Quản Trị Mạng - Trong phần 1, chúng ta đã điểm qua 1 vài tình huống điển hình thường gặp của DHCP server cùng vài phương pháp cơ bản để phòng tránh. Trong phần 2 này, chúng ta sẽ tiếp tục với những phương pháp hiệu quả và công cụ sử dụng để tăng cường tính bảo mật của DHCP server trong nền tảng Windows 2000 và Windows Server 2003.
Tìm hiểu về DHCP Server Security (phần 1)
Tìm hiểu về DHCP Server Auditing
Việc kiểm soát cơ sở dữ liệu DHCP trên DHCP server sẽ giúp bạn xác định các DHCP client đang nhận được địa chỉ trực tiếp từ server tốt hơn. Bên cạnh đó, quá trình này cũng giúp bạn nhận biết các thành phần BAD_ADDRESS trong cơ sở dữ liệu, và nơi xuất xứ của chúng … những thông tin này thực sự hữu ích, khi chúng có thể gây ra những địa chỉ xung đột khi hệ thống DHCP server giả mạo tiến hành gán địa chỉ trong khi chúng vẫn đang được sử dụng.
Để kích hoạt tính năng kiểm soát trên toàn bộ hệ thống DHCP server, mở bảng điều khiển DHCP console để kết nối tới DHCP server trên hệ thống mạng. Kích chuột phải lên server node và chọn Properties, trên thẻ General, đánh dấu vào ô Enable DHCP audit logging:
Các bản ghi kiểm soát DHCP được lưu trữ mặc định trong thư mục %windir%\system32\dhcp, nhưng người dùng có thể thay đổi qua thẻ Advance. Các bản ghi này được tạo ra hoặc gắn liền với các danh mục công việc hàng ngày có tên là DhcpSrvLog-Mon.log, DhcpSrvLog-Tue.log … Mỗi bản ghi này sẽ bắt đầu với ID của sự kiện tương ứng, và phần đầu bản ghi lưu trữ danh sách các ID với giải thích chi tiết. Ngoài ra, các thao tác tùy chỉnh cũng có thể được làm thông qua khóa HKLM\SYSTEM\CurrentControlSet\Services\DHCPServer\Parameters trong Registry:
- DhcpLogFilesMaxSize chỉ định dung lượng tối đa đối với tất cả file bản ghi lưu trữ DHCP (mặc định là 7 MB)
- DhcpLogDiskSpaceCheckInterval quy định cụ thể việc kiểm tra dung lượng đĩa sử dụng của DHCP (chế độ mặc định là 50 phút)
- DhcpLogMinSpaceOnDisk xác định mức không gian trống tối thiểu để khóa tạm thời chức năng đăng nhập (mức mặc định là 20 MB)
DHCP Administrators Group
Trước kia, với 1 số hệ thống thì các thành viên trong nhóm Domain Admins có toàn quyền thiết lập DHCP trên server, và bạn cũng có thể ủy quyền cho những tài khoản người dùng với những công việc phù hợp để quản lý DHCP của hệ thống. Để làm việc này, mở Active Directory Users and Computers và thêm tên tài khoản người dùng vào nhóm DHCP Administrators:
Cơ chế này tạo cho người dùng khả năng quản lý trực tiếp DHCP server trên hệ thống mà không cần phải cấp quyền, phân quyền hay xác thực cho tài khoản quản trị đó để thực hiện các tác vụ khác. Tuy nhiên, 1 vấn đề nảy sinh ở đây là làm thế nào để quản lý tất cả thành viên trong nhóm DHCP Administrators để chắc chắn rằng không có tài khoản trái phép hoặc giả mạo nào đã được thêm vào nhóm này?
Bên cạnh đó, bạn có thể theo dõi các thành viên của các nhóm quan trọng như DHCP Administrators bằng chức năng Restricted Groups của Group Policy. Để làm việc này, sử dụng Active Directory Users and Computers để mở Default Domain Policy và chuyển tới Computer Configuration\Windows Settings\Security Settings\Restricted Groups:
Kích chuột phải lên Restricted Groups và chọn Add Group, ở đây chúng ta chỉ định DHCP Administrators là nhóm người dùng cần theo dõi:
Bấm OK, chọn tiếp nút Add trong bảng thuộc tính tiếp theo để chỉ định riêng biệt những tài khoản nào được phép trở thành thành viên của nhóm.