Dieser Beitrag ist nicht dazu gedacht, die ultimative Labor Konfiguration zu beschreiben. Stattdessen liegt der Fokus auf einer Laborumgebung, die schnell und einfach als Lernwerkzeug aufgestanden werden kann. Der beste Weg, über Computer-Netzwerke und Sicherheit zu lernen, ist ein Hauptlabor zu haben. Das Tolle daran ist, dass ein Hauptlabor nicht mehr mehrere physische Computer erfordert, wie es in der Vergangenheit getan hat. Virtualisierung ermöglicht es jedem, einen Computer mit einem anständigen Prozessor und ausreichend RAM nehmen eine Laborumgebung zu schaffen, ohne zu komplex zu sein. Darüber hinaus ist es möglich, eine Windows-Umgebung mit minimalen Kosten für den Test zu bauen.

Hosting Das Lab

Die Wolke:

Amazon AWS, Microsoft Azure, und andere bieten Fähigkeit zu installieren und zu konfigurieren VMs in der Cloud, die hilfreich ist, wenn auf Reisen, da das Labor zur Verfügung steht und von überall zugänglich ist (vielleicht Macht zu Hause zu speichern).

Der Server:

Ich habe Freunde, die älteren Servern aus verschiedenen Quellen im Internet (ebay, etc) zu einem enorm günstigen Rabatt kaufen und solche mit (potentiell) große Festplatte Arrays laufen. Der große Nachteil ist der Stromverbrauch (und Stromrechnung zugeordnet ist). Die zugehörigen Komponenten sind in der Regel teurer, obwohl sie mehr tun dauern.

Die Workstation:

Dies ist meine Präferenz - build / eine saftige Workstation-System mit einem Core i7-Prozessor kaufen. Ich empfehle eine SSD als primäres Betriebssystem-Laufwerk. Ebenfalls sehr empfehlenswert ist eine separate SSD für die Virtual Machine-Dateien. SSDs sind exponentiell schneller als herkömmliche Festplatten und der Unterschied ist offensichtlich, wenn auf ihnen ein Labor ausgeführt wird. Zum Beispiel hat mein Labor-Computer 2 SSDs: ein Laufwerk C: und ein Laufwerk D:. Ich kann eine neue VM in ~ 7 Minuten aufzubauen. einen neuen Windows Server aus einer ISO-Datei auf dem C installieren: Laufwerk (SSD) dauert ~ 12 Minuten. Außerdem startet der Server VMs fast sofort! Es ist extrem schnell!

Der Schlüssel ist das Labor-Computer mit so viel RAM wie möglich auszurüsten. Meine Empfehlung ist, 16 GB auf ein Minimum, 32GB bevorzugt, wobei mehr als das noch besser! Was zählt im System:

• Prozessor: Ist die Arbeit für den Virtualisierungs-Host sowie alle VMs. Core i7 (oder besser) bevorzugt.
• Festplatte: SSD vollständig! Empfehlen mindestens 128 GB für Systemlaufwerk und mindestens 256 GB für den Antrieb hält die VM-Dateien (vorzugsweise mehr!). Ich benutze auch eine traditionelle Festplatte 1-3TBs in Größe für VM-Backups. Ich mag die Samsung EVO SSDs, da sie schnell und zuverlässig. Eine 500GB Samsung EVO SSD läuft rund 300 Online $ (möglicherweise billiger, wenn Sie dies lesen).
• Speicher: Das ist die, die Sie möchten, in Ihr Geld zu setzen. Persönlich würde ich lieber ein wenig mehr im Voraus zu verbringen und haben die Fähigkeit, 64GB zu setzen (oder mehr) in ein System, dann billig gehen und den Computer max bei 16 GB aus. Je mehr Arbeitsspeicher Sie haben, desto mehr VMs können Sie ausführen, was bedeutet, können Sie mehr beteiligt (& interessant!) Szenarien laufen.

Ich lege auch externe herkömmliche Festplatten (1,5 TB und größer) für Labor VM-Backups, auch wenn ich für eine maximale Betriebssystem ISO-Dateien und OS-Template VM-Dateien (Sysprep'd Betriebssystem VMs) auf einem SSD zu halten neigen installieren Geschwindigkeit.

