Компромиссное это: Значение слова КОМПРОМИССНЫЙ. Что такое КОМПРОМИССНЫЙ?

компромиссный — это… Что такое компромиссный?



компромиссный

компромиссный

КОМПРОМИ́СС, -а, м. Соглашение на основе взаимных уступок. Пойти на к.

Толковый словарь Ожегова. С.И. Ожегов, Н.Ю. Шведова. 1949-1992.

.

Синонимы:

• КОМПРОМИСС
• КОМПЬЮТЕР

Смотреть что такое «компромиссный» в других словарях:

• компромиссный — примирительный, половинчатый, согласный Словарь русских синонимов. компромиссный см. половинчатый Словарь синонимов русского языка. Практический справочник. М.: Русский язык. З. Е. Александрова …   Словарь синонимов

• КОМПРОМИССНЫЙ — [исн], компромиссная, компромиссное (книжн.

  ). Имеющий характер компромисса, являющийся компромиссом. Компромиссное решение. Компромиссное предложение. Состоялось компромиссное соглашение. Толковый словарь Ушакова. Д.Н. Ушаков. 1935 1940 …   Толковый словарь Ушакова

• Компромиссный — прил. 1. соотн. с сущ. компромисс, связанный с ним 2. Свойственный компромиссу, характерный для него. Толковый словарь Ефремовой. Т. Ф. Ефремова. 2000 …   Современный толковый словарь русского языка Ефремовой

• компромиссный — компромиссный, компромиссная, компромиссное, компромиссные, компромиссного, компромиссной, компромиссного, компромиссных, компромиссному, компромиссной, компромиссному, компромиссным, компромиссный, компромиссную, компромиссное, компромиссные,… …   Формы слов

• компромиссный — компром иссный; кратк. форма ссен, ссна …   Русский орфографический словарь

• компромиссный — кр.ф. компроми/ссен, компроми/ссна, сно, сны …   Орфографический словарь русского языка

• компромиссный — найти компромиссное решение • существование / создание …   Глагольной сочетаемости непредметных имён

• компромиссный — см. компромисс; ая, ое. К ое решение. К ая резолюция …   Словарь многих выражений

• компромиссный — компромисс/н/ый …   Морфемно-орфографический словарь

• компромиссный подход (к обеспечению надёжности) — — [http://slovarionline.ru/anglo russkiy slovar neftegazovoy promyishlennosti/] Тематики нефтегазовая промышленность EN trade off approach …   Справочник технического переводчика

КОМПРОМИССНЫЙ — это… Что такое КОМПРОМИССНЫЙ?



КОМПРОМИССНЫЙ

КОМПРОМИССНЫЙ

КОМПРОМИ́ССНЫЙ [исн], компромиссная, компромиссное (книжн.). Имеющий характер компромисса, являющийся компромиссом. Компромиссное решение. Компромиссное предложение. Состоялось компромиссное соглашение.

Толковый словарь Ушакова. Д.Н. Ушаков. 1935-1940.

.

Синонимы:

• КОМПРОМИСС
• КОМСА

Смотреть что такое «КОМПРОМИССНЫЙ» в других словарях:

• компромиссный — примирительный, половинчатый, согласный Словарь русских синонимов. компромиссный см. половинчатый Словарь синонимов русского языка. Практический справочник. М.: Русский язык. З. Е. Александрова …   Словарь синонимов

• компромиссный — КОМПРОМИСС, а, м. Соглашение на основе взаимных уступок. Пойти на к. Толковый словарь Ожегова. С.И. Ожегов, Н.Ю. Шведова. 1949 1992 …   Толковый словарь Ожегова

• Компромиссный — прил. 1. соотн. с сущ. компромисс, связанный с ним 2. Свойственный компромиссу, характерный для него. Толковый словарь Ефремовой. Т. Ф. Ефремова. 2000 …   Современный толковый словарь русского языка Ефремовой

• компромиссный — компромиссный, компромиссная, компромиссное, компромиссные, компромиссного, компромиссной, компромиссного, компромиссных, компромиссному, компромиссной, компромиссному, компромиссным, компромиссный, компромиссную, компромиссное, компромиссные,… …   Формы слов

• компромиссный — компром иссный; кратк. форма ссен, ссна …   Русский орфографический словарь

• компромиссный — кр.ф. компроми/ссен, компроми/ссна, сно, сны …   Орфографический словарь русского языка

• компромиссный — найти компромиссное решение • существование / создание …   Глагольной сочетаемости непредметных имён

• компромиссный — см. компромисс; ая, ое. К ое решение. К ая резолюция …   Словарь многих выражений

• компромиссный — компромисс/н/ый …   Морфемно-орфографический словарь

• компромиссный подход (к обеспечению надёжности) — — [http://slovarionline.ru/anglo russkiy slovar neftegazovoy promyishlennosti/] Тематики нефтегазовая промышленность EN trade off approach …   Справочник технического переводчика

компромиссный — это… Что такое компромиссный?



компромиссный

компромиссный

КОМПРОМИ́СС, -а, м.

Соглашение на основе взаимных уступок. Пойти на к.

Толковый словарь Ожегова. С.И. Ожегов, Н.Ю. Шведова. 1949-1992.

.

Синонимы:

• КОМПРОМИСС
• КОМПЬЮТЕР

Смотреть что такое «компромиссный» в других словарях:

• компромиссный — примирительный, половинчатый, согласный Словарь русских синонимов. компромиссный см. половинчатый Словарь синонимов русского языка. Практический справочник. М.: Русский язык. З. Е. Александрова …   Словарь синонимов

• КОМПРОМИССНЫЙ — [исн], компромиссная, компромиссное (книжн.). Имеющий характер компромисса, являющийся компромиссом. Компромиссное решение. Компромиссное предложение. Состоялось компромиссное соглашение. Толковый словарь Ушакова. Д.Н. Ушаков. 1935 1940 …   Толковый словарь Ушакова

• Компромиссный — прил. 1. соотн. с сущ. компромисс, связанный с ним 2. Свойственный компромиссу, характерный для него. Толковый словарь Ефремовой. Т. Ф. Ефремова. 2000 …   Современный толковый словарь русского языка Ефремовой

• компромиссный — компромиссный, компромиссная, компромиссное, компромиссные, компромиссного, компромиссной, компромиссного, компромиссных, компромиссному, компромиссной, компромиссному, компромиссным, компромиссный, компромиссную, компромиссное, компромиссные,… …   Формы слов

• компромиссный — компром иссный; кратк. форма ссен, ссна …   Русский орфографический словарь

• компромиссный — кр.ф. компроми/ссен, компроми/ссна, сно, сны …   Орфографический словарь русского языка

• компромиссный — найти компромиссное решение • существование / создание …   Глагольной сочетаемости непредметных имён

• компромиссный — см. компромисс; ая, ое. К ое решение. К ая резолюция …   Словарь многих выражений

• компромиссный — компромисс/н/ый …   Морфемно-орфографический словарь

• компромиссный подход (к обеспечению надёжности) — — [http://slovarionline.ru/anglo russkiy slovar neftegazovoy promyishlennosti/] Тематики нефтегазовая промышленность EN trade off approach …   Справочник технического переводчика

компромиссный — Викисловарь

Морфологические и синтаксические свойства[править]

падеж		ед. ч.			мн. ч.
		муж. р.	ср. р.	жен. р.
Им.		компроми́ссный	компроми́ссное	компроми́ссная	компроми́ссные
Рд.		компроми́ссного	компроми́ссного	компроми́ссной	компроми́ссных
Дт.		компроми́ссному	компроми́ссному	компроми́ссной	компроми́ссным
Вн.	одуш.	компроми́ссного	компроми́ссное	компроми́ссную	компроми́ссных
	неод.	компроми́ссный			компроми́ссные
Тв.		компроми́ссным	компроми́ссным	компроми́ссной компроми́ссною	компроми́ссными
Пр.		компроми́ссном	компроми́ссном	компроми́ссной	компроми́ссных
Кратк. форма		компроми́ссен	компроми́ссно	компроми́ссна	компроми́ссны

ком-про-ми́сс-ный

Прилагательное, тип склонения по классификации А. Зализняка — 1*a.

Корень: -компромисс-; суффикс: -н; окончание: -ый ^{[Тихонов, 1996]}.

Произношение[править]

• МФА: [kəmprɐˈmʲisnɨɪ̯]

Семантические свойства[править]

Значение[править]

1. книжн. связанный, соотносящийся по значению с существительным компромисс; представляющий собой компромисс, основанный на компромиссе ◆ Доныне в христианском сознании всякое положительное утверждение пола было поверхностно и компромиссно. Глубоким оставалось лишь отрицание пола. Н. А. Бердяев, «Смысл творчества», 1913–1914 г. (цитата из Национального корпуса русского языка, см. Список литературы) ◆ Необходимо проявить волю к урегулированию международных конфликтов на взаимоприемлемой, компромиссной основе и достичь существенных результатов в этом направлении. А. Д. Сахаров, «Новое политическое мышление необходимо», 1987 г. (цитата из Национального корпуса русского языка, см. Список литературы)

Синонимы[править]

Антонимы[править]

1. частичн.: бескомпромиссный, принципиальный

Гиперонимы[править]

Гипонимы[править]

Родственные слова[править]

Этимология[править]

Происходит от сущ. компромисс, далее из лат. compromissum «соглашение спорящих, компромисс», далее из compromittere «прийти к соглашению», далее из cum (варианты co-, com-, con-) «с, вместе» + promittere «прийти к соглашению», далее из pro «вперёд, для, за, вместо» + mittere «бросать, метать; выпускать; посылать», далее из неустановленной формы.

Фразеологизмы и устойчивые сочетания[править]

Перевод[править]

Библиография[править]

компромисс — Викисловарь

Морфологические и синтаксические свойства

падеж	ед. ч.	мн. ч.
Им.	компроми́сс	компроми́ссы
Р.	компроми́сса	компроми́ссов
Д.	компроми́ссу	компроми́ссам
В.	компроми́сс	компроми́ссы
Тв.	компроми́ссом	компроми́ссами
Пр.	компроми́ссе	компроми́ссах

ком-про-ми́сс

Существительное, неодушевлённое, мужской род, 2-е склонение (тип склонения 1a по классификации А.  А. Зализняка).

Корень: -компромисс- ^{[Тихонов, 1996]}.

Произношение

Семантические свойства

Значение

1. соглашение между сторонами на основе взаимных уступок ◆ Я знаю, что ни с вашей, ни с его стороны никакие компромиссы немыслимы, а чем может все это кончиться — трудно даже предположить… А. И. Куприн, «Впотьмах», 1892 г. (цитата из Национального корпуса русского языка, см. Список литературы) ◆ Тут нет ни сделок, ни компромиссов, ни обходов, а одна жестокая зоологическая правда. Д. Н. Мамин-Сибиряк, «Золото», 1892 г. (цитата из Национального корпуса русского языка, см. Список литературы) ◆ Сами изволите видеть, Авдотья Романовна, — сказал он, — возможно ли тут соглашение? Надеюсь теперь, что дело это кончено и разъяснено, раз навсегда. Я же удалюсь, чтобы не мешать дальнейшей приятности родственного свидания и сообщению секретов (он встал со стула и взял шляпу). Но, уходя, осмелюсь заметить, что впредь надеюсь быть избавлен от подобных встреч и, так сказать, компромиссов. Ф. М. Достоевский, «Преступление и наказание», 1866 г. (цитата из Национального корпуса русского языка, см. Список литературы) ◆ Делая же эти компромиссы, пределов которых никак нельзя предвидеть, просвещенные и честные люди, которые одни могли бы составлять какую-нибудь преграду правительству в его посягательстве на свободу людей, незаметно отступая все дальше и дальше от требований своей совести, не успеют оглянуться, как уже попадают в положенье полной зависимости от правительства: получают от него жалованье, награды и, продолжая воображать, что они проводят либеральные идеи, становятся покорными слугами и поддерживателями того самого строя, против которого они выступили. Л. Н. Толстой, «К либералам», 1896 г. (цитата из Викитеки)

Синонимы

1. консенсус

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Этимология

Происходит от лат.  compromissum «соглашение спорящих, компромисс», далее из compromittere «прийти к соглашению», далее из cum (варианты co-, com-, con-) «с, вместе» + promittere «прийти к соглашению», далее из pro «вперёд, для, за, вместо» + mittere «бросать, метать; выпускать; посылать», далее из неустановленной формы.

