По данным BI.ZONE SOC, Microsoft Configuration Manager (SCCM) развернут в 25% российских организаций, преимущественно крупных. Поскольку система позволяет централизованно управлять серверами и рабочими станциями, ее захват дает атакующему полный контроль над инфраструктурой, включая административные привилегии и возможность выполнения произвольного кода на любом устройстве.

Риски безопасности часто связаны с ошибками конфигурации. Специалисты рекомендуют размещать роли Site Server, SMS Provider и Site Database Server в самом защищенном сегменте сети (Tier 0) и использовать jump-хосты для администрирования. Не рекомендуется совмещать эти роли на одном сервере с теми, с которыми клиенты взаимодействуют напрямую.

Безопасность базы данных критична, так как в таблице SC_UserAccount хранятся системные параметры и секреты. Рекомендуется использовать отдельный экземпляр SQL для БД SCCM и строго ограничить число пользователей с правами на чтение и изменение данных, включая sysadmin, чтобы исключить несанкционированное повышение прав до администратора инфраструктуры.

Учетная запись сетевого доступа (NAA) является уязвимым местом, так как ее пароль хранится на устройствах и может быть расшифрован локальным администратором с помощью инструментов вроде Mimikatz. Приоритетным шагом является полный отказ от NAA в пользу HTTPS или Enhanced HTTP. При невозможности отказа следует использовать отдельную сервисную УЗ с минимальными правами.

Учетные записи Client Push Account для автоматической установки агентов также требуют изоляции. Рекомендуется использовать разные сервисные УЗ для разных контуров безопасности (например, для рабочих станций и серверов) и избегать добавления этих записей в группу Domain Admins, заменяя это созданием отдельных групп безопасности.

Также необходимо провести аудит УЗ компьютера с ролью сервера сайта, чтобы исключить ее членство в привилегированных группах AD, таких как Domain Admins или Enterprise Admins. Для последовательностей задач по установке ОС следует использовать разные УЗ для разных границ безопасности и ограничивать права ввода устройств в домен временными организационными подразделениями (OU).