Какие последствия для безопасности имеет WSMan "TrustedHosts"?
Я обнаружил, что WinRM требует TrustedHosts (в WSMan:\client) для запуска удаленных команд PowerShell. Я не могу найти официальную документацию по последствиям безопасности и рискам доверия опасным хостам.
В моей ситуации у меня есть общий RDP-сервер, подключенный к домену. Я хотел бы предоставить пользователям доступ для подключения удаленной оболочки PowerShell к потенциально скомпрометированным системам, которые не находятся на одном DC.
1 ответ
Сторона клиента TrustedHosts позволяет подключаться к удаленным компьютерам, идентификация которых не может быть подтверждена ни членством в домене, ни SSL сертификация. Поскольку невозможно определить, является ли конечная точка дружественной или враждебной, модель безопасности требует, чтобы вы за нее ручались, сделав явный шаг.
Ваш вопрос не был ясен по поводу запуска команд удаленно, поэтому я затрону несколько тем.
Это не имеет ничего общего с тем, можно ли запускать сценарии, размещенные на удаленном общем ресурсе, - это политика выполнения.
Аналогичным образом, с известным хостом через домен или https вам не нужно устанавливать TrustedHosts запускать команды в удаленном контексте.
TrustedHosts это как раз о создании связи в первую очередь.
Тщательно подумайте о своей заявленной цели - разрешить удаленные подключения к скомпрометированным системам. Вы начинаете открывать себя, чтобы пройти атаки подражания. Если вы знаете, что система взломана, вы должны быть очень осторожны.
Дополнительная информация:
Управление не доменными компьютерами
Когда вы устанавливаете соединение, по умолчанию удаленное взаимодействие делегирует ваши учетные данные для входа на удаленный компьютер. Удаленный компьютер использует эти учетные данные, чтобы выдать себя за вас, выполняя команды от вашего имени. Как вы можете себе представить, существуют риски безопасности, связанные с делегированием ваших учетных данных на удаленный сервер. Например, если злонамеренный пользователь смог успешно выдать себя за известный удаленный компьютер, вы могли бы передать свои учетные данные этому самозванцу, который мог бы использовать их против вас и других людей в сети http://resources.intenseschool.com/remote-management-with-powershell-part-2/