Microsoft Forefront TMG – установка и настройка Forefront TMG клиента. Скорая помощь Forefront Threat Management Gateway

Microsoft Forefront Threat Management Gateway (TMG) 2010 очень сильно зависит от самых различных служб для поддержания безопасности сети и оптимального быстродействия. Настройка сетевых интерфейсов и в особенности разрешение имен имеет ключевую роль, особенности в случае если TMG настроен как прямой и обратный прокси. В моей практике очень много проблем с TMG были вызваны неправильной настройкой DNS. В этой статье я хотел бы поговорить о настройке сетевых интерфейсов и требований к DNS серверам для правильного разрешения имен в TMG.

Требования к DNS серверам

При выборе DNS сервера в TMG необходимо принять во внимание несколько важных факторов. За очень редким исключением TMG должен быть настроен на использование только внутренних DNS серверов, которые могут резолвить внутреннее пространство адресов а также внешние адреса. Для обеспечения безотказной работы данные DNS сервера должны быть подключены по быстрым соединениям и иметь достаточно ресурсов для успешной обработки всех входящих запросов на разрешение имен. Это целиком зависит от того, как много пользователей подключены к TMG и каким образом они подключены. Клиент веб-прокси и TMG клиент целиком и полностью зависят от TMG в процессе разрешения имен, увеличивая загрузку DNS серверов. Клиенты SecureNAT выполняют разрешение самостоятельно. Если DNS сервера слишком перегружены или между TMG и DNS проблемы с каналами связи, вы можете испытывать самые разнообразные проблемы в работе TMG. Например результатом этого может быть медленная загрузка страниц или запрос на аутентификацию для пользователей, которые должны быть аутентифицировы прозрачно с помощью NTLM или Kerberos.

Конфигурация сетевых интерфейсов

Настройка сетевого интерфейса в TMG c одним сетевым интерфейсом очень проста: IP адрес, маска, шлюз и DNS сервера все настраиваются в локальном интерфейсе. Ситуация несколько усложняется когда имеется несколько сетевых интерфейсов. Если TMG имеет несколько сетевых интерфейсов, то каждый интерфейс должен иметь свой собственный уникальный IP и маску подсети. Однако вне зависимости от того, как много у вас сетевых интерфейсов вы можете иметь только один дефолтный шлюз, причем на внешнем интерфейсе. Никогда не настраивайте шлюз по умолчанию на другом интерфейсе, отличном от внешнего (кроме случая настройки ISP redundancy, при котором оба внешний интерфейса имеют свои собственные шлюзы по умолчанию). С случае необходимости получения доступа к любой удаленной подсети внутри сети или в сети периметра используйте постоянные статические маршруты.

Порядок назначения сетевых интерфейсов

Для TMG c несколькими сетевыми интерфейсами есть ещё одна настройка, про которую очень часто и не обоснованно забывают. Это порядок привязки сетевых интерфейсов. Откройте Network and Sharing Center , нажмите ссылку Change adapter settings . Далее нажмите наAdvanced и Advanced Settings…

Выберите вкладку Adapters and Bindings и убедитесь что внутренний сетевой интерфейс идет первым по списку. Если это не так, выберите его и с помощью стрелочек справа передвиньте на первое место.

Настройка DNS

DNS сервера должны быть указаны только на внутреннем интерфейсе. Не настраиваете DNS на любом другом интерфейсе. Очень частой ошибкой является когда администраторы указывают адреса DNS серверов провайдера на внешнем интерфейсе в дополнение в внутренним DNS серверам, указанным на внутреннем интерфейсе.

Исключение из правила

Существует только один вид развертывания TMG при котором допускается указывание DNS серверов на внешнем интерфейсе. В этом сценарии TMG не является членом домена и не связан с внутренними ресурсами.

Внутренние корневые DNS сервера

В некоторых ситуациях внутрениие DNS сервера не могут резолвить внешние адреса. Это может быть например в случае когда внутренние DNS сервера настроены как корневые сервера для вашего внутреннего простанства имен. Тем не менее требования TMG остаются неизменными. Для его работы требуется возможность резолвинга как внутренних так и внешних адресов.