Фразеологизмы и устойчивые сочетания

Перевод

Библиография

• Шмелёв А. Д. Сквозные мотивы русской языковой картины мира // Русское слово в мировой культуре. — СПб., 2003.

• Шмелёв А. Д. Сквозные мотивы русской языковой картины мира // Зализняк Анна А., Левонтина И. Б., Шмелёв А. Д. Ключевые идеи русской языковой картины мира. — М.: Языки славянской культуры, 2005. — С. 454, 456.

Морфологические и синтаксические свойства

компромисс

Существительное.

Корень: —.

Произношение

Семантические свойства

Значение

1. компромисс ◆ Отсутствует пример употребления (см. рекомендации).

Синонимы

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Ближайшее родство

Этимология

От ??

Фразеологизмы и устойчивые сочетания

Библиография

Морфологические и синтаксические свойства

компромисс

Существительное.

Корень: —.

Произношение

Семантические свойства

Значение

1. компромисс ◆ Отсутствует пример употребления (см. рекомендации).

Синонимы

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Ближайшее родство

Этимология

От ??

Фразеологизмы и устойчивые сочетания

Библиография

Морфологические и синтаксические свойства

компромисс

Существительное.

Корень: —.

Произношение

Семантические свойства

Значение

1. компромисс ◆ Отсутствует пример употребления (см. рекомендации).

Синонимы

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Ближайшее родство

Этимология

От ??

Фразеологизмы и устойчивые сочетания

Библиография

Морфологические и синтаксические свойства

компромисс

Существительное.

Корень: —.

Произношение

Семантические свойства

Значение

1. компромисс ◆ Отсутствует пример употребления (см. рекомендации).

Синонимы

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Ближайшее родство

Этимология

От ??

Фразеологизмы и устойчивые сочетания

Библиография

Морфологические и синтаксические свойства

компромисс

Существительное.

Корень: —.

Произношение

Семантические свойства

Значение

1. компромисс ◆ Отсутствует пример употребления (см. рекомендации).

Синонимы

Антонимы

Гиперонимы

Гипонимы

Родственные слова

Ближайшее родство

Этимология

От ??

Фразеологизмы и устойчивые сочетания

Библиография

КОМПРОМИСС — что это. Плюсы и минусы компромисса

КОМПРОМИСС. В современном обществе принято находить способы решения проблем без оскорблений, ругательств, применения оружия или судебных разбирательств. Всегда можно найти общий язык с оппонентом и привести веские доводы, не применяя физическое воздействие. При этом нельзя забывать, что такое компромисс, ведь иногда только с его помощью можно выйти из спорной ситуации.

Компромисс — что это?

Людям нередко приходится решать проблемы путем взаимных уступок – это и есть компромиссное решение конфликтных ситуаций. Зачастую человеку приходится идти на компромисс с совестью, родственниками, друзьями, партнерами и коллегами. Этот способ может быть действенным не только в социальной, но и в политической жизни общества. История знает немало примеров, когда назревающие военные конфликты заканчивались взаимовыгодными мирными соглашениями. Компромисс в конфликте или политическом вопросе часто является одним из выгодных и достойных методов их решения.

Компромисс

Компромисс в психологии

С точки зрения психологии компромисс интересов – это решение, при котором стороны должны сделать некоторые шаги навстречу друг другу и выяснить, какой результат будет удовлетворять их обоих. Это действие требует временного отказа от амбиций и интересов, что в некоторых ситуациях может принести большую пользу. Людям бывает сложно сделать подобные шаги, поэтому их результат должен быть выгодным и плодотворным для обеих сторон. Такое поведение бывает не только полезным для решения конфликта, но и для сохранения дальнейшего общения, общего дела, семейных или дружеских отношений.

Компромисс — плюсы и минусы

Выбирая компромисс при принятии решения в спорных ситуациях, можно взвесить положительные и отрицательные стороны такого решения. Среди минусов выделяют следующие:

•  необходимость поступиться своими принципами, амбициями, на некоторое время забыть о гордости;
•  иногда лишь частичное удовлетворение от полученного результата;
•  в некоторых случаях это только промежуточный этап выхода из ситуации;
•  принятие уступок требует продуманных и осторожных действий, умения излагать свои мысли и некоторых навыков ведения переговоров.

Если не концентрировать свое внимание на перечисленных минусах, разумный компромисс имеет и положительные стороны, особенно если принимать взвешенное решение:

•  взаимная выгода;
•  в некоторых случаях окончательное разрешение конфликта;
•  опыт проведения переговоров;
•  возможное сохранение дальнейших взаимоотношений.

Чем компромисс отличается от консенсуса?

Часто компромисс сравнивают с консенсусом, но значения этих понятий несколько отличаются. Например, нередки случаи, когда семья, выбирая направление для отпуска, сомневается в своих предпочтениях – путешествие на море, поход в горы или экскурсионный тур. Если после обсуждения предпочтение единогласно отдано поездке на море, то это будет консенсусом.

В случае выбора поездки на море с обязательной экскурсионной программой можно сказать, что достигнут компромисс в отношениях семейной пары. Значимое отличие данных понятий в том, что первое понятие предполагает общее согласие, а второй термин – наличие взаимовыгодных уступок при подобном решении проблемы.

Компромисс — виды

В качестве выхода из затруднительной ситуации иногда приходится использовать компромисс, и его виды могут быть следующими:

1. Добровольный, который заключается без внешнего давления посторонних лиц.
2. Вынужденный, к которому стороны приходят под влиянием различных условий.

Независимо от того, принудительным или добровольным будет решение проблемы, важно помнить, что такое компромисс, и в каких случаях имеется возможность им воспользоваться, ведь большинство спорных ситуаций можно решить мирным путем, еще и с некоторой выгодой для обеих заинтересованных сторон конфликта.

Компромисс

Рекомендуемые статьи:

По материалам — womanadvice.ru

Поделиться ссылкой:

компромисс — английский язык и итальянский язык WordReference

Преобразование в ‘ компромисс ‘ (v): (⇒ сопряженное) компромисс v 3-е лицо единственного числа компромисс v пре-p глагол, причастие настоящего момента : — глагол ing используется описательно или для образования прогрессивного глагола — например, « поет, птица», «Это поет, ». « скомпрометировано v прошедшее глагол, прошедшее простое : Прошедшее время — например,« Он увидел человека ».« Она засмеялась ». скомпрометировано v past p глагол, причастие прошедшего времени : форма глагола, используемая описательно или для образования глаголов — например, « заперта, дверь», «дверь была заперта ». WordReference English-Italiano Dictionary © 2020: Основные переводы / Принципы перевода компромисс n существительное : Относится к человеку, месту, вещи, качеству и т. Д. (соглашение) ( accordo, patto ) compromesso nm sostantivo maschile : Identifica un essere, un oggetto o un Concetto, который принимает genere maschile: medico, gatto, Strumento, Assegno, dolore Соперники пошли на компромисс и прекратили борьбу. I rivali Accettarono Un compromesso e Smisero di Combattere. компромисс⇒ vi непереходный глагол : Глагол не принимает прямой объект — например, «Она, , шутит, .«Он прибыл ». (достичь соглашения путем переговоров) venire a un compromesso, giungere a un compromesso vi verbo intransitivo : Verbo che non richiede un complemento oggetto: « Dormivo quando mi ha telefonato «-» Passate pure di qua « После долгих обсуждений и переговоров обе компании наконец пришли к компромиссу. Dopo una serie di Discussioni e Negoziazioni, le due aziende giunsero finalmente un compromesso. компромисс vi непереходный глагол : Глагол не принимает прямой объект — например, «Она, , шутит, ». «Он прибыл ». (пойти на уступки) тариф уступки a [qlcn] vtr verbo transitivo o transitivo pronominale : Verbo che richiede un complemento oggetto: « Lava la mela prima di mangiar la» — «Non mi aspettavo un successo così grande « Саманта всегда шла на компромисс в своем браке. Nella sua vita coniugale, Samantha ha semper fatto concessioni. компромисс по [sth] vi + prepare (принимает [sth] нестандартный) fare un compromesso al ribasso su [qlcs] vtr verbo transitivo o transitivo pronominale : Verbo che richiede un Complemento oggetto: « Lava la mela prima di mangiar la» — «Non mi aspettavo un successo così grande» При покупке дома лучше пойти на компромисс с местоположением, чем с безопасностью. È meglio fare un compromesso al ribasso sulla posizione piuttosto che sulla sicurezza quando si compra una casa. компромисс [sth] ⇒ vtr переходный глагол : Глагол, принимающий прямой объект — например, « Say something». «Она нашла кота». (подвергается риску) compromettere⇒ vtr verbo transitivo o transitivo pronominale : Verbo che richiede un complemento oggetto: « Lava la mela prima di mangiar la» — «Non mi aspettavo un successo così grande « Полет на самолете, который не был должным образом проверен, ставит под угрозу безопасность всех на борту. Pilotare un aereo che non è stato ispezionato a dovere compromette la sicurezza di tutti gli occanti. компромисс [sb] ⇒ vtr переходный глагол : Глагол, принимающий прямой объект — например, « Say something». «Она нашла кота». (ставить под угрозу репутацию и т. Д.) compromettere⇒ vtr verbo transitivo o transitivo pronominale : Verbo che richiede un complemento oggetto: « Lava la mela prima di mangiar la» — «Non mi aspettavo un successo così grande « WordReference Англо-итальянский словарь © 2020: Составные формы / Forme composte компромисс и урегулирование n существительное : Относится к человеку, месту , вещь, качество и т. д. (закон: соглашение без суда) transazione, accordo stragiudiziale nm sostantivo maschile : Identifica un essere, un oggetto o un Concetto, который принимает genere maschile: medico, gatto, Strumento, Assegno, формула компромисса n существительное : Относится к человеку, месту, вещи, качеству и т. д. : Identifica un essere, un oggetto o unconcetto che accept genere maschile: medico, gatto, Strumento, Assegno, dolore компромиссный приговор n существительное : Относится к человеку, месту, вещи, качеству , так далее. (закон: согласованное заключение жюри) sentenza di compromesso nf sostantivo femminile : Identifica un essere, un oggetto o un Concetto, который принимает женское начало: scrittrice, aquila, lampada, moneta, fmminita достичь компромисса v expr глагольное выражение : Фраза со специальным значением, функционирующая как глагол — например, «соединить головы», «прийти к концу». (найти взаимоприемлемое решение) raggiungere un compromesso vtr verbo transitivo o transitivo pronominale : Verbo che richiede un complemento oggetto: « Lava la mela prima di mangiar la» — «Не mi aspettavo un successo così grande « Людям трудно достичь компромисса, когда их цели сильно различаются. без компромиссов adv наречие : Описывает глагол, прилагательное, наречие или предложение — например, «приходи быстро », « очень редко», «происходит сейчас », «падение вниз ». (без уступок) senza compromessi agg aggettivo : Descrive o specifica un sostantivo: «Una persona fidata » — «Con un cacciavite piccolo » — «Questioni controverse 0″ ‘commonise ‘ si trova anche in questi elementi: Nella Описание на английском языке: Итальянец:

компромисс — определение și парадигма

3 intrări

35 de Definiții (cel mult 20 afișate)

arată toate defiiile

Dicționare explicative i

COMPROMÍS ² , -Ă, commoniși, -se, прил. 1. (Despre oameni) Cu reputația pătată; дискредитировать. 2. Primejduit, stricat. — В. компромисс.

Vă mulțumim pentru semnalare!

COMPROMÍS ² , -Ă, commoniși, -se, прил. 1. (Despre oameni) Cu reputația pătată; дискредитировать. 2. Primejduit, stricat. — В. компромисс.

COMPROMÍS ¹ , commonisuri, с. п. Înțelegere, acord bazat pe cedări взаимность; concesie. ♦ nțelegere între două sau mai multe persoane ori state de a supune unui Arbitru Rezolvarea litigiului dintre ele. — Din фр. компромисс.