Virtualisierung

Es gibt mehrere Virtualisierungsplattformen auf dem Markt erhältlich. Da meine Karriere auf der Microsoft-Plattform und Ökosystem beteiligt, Hyper-V ist die offensichtliche Wahl für mich. VMWare ist der 100 £ Gorilla in diesem Raum, wenn Sie also nicht auf Windows fokussiert sind, kann dies der beste Weg für Sie sein. Beachten Sie, dass sowohl Hyper-V und VMWare eine kostenlose * Virtualisierungsangebot haben: und (früher VMWare ESXi). Es gibt andere, wie das oben auf einem bestehenden Betriebssystem zu installieren.

* "Free" ist relativ, und Sie sollten überprüfen Sie, was die Lizenz eigentlich bedeutet. Ich bin nicht ein Rechtsanwalt (IANAL) und diese Information ist frei, so werden keine Garantien gegeben.

Active Directory-Laborumgebung Optionen

Natürlich gibt es viel mehr Möglichkeiten als die wenigen, die ich hier beschreiben, aber ich möchte diese zu rufen diejenigen, die versuchen zu helfen herauszufinden, was für sie am besten ist.

Ich benutze Windows 7 auf dem Client (Workstation), wenn ich etwas nicht Windows 8 oder Windows 10 spezifische Prüfung bin. Ich neige dazu, zwei Domänencontroller (DCs) zu laufen, eine unter Windows 2008 R2 und die anderen Windows 2012 R2 spezifische OS Probleme zu testen. Beta-Software wird in einer eigenen Umgebung segmentiert Beta Probleme zu isolieren.

Basis Active Directory Laborumgebung Setup:

Das ist Ihre Grundkonfiguration, die die meisten Testszenarien unterstützt. Die meisten der Sicherheitsszenarien ich testen, benötigen nur eine einzige DC und auf Client (Workstation).

1 VM: Windows 2012 R2 - Domain Controller (Einzel DC für 1 Domain Wald) VM 2: Windows 7/8/10 - Windows-Workstation von Active Directory ist (ich in der Regel mit Windows 7 gehen, da es in den Unternehmen üblich ist)

Active Directory-Standardlaborumgebung Setup:

Das ist mein Standard-Laborkonfiguration, die eine erweiterte Testszenarien unterstützt. Dadurch, dass ein DC mit Windows Server 2008 R2 und einen anderen DC mit Windows Server 2012 R2, es ermöglicht die Prüfung von zwei verschiedenen DC-Betriebssysteme. Ich heruntergefahren nur die, die ich bin nicht (kurz) zu testen und es dann wieder aufstehen, wenn Sie fertig.

1 VM: Windows 2008 R2 - Domain Controller (DC # 1 für 1 Domain Wald) VM 2: Windows 2012 R2 - Domain Controller (DC # 2 für 1 Domain Wald) VM 3: Windows 7/8/10 - Windows-Workstation verbunden Active Directory (ich gehe in der Regel mit Windows 7, da es in den Unternehmen üblich ist)

Expanded Active Directory Laborumgebung Setup:

Das ist meine erweiterte Labor-Konfiguration, die eine mehrere, erweiterte Testszenarien unterstützt. Ich laufe drei DCs eine zwei Domäne AD Wald sowie zwei verschiedene Server-Betriebssysteme und zwei verschiedene Client-Betriebssysteme unterstützen.

1 VM: Windows 2008 R2 - Domain Controller (DC # 1 für root / geordneten Domäne Wald) VM 2: Windows 2012 R2 - Domain Controller (DC # 2 für root / geordneten Domäne Wald) VM 3: Windows 2012 R2 - Domain Controller ( DC # 1 für Kind Domain Wald) VM 4: Windows 7 - Windows-Workstation auf Active Directory root / geordneten Domäne VM verbunden 5: Windows 7/10 - Windows-Workstation auf Active Directory-root / geordneten Domäne (oder untergeordneten Domäne verbunden je nach Testszenario VM) 6: Windows Server 2008 R2 - "Application" Server root / geordneten Domäne verbunden. 7 VM: Windows Server 2012 R2 - "Application" Server verbunden root / übergeordneten Domäne.