В данном сценарии вам нужно настроить DNS сервер для TMG для соответствия этим требованиям. Лучшим способом для этого является настройка выделенного кэширующего DNS сервера с настроенной пересылкой.

Полезная информация

sivpk.ru - сайт о выборе и сборке компьютера. Здесь можно прочитать о выборе и составе игрового, мультимедийного и офисного компьютера.

Интересный сайт, на котором есть подробный обзор хостингов и другие интересные статьи по выбору хостинга, инструментах для веб-мастера и многое другое.

Одной из функций Forefront TMG является поддержка нескольких клиентов, которые используются для подключения к Forefront TMG Firewall. Одним из типов клиентов является Microsoft Forefront TMG клиент, также известный под названием Winsock клиент для ОС Windows. Использование TMG клиента предоставляет несколько усовершенствований по сравнению с другими клиентами (Web proxy и Secure NAT). Forefront TMG клиент может быть установлен на несколько клиентских и серверных ОС Windows (что я не рекомендую делать за исключением серверов терминалов (Terminal Servers)), которые защищены с помощью Forefront TMG 2010. Forefront TMG клиент предоставляет уведомления HTTPS проверки (используемой в TMG 2010), автоматическое обнаружение, улучшенную безопасность, поддержку приложений и управление доступом для клиентских компьютеров. Когда клиентский компьютер с работающим на нем клиентом Forefront TMG делает Firewall запрос, этот запрос направляется на Forefront TMG 2010 компьютер для дальнейшей обработки. Никакой специальной инфраструктуры маршрутизации не требуется из-за наличия процесса Winsock. Клиент Forefront TMG прозрачно направляет информацию пользователя с каждым запросом, позволяя вам создавать политику брандмауэра на компьютере Forefront TMG 2010 с правилами, которые используют учетные данные, пересылаемые клиентом, но только по TCP и UDP трафику. Для всех остальных протоколов вы должны использовать Secure NAT клиентское соединение.

Помимо стандартных функций предыдущих версий клиентов Firewall, TMG клиент поддерживает:

уведомления HTTPS осмотра
поддержку AD Marker

Стандартные функции TMG клиента

Политика брандмауэра на базе пользователей или групп для Web- и non-Web proxy по TCP и UDP протоколу (только для этих протоколов)
Поддержка комплексных протоколов без необходимости использования прикладного фильтра TMG
Упрощенная настройка маршрутизации в больших организациях
Автоматическое обнаружение (Auto Discovery) информации TMG на базе настроек DNS и DHCP сервера.

Системные требования

TMG клиент имеет некоторые системные требования:

Поддерживаемые ОС

Windows 7
Windows Server 2003
Windows Server 2008
Windows Vista
Windows XP

Поддерживаемые версии ISA Server и Forefront TMG

ISA Server 2004 Standard Edition
ISA Server 2004 Enterprise Edition
ISA Server 2006 Standard Edition
ISA Server 2006 Enterprise Edition
Forefront TMG MBE (Medium Business Edition)
Forefront TMG 2010 Standard Edition
Forefront TMG 2010 Enterprise Edition

Настройки TMG клиента на TMG сервере

Есть лишь несколько параметров на сервере Forefront TMG, которые отвечают за настройку поведения Forefront TMG клиента. Прежде всего, можно включить поддержку TMG клиента для дефиниции внутренней сети на сервере TMG, как показано на рисунке ниже.

Рисунок 1: Параметры TMG клиента на TMG

После того, как поддержка TMG клиента включена (это умолчание при обычной установке TMG), можно также автоматизировать конфигурацию веб браузера на клиентских компьютерах. Во время нормальных интервалов обновления TMG клиента или во время запуска служб, браузер получает параметры, настроенные в консоли управления TMG.

В параметрах «Приложения» на TMG клиенте в консоли TMG можно включить или отключить некоторые настройки зависимости приложений.

Рисунок 2: Настройки TMG клиента

AD Marker

Microsoft Forefront TMG предоставляет новую функцию автоматического определения TMG сервера для TMG клиента. В отличие от предыдущих версий Firewall клиентов, Forefront TMG клиент теперь может использовать маркер в Active Directory для поиска соответствующего TMG сервера. TMG клиент использует LDAP для поиска требуемой информации в Active Directory.