компромиссы ¹ sn [ At: PRAVILA (1814), XIV / 13/ V: ( înv ) ~ més / Pl: uri, (rar) ~ e / E: fr commonis ] 1 elegere bazată pe cedări reciproce Si: concesie, învoială. 2 ( Jur ) înțelegere între două sau mai multe persoane sau state de a supune unui arbitru rezolvarea litigiului dintre ele. 3 Combinație concesivă între elemente (несовместимо), făcută și acceptată pentru a pune capăt unei situații (судебное разбирательство).

компромиссы ² , ~ a [ At: GHICA, A. 600/ Pl: ~ i ~i, ~ e / E: компромисс ] 1 ( D. oameni) Cu reputația pătată Si: discreditat, ( pfm ) deochiat. 2 Stricat.

COMPROMÍS ¹ , commonisuri, с. п. Înțelegere, acord bazat pe cedări взаимность; concesie. ♦ nțelegere între două sau mai multe persoane sau state de a supune unui Arbitru rezolvarea litigiului dintre ele. — Din фр. компромисс.

COMPROMÍS ² , -Ă, commoniși, -se, прил. (Despre persoane) Cu reputația pătată; дискредитировать. Негустор компромисс.

COMPROMS ¹ , commonisuri, s. п. Înțelegere, acord bazat pe cedări, pe renunțări взаимность. Адикэ, компромисс? Mai lasă tu, mai las eu, pînă, din tocmeală în tocmeală, ne întoarcem de unde-am plecat. C. ПЕТРЕСКУ, Î. II 126.

COMPROMS s.n. 1. ( Jur. ) Îelegere potrivit căreia părțile în litigiu se supun judecății unor arbitri. 2. elegere, acord care se bazează pe renunțări și pe concesii reciproce. [ Pl. -сури. / < фр. компромисс ].

КОМПРОМЫ с. п. 1. înțelegere, acord bazat pe renunțări și concesii взаимопонимание. 2. înțelegere potrivit căreia părțile în litigiu se supun judecății unor arbitri.(commonis )

COMPROMÍS ² ~ uri n. 1) Acord obținut prin cedări взаимность; concesie. 2) Convenție prin care părțile cointeresate apelează la un Arbitru în vederea rezolvării unui litigiu dintre ele. / <фр. compromis

COMPROMS ¹ ~ să (~ i, ~ se) 1) (despre persoane) Care este cu reputația pătată; дискредитировать; дезонорат. 2) (despre acțiuni, planuri) Care este pus în pericol; aflat în primejdie; примейдуит; zădărnicit. Recoltă ~ să. / v. компромисс

компромисс н. 1. act prin care cineva își supune cauza la judecata unui arbitru; 2. Грамм. combinarea sau fuziunea и doi termeni sinonimi: ciuhurez e uncommonis din ciuh și hurez.

* компромисс н., Пл. urĭ și e (фр. , компромисс ). Contract pin care doĭ se supun judecățiĭ altuĭa (арбитраж) саŭ îșĭ cedează ceva unu altuĭa (transacțiune).

КОМПРОМЕТ, компромисс, вб. III. 1. Транз. și refl. A face să-și piardă sau a-i pierde buna reputație; a (se) дискредитация. 2. Транз. A pricinui un rău, a primejdui; стрика, дистрадж. [ Perf. с. commoniséi, часть. компромисс ] — DIN фр. compromettre, lat. компромисс.

КОМПРОМЕТ, компромисс, гл. III. 1. Транз. și refl. A face să-și piardă sau a-i pierde buna reputație; a (se) дискредитация. 2. Транз. A pricinui un rău, a primejdui; стрика, дистрадж. [ Perf. с. commoniséi, часть. компромисс ] — DIN фр. compromettre, lat. компромисс.

компромисс [ At: NEGRUZZI, SI 222/ V: ~ ta, ~ menta / Pzi: компромисс / Par : ~ is / E: fr compromettre ] 1-2 vtr A face să-și piardă (sau a-și pierde) buna reputație Si: a (se) discredita, a se deochia, a se arăta . 3 vt A pricinui un rău. 4 vt A distruge. corectată

COMPROMÍTE, commonít, vb. III. Tranz. 1. A-l pune (pe cineva) într-o lumină nefavorabilă, лицо să-și piardă buna reputație, a da de rușine; дискредитация. Nu te mai iau … cu mine. Mă campromiți. C. PETRESCU, C. V. 116. Nu-și va ierta toată viața asemenea slăbiciune, care l-acompomis în așa hal. BART, E. 214. Să vedem și noi dacă faptul căsătoriei și traiului Ancei cu Dragomir e o așa de mare absurditate, încît săcommonită toată piesa. ГЕРИЯ, УЛ. CR. II 256. ◊ Refl. Fii serios, Жан. Не компромисс. SAHIA, N. 100. 2. A Primejdui; a strica, a distruge., Seceta poate, компромисс recolta. — Forme gramaticale: perf. с. commonisei, часть. компромисс.

COMPROMTE vb. III. 1. тр. , исх. A (se) pune într-o situație criticală, într-o lumină nefavorabilă; a (se) дискредитация. 2. тр. Примейдуй; стрика, дистрадж. [Число Пи. компромисс, перф. с. -исей, часть. -ис. / < лат. commonittere, ср. фр. compromettre ].

COMPROMTE vb. I. tr., refl. лицо să (-și) piardă buna reputație; a (se) дискредитация. II. тр. примейдуи; диструдж, задэрничи. (<лат. comcommettere, fr. compromettre )

КОМПРОМИТНЫЙ КОММЕРТ tranz. 1) (личное, причинение и т. Д.) Лицо как таковое; дискредитация. 2) удаление перикола унуи; примейдуи; периклит. / <фр. компрометр, лат. компромисс

A SE COMPROMÍTE может быть компромисс интранз. A-și pierde buna reputație, admițând uncommonis; такая дискредитация. / <фр. se compromettre, lat. commonittere

arată toate defițiile

Планирование компромисса | Документы Microsoft

• 31.05.2017
• 17 минут на чтение

В этой статье

Применимо к: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

Закон номер один: Никто не верит, что с ними может случиться что-то плохое, пока это не произойдет. — 10 непреложных законов администрации безопасности

Планы аварийного восстановления во многих организациях сосредоточены на восстановлении после региональных катастроф или сбоев, которые приводят к потере вычислительных услуг. Однако, работая со скомпрометированными клиентами, мы часто обнаруживаем, что восстановление после преднамеренной компрометации отсутствует в их планах аварийного восстановления. Это особенно верно, когда компрометация приводит к краже интеллектуальной собственности или преднамеренному разрушению с использованием логических границ (например, уничтожение всех доменов Active Directory или всех серверов), а не физических границ (например, разрушение центра обработки данных).Хотя у организации могут быть планы реагирования на инциденты, которые определяют начальные действия, которые необходимо предпринять при обнаружении компрометации, в этих планах часто отсутствуют шаги по восстановлению после компрометации, затрагивающей всю вычислительную инфраструктуру.

Поскольку Active Directory предоставляет широкие возможности управления идентификацией и доступом для пользователей, серверов, рабочих станций и приложений, она неизменно становится целью злоумышленников. Если злоумышленник получает высокопривилегированный доступ к домену Active Directory или контроллеру домена, этот доступ может быть использован для доступа, контроля или даже уничтожения всего леса Active Directory.

В этом документе обсуждаются некоторые из наиболее распространенных атак на Windows и Active Directory, а также контрмеры, которые вы можете реализовать, чтобы уменьшить поверхность атаки, но единственный надежный способ восстановления в случае полной компрометации Active Directory — это быть готовыми к компромисс до того, как это произойдет. В этом разделе меньше внимания уделяется техническим деталям реализации, чем в предыдущих разделах этого документа, и больше уделяется высокоуровневым рекомендациям, которые вы можете использовать для создания целостного комплексного подхода к защите и управлению критически важными бизнес-активами и ИТ-ресурсами вашей организации.

Независимо от того, не подвергалась ли ваша инфраструктура атакам, сопротивлялась попыткам взлома или поддавалась атакам и была полностью скомпрометирована, вы должны учитывать неизбежную реальность того, что вы будете подвергаться атакам снова и снова. Невозможно предотвратить атаки, но действительно возможно предотвратить серьезные нарушения или полную компрометацию. Каждая организация должна внимательно оценить свои существующие программы управления рисками и внести необходимые коррективы, чтобы помочь снизить общий уровень уязвимости путем сбалансированных инвестиций в предотвращение, обнаружение, локализацию и восстановление.

Чтобы создать эффективную защиту, продолжая предоставлять услуги пользователям и предприятиям, зависящим от вашей инфраструктуры и приложений, вам может потребоваться рассмотреть новые способы предотвращения, обнаружения и сдерживания компрометации в вашей среде, а затем восстановления после компрометации. Подходы и рекомендации в этом документе могут не помочь вам восстановить скомпрометированную установку Active Directory, но могут помочь вам защитить следующую.

Рекомендации по восстановлению леса Active Directory представлены в Windows Server 2012: Планирование восстановления леса Active Directory.Возможно, вы сможете предотвратить полную компрометацию вашей новой среды, но даже если вы не сможете, у вас будут инструменты для восстановления и восстановления контроля над вашей средой.

Переосмысление подхода

Закон номер восемь: сложность защиты сети прямо пропорциональна ее сложности. — 10 непреложных законов администрации безопасности

Обычно считается общепринятым, что если злоумышленник получил доступ к компьютеру SYSTEM, Administrator, root или эквивалентный доступ к компьютеру, независимо от операционной системы, этот компьютер больше нельзя считать заслуживающим доверия, независимо от того, сколько усилий было приложено для «очистки » система.Active Directory ничем не отличается. Если злоумышленник получил привилегированный доступ к контроллеру домена или высокопривилегированной учетной записи в Active Directory, если у вас нет записей о каждой модификации, которую делает злоумышленник, или заведомо исправной резервной копии, вы никогда не сможете восстановить каталог до полностью надежного состояния.

Когда рядовой сервер или рабочая станция скомпрометированы и изменены злоумышленником, компьютер больше не заслуживает доверия, но соседним бескомпромиссным серверам и рабочим станциям можно доверять.Компрометация одного компьютера не означает, что взломаны все компьютеры.

Однако в домене Active Directory все контроллеры домена размещают реплики одной и той же базы данных AD DS. Если один контроллер домена скомпрометирован и злоумышленник изменяет базу данных AD DS, эти изменения реплицируются на каждый другой контроллер домена в домене и, в зависимости от раздела, в котором были внесены изменения, на лес. Даже если вы переустановите каждый контроллер домена в лесу, вы просто переустановите узлы, на которых находится база данных AD DS.Вредоносные изменения в Active Directory будут реплицироваться на недавно установленные контроллеры домена так же легко, как и на контроллеры домена, которые работали годами.

При оценке скомпрометированных сред мы обычно обнаруживаем, что то, что считалось первым «событием» взлома, на самом деле произошло через недели, месяцы или даже годы после того, как злоумышленники изначально скомпрометировали среду. Злоумышленники обычно получали учетные данные для высокопривилегированных учетных записей задолго до того, как было обнаружено нарушение, и использовали эти учетные записи для компрометации каталога, контроллеров домена, рядовых серверов, рабочих станций и даже подключенных систем, отличных от Windows.

Эти результаты согласуются с несколькими выводами в отчете Verizon о расследовании утечки данных за 2012 год, в котором говорится, что:

• 98% утечек данных произошли от внешних агентов

• На обнаружение 85 процентов утечек данных уходили недели или более

• 92% инцидентов были обнаружены третьей стороной, а

• 97 процентов нарушений можно было избежать с помощью простого или промежуточного контроля.

Компрометация в описанной ранее степени фактически непоправима, и стандартный совет «сгладить и восстановить» каждую скомпрометированную систему просто невозможно или даже невозможно, если Active Directory был скомпрометирован или уничтожен. Даже восстановление до заведомо исправного состояния не устраняет недостатки, которые изначально привели к нарушению окружающей среды.

