Inte för att jag är någon guru på Active Directory men jag har dock krånglat med ett problem som jag säkert inte är ensam om.
När en användare försöker köra en .exe fil från en källa som den inte litar på (en uppmappning som är gjord av en annan användare exempelvis system). Dyker det upp en varning om just det här med att köra en applikation från en icke tillförlitlig källa.
Det här löser man ju genom att lägga till källan under säkerhetszonen ”trusted intranet, eftersom den då även skickar med ”rätt” användaruppgifter/credintials vid exekvering av den här filen. Dock fungerar det inte om uppmappningen till sharet och ändringen i trusted intranet sites är gjort med olika credentials (exempel manuell uppmappning och förändringar i Internet inställningar med hjälp av GPO (system).
En annan sak att ha i åtanke är att en uppmappning med hjälp av en cmd-fil som körs via en gpo körs som lokal administratör (istället för system) såvida inloggad användare är det.
Borde ritat upp det här men.. jaja någon kanske förstår vad jag menar 😀
People ask whether putting an Edge Firewall on a Windows computer is a good idea.
When the Trustworthy Computing initiative started in 2003, we realized that to ship a security product from Microsoft, we had to establish credibility. So the ISA team made sure to invest all of the needed resources and to fully implement SDL – the Microsoft Security Development Lifecycle process.
I was hired by the company to drive this process in 2003. This is what we implemented across the 2004 and 2006 release of ISA Server:
1. Threat Modeling – Together with subject matter security experts we performed a security design review for each component to identify design weaknesses, evaluate security architecture, identify threats to be tested and ensure that default settings are secure.
2. Manual and Automatic Code Reviews – We’ve ensured that all code undergoes human code reviews and that that all issues detected by static code analysis tools, such as PREfast, are fixed, to ensure code has no vulnerabilities.
3. 3rd party penetration (pen-testing) – We employed the services of the best pen-test companies in the industry to perform security audit and penetration testing of the product.
4. Pen-testing and fuzzing – Our internal pen-test team tested every component for security vulnerabilities, especially buffer overruns. Moreover, to facilitate this work the ISA Server team developed the FuzzGuru fuzzing framework that was later adopted by many other teams in Microsoft and is used to look for buffer overruns and access violations.
5. Monitoring public security research – We track security research in areas relevant to ISA Server – HTTP, VPN, PKI, proxies, firewalls, etc. I personally spend hours reading mailing lists, such as BugTrack and DailyDave, reviewing security research papers from DefCon/BlackHat/Usenix and other conferences. I regularly monitor CVEs – security vulnerabilities of other products. For each of them I evaluate whether it or a similar one may affect ISA Server.
6. We review the user interface and product documentation to ensure they clearly provide security best practices.
7. We regularly ship service packs fixing security vulnerabilities for shipped products, when we find new ones using pen-testing methodologies and tools that emerged since the previous release.
A search on http://www.microsoft.com/technet/security/current.aspx shows the benefits of this process – as of this writing, you would not see any bulletins for ISA Server 2004 or ISA Server 2006. Of course, this doesn’t guarantee there won’t be any, as with break-throughs in penetration testing methodologies things may emerge in the future. Naturally, if such are found, the MSRC will do what we always do: investigate the issue fully and take appropriate steps to protect customers.
One could say that ISA Server security was determined not by ISA Server itself only, but also by platform it runs on – the Windows Server operating system, which ships security bulletins monthly. This is true, so we invest in hardening and locking down the OS by disabling services with high attack surfaces (e.g. the Server service) and by having a tight inbound and outbound firewall system policy, which blocks or restricts the majority of the protocols through which OS could be attacked.
So putting Windows-based ISA Server on the Edge is a great way to secure your networks!
John Neystadt
Lead Program Manager
Forefront Edge Server
Jag hade en väldigt positiv inställning till WPAD när jag till en början hörde talas om det. Underbart att automatiskt kunna få ut proxy inställningar till alla som har "Automatically Detect Settings" oavsett domänmedlemskap.