Примечание: если TMG клиент не нашел AD маркер, он не перейдет на классическую схему автоматического обнаружения через DHCP и DNS по соображениям безопасности. Это сделано для снижения риска возникновения ситуации, в которой взломщик пытается заставить клиента использовать менее безопасный способ. Если подключение к Active Directory удалось создать, но невозможно найти AD Marker, клиенты TMG переходят к DHCP и DNS.

Инструмент TMGADConfig

Для создания конфигурации маркера AD Marker в Active Directory вы можете загрузить TMG AD Config инструмент из центра загрузки Microsoft Download Center (вам нужно найти AdConfigPack.EXE). После загрузки и установки инструмента на TMG вам нужно выполнить следующую команду в интерпретаторе, чтобы внести ключ маркера AD в раздел реестра:

Tmgadconfig add "default "type winsock "url http://nameoftmgserver.domain.tld:8080/wspad.dat

Можно также удалить AD маркер с помощью инструмента tmgadconfig, если вы решите не использовать поддержку AD Marker.

Установка TMG клиента

Самую последнюю версию TMG клиента можно загрузить с веб-сайта компании Microsoft.

Начните процесс установки и следуйте указаниям мастера.

Рисунок 3: Установка TMG клиента

Можно указать месторасположение TMG сервера вручную, или автоматически во время процесса установки TMG клиента. После установки можно перенастроить параметры механизма определения в TMG клиенте с помощью инструмента настройки TMG клиента, который расположен в панели задач вашего клиента.

Рисунок 4: Выбор компьютера для установки TMG клиента

Расширенное автоматическое определение

Если вы хотите изменить поведение процесса автоматического определения, в клиенте TMG теперь есть новая опция для настройки метода автоматического определения.

Рисунок 5: Расширенное автоматическое определение

Уведомления HTTPS осмотра

Microsoft Forefront TMG обладает новой функцией осмотра HTTPS трафика для исходящих клиентских соединений. Для информирования пользователей об этом процессе новый TMG клиент может использоваться, чтобы информировать пользователей о том, что исходящие HTTPS подключения подвергаются проверке, если вам это нужно. У администраторов TMG также есть возможность отключения процесса уведомления централизованно с сервера TMG, или вручную на каждом Forefront TMG клиенте.

Рисунок 6: Осмотр защищенных подключений

Если осмотр исходящих HTTPS подключений включен и параметр уведомления пользователей об этом процессе также включен, пользователи, на компьютерах которых установлен Forefront TMG клиент, будут получать сообщение подобное тому, что показано на рисунке ниже.

Рисунок 7: Сообщение об использовании осмотра защищенных подключений

Заключение

В этой статье я предоставил вам обзор процесса установки и настройки нового Microsoft Forefront TMG клиента. Я также показал вам некоторые новые функции этого Forefront TMG клиента. На мой взгляд, вам следует использовать TMG клиента в любой возможной среде, поскольку он предоставляет вам дополнительные функции безопасности.

Данный материал является практическим применением двух конкретных технологий: Microsoft Hyper-V и Microsoft Forefront Threat Management Gateway, которые предлагает компания Microsoft.

Технические данные

В рамках проекта есть ОДИН физический сервер с двумя сетевыми картами, поддерживающий технологию виртуализации. В рамках данной статьи необходимо решить задачу развертывания демилитаризованной зоны (ДМЗ) в виртуальной сети.
Прежде чем произвести установку всеx программных продуктов необходимо прочитать правила лицензирования, которые позволят рассчитать стоимость владения ПО. Лицензионное соглашение компании Microsoft регулярно обновляется и всегда доступно на сайте Microsoft.

Этап 1. Установка операционной системы на физический сервер.

Компания Microsoft предлагает 2 варианта виртуализации:

C использование гипервизора Microsoft Hyper-V™ Server 2008 .
C использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках текущей статьи будет представлен вариант с использованием роли сервера Hyper-V.

Использование гипервизора Microsoft Hyper-V™ Server 2008 .

Компания Microsoft выпустила продукт, который позволяет физический сервер превратить в сервер виртуальных машин без установки операционной системы (на самом деле операционная система устанавливается, но она является специализированной для виртуализации). Продукт называется Microsoft Hyper-V Server.