Хотя вы должны защищать все аспекты своей инфраструктуры, злоумышленнику достаточно найти достаточно слабых мест в вашей защите, чтобы достичь желаемой цели.Если ваша среда относительно проста и безупречна и хорошо управляется исторически, то реализация рекомендаций, представленных ранее в этом документе, может быть простым предложением.

Однако мы обнаружили, что чем старше, крупнее и сложнее среда, тем больше вероятность того, что рекомендации в этом документе будут невыполнимы или даже невозможны. Гораздо труднее защитить инфраструктуру постфактум, чем начать с нуля и создать среду, устойчивую к атакам и взломам.Но, как отмечалось ранее, перестроить весь лес Active Directory — непростая задача. По этим причинам мы рекомендуем более целенаправленный подход к защите лесов Active Directory.

Вместо того, чтобы сосредотачиваться и пытаться исправить все «неисправные» вещи, рассмотрите подход, при котором вы расставляете приоритеты на основе того, что является наиболее важным для вашего бизнеса и вашей инфраструктуры. Вместо того, чтобы пытаться исправить среду, заполненную устаревшими, неправильно настроенными системами и приложениями, рассмотрите возможность создания новой небольшой безопасной среды, в которую вы можете безопасно переносить пользователей, системы и информацию, которые наиболее важны для вашего бизнеса.

В этом разделе мы описываем подход, с помощью которого вы можете создать чистый лес AD DS, который служит «спасательной шлюпкой» или «защищенной ячейкой» для вашей основной бизнес-инфраструктуры. Нетронутый лес — это просто недавно установленный лес Active Directory, который обычно ограничен по размеру и области и построен с использованием текущих операционных систем, приложений и принципов, описанных в разделе «Уменьшение поверхности атаки Active Directory».

Реализуя рекомендуемые параметры конфигурации в только что созданном лесу, вы можете создать установку AD DS, построенную с нуля с безопасными параметрами и методами, и уменьшить проблемы, связанные с поддержкой устаревших систем и приложений. Хотя подробные инструкции по проектированию и реализации безупречной установки AD DS выходят за рамки этого документа, вам следует следовать некоторым общим принципам и рекомендациям, чтобы создать «безопасную ячейку», в которой вы можете разместить свои наиболее важные активы. Эти рекомендации следующие:

1. Определение принципов разделения и защиты критически важных активов.

2. Определите ограниченный план миграции с учетом рисков.

3. При необходимости используйте «немиграционные» миграции.

4. Орудие «созидательного разрушения».

5. Изолируйте устаревшие системы и приложения.

6. Упростите безопасность для конечных пользователей.

Определение принципов разделения и защиты критически важных активов

Характеристики безупречной среды, которую вы создаете для размещения критически важных ресурсов, могут сильно различаться. Например, вы можете создать нетронутый лес, в который вы переносите только VIP-пользователей и конфиденциальные данные, к которым имеют доступ только эти пользователи. Вы можете создать нетронутый лес, в который вы переносите не только VIP-пользователей, но который вы реализуете как административный лес, реализуя принципы, описанные в разделе Уменьшение поверхности атаки Active Directory, для создания безопасных административных учетных записей и хостов, которые можно использовать для управления вашим наследием. леса из девственного леса. Вы можете реализовать «специально созданный» лес, в котором хранятся VIP-учетные записи, привилегированные учетные записи и системы, требующие дополнительной безопасности, такие как серверы со службами сертификации Active Directory (AD CS), с единственной целью — отделить их от менее безопасных лесов.Наконец, вы можете реализовать нетронутый лес, который станет фактическим местом размещения всех новых пользователей, систем, приложений и данных, что позволит вам в конечном итоге списать старый лес из-за истощения.

Независимо от того, содержит ли ваш девственный лес несколько пользователей и систем или он служит основой для более агрессивной миграции, вы должны следовать этим принципам при планировании:

1. Предположим, что ваши унаследованные леса были скомпрометированы.

2. Не настраивайте нетронутую среду для доверия к унаследованному лесу, хотя вы можете настроить унаследованную среду для доверия нетронутому лесу.

3. Не переносите учетные записи пользователей или группы из унаследованного леса в нетронутую среду, если есть вероятность, что членство учетных записей в группах, история SID или другие атрибуты могли быть злонамеренно изменены. Вместо этого используйте «немигрирующие» подходы для заселения девственного леса. (Немиграционные подходы описаны ниже в этом разделе.)

4. Не переносите компьютеры из старых лесов в нетронутые леса. Внедряйте только что установленные серверы в нетронутом лесу, устанавливайте приложения на только что установленные серверы и переносите данные приложений на вновь установленные системы.Для файловых серверов скопируйте данные на только что установленные серверы, настройте списки управления доступом с помощью пользователей и групп в новом лесу, а затем аналогичным образом создайте серверы печати.

5. Не разрешайте установку устаревших операционных систем или приложений в девственном лесу. Если приложение не может быть обновлено и заново установлено, оставьте его в устаревшем лесу и подумайте о творческом уничтожении, чтобы заменить функциональность приложения.

Определение ограниченного плана миграции с учетом рисков

Создание ограниченного плана миграции, основанного на оценке рисков, просто означает, что при принятии решения о том, какие пользователи, приложения и данные следует перенести в ваш нетронутый лес, вы должны определить цели миграции на основе степени риска, которому ваша организация подвержена, если одна из пользователи или системы скомпрометированы.VIP-пользователи, чьи учетные записи с наибольшей вероятностью станут целью злоумышленников, должны быть размещены в нетронутом лесу. Приложения, обеспечивающие жизненно важные бизнес-функции, должны быть установлены на недавно построенных серверах в нетронутом лесу, а особо конфиденциальные данные должны быть перемещены на защищенные серверы в нетронутом лесу.

Если у вас еще нет четкого представления о наиболее важных для бизнеса пользователях, системах, приложениях и данных в среде Active Directory, поработайте с бизнес-подразделениями, чтобы их идентифицировать.Любое приложение, необходимое для работы бизнеса, должно быть идентифицировано, как и любые серверы, на которых выполняются важные приложения или хранятся важные данные. Определяя пользователей и ресурсы, которые требуются вашей организации для продолжения работы, вы создаете естественно расставленную по приоритетам коллекцию активов, на которой следует сосредоточить свои усилия.

Использование «немигрирующих» миграций

Если вы знаете, что ваша среда была взломана, подозреваете, что она была взломана, или просто предпочитаете не переносить устаревшие данные и объекты из устаревшей установки Active Directory в новую, рассмотрите подходы к миграции, которые технически не «переносят» объекты. .

Аккаунты пользователей

При традиционной миграции Active Directory из одного леса в другой атрибут SIDHistory (история SID) объектов пользователя используется для хранения SID пользователей и SID групп, членами которых были пользователи в устаревшем лесу. Если учетные записи пользователей переносятся в новый лес и они получают доступ к ресурсам в устаревшем лесу, идентификаторы безопасности в истории SID используются для создания маркера доступа, который позволяет пользователям получать доступ к ресурсам, к которым у них был доступ до миграции учетных записей.

Однако ведение журнала SID оказалось проблематичным в некоторых средах, поскольку заполнение токенов доступа пользователей текущими и историческими SID может привести к раздуванию токенов. Раздутие токена — это проблема, при которой количество идентификаторов безопасности, которые должны храниться в токене доступа пользователя, использует или превышает объем доступного пространства в токене.

Хотя размеры токенов могут быть увеличены до некоторой степени, окончательное решение проблемы раздувания токенов состоит в уменьшении количества идентификаторов безопасности, связанных с учетными записями пользователей, за счет рационализации членства в группах, устранения истории SID или сочетания того и другого. Дополнительные сведения о раздувании токенов см. В разделах MaxTokenSize и Kerberos Token Bloat.

Вместо того, чтобы переносить пользователей из устаревшей среды (особенно той, в которой членство в группах и истории SID могут быть скомпрометированы) с помощью истории SID, рассмотрите возможность использования приложений метакаталога для «миграции» пользователей без переноса историй SID в новый лес. Когда учетные записи пользователей создаются в новом лесу, вы можете использовать приложение метакаталога для сопоставления учетных записей с соответствующими учетными записями в устаревшем лесу.

Чтобы предоставить новым учетным записям пользователей доступ к ресурсам в устаревшем лесу, вы можете использовать инструменты метакаталога, чтобы определить группы ресурсов, к которым был предоставлен доступ устаревшим учетным записям пользователей, а затем добавить новые учетные записи пользователей в эти группы. В зависимости от вашей групповой стратегии в унаследованном лесу вам может потребоваться создать локальные группы домена для доступа к ресурсам или преобразовать существующие группы в локальные группы домена, чтобы разрешить добавление новых учетных записей в группы ресурсов. Сосредоточившись в первую очередь на наиболее важных приложениях и данных и перенеся их в новую среду (с историей SID или без нее), вы можете ограничить объем усилий, затрачиваемых в устаревшей среде.

Серверы и рабочие станции

При традиционной миграции из одного леса Active Directory в другой перенос компьютеров часто бывает относительно простым по сравнению с переносом пользователей, групп и приложений. В зависимости от роли компьютера миграция в новый лес может быть такой же простой, как отключение старого домена и присоединение к новому. Однако миграция учетных записей компьютеров в нетронутом виде в нетронутый лес сводит на нет цель создания новой среды. Вместо того, чтобы переносить (потенциально скомпрометированные, неправильно настроенные или устаревшие) учетные записи компьютеров в новый лес, вам следует заново установить серверы и рабочие станции в новой среде.Вы можете перенести данные из систем в унаследованном лесу в системы в чистом лесу, но не из систем, в которых хранятся данные.

Приложения

Приложения могут представлять самую серьезную проблему при любой миграции из одного леса в другой, но в случае «немигрирующей» миграции один из основных принципов, которые вы должны применять, — это то, что приложения в чистом лесу должны быть актуальными, поддерживаться, и недавно установлен. По возможности данные могут быть перенесены из экземпляров приложения в старом лесу.В ситуациях, когда приложение не может быть «воссоздано» в первозданном лесу, вам следует рассмотреть такие подходы, как творческое разрушение или изоляция устаревших приложений, как описано в следующем разделе.

Реализация творческого разрушения

Творческое разрушение — это экономический термин, описывающий экономическое развитие, созданное разрушением предшествующего порядка. В последние годы этот термин стал применяться к информационным технологиям. Обычно это относится к механизмам, с помощью которых старая инфраструктура удаляется не путем ее обновления, а путем замены ее чем-то совершенно новым. На симпозиуме Gartner ITXPO 2011 года для ИТ-директоров и старших руководителей ИТ-отдела творческое разрушение было представлено как одна из ключевых тем для снижения затрат и повышения эффективности. Улучшение безопасности возможно как естественный результат процесса.

Например, организация может состоять из нескольких бизнес-единиц, которые используют разные приложения, выполняющие аналогичные функции, с разной степенью современности и поддержки поставщиков. Исторически сложилось так, что ИТ-отделы могли нести ответственность за поддержку приложения каждого бизнес-подразделения отдельно, а усилия по консолидации заключались в попытке выяснить, какое приложение предлагает наилучшую функциональность, а затем перенести данные в это приложение из других.

При творческом уничтожении вместо обслуживания устаревших или избыточных приложений вы реализуете полностью новые приложения для замены старых, переносите данные в новые приложения и списываете старые приложения и системы, в которых они работают. В некоторых случаях вы можете реализовать творческое уничтожение устаревших приложений, развернув новое приложение в своей собственной инфраструктуре, но, по возможности, вам следует подумать о переносе приложения в облачное решение.

Развертывая облачные приложения для замены унаследованных собственных приложений, вы не только сокращаете усилия и затраты на обслуживание, но и уменьшаете поверхность атаки вашей организации, устраняя устаревшие системы и приложения, которые представляют уязвимости для использования злоумышленниками. Такой подход обеспечивает более быстрый способ для организации получить желаемую функциональность, одновременно устраняя устаревшие цели в инфраструктуре. Хотя принцип творческого разрушения применим не ко всем ИТ-активам, он предоставляет часто жизнеспособный вариант устранения устаревших систем и приложений с одновременным развертыванием надежных, безопасных облачных приложений.