Realistisch betrachtet, kann man schicker als diese erhalten durch Zugabe eines Read-Only Domain Controller (RODC), DCs in verschiedenen Subnetzen, die mit verschiedenen Standorten konfigurieren, mehr OS Vielfalt Hinzufügen Installation gemeinsamen Unternehmensanwendungen wie SCCM, SCOM, Exchange, SQL, Sharepoint , etc.

Lab VM-Betriebssysteme

Microsoft verwendet "TechNet Plus" zu haben, die alle Betriebssysteme und die meisten Microsoft-Anwendungen für 350 $ im ersten Jahr und $ 250 für Erneuerungen zur Verfügung gestellt. Das war ein großer Deal, die Microsoft als Option ein paar Jahre zurück entfernt. Microsoft TechNet Plus für eine Cloud-Ansatz abgebrochen, die ist. Das TechNet Evaluation Center bietet eine One-Stop-Shop für die Prüfung aus Microsoft-Produkten (mit vorgefertigten virtuellen Labors!) Und hat Produkttestversionen (in der Regel 180 Tage) zum Download bereit. Dies ist die beste Wahl, wenn Sie auf der MSDN-Optionen nicht Geld ausgeben müssen. Für weitergehende Informationen zu Microsoft-Produkten, die eine Fülle von Ressourcen - man denke Khan Academy für Microsoft-Produkte.

Das erklärt die Vorteile der einzelnen Zeichnungsebene.

die Option ist, das alles abdeckt, dev / Testversionen von Software, Visual Studio, Visual Studio Online, Windows Phone & Store dev Konto, Microsoft Office Professional Plus 2013 und sogar ein Office 365 Developer Subscription bietet. Sie erhalten auch eine Windows Azure $ 100 monatlichen Kredit. Das Problem ist, dass dieses Abonnement $ 6.000 für das Jahr ein und 2.500 $ / Jahr Erneuerung kostet. Sie erhalten so ziemlich alles, was mit dieser Option, und Sie sollten das erste Jahr für mehr als 6 Tausend Dollar. Ich habe die ~ $ 2500 für 2 Jahre laufen gehört (mehrere Freunde gekauft MSDN von ihnen und hatte keine Probleme), aber wie immer, Käufer Vorsicht.

(Schließt nicht Microsoft Office-Produkte) ist eine abgespeckte, billigere Option (~ 1.200 $ / Jahr), das Betriebssystem und die meisten Server-Produkten. Er enthält auch Visual Studio Online und Windows Azure $ 100 monatlichen Kredit, so ist dies die kostengünstigste Option für Microsoft OS & Server dev / Testarbeiten. Wenn Sie eine gemeinnützige Organisation sein passieren, fällt MSDN-Plattformen im Preis [CDW link].

obwohl läuft 800 / Jahr $, wie der Name schon sagt, ist es nur Betriebssysteme ...

Wenn Sie ein Unternehmen haben, sind ein Microsoft-Partner und bezahlen ~ 500 $ für das, erhalten Sie 1 - 10 Lizenzen für Client-Anwendungen (Office, Visio, etc.), Windows Workstation und Server-Betriebssysteme und Server (Exchange, SQL, Sharepoint) . Obwohl die meisten Lizenzen für Server-Produkte sind begrenzt auf 1 zu installieren.

Es gibt eine bessere Microsoft-Lizenz Geschichte, wenn Sie ein Student sind. Schauen Sie sich, wo Sie ein kostenlos zu bekommen.

Alle Pläne und Preise sind freibleibend.

HINWEIS: Wenn Sie das Produkt Versuchsstrecke, die Testversion gehen, ist nur gut für 180 Tage. Doch als Administrator "slmgr.vbs -rearm" in einem Befehlsfenster ausgeführt wird verlängert die Studie von 30 Tagen haben. Sie können "bewaffnen" Windows zweimal auf diese Weise, was bedeutet, die Studie für insgesamt 240 Tage gültig ist, nach dem Sie von vorne beginnen müssen.

Verwalten des Lab VMs

Die meisten Virtualisierungsplattformen ermöglichen die Erstellung eines virtuellen "Switch", wo die Netzwerkkommunikation begrenzt und isoliert werden kann. Dies stellt sicher, dass eine Umgebung lab kann nicht mit der anderen zu kommunizieren.