Для его администрирования необходимо использовать оболочку Диспетчер Hyper-V, которую можно установить в операционные системы Windows 7 и Windows Vista, либо обладать знаниями по использованию оболочки Powershell.

Гипервизор Microsoft Hyper-V Server 2008 обеспечивает возможность использования технологии виртуализации БЕСПЛАТНО, но требует специализированных знаний и навыков при обслуживании и использовании дополнительного оборудования, например, ленточных накопителей или систем хранения данных.

Использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках операционной системы Microsoft Windows 2008 R2 существует роль Hyper-V, которая предоставляет возможность создания виртуальных машин. При этом на физическом сервере существует возможность использования полноценной операционной системы, которая предоставит администраторам необходимую свободу действий.

Подробнее про установку гипервизора Microsoft Hyper-V™ Server и роли Hyper-V можно найти на сайте www.microsoft.ru .
Этап 2. Управление виртуальной сетевой инфраструктурой.

Несмотря на то, что сервер физический, существует возможность не назначать сетевые адреса на физические сетевые карты, что позволит обеспечить безопасность физического сервера. Однако отсутствие сетевого подключения к локальной сети исключает удаленное администрирование сервера, на котором установлена роль Hyper-V. Обычно для администрирования сервера назначают IP адрес доступа из внутренней сети.

Назначать сетевой адрес на сетевую карту, подключенную к сети Интернет не рекомендуется, так как нет средств для обеспечения полноценной защиты физического сервера.

Лучше всего настроить текущую сетевую инфраструктуру на сервере виртуализации. Так как рассматриваемая сетевая инфраструктура представляет собой трехноговую инфраструктуру (Внутренняя – ДМЗ – Внешняя), то необходимо создать три сети, две из которых будут физически присвоены к различным сетевым адаптерам, а третья будет виртуальной – для демилитаризованной зоны. Это делается через «Диспетчер виртуальной сети», как показано на рисунке 1.

В окне «Диспетчер виртуальных сетей» выбираем пункт «Создать виртуальную сеть». Выбираем тип «Внешний» и нажимаем «Добавить». Процесс создания сети представлен на рис. 2.

В рамках создаваемой инфраструктуры нам необходимо создать 3 вида сетей: две внешних сети с подключением к разным адаптерам (подключение к внутренний сети и подключение к провайдеру) и одну частную сеть из виртуальных машин (подключение серверов ДМЗ). В результате мы получим три сети (рис.3.)

3 Этап. Создание виртуальных машин.

При создании виртуальных машин, находящихся в демилитаризованной зоне, необходимо указать созданный адаптер Virtual DMZ. Основным шлюзом (default gateway) будет являться сервер Microsoft Forefront Threat Management Gateway. Конфигурацию и объем жестких дисков выбирают исходя из задач, возложенных на сервера.

Для создания виртуальной машины необходимо кликнуть правой кнопкой на сервере Hyper-V, выбрать пункт «Создать - Виртуальную машину». После чего откроется окно приглашения.

В окне «Укажите имя и месторасположение» необходимо определить название и месторасположение файла конфигурации виртуального сервера (рис. 4.).

В окне «Выделить память» (рис. 5) необходимо выбрать размер оперативной памяти. Для Microsoft Forefront Threat Management Gateway по минимальным требованиям необходимо 2Гб оперативной памяти.

В окне «Настройка сети» выбираем подключение к внутренней сети (Virtual Internal).

В окне «Подключить виртуальный жесткий диск» необходимо выбрать пункт «Создать виртуальный жесткий диск». Указать размер (для Microsoft Windows 2008 R2 не менее 11 Гб) (рис. 7).

В окне «Параметры установки» выбираем пункт «Установить операционную систему позднее» и нажимаем «Далее» (рис. 8).

После окна «Сводка» нажимаем «Готово».

Прежде чем преступить к установке Windows 2008 R2 Server необходимо зайти в настройки виртуальной машины FOREFRONT. Правой кнопкой кликаем на виртуальной машине – Параметры…

И в окне «Настройки для FOREFRONT»

В окне выбираем «Установка оборудования» - «Сетевой адаптер» и нажимаем «Добавить». Добавляем два оставшихся адаптера Virtual Internet и Virtual DMZ. После добавления конфигурация компьютера будет выглядеть так:

после этого приступаем к установке Microsoft Windows 2008 R2 Server.