Изоляция устаревших систем и приложений

Естественным результатом миграции критически важных для бизнеса пользователей и систем в нетронутую безопасную среду является то, что ваш унаследованный лес будет содержать менее ценную информацию и системы. Хотя устаревшие системы и приложения, которые остаются в менее защищенной среде, могут представлять повышенный риск взлома, они также представляют меньшую степень опасности. Перемещая и модернизируя свои критически важные бизнес-активы, вы можете сосредоточиться на развертывании эффективного управления и мониторинга, при этом не нуждаясь в адаптации устаревших настроек и протоколов.

После переноса критически важных данных в «чистый» лес можно оценить варианты дальнейшей изоляции устаревших систем и приложений в «основном» лесу AD DS. Хотя вы можете реализовать творческое разрушение для замены одного приложения и серверов, на которых оно работает, в других случаях вы можете рассмотреть возможность дополнительной изоляции наименее безопасных систем и приложений. Например, приложение, которое используется несколькими пользователями, но для которого требуются устаревшие учетные данные, такие как хэши LAN Manager, можно перенести в небольшой домен, который вы создаете для поддержки систем, для которых у вас нет вариантов замены.

Удалив эти системы из доменов, в которых они принудительно реализовали устаревшие настройки, вы можете впоследствии повысить безопасность доменов, настроив их для поддержки только текущих операционных систем и приложений. Тем не менее, по возможности предпочтительно выводить из эксплуатации устаревшие системы и приложения. Если вывод из эксплуатации просто невозможен для небольшого сегмента унаследованного населения, выделение его в отдельный домен (или лес) позволяет выполнять постепенные улучшения в остальной части устаревшей установки.

Упрощение безопасности для конечных пользователей

В большинстве организаций пользователи, которые имеют доступ к наиболее конфиденциальной информации из-за характера их ролей в организации, часто имеют наименьшее количество времени для изучения сложных ограничений доступа и средств управления. Несмотря на то, что у вас должна быть комплексная программа обучения безопасности для всех пользователей в вашей организации, вы также должны сосредоточиться на том, чтобы сделать безопасность максимально простой в использовании, внедрив прозрачные элементы управления и упрощая принципы, которых придерживаются пользователи.

Например, вы можете определить политику, в которой руководители и другие VIP-персоны должны использовать защищенные рабочие станции для доступа к конфиденциальным данным и системам, позволяя им использовать свои другие устройства для доступа к менее конфиденциальным данным. Это простой принцип, который нужно запомнить пользователям, но вы можете реализовать ряд внутренних элементов управления, которые помогут реализовать этот подход.

Вы можете использовать Authentication Mechanism Assurance, чтобы разрешить пользователям доступ к конфиденциальным данным только в том случае, если они вошли в свои защищенные системы с помощью своих смарт-карт, и могут использовать IPsec и ограничения прав пользователей для управления системами, из которых они могут подключаться к конфиденциальным данным. хранилища данных.Вы можете использовать Microsoft Data Classification Toolkit для создания надежной инфраструктуры классификации файлов, а также можете реализовать динамический контроль доступа для ограничения доступа к данным на основе характеристик попытки доступа, переводя бизнес-правила в технические средства контроля.

С точки зрения пользователя, доступ к конфиденциальным данным из защищенной системы «просто работает», а попытки сделать это из незащищенной системы «просто не работают». Однако с точки зрения мониторинга и управления вашей средой вы помогаете создавать идентифицируемые шаблоны в том, как пользователи получают доступ к конфиденциальным данным и системам, что облегчает вам обнаружение аномальных попыток доступа.

В средах, в которых сопротивление пользователей длинным и сложным паролям привело к недостаточной политике паролей, особенно для VIP-пользователей, рассмотрите альтернативные подходы к аутентификации, будь то с помощью смарт-карт (которые имеют ряд форм-факторов и с дополнительными функциями для усиления аутентификации. ), биометрические элементы управления, такие как считыватели пальцев, или даже данные аутентификации, которые защищены микросхемами доверенного платформенного модуля (TPM) на компьютерах пользователей. Хотя многофакторная проверка подлинности не предотвращает атаки кражи учетных данных, если компьютер уже скомпрометирован, предоставляя пользователям простые в использовании элементы управления проверкой подлинности, вы можете назначать более надежные пароли учетным записям пользователей, для которых традиционные средства управления именами и паролями являются громоздкими.

Пути к компромиссу | Документы Microsoft

• 31.05.2017
• 25 минут на чтение

В этой статье

Применимо к: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

Закон номер семь: Самая безопасная сеть — это хорошо управляемая сеть. — 10 непреложных законов администрации безопасности

В организациях, которые испытали катастрофические события компрометации, оценки обычно показывают, что организации имеют ограниченное представление о фактическом состоянии их ИТ-инфраструктур, которое может значительно отличаться от их «задокументированного» состояния. Эти различия создают уязвимости, которые делают среду уязвимой для компрометации, часто с небольшим риском обнаружения, пока компрометация не достигнет точки, в которой злоумышленники фактически «овладевают» средой.

Подробная оценка конфигурации AD DS этих организаций, инфраструктур открытых ключей (PKI), серверов, рабочих станций, приложений, списков управления доступом (ACL) и других технологий выявляет неправильные конфигурации и уязвимости, которые, если их исправить, могли бы предотвратить первоначальную компрометацию.

Анализ ИТ-документации, процессов и процедур выявляет уязвимости, вызванные пробелами в административных практиках, которые использовались злоумышленниками для получения в конечном итоге привилегий, которые использовались для полной компрометации леса Active Directory.Полностью скомпрометированный лес — это лес, в котором злоумышленники компрометируют не только отдельные системы, приложения или учетные записи пользователей, но и расширяют свой доступ, чтобы получить уровень привилегий, на котором они могут изменить или уничтожить все аспекты леса. Когда установка Active Directory была скомпрометирована до такой степени, злоумышленники могут внести изменения, которые позволят им поддерживать присутствие во всей среде или, что еще хуже, уничтожить каталог, а также системы и учетные записи, которыми он управляет.

Хотя ряд из наиболее часто используемых уязвимостей в нижеследующих описаниях не является атакой на Active Directory, они позволяют злоумышленникам закрепиться в среде, которая может использоваться для проведения атак с повышением привилегий (также называемых повышением привилегий) и в конечном итоге нацеленных на и скомпрометируйте AD DS.

Этот раздел этого документа посвящен описанию механизмов, которые злоумышленники обычно используют для получения доступа к инфраструктуре и, в конечном итоге, для запуска атак с повышением привилегий. См. Также следующие разделы:

Примечание

Хотя в этом документе основное внимание уделяется системам Active Directory и Windows, которые являются частью домена AD DS, злоумышленники редко сосредотачиваются исключительно на Active Directory и Windows. В средах со смесью операционных систем, каталогов, приложений и репозиториев данных часто обнаруживается, что системы, отличные от Windows, также были скомпрометированы. Это особенно верно, если системы обеспечивают «мост» между средами Windows и не-Windows, такими как файловые серверы, к которым имеют доступ клиенты Windows и UNIX или Linux, каталоги, которые предоставляют службы проверки подлинности для нескольких операционных систем, или метакаталоги, которые синхронизируют данные в разных каталоги.

AD DS нацелен на возможности централизованного доступа и управления конфигурацией, которые он предоставляет не только системам Windows, но и другим клиентам. Любой другой каталог или приложение, которое предоставляет услуги аутентификации и управления конфигурацией, может стать и будет целью решительных злоумышленников.Хотя в этом документе основное внимание уделяется средствам защиты, которые могут снизить вероятность компрометации установок Active Directory, каждая организация, которая включает в себя компьютеры, каталоги, приложения или репозитории данных, отличные от Windows, должна также подготовиться к атакам на эти системы.

Первоначальные цели прорыва

Никто намеренно не создает ИТ-инфраструктуру, которая подвергает организацию опасности. Когда лес Active Directory создается впервые, он обычно остается нетронутым и актуальным.Проходят годы и появляются новые операционные системы и приложения, и они добавляются в лес. По мере признания преимуществ управляемости, которые обеспечивает Active Directory, в каталог добавляется все больше и больше контента, все больше людей интегрируют свои компьютеры или приложения с AD DS, а домены обновляются для поддержки новых функций, предлагаемых самыми последними версиями операционной системы Windows. система. Однако со временем также происходит то, что даже при добавлении новой инфраструктуры другие части инфраструктуры могут не поддерживаться так хорошо, как это было изначально, системы и приложения функционируют должным образом и, следовательно, не получают внимания, а организации начинают забывать, что они не устранили свою унаследованную инфраструктуру.Исходя из того, что мы видим при оценке скомпрометированных инфраструктур, чем старше, крупнее и сложнее среда, тем больше вероятность того, что существует множество экземпляров часто используемых уязвимостей.

Независимо от мотивации злоумышленника, большинство нарушений информационной безопасности начинаются с компрометации одной или двух систем одновременно. Эти начальные события или точки входа в сеть часто используют уязвимости, которые можно было исправить, но не исправили. В отчете о расследовании утечек данных за 2012 год (DBIR), который представляет собой ежегодное исследование, подготовленное группой Verizon RISK Team в сотрудничестве с рядом агентств национальной безопасности и других компаний, говорится, что 96 процентов атак были «несложными» и что » 97 процентов нарушений можно было избежать с помощью простого или промежуточного контроля.»Эти результаты могут быть прямым следствием следующих часто используемых уязвимостей.

Пробелы в развертывании антивирусов и вредоносных программ

Закон номер восемь: устаревший сканер вредоносных программ лишь ненамного лучше, чем его отсутствие. — Десять непреложных законов безопасности (Версия 2.0)

Анализ развертываний антивирусного и антивредоносного ПО в организациях часто выявляет среду, в которой большинство рабочих станций настроено с активным и актуальным антивирусным и антивредоносным программным обеспечением. Исключения обычно составляют рабочие станции, которые нечасто подключаются к корпоративной среде или устройствам сотрудников, для которых может быть сложно развернуть, настроить и обновить антивирусное и антивредоносное программное обеспечение.

Однако группы серверов

обычно менее надежно защищены во многих скомпрометированных средах. Как сообщалось в исследовании Data Breach Investigations 2012 года, 94 процента всех данных были скомпрометированы с участием серверов, что на 18 процентов больше, чем в предыдущем году, а 69 процентов атак были связаны с вредоносным ПО.В группах серверов нередко обнаруживается, что установки антивируса и защиты от вредоносных программ неправильно настроены, устарели, неправильно настроены или даже отключены. В некоторых случаях антивирусное и антивредоносное программное обеспечение отключается административным персоналом, но в других случаях злоумышленники отключают программное обеспечение после компрометации сервера через другие уязвимости. Когда антивирусное и антивредоносное программное обеспечение отключено, злоумышленники устанавливают вредоносное ПО на сервер и сосредотачиваются на распространении компрометации по всему серверу.

Важно не только гарантировать, что ваши системы защищены текущей комплексной защитой от вредоносных программ, но также отслеживать системы на предмет отключения или удаления антивирусного и антивредоносного программного обеспечения, а также автоматически перезапускать защиту при ее отключении вручную. Хотя никакое антивирусное и антивредоносное программное обеспечение не может гарантировать предотвращение и обнаружение всех заражений, правильно настроенная и развернутая реализация антивируса и защиты от вредоносных программ может снизить вероятность заражения.

Неполное исправление

Закон номер три: если вы не будете в курсе исправлений безопасности, ваша сеть не будет вашей надолго. — 10 непреложных законов администрации безопасности

Microsoft выпускает бюллетени по безопасности во второй вторник каждого месяца, хотя в редких случаях обновления безопасности выпускаются между ежемесячными обновлениями безопасности (они также известны как «внеполосные» обновления), когда обнаруживается, что уязвимость представляет собой срочную риск для клиентских систем. Независимо от того, настраивает ли малый бизнес свои компьютеры с Windows для использования Центра обновления Windows для управления установкой исправлений системы и приложений или крупная организация использует программное обеспечение для управления, такое как Microsoft Endpoint Configuration Manager для развертывания исправлений в соответствии с подробными иерархическими планами, многие клиенты исправляют свои инфраструктуры Windows относительно своевременно.

