtrado de Seguridad
• Permite la aplicación de la GPO únicamente a determinados grupos usuarios o maquinas
• Revocación de los permisos de Lectura y Apply Group Policy (AGP)
• Por defecto todas las GPO conceden permisos de Lectura y Apply Group Policy (AGP) al grupo de usuarios autentificados que incluye usuarios y maquinas
Filtros WMI
• Los filtros WMI permiten determinar dinámicamente el ámbito de las GPO en función de caracteristicas de la máquina de destino
• El filtro evalúa la máquina de destino, si el resultado del filtrado es falso la GPO no se aplica.
• Si la máquina de destino es Windows 2000 el filtro se ignora y siempre se aplica la GPO
• Los filtros consisten en consultas en lenguaje WQL
• Cada GPO solo puede tener un unico filtro WMI
Posibles usos de filtros WMI
• Servicios – Equipos en los que el DHCP está arrancado.
• Hardware – Equipos con un procesador Pentium IV
• Software– Equipos Visual Studio® .NET instalado.
• Ping – Equipos que pueden hacer ping a un servidor determinado en menos de 100 milisegundos
Ejemplos de filtros WMI
• Root\CimV2; Select * from Win32_ComputerSystem where manufacturer = “Toshiba” and Model = “Tecra 800” OR Model = “Tecra 810”
• Root\cimv2 ; Select * from Win32_Directory where filename =’my documents’ AND encrypted = false
• Root\cimv2;Select * from Win32_Product where name = “MSIPackage1” OR name = “MSIPackage2” OR name = “MSIPackage32”
• Root\CimV2; Select * from Win32_LogicalDisk where FreeSpace > 629145600
Agenda
• GPMC
Group Policy Management Console
Group Policy Management Console
Group Policy Management Console
Group Policy Management Console
Group Policy Management Console
Group Policy Management Console
Group Policy Management Console
Agenda
• Plantillas de Seguridad
Plantillas de Seguridad
• Proporcionan los mecanismos para incrementar la seguridad sobre los equipos.
• Son ficheros que proporcionan la capacidad para simplificar la implantación de seguridad en equipos.
• Incrementan o modifican las directivas que se están aplicando.
Plantillas de Seguridad
Aplicación de Plantillas
• Las plantillas pueden aplicarse por importación en políticas locales o mediante el uso en GPO.
• Mediante la herramienta de configuración de seguridad.
• Mediante línea de comando con la ejecución del comando Secedit.
Componentes de las Plantillas
• Las plantillas de seguridad controlan los siguientes aspectos de una máquina:
– Cuentas de usuario.– Auditorías.– Derechos de usuarios.– Opciones de seguridad.– Visor de sucesos.– Grupos restringidos.– Servicios.– Claves de registro.– Sistema de ficheros.
Componentes de las Plantillas
Área de seguridad Descripción
Directivas de cuentas
Directivas de contraseñas, de bloqueo de cuentas y Kerberos
Directivas localesDirectiva de auditoría, asignación de derechos de usuario y opciones
de seguridad
Registro de sucesos
Configuración de los registros de aplicación, sistema y sucesos de seguridad
Grupos restringidos
Pertenencia a grupos sensibles a la seguridad
Servicios del sistema
Inicio y permisos para servicios del sistema
Registro Permisos para claves del Registro
Sistema de archivos
Permisos para carpetas y archivos
Plantillas Predefinidas.
• Plantilla por defecto (Setup security).– Utilizada habitualmente para restaurar a una
situacion original en combinacion con plantillas incrementales, contiene una gran cantidad opciones configuradas
• Plantilla de controladores de dominio (DC security).– Plantilla por defecto aplicada como parte del
Dcpromo.
Plantillas Predefinidas II
• Compatible (Compatws).– Incremental relaja las permisos en el sistema de archivos y en el
registro para permitir a usuarios sin privilegios ejecutar determinadas aplicaciones
• Seguridad (Securedc Securews).– Incrementales. Aumentan la seguridad en cliente o servidor
• Altamente seguro (Hisecdc Hisecws).– Incrementales. Alta seguridad en cliente y en servidor
• Seguridad permisos raíz de las unidades (Rootsec).– Incremental aplica permisos por defecto a la raiz del sistema.
Herramientas de Gestión de Plantillas
• La administración de las plantillas puede ser realizada desde:
– La consola Plantillas de seguridad.
– Consola configuración y análisis de la seguridad.
• Ambas herramientas son añadidas como complementos de MMC.
Consola de Plantillas de Seguridad
• Gestiona aquellas plantillas predefinidas por Microsoft. Se encuentran en la siguiente ruta: %systemroot%\security\templates.
• Permite generar nuevas plantillas y realizar administración sobre ellas.
Configuración y Análisis de la Seguridad
• Es una herramienta con doble objetivo:
– Proporcionar los mecanismos para comparar la seguridad de una máquina con una base de datos de análisis.
– Configurar una máquina con la información de una base de datos creada a través de plantillas.
Herramientas de Plantillas Administrativas
Herramientas de Plantillas Administrativas
Herramientas de Plantillas Administrativas
Agenda
• Migración de GPO
Posibilidades de Migración empleando la GPMC
• COPIA Permite transferir configuracion desde una GPO existente a una nueva GPO– Transferencia deGPO dentro de un mismo dominio o
bosque– Dominios en distintos bosques en los que se confia.
• BACKUP Permite exportar la configuracion almacenada en el Backup a otra GPO.
• IMPORTACION Restauracion desde un Backup – Transferencias dentro de un mismo dominio– Transferencias incluso entre dominios sin relaciones
de confianza
Administrando Políticas de GrupoRespaldando GPOs
Administrando Políticas de GrupoRespaldando GPOs
Administrando Políticas de GrupoCopiando y Migrando
Boletín quincenal TechNews
Contactos
• Informática 64– http://www.informatica64.com– [email protected]– +34 91 665 99 98
• Profesor– [email protected]