Этап 4. Установка Microsoft Windows 2008 R2 Server.

Приступаем к установке Windows 2008 R2 Server. Для этого необходим образ диска. Его можно скачать с сайта Microsoft. На сайте www.microsoft.ru можно найти жесткий диск для виртуальных машин и заменить его созданным ранее нами.

В «Контроллере 1 IDE» устанавливаем «Файл изображения» и указываем расположение файла образа.

Запускаем виртуальную машину.

После этого можно отправлять установку Microsoft Windows 2006 R2 и Microsoft ForeFront Threat Management Gateway по умолчанию. Определяем сетевые адаптеры и назначаем IP адреса согласно конфигурации сети. ВНИМАНИЕ! На компьютере может быть определен только единственный Default Gateway. Обычно его назначают default gateway провайдера.

Этап 5. Настройка Microsoft Forefront Threat Management Gateway.

После первоначального запуска появится окно «Started Wizard». Также его можно запустить через «Launch Getting Started Wizard».

В настройках «Network Template selection» выбираем «3-Leg perimeter»(трехногий периметр), который позволит ограничить и создать ДМЗ. Нажимаем «Далее».

В окне «Local Area Network (LAN) Setting» выбираем сетевой адаптер, который подключен к внутренней локальной сети.

В окне «Internet Setting» выбираем сетевой адаптер, подключенный к провайдеру.

В окне «Perimeter Network Setting» определяем сетевой адаптер, подключенный к серверам в ДМЗ. Далее необходимо выбрать тип доверия к данной сети. Он может быть либо Public(публичный), когда на серверах находящихся в ДМЗ будет настроена маршрутизация без использования NAT, либо Private (приватный), когда будет настроена маршрутизация с использованием NAT. Данный режим определятся уровнем доверия к сети ДМЗ. Режим Private позволит в полной мере защитит вашу сеть от видимости со стороны ДМЗ, но могут возникнуть проблемы с настройкой правил доступа.

В этой статье было показано каким образом можно настроить 3-leg периметр. К сожалению, в рамках данной статьи невозможно показать полную настройку Microsoft Forefront Threat Management Gateway для организаций, так как для каждой организации будут существовать свои правила доступа и отношения между сетями и пользователями, которые описаны в политике безопасности.

На днях озадачились, и решили пересадить всех юзеров на проксю в TMG. Решил на виртуалке опробовать данный процесс.

Стандартные функции TMG клиента

Политика брандмауэра на базе пользователей или групп для Web- и non-Web proxy по TCP и UDP протоколу (только для этих протоколов)
Поддержка комплексных протоколов без необходимости использования прикладного фильтра TMG
Упрощенная настройка маршрутизации в больших организациях
Автоматическое обнаружение (Auto Discovery) информации TMG на базе настроек DNS и DHCP сервера.

Системные требования

TMG клиент имеет некоторые системные требования:

Поддерживаемые ОС

Windows 7
Windows Server 2003
Windows Server 2008
Windows Vista
Windows XP

Поддерживаемые версии ISA Server и Forefront TMG

ISA Server 2004 Standard Edition
ISA Server 2004 Enterprise Edition
ISA Server 2006 Standard Edition
ISA Server 2006 Enterprise Edition
Forefront TMG MBE (Medium Business Edition)
Forefront TMG 2010 Standard Edition
Forefront TMG 2010 Enterprise Edition

Настройки TMG клиента на TMG сервере

Рисунок 1: Параметры TMG клиента на TMG

AD Marker

Инструмент TMGADConfig

Tmgadconfig add ‘default ‘type winsock ‘url http://nameoftmgserver.domain.tld:8080/wspad.dat

Можно также удалить AD маркер с помощью инструмента tmgadconfig, если вы решите не использовать поддержку AD Marker.

Установка TMG клиента

Самую последнюю версию TMG клиента можно загрузить с веб-сайта компании Microsoft.

Начните процесс установки и следуйте указаниям мастера.