Однако немногие инфраструктуры включают только компьютеры с Windows и приложения Microsoft, а в скомпрометированных средах часто обнаруживается, что стратегия управления исправлениями организации содержит пробелы.Системы Windows в этих средах исправляются непоследовательно. Операционные системы, отличные от Windows, исправляются время от времени, если вообще исправляются. Готовые коммерческие приложения (COTS) содержат уязвимости, для которых существуют исправления, но они не были применены. Сетевые устройства часто конфигурируются с заводскими учетными данными по умолчанию и не обновляются через годы после их установки. Приложения и операционные системы, которые больше не поддерживаются их поставщиками, часто продолжают работать, несмотря на то, что они больше не могут быть исправлены для устранения уязвимостей.Каждая из этих незащищенных систем представляет собой еще одну потенциальную точку входа для злоумышленников.

Ориентация на потребителя в ИТ создала дополнительные проблемы, связанные с тем, что устройства, принадлежащие сотрудникам, используются для доступа к корпоративным данным, а организация может иметь незначительный контроль над установкой исправлений и настройкой личных устройств сотрудников. Оборудование корпоративного класса обычно поставляется с готовыми к использованию вариантами конфигурации и возможностями управления за счет меньшего выбора при индивидуальной настройке и выборе устройства.Аппаратное обеспечение, ориентированное на сотрудников, предлагает более широкий спектр производителей, поставщиков, функций безопасности оборудования, функций безопасности программного обеспечения, возможностей управления и вариантов конфигурации, а многие корпоративные функции могут вообще отсутствовать.

Программное обеспечение для управления исправлениями и уязвимостями

Если для систем Windows и приложений Microsoft существует эффективная система управления исправлениями, часть поверхности атаки, создаваемой незащищенными уязвимостями, была устранена. Однако, если системы, отличные от Windows, приложения сторонних производителей, сетевая инфраструктура и устройства сотрудников также не обновляются с помощью исправлений и других исправлений, инфраструктура остается уязвимой.В некоторых случаях поставщик приложения может предлагать возможности автоматического обновления; в других случаях может возникнуть необходимость разработать подход для регулярного получения и применения исправлений и других исправлений.

Устаревшие приложения и операционные системы

«Нельзя ожидать, что операционная система шестилетней давности защитит вас от атаки шестимесячной давности». — Специалист по информационной безопасности с 10-летним опытом защиты корпоративных установок

Хотя фраза «будь в курсе, оставайся в курсе» может звучать как маркетинговая фраза, устаревшие операционные системы и приложения создают риск для ИТ-инфраструктур многих организаций. Операционная система, выпущенная в 2003 году, может по-прежнему поддерживаться поставщиком и снабжаться обновлениями для устранения уязвимостей, но эта операционная система может не содержать функций безопасности, добавленных в более новых версиях операционной системы. Устаревшие системы могут даже потребовать ослабления определенной конфигурации безопасности AD DS для поддержки меньших возможностей этих компьютеров.

Приложения, написанные для использования устаревших протоколов аутентификации поставщиками, которые больше не поддерживают это приложение, обычно не могут быть переоборудованы для поддержки более строгих механизмов аутентификации.Однако домен Active Directory организации может по-прежнему быть настроен для хранения хэшей LAN Manager или обратимо зашифрованных паролей для поддержки таких приложений. Приложения, написанные до появления новых операционных систем, могут работать некорректно или совсем не работать с текущими операционными системами, что требует от организаций поддержки старых и старых систем, а в некоторых случаях и полностью неподдерживаемого оборудования и программного обеспечения.

Даже в тех случаях, когда организации обновили свои контроллеры домена до Windows Server 2012, Windows Server 2008 R2 или Windows Server 2008, обычно обнаруживается, что значительная часть рядовых серверов работает под управлением Windows Server 2003, Windows 2000 Server или Сервер Windows NT 4.0 (которые полностью не поддерживаются). Чем дольше организация поддерживает устаревшие системы, тем больше увеличивается несоответствие между наборами функций и тем выше вероятность того, что производственные системы не будут поддерживаться. Кроме того, чем дольше поддерживается лес Active Directory, тем чаще мы наблюдаем, что устаревшие системы и приложения пропускаются в планах обновления. Это может означать, что один компьютер, на котором запущено одно приложение, может представлять уязвимости на уровне домена или леса, поскольку Active Directory настроен на поддержку своих устаревших протоколов и механизмов проверки подлинности.

Чтобы исключить устаревшие системы и приложения, вы должны сначала сосредоточиться на их идентификации и каталогизации, а затем на определении того, следует ли обновить или заменить приложение или хост. Хотя может быть сложно найти замену узкоспециализированным приложениям, для которых нет ни поддержки, ни пути обновления, вы можете использовать концепцию, называемую «творческое разрушение», для замены устаревшего приложения новым приложением, которое предоставляет необходимые функции. .Планирование компромисса более подробно описано в разделе «Планирование компромисса» далее в этом документе.

Неправильная конфигурация

Закон номер четыре: установка исправлений безопасности на компьютер, который никогда не был защищен, бесполезен. — 10 непреложных законов администрации безопасности

Даже в средах, где системы, как правило, обновляются и обновляются, мы обычно выявляем пробелы или неправильные конфигурации в операционной системе, приложениях, запущенных на компьютерах, и в Active Directory.Некоторые неправильные конфигурации подвергают компрометации только локальный компьютер, но после того, как компьютер «принадлежит», злоумышленники обычно сосредотачиваются на дальнейшем распространении компрометации на другие системы и, в конечном итоге, на Active Directory. Ниже приведены некоторые из общих областей, в которых мы определяем конфигурации, представляющие риск.

в Active Directory

Учетные записи в Active Directory, которые наиболее часто становятся мишенью злоумышленников, — это те, которые являются членами групп с наиболее высокими привилегиями, такими как члены администраторов домена (DA), администраторов предприятия (EA) или встроенных администраторов (BA). ) группы в Active Directory.Членство в этих группах должно быть сокращено до минимально возможного количества учетных записей, чтобы ограничить поверхность атаки этих групп. Возможно даже исключить «постоянное» членство в этих привилегированных группах; то есть вы можете реализовать настройки, которые позволяют вам временно заполнять эти группы только тогда, когда требуются их привилегии на уровне домена и леса. Когда используются высокопривилегированные учетные записи, их следует использовать только в назначенных безопасных системах, таких как контроллеры домена или безопасные административные узлы. Подробная информация, которая поможет реализовать все эти конфигурации, представлена ​​в разделе «Уменьшение поверхности атаки Active Directory».

Когда мы оцениваем членство в группах с наивысшими привилегиями в Active Directory, мы обычно обнаруживаем чрезмерное членство во всех трех группах с самыми высокими привилегиями. В некоторых случаях организации имеют десятки, даже сотни учетных записей в группах DA. В других случаях организации помещают учетные записи непосредственно во встроенные группы администраторов, считая эту группу «менее привилегированной», чем группа DA.Нет, это не так. Мы часто находим горстку постоянных членов группы EA в корневом домене леса, несмотря на то, что привилегии EA редко и временно требуются. Также обычным делом является обнаружение повседневной административной учетной записи ИТ-пользователя во всех трех группах, хотя это эффективно дублирующая конфигурация. Как описано в разделе Уменьшение поверхности атаки Active Directory, независимо от того, является ли учетная запись постоянным членом одной из этих групп или всех из них, учетная запись может использоваться для взлома и даже уничтожения среды AD DS, а также систем и учетных записей, управляемых ею. .Рекомендации по безопасной настройке и использованию привилегированных учетных записей в Active Directory приведены в разделе «Уменьшение поверхности атаки Active Directory».

на контроллерах домена

Когда мы оцениваем контроллеры домена, мы часто обнаруживаем, что они настроены и управляются так же, как рядовые серверы. Контроллеры домена иногда запускают одни и те же приложения и служебные программы, установленные на рядовых серверах, не потому, что они необходимы на контроллерах домена, а потому, что приложения являются частью стандартной сборки.Эти приложения могут обеспечивать минимальную функциональность на контроллерах домена, но значительно увеличивают поверхность атаки, требуя настройки конфигурации, которые открывают порты, создают учетные записи служб с высокими привилегиями или предоставляют доступ к системе пользователям, которым не следует подключаться к контроллеру домена для каких-либо целей. кроме проверки подлинности и приложения групповой политики. В некоторых случаях злоумышленники использовали инструменты, которые уже были установлены на контроллерах домена, не только для получения доступа к контроллерам домена, но и для изменения или повреждения базы данных AD DS.

Когда мы извлекаем параметры конфигурации Internet Explorer на контроллерах домена, мы обнаруживаем, что пользователи вошли в систему с учетными записями с высокими уровнями привилегий в Active Directory и использовали учетные записи для доступа в Интернет и интрасеть с контроллеров домена. В некоторых случаях учетные записи настроили параметры Internet Explorer на контроллерах домена, чтобы разрешить загрузку Интернет-контента, а бесплатные служебные программы были загружены с Интернет-сайтов и установлены на контроллерах домена.Конфигурация усиленной безопасности Internet Explorer по умолчанию включена для пользователей и администраторов, но мы часто наблюдаем, что она отключена для администраторов. Когда высокопривилегированная учетная запись получает доступ к Интернету и загружает контент на любой компьютер, этот компьютер подвергается серьезному риску. Когда компьютер является контроллером домена, вся установка AD DS находится под угрозой.

Защита контроллеров домена

Контроллеры домена следует рассматривать как критически важные компоненты инфраструктуры, обеспечивать более строгую защиту и более жесткую настройку, чем серверы файлов, печати и приложений.Контроллеры домена не должны запускать какое-либо программное обеспечение, которое не требуется для работы контроллера домена или не защищает контроллер домена от атак. Контроллерам домена не должен быть разрешен доступ в Интернет, а параметры безопасности должны настраиваться и применяться с помощью объектов групповой политики (GPO). Подробные рекомендации по безопасной установке, настройке и управлению контроллерами домена представлены в разделе Защита контроллеров домена от атак.

в операционной системе

Закон номер два: если злоумышленник может изменить операционную систему на вашем компьютере, это больше не ваш компьютер. — Десять непреложных законов безопасности (Версия 2.0)

Хотя некоторые организации создают базовые конфигурации для серверов разных типов и допускают ограниченную настройку операционной системы после ее установки, анализ скомпрометированных сред часто выявляет большое количество серверов, развернутых произвольно и настроенных вручную и независимо. Конфигурации между двумя серверами, выполняющими одну и ту же функцию, могут быть совершенно разными, если ни один из серверов не настроен безопасно.И наоборот, базовые параметры конфигурации сервера могут постоянно применяться, но также могут постоянно неправильно настраиваться; то есть серверы настроены таким образом, чтобы создать одну и ту же уязвимость на всех серверах данного типа. Неверная конфигурация включает в себя такие действия, как отключение функций безопасности, предоставление чрезмерных прав и разрешений учетным записям (особенно учетным записям служб), использование идентичных локальных учетных данных в разных системах и разрешение установки неавторизованных приложений и утилит, которые сами создают уязвимости.

Отключение функций безопасности

Организации иногда отключают брандмауэр Windows в режиме повышенной безопасности (WFAS), полагая, что WFAS сложно настроить или требует трудоемкой настройки. Однако, начиная с Windows Server 2008, когда на сервере установлена ​​какая-либо роль или функция, она по умолчанию настраивается с минимальными правами, необходимыми для работы роли или функции, а брандмауэр Windows автоматически настраивается для поддержки роли или функции. .Отключив WFAS (и не используя вместо него другой брандмауэр на базе хоста), организации увеличивают поверхность атаки для всей среды Windows. Брандмауэры по периметру обеспечивают некоторую защиту от атак, направленных непосредственно на среду из Интернета, но они не обеспечивают защиты от атак, использующих другие векторы атак, таких как атаки с прямой загрузкой или атаки, исходящие из других скомпрометированных систем в интрасети.

Параметры

User Account Control (UAC) иногда отключаются на серверах, потому что административный персонал считает подсказки навязчивыми.Хотя в статье 2526083 службы поддержки Microsoft описаны сценарии, в которых UAC может быть отключен на Windows Server, если вы не запускаете установку ядра сервера (где UAC отключен намеренно), вам не следует отключать UAC на серверах без внимательного рассмотрения и исследования.