Es gibt zwei verschiedene Ansätze zur lab OS aufbaut. Man ist auszuführen Windows (Client oder Server os) installieren und dann mit der generalize Option ausführen. Dies setzt Windows in einem ähnlichen Zustand nur nach der Installation jeder Computer spezifische Informationen zu gewährleisten laufen hat, wird bei der nächsten Systemstart gelöscht und erzeugt. Nach dem Ausführen von Sysprep, Herunterfahren des Computers und die VM-Datei speichern. Es kann nun als "Ausgangspunkt" für jedes neue Betriebssystem zu installieren (gleiche OS-Version) verwendet werden. Lizenzierung wird zurückgesetzt, indem Sysprep (SkipReam nicht die Lizenzdaten zurücksetzen).

Sobald Sie die VMs installieren und zu konfigurieren, dass sie, wie Sie möchten, ist es wichtig, dass die Daten zu sichern. Wie dies geschieht, hängt von der virtuellen Plattform, aber im Allgemeinen finde ich es am besten später die VM-Daten für den einfachen Import zu exportieren. Ich in der Regel Backup-VMs nach wesentlichen Änderungen in der Laborumgebung zu machen (meine Baseline) sowie vor alle Angriffe mit Laufen "Hacker-Tools."

Sie nicht, einige Domain Controllers über einen längeren Zeitraum auszuschalten. Schalten Sie sie alle weg oder haben sie alle auf. Wenn Sie ein Szenario testen müssen, die alle DCs außer ein oder zwei beinhaltet das Ausschalten, stellen Sie sicher, dass sie alle zur gleichen Zeit zu replizieren und dann drehen sie alle weg. Murphys Gesetz: Problembehandlung bei Active Directory-Probleme in einem Labor kann manchmal komplizierter erscheinen als in der Produktion.

VM Specs

Die meisten Labor VMs benötigen nur eine einzige virtuelle CPU (vCPU) und ich in der Regel jede virtuelle Festplatte (VHD / VHDX auf Hyper-V) zu 250 GB eingestellt, die (ohne wirkliche Performance-Probleme) dynamisch erweitert.

Plattengrößen Lab VM (nach der Installation und Konfiguration):

• Windows 7: 50 - 60 GB
• 10 Fenster: 15 - 25 GB
• Windows Server 2008 R2: 7 - 10 GB
• Windows Server 2012 R2: 7 - 10 GB
• Windows Server 2016: 12 - 15 GB

Offensichtlich ist die VM Speicherplatz Ansatz nicht die 250 GB für die virtuellen Festplatten gesetzt, aber das ist einfach die maximale Größe für die VHD. Dies bietet zusätzlichen Platz, wenn in der VHD benötigt.

RAM-Konfiguration dauert ein wenig mehr Tweaking. Dynamic Memory (&) vereinfacht dies, da Sie die Start-up-RAM einstellen kann so etwas wie 2GB zu sein (die meisten von meinem Labor VMs werden auf 2 GB für die Start-up-RAM). Nach dem Boot-Up, setzt sich die VM OS auf einen kleineren Betrag in. Obwohl ich, dass Windows 8 gefunden / 8.1 & Windows-10 besser für Start-up-RAM mit 3 GB tun. Jedes Betriebssystem, das nicht-Virtualisierungserweiterungen hat (oder) in der Regel unterstützen diese Funktionen nicht, so dass der RAM gleich bleiben wird, während das System auf (in der Regel Nicht-Windows-VMs) mit Strom versorgt wird. Offensichtlich ist die mehr Speicher auf die VM zur Verfügung gestellt ist, desto schneller arbeitet er (allgemein gesprochen), so nicht verhungern die VMs von Speicher, wenn Sie zu haben. Die meisten der Windows-VMs Ich laufe es sich in der Nähe von 700MB bis 1,500MB RAM verwendet und in der Regel neuere Windows-Betriebssysteme besser mit mehr RAM.

Die Förderung der Domain Controllers

Mit Windows Server 2008 R2 und älteren Windows-Server-Betriebssystemen wird DCPromo verwendet, um einen Mitgliedsserver zum Domänencontroller zu fördern. Beginnend mit Windows Server 2012, die Powershell-Cmdlets erstellt Install-ADDSForest eine neue Gesamtstruktur und Install-ADDSDomainController verwendet wird, einen neuen DC zu einer vorhandenen Domäne hinzuzufügen. Install-ADDSDomain erstellt eine neue Domäne in einer bestehenden Gesamtstruktur.