Рисунок 3: Установка TMG клиента

Рисунок 4: Выбор компьютера для установки TMG клиента

Расширенное автоматическое определение

Рисунок 5: Расширенное автоматическое определение

Уведомления HTTPS осмотра

Введение

Исторически сложилось мнение, что межсетевой экран, входящий в состав ОС общего назначения, например Microsoft Windows, не может быть безопасным. Однако, это мнение было успешно опровергнуто благодаря SDL (Security Development Lifecycle), хорошо описанным процессом уведомления об уязвимостях и управления обновлениями безопасности, а также длинным послужным списком безопасности и надежности Microsoft ISA Server и Forefront Threat Management Gateway (TMG). Межсетевой экран Forefront TMG, который работает на базе Windows Server 2008 R2, сегодня, пожалуй, более надежен с точки зрения безопасности, чем многие его конкуренты.

С помощью советов по настройке TMG можно существенно повысить общее состояние безопасности системы и уменьшить пространство атаки, что, в свою очередь, гарантирует наивысший уровень безопасности TMG. При создании политики управления для TMG, лучше всего обеспечить соблюдение принципа наименьших привилегий. Ниже приведен список рекомендаций, которые будут полезны для реализации этого принципа.

Ограничьте членство в административной роли Forefront TMG уровня массива - роль администратора TMG уровня массива предоставляет полные права на администрирование массивом любому пользователю и/или группе пользователей, входящих в состав роли. После установки TMG на систему, эта роль по умолчанию назначается группе локальных администраторов Windows (а также пользователю, установившему TMG).

Рисунок 1

Глобальная группа администраторов домена, как правило, является членом группы локальных администраторов, а это означает, что члены этой группы унаследуют полные административные привилегии над межсетевым экраном TMG. Однако, это не совсем хорошая идея. Для оптимальной безопасности, группа локальных администраторов должна быть удалена из роли администратора Forefornt TMG уровня массива. Члены этой роли должны быть определены путем указания конкретных учетных записей Active Directory вместо добавления в роль групп. Почему индивидуальные учетные записи, а не группы? Потому что это дает администратору МСЭ TMG четкий контроль над тем, кто именно имеет полный административный доступ к МСЭ TMG. Использование конкретных учетных записей вместо групп не позволяет, например, администратору домена добавить учетную запись пользователя в глобальную группу домена, входящую в роль администратора уровня массива, и таким образом получить контроль над TMG. Если все же требуется использовать доменные группы для управления TMG, используйте группы с ограниченным доступом (http://technet.microsoft.com/ru-ru/library/cc785631(WS.10).aspx).

Ограничьте членство в административной роли Forefront TMG уровня предприятия - административная роль TMG уровня предприятия предоставляет всем членам этой роли полный доступ ко всему предприятию, включая все массивы TMG внутри предприятия. После установки TMG EMS, встроенная группа локальных администраторов по умолчанию становится членом роли (а также пользователь, установивший приложение).

Используйте отдельные административные учетные записи - Лучше всего использовать отдельные учетные записи Active Directory для администрирования МСЭ TMG. Не используйте эти учетные записи для администрирования других систем. Для этих учетных записей должны быть установлены жесткие политики паролей, предусматривающие использование длинных и сложных паролей с коротким временем жизни. Если домен работает на функциональном уровне Windows Server 2008, существует возможность включения подробных политик паролей для автоматического назначения требуемых политик (http://technet.microsoft.com/ru-ru/library/cc770394(WS.10).aspx).

Для управления TMG используйте отдельную изолированную рабочую станцию - Настройте отдельную рабочую станцию на управление МСЭ TMG. Установите административную консоль на эту машину и удалено управляйте МСЭ TMG. Осуществляйте вход на эту машину только с отдельной учетной записи администратора TMG. Локальные политики безопасности должны ограничивать вход на эту систему для других учетных записей. Эта рабочая станция должна быть хорошо защищена, недоступна для удаленных пользователей и отключена от сети Интернет. Предпочтительно использовать многофакторную аутентификацию (смарткарту или токен) для доступа к этой системе.