В других случаях параметры сервера настроены на менее безопасные значения, поскольку организации применяют устаревшие параметры конфигурации сервера к новым операционным системам, например, применяют базовые параметры Windows Server 2003 к компьютерам под управлением Windows Server 2012, Windows Server 2008 R2 или Windows Server 2008, без изменения базовых показателей для отражения изменений в операционной системе.Вместо того, чтобы переносить старые базовые параметры сервера в новые операционные системы, при развертывании новой операционной системы проверьте изменения безопасности и параметры конфигурации, чтобы убедиться, что реализованные параметры применимы и подходят для новой операционной системы.

Предоставление чрезмерных привилегий

Практически в каждой среде, которую мы оценили, чрезмерные привилегии предоставляются локальным и доменным учетным записям в системах Windows. Пользователям предоставляются права локального администратора на своих рабочих станциях, рядовые серверы запускают службы, настроенные с правами, выходящими за рамки того, что им необходимо для работы, а группы локальных администраторов на всех серверах содержат десятки или даже сотни локальных и доменных учетных записей.Компрометация только одной привилегированной учетной записи на компьютере позволяет злоумышленникам скомпрометировать учетные записи каждого пользователя и службы, которые входят в систему, а также собрать и использовать учетные данные для распространения компрометации на другие системы.

Несмотря на то, что атаки с передачей хэша (PTH) и другие атаки с кражей учетных данных сегодня повсеместны, это связано с тем, что существует свободно доступный инструмент, который упрощает и упрощает извлечение учетных данных других привилегированных учетных записей, когда злоумышленник получил доступ к администратору или системе -уровневый доступ к компьютеру.Даже без инструментов, которые позволяют собирать учетные данные из сеансов входа в систему, злоумышленник с привилегированным доступом к компьютеру может так же легко установить регистраторы нажатий клавиш, которые фиксируют нажатия клавиш, снимки экрана и содержимое буфера обмена. Злоумышленник с привилегированным доступом к компьютеру может отключить программное обеспечение для защиты от вредоносных программ, установить руткиты, изменить защищенные файлы или установить на компьютер вредоносное ПО, которое автоматизирует атаки или превращает сервер в хост-загрузчик.

Тактики, используемые для распространения взлома за пределы одного компьютера, различаются, но ключом к распространению взлома является получение высокопривилегированного доступа к дополнительным системам.Уменьшая количество учетных записей с привилегированным доступом к любой системе, вы уменьшаете поверхность атаки не только этого компьютера, но и вероятность того, что злоумышленник получит ценные учетные данные с компьютера.

Стандартизация учетных данных локального администратора

Специалисты по безопасности уже давно обсуждают целесообразность переименования учетных записей локальных администраторов на компьютерах с Windows. Что действительно важно для учетных записей локальных администраторов, так это то, настроены ли они с одним и тем же именем пользователя и паролем на нескольких компьютерах.

Если учетная запись локального администратора имеет одно и то же значение на всех серверах и пароль, назначенный учетной записи, также настроен на то же значение, злоумышленники могут извлечь учетные данные учетной записи на одном компьютере, на котором был получен доступ на уровне администратора или системы. Злоумышленнику не нужно изначально взламывать учетную запись администратора; им нужно только скомпрометировать учетную запись пользователя, который является членом локальной группы администраторов, или учетной записи службы, настроенной для работы как LocalSystem или с привилегиями администратора.Затем злоумышленник может извлечь учетные данные для учетной записи администратора и воспроизвести эти учетные данные при входе в сеть на другие компьютеры в сети.

Пока другой компьютер имеет локальную учетную запись с тем же именем пользователя и паролем (или хешем пароля), что и учетные данные, представленные в учетной записи, попытка входа в систему будет успешной, и злоумышленник получит привилегированный доступ к целевому компьютеру. В текущих версиях Windows встроенная учетная запись администратора отключена по умолчанию, но в устаревших операционных системах учетная запись включена по умолчанию.

Примечание

Некоторые организации намеренно настроили локальные учетные записи администратора для включения, полагая, что это обеспечивает «отказоустойчивость» в случае, если все другие привилегированные учетные записи заблокированы в системе. Однако, даже если учетная запись локального администратора отключена и нет других доступных учетных записей, которые могут включить учетную запись или войти в систему с правами администратора, систему можно загрузить в безопасном режиме, а встроенную учетную запись локального администратора можно повторно включен, как описано в статье службы поддержки Microsoft 814777.Кроме того, если система по-прежнему успешно применяет объекты групповой политики, можно изменить объект групповой политики, чтобы (временно) повторно включить учетную запись администратора, или можно настроить группы с ограниченным доступом для добавления учетной записи на основе домена в локальную группу администраторов. Можно выполнить ремонт и снова отключить учетную запись администратора. Чтобы эффективно предотвратить боковой взлом, использующий встроенные учетные данные локальной учетной записи администратора, для учетных записей локальных администраторов необходимо настроить уникальные имена пользователей и пароли.Чтобы развернуть уникальные пароли для учетных записей локальных администраторов через GPO, см. Решение для управления паролем встроенной учетной записи администратора через GPO на сайте technet.

Разрешение на установку неавторизованных приложений

Закон номер один: если плохой парень может убедить вас запустить его программу на вашем компьютере, это уже не только ваш компьютер. — Десять непреложных законов безопасности (Версия 2.0)

Независимо от того, развертывает ли организация согласованные базовые параметры на серверах, установка приложений, которые не являются частью определенной роли сервера, не должна быть разрешена.Разрешая установку программного обеспечения, которое не является частью назначенных функций сервера, серверы подвергаются непреднамеренной или злонамеренной установке программного обеспечения, которое увеличивает поверхность атаки сервера, вносит уязвимости в приложения или вызывает нестабильность системы.

Приложения

Как описано ранее, приложения часто устанавливаются и настраиваются для использования учетных записей, которым предоставлено больше прав, чем фактически требуется приложению. В некоторых случаях в документации к приложению указано, что учетные записи служб должны быть членами локальной группы администраторов сервера или должны быть настроены для работы в контексте LocalSystem.Часто это происходит не потому, что приложению требуются эти права, а потому, что определение того, какие права и разрешения необходимы учетным записям служб приложения, требует дополнительных затрат времени и усилий. Если приложение не устанавливается с минимальными привилегиями, необходимыми для работы приложения и его настроенных функций, система подвергается атакам, которые используют привилегии приложения без какой-либо атаки на саму операционную систему.

Отсутствие безопасной практики разработки приложений

Инфраструктура существует для поддержки рабочих нагрузок бизнеса.Если эти рабочие нагрузки реализованы в пользовательских приложениях, очень важно убедиться, что приложения разрабатываются с использованием передовых методов безопасности. Анализ первопричин инцидентов в масштабе предприятия часто показывает, что первоначальная компрометация осуществляется через пользовательские приложения, особенно те, которые подключены к Интернету. Большинство этих угроз достигается путем взлома хорошо известных атак, таких как атаки с использованием SQL-инъекций (SQLi) и межсайтовых сценариев (XSS).

SQL Injection — это уязвимость приложения, которая позволяет пользовательскому вводу изменять оператор SQL, который передается в базу данных для выполнения.Этот ввод может быть предоставлен через поле в приложении, параметр (например, строку запроса или файл cookie) или другие методы. Результатом этого внедрения является то, что оператор SQL, предоставленный базе данных, в корне отличается от того, что задумал разработчик. Возьмем, к примеру, общий запрос, используемый при оценке комбинации имени пользователя и пароля:

ВЫБРАТЬ ИД пользователя ИЗ пользователей, ГДЕ username = 'sUserName' И пароль = 'sPassword'

Когда это получено сервером базы данных, он дает указание серверу просмотреть таблицу пользователей и вернуть любую запись идентификатора пользователя, в которой имя пользователя и пароль совпадают с предоставленными пользователем (предположительно через какую-либо форму входа в систему).Естественно, что намерение разработчика в этом случае состоит в том, чтобы вернуть действительную запись только в том случае, если правильное имя пользователя и пароль могут быть предоставлены пользователем. Если один из них неверен, сервер базы данных не сможет найти соответствующую запись и вернуть пустой результат.

Проблема возникает, когда злоумышленник делает что-то неожиданное, например предоставляет собственный SQL вместо действительных данных. Поскольку SQL интерпретируется сервером базы данных «на лету», внедренный код будет обрабатываться так, как если бы разработчик вложил его в себя.Например, если злоумышленник ввел administrator в качестве идентификатора пользователя и xyz OR 1 = 1 в качестве пароля, результирующий оператор, обработанный базой данных, будет:

ВЫБРАТЬ ИД пользователя ИЗ числа пользователей, ГДЕ имя пользователя = 'администратор' И пароль = 'xyz' ИЛИ ​​1 = 1

Когда этот запрос обрабатывается сервером базы данных, все строки в таблице будут возвращены в запросе, потому что 1 = 1 всегда будет оцениваться как True, поэтому не имеет значения, известны или предоставлены правильные имя пользователя и пароль.Конечный результат в большинстве случаев состоит в том, что пользователь войдет в систему как первый пользователь в базе данных пользователя; в большинстве случаев это будет администратор.

Помимо простого входа в систему, такие искаженные операторы SQL могут использоваться для добавления, удаления или изменения данных или даже для удаления (удаления) целых таблиц из базы данных. В самых крайних случаях, когда SQLi сочетается с чрезмерными привилегиями, можно запускать команды операционной системы, чтобы разрешить создание новых пользователей, загрузить инструменты атаки или предпринять любые другие действия по выбору злоумышленников.

В межсайтовых сценариях уязвимость вводится в выходных данных приложения. Атака начинается с того, что злоумышленник предоставляет приложению искаженные данные, но в этом случае искаженные данные представляют собой код сценария (например, JavaScript), который будет запускаться браузером жертвы. Использование XSS-уязвимости может позволить злоумышленнику запускать любые функции целевого приложения в контексте пользователя, запустившего браузер. XSS-атаки обычно инициируются фишинговым письмом, побуждающим пользователя щелкнуть ссылку, которая подключается к приложению и запускает код атаки.

XSS часто используется в сценариях онлайн-банкинга и электронной коммерции, когда злоумышленник может совершать покупки или переводить деньги в контексте эксплуатируемого пользователя. В случае целенаправленной атаки на настраиваемое веб-приложение для управления идентификацией, она может позволить злоумышленнику создать свои собственные удостоверения, изменить разрешения и права и привести к системной компрометации.

Хотя полное обсуждение межсайтовых сценариев и SQL-инъекций выходит за рамки этого документа, Open Web Application Security Project (OWASP) публикует список 10 лучших с подробным обсуждением уязвимостей и контрмер.

Независимо от вложений в безопасность инфраструктуры, если в этой инфраструктуре развертываются плохо спроектированные и написанные приложения, среда становится уязвимой для атак. Даже хорошо защищенные инфраструктуры часто не могут обеспечить эффективные меры противодействия этим атакам приложений. Проблема усугубляется тем, что плохо спроектированные приложения могут потребовать предоставления учетным записям служб чрезмерных разрешений для работы приложения.

Microsoft Security Development Lifecycle (SDL) — это набор структурных элементов управления процессами, которые работают над повышением безопасности, начиная с раннего сбора требований и продлевая жизненный цикл приложения до его вывода из эксплуатации.Такая интеграция эффективных средств управления безопасностью критична не только с точки зрения безопасности, но и для обеспечения того, чтобы безопасность приложений была эффективной с точки зрения затрат и графика. Оценка приложения на предмет проблем безопасности, когда оно фактически завершено, требует, чтобы организации принимали решения о безопасности приложения только до или даже после того, как приложение было развернуто. Организация может решить устранить недостатки приложения перед развертыванием приложения в производственной среде, что приведет к затратам и задержкам, или же приложение может быть развернуто в производственной среде с известными недостатками безопасности, подвергая организацию опасности.