Installieren Sie die richtigen Module:

Add-Windowsfeature AD-Domain-Dienstleistungen

Add-Windows RSAT-ADDS

Erstellen Sie einen neuen Wald durch den ersten DC in den Wald zu schaffen:

Import-Module ADDSDeployment

$ SafeModeAdministratorPasswordText = '& P @ ssw0rd2013 &' $ SafeModeAdministratorPassword = ConvertTo-Secure -AsPlainText $ SafeModeAdministratorPasswordText -Force

Install-ADDSForest -CreateDNSDelegation: $ False -DatabasePath "c: \ Windows \ NTDS" -DomainMode "Win2012" -DomainName "LAB.ADSecurity.org" -DomainNetbiosName "ADSECURITYLAB" -ForestMode 'Win2012' -InstallDNS: $ true -logPath " C: \ Windows \ NTDS "-NoRebootOnCompletion: $ false -Sysvolpath" C: \ Windows \ SYSVOL "-Force: $ true -SafeModeAdministratorPassword $ SafeModeAdministratorPassword

Fügen Sie eine weitere DC zu einer vorhandenen Domäne:

Import-Module ADDSDeployment

$ SafeModeAdministratorPasswordText = '& P @ ssw0rd2013 &' $ SafeModeAdministratorPassword = ConvertTo-Secure -AsPlainText $ SafeModeAdministratorPasswordText -Force

Install-ADDSDomainController -NoGlobalCatalog: $ false -CreateDNSDelegation: $ false -Credential (Get-Credential) -CriticalReplication: $ false -DatabasePath "C: \ Windows \ NTDS" -DomainName "LAB.ADSecurity.org" -InstallDNS: $ true - LogPath "C: \ Windows \ NTDS \ Logs" -SiteName "Default-First-Site-Name" -SYSVOLPath "C: \ Windows \ SYSVOL" -Force: $ true -SafeModeAdministratorPassword $ SafeModeAdministratorPassword

Fügen Sie eine neue Domain zu einem bestehenden Wald durch die erste DC in der Domäne zu erstellen:

Import-Module ADDSDeployment

Install-ADDSDomain -Credential (Get-Credential) -NewDomainName "Kind" -ParentDomainName "LAB.ADSecurity.org" -InstallDNS -CreateDNSDelegation -DomainMode Win2003 -DatabasePath "C: \ Windows \ NTDS" -SYSVOLPath "C: \ Windows \ SYSVOL "-logPath" C: \ Windows \ NTDS \ Logs "

Hinweis: Diese Ad-DCPromo Powershell-Befehle sollen zu führen, nicht wörtlich verwendet werden. Verwenden Sie Get-Help mit dem gewünschten Cmdlets die entsprechenden Parameter zu identifizieren.

Mein "ADSecurity.org" Laborumgebung

Meine Testumgebung hat mehrere verschiedene Konfigurationen gleichzeitig ausgeführt werden. Ich habe drei Hyper-V-Hosts, die jeweils mit Core i7, 32 GB und eine 256GB SSD. Zwei von ihnen führen Sie Windows Server 2012 R2 und die dritte läuft.

Auf den beiden 2012 R2 Hyper-V-Hosts, betreibe ich mehrere Labor AD-Umgebungen eine Vielzahl von Testszenarien zu testen (einschließlich Variationen von dem, was ich habe oben beschrieben). Typischerweise ein Hyper-V-Host enthält mein "stabil" Labor mit langfristigen VM Prüfung (einschließlich) und der andere hat Umgebungen mehr kurzfristige Labor für die Prüfung schnell Szenarien nutzen und Validierung von Sicherheits Ideen / Szenarien.

Die Hyper-V-Host laufenden hostet VMs mit einem Windows Server 2016 Wald mit Windows-2016-Mitglieder-Servern und Windows 10-Clients.

Laborautomatisierung

Ich benutze maßgeschneiderte Powershell-Skripts die meiste Arbeit für mich zu tun. Ich werde diese Skripte in meinem GitHub-Repository für den Einsatz in naher Zukunft veröffentlichen; jedoch sollten sie für die Automatisierung Ihrer Umgebung nur als Ausgangspunkt betrachtet Beispielskripte und verwendet werden.