Ограничьте членство для сетевого объекта удаленного управления компьютерами - Ограничение количества членов сетевого объекта удаленного управления компьютерами является основным методом уменьшения пространства атаки на МСЭ TMG. По умолчанию, хосты, входящие в состав объекта удаленного управления компьютерами, имеют доступ ко многим службам, запущенным на МСЭ TMG, включая RDP, NetBIOS, RPC, Ping и другие. Предоставление доступа к этим службам создает уровень рисков, который может быть существенно понижен за счет ограничения доступа к этой группе. В идеальном варианте, в этой группе будет находиться только выделенная для задач администрирования рабочая станция.

Ограничьте доступ в сеть для агентов управления - часто, МСЭ TMG требует установки системных агентов управления от Microsoft или сторонних производителей. Избегайте создания политик доступа, которые позволяют агенту осуществлять подключения к целой сети или подсети. Политики МСЭ должны разрешать подключения агентов только к требуемым хостам.

Запреты

Не используйте МСЭ TMG в качестве рабочей станции - избегайте использования браузера на TMG для посещения сайтов в сети Интернет, посещения поисковых систем или загрузки исправлений и обновлений. Все исправления, а также необходимое программное обеспечение должны загружаться на обычную рабочую станцию (не на рабочую станцию, которая используется для управления TMG - для этого хоста должен быть запрещен доступ в Интернет!), на которой файлы могут быть просканированы перед их загрузкой и установкой на TMG.

Не используйте МСЭ TMG для выполнения ежедневных задач - лучше всего установить консоль управления TMG на отдельную рабочую станцию, как написано выше, и максимально ограничить количество локальных входов в систему МСЭ TMG.

Не устанавливайте на МСЭ TMG утилиты для администрирования от стороннего производителя - многие компоненты для МСЭ TMG содержат собственное ПО для управления, иногда с использованием HTTP сервера (например, IIS, Apache и др.). Подобное ПО является проблемным, поскольку оно увеличивает пространство атаки на МСЭ TMG и привносит потенциально дополнительные вектора атаки. Где возможно, не следует устанавливать ПО для управления от стороннего производителя на сам МСЭ TMG. Это ПО должно быть установлено на отдельную систему, предпочтительно на рабочую станцию для управления TMG.

Не создавайте общедоступные папки на МСЭ TMG - в предыдущих версиях ISA сервера, после установки продукта на системе автоматически создавалась общедоступная папка для обмена данными с клиентами МСЭ. Эта опция была позже удалена из продукта, как небезопасная. МСЭ TMG - это межсетевой экран и только. Он ни при каких обстоятельствах не должен использоваться в качестве файлового сервера. Если требуется удаленный доступ к системе, например, для получения текстовых журналов, он должен осуществляться с помощью утилиты для работы с журналами от стороннего производителя, например Epilog, ArcSight или Splunk.

Не устанавливайте инфраструктурные службы на МСЭ TMG - никогда не устанавливайте на МСЭ TMG инфраструктурные службы, такие как DNS, DHCP, Центр сертификации и пр. В большинстве случаев, подобная установка завершится конфигурацией, которая не поддерживается (http://technet.microsoft.com/ru-ru/library/ee796231.aspx). Но даже, если конфигурация поддерживается, наличие подобных служб на TMG увеличивает пространство атаки и привносит дополнительные векторы атаки. Подобные службы потребуют большего количества обновлений по сравнению с отдельным TMG, что увеличит простои системы. Эти службы также потребуют дополнительные системные ресурсы (процессорное время, память, сеть и дисковое пространство) и могут отрицательно повлиять на стабильность работы системы и производительность межсетевого экрана.

Заключение

Корректно настроенный Forefront TMG, запущенный на последней версии безопасно настроенной сетевой ОС Windows, является безопасным и надежным межсетевым экраном и безопасным web-шлюзом. Общий уровень безопасности решения может быть улучшен с помощью советов, изложенных в этой статье. Соблюдая принцип наименьших привилегий путем ограничения членства в административных TMG ролях уровней массива и предприятия, использования отдельных учетных записей на изолированной рабочей станции, ограничения членства в сетевом объекте удаленного управления компьютерами, ограничения сетевого доступа для агентов управления TMG позволит уменьшить пространство атаки на МСЭ TMG. К тому же, отказ от практики небезопасного использования TMG в качестве рабочей станции, для установки административного ПО от стороннего производителя, создания общедоступных папок или установки инфраструктурных служб предоставит еще большую защищенность.