Как я могу предотвратить взлом контроллера домена на ESX, хранящемся в незащищенном месте?

Это именно то, для чего был разработан RODC - ситуации, когда сервер может быть физически скомпрометирован.

Получение физического доступа к контроллеру домена только для чтения позволит злоумышленнику получить представление о вашем домене и его структуре, а также хеши паролей пользователей, для которых явно задано копирование пароля на контроллер домена только для чтения.

Однако это гораздо лучше, чем обычный DC, где физический доступ означает, что злоумышленник может легко получить контроль над доменом без дополнительных учетных данных; Односторонняя репликация на RODC гарантирует, что злоумышленник не сможет отправить вредоносные изменения в вашу AD.

RODC - это решение, которое вы ищете, и вы должны доверить это руководству.

Говоря, как кто-то, кого однажды заставили поместить сервер (к счастью, не DC) в некондиционный шкаф с открытой дверью, дырой в потолке, через которую можно было видеть небо, и проходя мимо, я любопытен относительно того, как небезопасно местоположение. Если они могут поднять ваш сервер на плечо и уйти в середине дня, вы мало что можете сделать.

Похоже, что вам нужны предложения, подобные предложениям Спенсера, - и все они хороши, - но я думаю, что вместо технического решения вам нужно либо убедить руководство использовать RODC, либо убедить руководство сделать DC где-то более безопасным, Возможно, эта презентация от DefCon 21 поможет:

Таким образом, вы думаете, что ваш контроллер домена безопасен?

ДЖУСТИН ХЕНДРИКС ИНЖЕНЕР БЕЗОПАСНОСТИ, MICROSOFT

Контроллеры домена являются жемчужиной организации. Как только они падают, все в домене падает. Организации делают все возможное, чтобы защитить свои контроллеры домена, однако они часто не могут должным образом защитить программное обеспечение, используемое для управления этими серверами.

В этой презентации будут рассмотрены нетрадиционные методы получения доменного администратора за счет злоупотребления обычно используемым программным обеспечением для управления, которое развертывается и используется организациями.

Джастин Хендрикс работает в команде безопасности Office 365, где занимается красной группировкой, тестированием на проникновение, исследованием безопасности, анализом кода и разработкой инструментов.

Я склонен согласиться с Шейном, именно поэтому существует RODC. Что такое управление, обосновывающее запрет на использование контроллера домена только для чтения? Это просто плохая идея - поместить мозги вашей организации в небезопасное место.

Что касается BitLocker, это хорошая идея, но она не выглядит поддерживаемой. Я бы предложил использовать TrueCrypt FDE (Full Disk Encryption) внутри виртуальной машины. Это заменяет загрузчик и вынуждает вас вводить пароль для загрузки.

Какие еще сервисы будет запускать этот сервер? Я бы определенно предложил использовать какой-либо сервис сбора журналов и аудиторские оповещения, которые вы считаете нужными. Может быть, попытки входа?

Другое соображение заключается в том, как защитить реальный хост ESX, потому что, насколько я знаю, нет никакого способа получить доступ к виртуальным машинам с консоли хоста ESX. Таким образом, если диск зашифрован, он, как злоумышленник, находится в вашей сети и имеет ту же видимость, что и ваш PDC. Что означает, вероятно, разные VLans и только определенные порты открыты.