Gemeinsame Active Directory Fehlerbehebung Befehle

DCDiag / c / v / e / fix /f:c:\DCDIAG.Log Run einen umfassenden Test gegen alle DCs im Wald mit ausführlicher Protokollierung

• / C: Führt eine umfassende Reihe von Tests.
• / v: Bietet ausführliche Protokollierung zusätzliche Anzeige von Informationen auf das, was getestet wird und das Ergebnis.
• / Fix: behebt alle nicht registrierten DC SPN
• / A: alle DCs in der Website-Test.
• / E: alle Tests die DCs im Unternehmen. Mit Vorsicht verwenden.
• / ReplSource: <SourceDomainController>: Test Verbindung zwischen diesem DC und anderen.

DCDiag Replikation Ähnliche Tests:

• CutOffServers
• Greifender
• Machine
• NCSecDesc
• Netlogon
• ObjectsReplicated
• VerifyEnterpriseReferences
• VerifyRreplicas

NLTest / SC_QUERY: DNSDomänenname

Überprüfen Sie Secure Channel

NLTest / sc_verify: DNSDomänenname

Prüft Secure Channel

NLTest / dsgetsite

Überprüfen Sie Computer-Website (prüft auch sicheren Kanal)

Kllist -li 0x3e7

Liste Kerberos-Tickets für Computer-Konto

RPCDump

Zeigt die Replikation RPC-Ports

Portqry

Führen Sie gegen Port 135 zu kartiert RPC-Ports zu sehen.

Repadmin / SyncAll / A / E / P Force eine vollständige Wald Replikation Synchronisation aller Partitionen Änderungen aus dem DC "Schieben" der Befehl auf ausgeführt wird.

Repadmin / Optionen *

Überprüfen Sie, ob jeder DC falsch konfiguriert ist (Optionen)

Repadmin / replsummary

Wald weiten Replikationsgesundheitscheck

Repadmin / KCC *

Forces KCC auf alle DCs laufen

Repadmin / KCC / site: SITENAME

Forces KCC auf alle DCs in bestimmten Ort zu laufen

repadmin / removelingeringobjects Server ServerGUID Directory / advisory_mode

Repadmin / bind

Überprüfen Sie RPC-Konnektivität

HINWEIS: Wenn LinkValueReplication = NO, dann ist es Windows 2000 Waldfunktionsmodus. Repadmin / Warteschlange <DCNAME>

Siehe Replikation Warteschlange oder Perf Zähler: NTDS_DRA Pending Replication Synchronisationen

Repadmin / showreps

Repadmin / showrepl / v

Informationen über Replikationspartner - zeigt DCs nie repliziert

Repadmin / showutdvec

Informationen über NC-Up-to-Aktualitätsvektor

Repadmin / showconn

Informationen über Verbindungsobjekte

Repadmin / showsig

Zeigt InvocationID & Retired InvIDs

Repadmin / siteoptions servername / site: Win2k3_Bridges_Required SITENAME

Wenn BASL deaktiviert ist, konfiguriert diese Website Option Greifender Mesaging die Intersite-Kosten-Matrix nützlich für die DFS zu entwickeln. Repadmin / showobjmeta <ObjektDN>

Siehe AD Objekthistorie

• Vermächtnis zeigt Gruppen, die vor Win2k3 Wald Funtional Stufe
• Präsens zeigt Gruppen erstellt / geändert (Gruppenmitglieder entfernt / hinzugefügt) nach Win2k3 Wald Funtional Stufe
• Papierkorb gelöschte Objekte hier als Geschenk zeigen, aber mit DEL: GUID

Ipconfig / all

Ping ##. ##. ##. ##

Nslookup ######. ###

Active Directory Häufige verwendete Ports:

53 DNS 88 Kerberos 123 SNTP 135 RPC Endpoint Mapper 137 NetBIOS 138 NetBIOS 139 NetBIOS 389 LDAP 445 SMB 464 Kerberos Passwort ändern 636 LDAP (SSL) 3268 Global Catalog 3269 Global Catalog (SSL) 5722 DFS-R (SYSVOL) 5985 WinRM- 9389 ADWS ( AD Powershell)

Windows Server 2008 (und neuer) DCs verwenden IANA RPC-Port-Bereich: 49152-65535