Dock har jag stött på en del hinder som jag tänkte redovisa:
Bugg i IExplorer 6
En IExplorer 6.0 som saknar en viss patch kräver att användaren är lokal administratör för att få proxy inställningar med hjälp av DHCPn (DNS fungerar dock). En småsak i de flesta fall då man borde kräva en full patchad webbläsare
Sun Java
Java från Sun stödjer inte WPAD och vägrar authentisera sig utan kör enbart anonymt. Enligt Sun finns ingen lösning på det här utan dom kräver manuellt konfigurerad proxy. (http://bugs.sun.com/bugdatabase/view_bug.do?bug_id=6437824) Jag får låta det har osakt hur det fungerar med Firewall clienten och automatisk proxy konfiguration då jag inte provat detta.
RPC over HTTP:
RPC över HTTP (exempelvis Outlook över http) stödjer inte automatisk proxy configuration.
Nya server operativet 2008 kommer med förrändringar på ISA, rättare sagt på RRAS tjänsten som ISAn bygger på, den kommer bl.a. med ett nytt protokoll som kommer kunna ersätta det osäkra PPTP och den instabila och långsamma L2TP. Det nya protokollet heter SSTP (Secure Socket Tunneling Protocol) och är en SSL VPN teknologi som bygger på at kapsla in PPP paket över en HTTPS session. I dagsläget används detta enbart för Network Access Protection (NAP) men många indikationer tyder på att funktionerna kommer finnas med i ISAns VPN funktion. Vilket jag verkligen ser fram emot.. såvida det är lika stabilt som dom påstår d.v.s. 
En nyhet med Active Directory på en Windows 2008 plattform är RODC (Read Only Domain Controller) vilket jag ser som högst användbart om man exempelvis har sin ISA som domain member och vill begränsa attackytan mot sitt AD.
En annan hörsägen är Microsofts planer på Forefronts framtid är en integration av ISA och IAG (Intelligent Application Gateway) till en ny produkt förkortat med UAG. En stor brasklapp för att detta enbart är ett rykte i nuläget… 
Recently Microsoft released Service Pack (SP) 2 for Windows Server 2003 (http://www.microsoft.com/technet/windowsserver/sp2.mspx). We tested ISA Server with the Windows service pack quite extensively. Unfortunately we discovered after the release of the Windows service pack that there are several issues that have potential ill-effects on ISA Server.
1. If you run ISA Server 2004 Enterprise Edition with or without the ISA Server SP2, you must install ADAM SP1 on the ISA Server Configuration Storage Server prior to installing the Windows Server 2003 SP2. ADAM SP1 can be downloaded from http://www.microsoft.com/downloads/details.aspx?FamilyId=9688F8B9-1034-4EF6-A3E5-2A2A57B5C8E4&displaylang=en.
If you install Windows Server 2003 SP2 without first installing the ADAM SP1, ISA Server will not start after the installation, and you will have to uninstall Windows Server 2003 SP2. Further information is available in the Windows Server 2003 SP2 release notes, at http://technet2.microsoft.com/WindowsServer/en/library/ed5382af-e819-4d33-ace0-225d31b7ab751033.mspx?mfr=true .
2. If you run ISA Server 2000, 2004 or 2006 Standard or Enterprise editions on a multi-core / multi-processor 32-bit computer, and the CPU is heavily utilized, you might experience performance degradation in certain deployment scenarios after installing Windows Server 2003 SP2. The issue stems from a change in interrupt handling introduced in SP2.
To correct the issue you must download and run the Interrupt Affinity Tool (intfiltr) available in Windows Server 2003 resource kit (http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&DisplayLang=en).
You can read about installation and usage of intfiltr.exe in http://support.microsoft.com/kb/252867.
3. If your network adaptors (NICs) support receive-side scaling (RSS), then in certain NAT scenarios ISA Server 2000, 2004 or 2006 Standard or Enterprise editions might not transfer packets from one NIC to the other after installation of Windows Server 2003 SP2.
To correct the issue you must disable RSS support - follow the instructions in http://support.microsoft.com/default.aspx?scid=kb;EN-US;927695.
Har planer på att upprätta en svensk ISA sajt / blogg där jag har för avsikt att publicera mina erfanheter med ISA Server.