Некоторые организации оценивают полную стоимость устранения проблемы безопасности в производственном коде выше 10 000 долларов за каждую проблему, а приложения, разработанные без эффективного SDL, могут в среднем более десяти проблем с высокой степенью серьезности на 100 000 строк кода. В больших приложениях затраты быстро растут. В отличие от этого, многие компании устанавливают эталонный показатель менее одной проблемы на 100 000 строк кода на заключительном этапе анализа кода SDL и стремятся к нулевому количеству проблем в приложениях с высоким уровнем риска в производственной среде.

Внедрение SDL повышает безопасность за счет включения требований безопасности на раннем этапе сбора требований, а разработка приложения обеспечивает моделирование угроз для приложений с высоким риском; требует эффективного обучения и контроля разработчиков; и требует четких и последовательных стандартов и правил кодекса. Чистый эффект SDL заключается в значительном улучшении безопасности приложений при одновременном снижении затрат на разработку, развертывание, поддержку и вывод приложения из эксплуатации. Хотя подробное обсуждение дизайна и реализации SDL выходит за рамки этого документа, обратитесь к Microsoft Security Development Lifecycle для получения подробных рекомендаций и информации.

Процедура реагирования на взломанный компьютер — Управление информационной безопасности — Вычислительные услуги

Назначение

Цель данной Процедуры — предоставить пошаговые инструкции по реагированию на фактическую или предполагаемую компрометацию вычислительных ресурсов Carnegie Mellon.

Относится к

Настоящая процедура применяется ко всем, кто использует вычислительные ресурсы Carnegie Mellon и подозревает, что безопасность или конфиденциальность этих ресурсов была нарушена.Эта процедура также применяется к ситуациям, когда компрометации не было, но кто-то подозревает, что его вычислительные ресурсы подвергаются активной атаке. Данная Процедура не распространяется на вычислительные ресурсы, принадлежащие студентам.

Определения

A Взломанный компьютер определяется как любой вычислительный ресурс, конфиденциальность, целостность или доступность которого была нарушена, намеренно или непреднамеренно, из ненадежного источника. Компрометация может произойти либо посредством ручного взаимодействия с ненадежным источником, либо посредством автоматизации.Получение несанкционированного доступа к компьютеру путем выдачи себя за законного пользователя или путем проведения атаки полным перебором будет представлять собой компромисс. Использование лазейки в конфигурации компьютера также явилось бы компромиссом. В зависимости от обстоятельств компьютер, зараженный вирусом, червем, трояном или другим вредоносным ПО, может считаться компромиссом. Если вредоносное ПО своевременно обнаруживается и удаляется антивирусным ПО, вероятно, нет необходимости выполнять этот процесс.В таких ситуациях необходимо использовать определенный уровень суждения. Признаки взломанного компьютера включают, помимо прочего, следующее:

• На компьютере наблюдается неожиданная и необъяснимая дисковая активность
• Произошло неожиданное и необъяснимое снижение производительности компьютера
• Журналы компьютера (например, системные журналы, журналы приложений и т. Д.) Содержат подозрительные записи, указывающие на повторяющиеся неудачные попытки входа в систему или подключения к незнакомым службам
• Получена жалоба от третьего лица на подозрительную активность, исходящую от компьютера

Непубличная информация — это любая информация, которая классифицируется как частная или закрытая в соответствии с Руководством по классификации данных.

Информация, позволяющая установить личность — это подмножество закрытой информации, определяемой различными государственными и федеральными постановлениями. Примеры информации, позволяющей установить личность, включают, помимо прочего, номера социального страхования, номера водительских прав, информацию о состоянии здоровья и некоторые типы информации о финансовых счетах.

Нормативные требования

Carnegie Mellon требуется в соответствии с различными государственными и федеральными законами для расследования любого инцидента, который может включать нарушение личной информации.Карнеги-Меллон также должен уведомлять человека, если была нарушена конфиденциальность его личной информации. Неспособность сохранить доказательства или провести расследование в отношении взломанного компьютера может привести к ненужным финансовым затратам для учреждения. Также важно, чтобы детали компромисса и последующего расследования оставались конфиденциальными. Все сообщения, связанные с компромиссом, следует согласовывать с Управлением информационной безопасности и Управлением главного юрисконсульта.Любой контакт с правоохранительными органами должен быть незамедлительно направлен или разрешен Управлением главного юрисконсульта.

Процедура

Чтобы отреагировать на реальный или предполагаемый взломанный компьютер, необходимо предпринять следующие шаги:

1. Отключить компьютер от сети

   Отключение компьютера от сети предотвращает возможность дальнейших действий потенциально ненадежного источника на взломанном компьютере. Это также предотвращает любую дальнейшую утечку закрытой информации, если это является потенциальной проблемой.Выключение компьютера также будет иметь такой же эффект, но может уничтожить доказательства, необходимые для расследования компрометации. Точно так же восстановление компьютера уничтожит все улики, относящиеся к расследованию.

2. Связаться с отделом информационной безопасности

   Прежде чем предпринимать какие-либо дополнительные действия на взломанном компьютере, необходимо связаться с отделом информационной безопасности. Продолжение использования скомпрометированного компьютера или попытка расследования взлома самостоятельно может привести к уничтожению улик, имеющих отношение к расследованию.С Управлением информационной безопасности можно связаться по телефону 412-268-2044 или по электронной почте [email protected]. Если Служба информационной безопасности не может принять ваш звонок, в голосовом сообщении будет указана контактная информация для экстренных случаев.

3. Уведомить пользователей компьютера, если таковые имеются, о временном прерывании обслуживания

   Если скомпрометированный компьютер предоставляет какой-либо тип службы, вполне вероятно, что на пользователей этой службы повлияет прерывание, вызванное отключением компьютера от сети.Эти пользователи должны быть уведомлены каким-либо образом о прерывании. Варианты уведомления могут включать электронное письмо для базы пользователей или размещение уведомления на часто посещаемом веб-сайте. Как указывалось ранее, детали компромисса и последующего расследования должны оставаться конфиденциальными. Следовательно, уведомление о прерывании обслуживания не должно указывать на компрометацию.

4. Сохранить любую информацию журнала, не находящуюся на скомпрометированном компьютере

   Все файлы журналов, относящиеся к взломанному компьютеру, которые хранятся на дополнительном компьютере или на каком-либо внешнем носителе, должны быть немедленно сохранены.Обратитесь в ISO, чтобы узнать, как сохранить информацию в файле журнала. Если нет непосредственного риска удаления или перезаписи журналов, этот шаг можно выполнить после шага 5. Файлы журналов, хранящиеся локально на скомпрометированном компьютере, будут собираться в рамках судебно-медицинской экспертизы, координируемой Управлением информационной безопасности. Это поможет гарантировать, что никакие доказательства не будут уничтожены или изменены в процессе сбора.

5. Дождитесь дальнейших инструкций из отдела информационной безопасности

   Служба информационной безопасности проведет предварительное расследование, прежде чем определит наилучший способ действий для взломанного компьютера.Ожидая дальнейших инструкций, не сообщайте никаких подробностей, касающихся взлома, за исключением случаев крайней необходимости. Кроме того, не пытайтесь связаться с представителями правоохранительных органов. Такое общение должно быть согласовано с Управлением информационной безопасности и Управлением главного юрисконсульта из-за возможных юридических последствий взлома компьютера.

Дополнительная информация

Если у вас есть какие-либо вопросы или комментарии, связанные с этой процедурой, отправьте электронное письмо в Управление информационной безопасности Карнеги-Меллона по адресу iso @ andrew.cmu.edu.

Дополнительную информацию также можно найти на следующих ресурсах:

История изменений

Версия	Опубликованные	Автор	Описание
1,0	11.04.2006	Стефани Кавиччи Джон Лерчи	Оригинальная публикация
1.1	11.05.2006	Стефани Кавиччи Джон Лерчи	Незначительные правки для пояснения.
1,2	09.04.2007	Дуг Маркевич	Документ с измененной меткой как процедура, а не руководство.
2,0	18.04.2008	Дуг Маркевич	Переформатирован для соответствия новому шаблону процедуры и в значительной степени переписан для большей ясности. Контактная информация также была обновлена.Никаких существенных изменений в сам процесс внесено не было.
2,1	18.05.2011	Дуг Маркевич	Обновленные определения, дополнительная информация и контактная информация на шаге 2 процедуры.

Статус:	Опубликовано
Опубликовано:	11.04.2006
Последнее обновление:	18.05.2011
Последняя редакция	12.10.2016

Причины респираторного компромета, способы выявления и лечения

швейцарских франков швейцарских франков

Исследование	Результат	Фактор риска	Соотношение шансов	95% ДИ	Значение P
Альварес 2015 4	Послеоперационная респираторная недостаточность	Возраст	1.018	от 1,016 до 1,019	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Мужской	1,255	1,211 до 1,299	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Состояние стационара	10,864	9,616 до 12.232	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Общая анестезия	2,773	от 2,516 до 3,057	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	ИМТ	0,992	от 0,989 до 0,0994	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Курение	1.297	от 1,244 до 1,353	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Одышка (умеренная)	1,375	1,31 до 1,443	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Мужской	1,255	1.211 к 1.299	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Независимое функциональное состояние	0,641	от 0,525 до 0,783	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Вентилятор	1,365	1,241–1,501	<0.001
Альварес 2015 4	Послеоперационная респираторная недостаточность	ХОБЛ	1,578	1,503–1,657	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Мужской	1,255	1,211 до 1,299	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность		1.467	от 1,354 до 1,591	<0,001
Альварес 2015 4	Послеоперационная респираторная недостаточность	Неотложная помощь	2,034	от 1,95 до 2,122	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18,5 кг / м 2	1,5	1.3 по 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ ≥ 40 кг / м 2	1,3	1.1. к 1,6	0,011
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18,5 кг / м 2	1,5	1.3 по 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Употребление алкоголя	1,4	от 1,1 до 1,8	0,004
Рамачандран 2011 3	Ранняя послеоперационная интубация	Текущий курильщик	1,5	от 1,3 до 1,7	<0.001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18,5 кг / м 2	1,5	от 1,3 до 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Одышка	1,6	от 1,4 до 1,8	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18.5 кг / м 2	1,5	от 1,3 до 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ХОБЛ	1,6	от 1,4 до 1,8	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18,5 кг / м 2	1.5	от 1,3 до 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Диабет, проверено на инсулин	1,3	от 1,1 до 1,5	0,003
Рамачандран 2011 3	Ранняя послеоперационная интубация	ИМТ <18,5 кг / м 2	1.5	от 1,3 до 1,9	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация		1,6	от 1,2 до 2,0	0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Функция печени	1,4	от 1,2 до 1,8	<0.001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Рак	1,5	от 1,3 до 1,8	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Длительная госпитализация	1,3	от 1,2 до 1,5	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Похудание	1.5	от 1,2 до 1,8	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Сепсис	1,5	от 1,3 до 1,8	<0,001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Гипертония	1,4	от 1,2 до 1,5	<0.001
Рамачандран 2011 3	Ранняя послеоперационная интубация	Операция очень высокого риска	5,3	от 4,4 до 6,4	<0,001
Вайнгартен 2015 5	Использование налоксона	Сердечно-сосудистые заболевания	2,56	1,28–5,11	0,008
Weingarten 2015 5	Использование налоксона	OSA	2.44	от 1,15 до 5,19	0,021
Weingarten 2015 5	Использование налоксона	Неврологическая болезнь	4,05	1,61 до 10,17	0,003
Weingarten 2015 5	Использование налоксона	Продолжительность наркоза	1,07	от 1,00 до 1,22	0,043
Weingarten 2015 5	Использование налоксона	Использование опиоидов длительного действия	2. alexxlab Посмотреть все записи автора alexxlab → Вам также может понравиться Что должна девушка делать каждый день: Что должна делать каждая девушка каждый день. 9 вещей, которые идеальная женщина делает каждый день | Я 07.03.202323.12.2022 Почему молодым парням нравятся взрослые женщины: Почему мужчинам нравятся женщины постарше: 9 причин 24.06.202328.03.2023 Температура у детей комаровский: ОРВИ: доктор Комаровский рассказал, каким на самом деле должно быть лечение ОРВИ 26.05.202322.03.2023 Добавить комментарий Отменить ответ Ваш адрес email не будет опубликован. Обязательные поля помечены * Комментарий * Имя * Email * Сайт