Лекция 27. Система обеспечения безопасности в Windows XP Professional (стр. 1 )

Лекция 27. Система обеспечения безопасности в Windows XP Professional

ОС Windows XP Professional обеспечивает безопасность системы несколькими способами. Мы поговорим об управлении локальной политикой безопасности, регистрации, журналах безопасности InternetConnectionFirewall, шаблонах безопасности, процессе ввода данных и, наконец, об анализе и конфигурации системы защиты. Инструменты защиты могут использоваться не только для обеспечения безопасности в системе Windows XP Professional, но и для управления настройками системы защиты домена. Начнем с обзора улучшения системы защиты Windows XP Professional.

Новое в Windows XP Professional

Система защиты в Windows не стоит на месте. При выходе каждой новой версии Windows вы можете ожидать улучшения свойств обеспечения безопасности. Windows XP Professional не является исключением.

В ней содержатся все основные средства защиты, которые имелись в Windows NT и Windows 2000, но есть и новые свойства.

· Собственность администратора (Administrativeownership). В более ранних версиях Windows любые ресурсы, созданные администратором (файлы и папки), становились достоянием всей группы. Однако в Windows XP Professional эти ресурсы принадлежат отдельному администратору, создавшему их.

· Агент восстановления EFS. В Windows 2000 при попытке конфигурирования EFS политики восстановления без сертификатов агента восстановления система EFS автоматически отключается. В Windows XP Professional можно шифровать файлы без агента восстановления данных (DataRecoveryAgent).

· Инсталляция принтера. Только администраторы и опытные пользователи могут устанавливать локальные принтеры. Причем администраторы имеют это право по умолчанию, а опытные пользователи должны получать эту привилегию.

· Ограничения, связанные с использованием пустого пароля. Windows XP Professional пользователи могут использовать пустые пароли, но с ними они могут только физически зарегистрироваться на локальном компьютере.

· Программное ограничение. Политика безопасности Windows XP Professional может быть присвоена отдельным приложениям на основании пути файла, интернет-зоны или сертификата.

· Быстрая смена пользователей. Компьютеры, работающие в среде Windows XP Professional и не соединенные с доменом, могут быстро переключаться с одного пользователя на другого, не выходя из сети и не закрывая приложений.

· Мастер сброса пароля. Если пользователь забыл свой пароль, то он может воспользоваться дискетой перезагрузки для доступа к своей учетной записи.

В следующих разделах некоторые из этих тем рассматриваются более подробно, а другие не требуют объяснений и запускаются в Windows XP Professional по умолчанию.

Локальная политика безопасности

Возможность создавать и управлять политикой безопасности на локальном компьютере осуществляется посредством оснастки MMC. Это приложение позволяет вам не только просматривать локальную систему безопасности, но и вносить в нее изменения.

Просмотр

Для просмотра политики безопасности выберите Start\ControlPanel\ PerformanceandMaintenance\AdministrativeTools (Пуск\Панель управления\Производительность и обслуживание\Администрирование). Щелкните дважды на LocalSecurityPolicy (Локальная политика безопасности). Появится окно, изображенное на рис. 27.1.

Примечание. Вы можете запустить этот инструмент из командной строки, введя secpol. msc.

Рис. 27.1. Просмотр локальной политики безопасности

Управление локальной политикой

Для просмотра отдельной политики безопасности щелкните дважды на значке нужной политики. В качестве примера рассмотрим, как управлять настройками системы безопасности в папке SecurityOptions (Параметры безопасности). После того как вы щелкните дважды на SecurityOptions, появится список настроек системы безопасности (рис. 27.2). Затем щелкните на настройке Devices: Unsigneddriverinstallationbehavior (Устройства: поведение при установке неподписанного драйвера). Из рис. 27.3видно, что можно выбрать один из трех вариантов настройки.

· Согласиться безоговорочно.

· Предупредить, но разрешить инсталляцию.

· Не разрешать инсталляцию.

Журнал безопасности

Журнал безопасности ICF позволяет создавать список действий системы защиты, а именно установку запрета или разрешения на трафик со стороны ICF. Вы можете модифицировать действия межсетевого экрана с помощью различных правил протокола ICMP. Например, ICMP позволяет разрешить (или запретить) следующее.

· Входящие эхо-запросы.

· Входящие метки времени.

· Входящие запросы маршрутизатора.

· Переадресацию.

Рис. 27.2. Настройки безопасности, содержащиеся в папке локальной политики SecurityOptions (Параметры безопасности)

Рис. 27.3. Детали настройки

На основании требований протокола ICMP в ICF журнале безопасности будут регистрироваться различные виды информации. Правила протокола ICMP хороши тем, что они не отсекают сеть от остального мира, но, в то же время, строго ограничивают доступ к ней.

Запись в журнал безопасности ICF

Журналы ICF имеют свой уникальный формат. Во-первых, в заголовке указываются версия используемого межсетевого экрана ICF, имя журнала безопасности, примечание о том, что вход в систему регистрируется по локальному времени, и список доступных полей для регистрационных записей. В таблице 27.1 показаны поля для ввода данных в журнале безопасности ICF.

Таблица 27.1. Поля ввода данных в журнале безопасности ICF
Поле	Описание
action	Операция, перехваченная межсетевым экраном. Входящие данные включают в себя OPEN CLOSE DROP INFO-EVENTS-LOST (здесь указывается количество произошедших событий, не сохраненных в журнале).
date	Дата ввода файла в формате YY-MM-DD (год-месяц-день).
Dst-ip	IP-адрес конечного пункта доставки пакета.
Dst-port	Номер порта конечного пункта доставки пакета.
icmpcode	Число, обозначающее поле кода в ICMP-сообщении.
icmptype	Число, обозначающее поле ввода текста в ICMP-сообщении.
info	Поле для ввода информации о событии, которое зависит от типа действия.
protocol	Протокол связи. Если это не TCP, UDP или ICMP, то здесь указывается цифра.
size	Размер пакета.
Src-ip	IP-адрес устройства-отправителя.
Src-port	Номер порта отправителя.
tcpack	TCP-номер подтверждения пакета.
tcpflags	TCP-флаг, указываемый в начале пакета: A-Ack (важность поля подтверждения); F-Fin (последний пакет); P-Psh (функция "проталкивания" пакета); S-Syn (синхронизация последовательности номеров); U-Urg (важность поля указателя срочности).
tcpsyn	TCP-последовательность номеров пакетов.
tcpwin	TCP-размер окна (байт).
time	Время регистрации файла в формате HH:MM:SS (часы:минуты:секунды).

Польза журнала безопасности ICF состоит в том, что после его просмотра можно обнаружить попытки несанкционированного доступа к сети. Изучив поля action, scr-ip и dst-ip, можно определить, пытается ли кто-то повредить сеть в целом или вывести из строя какое-то определенное устройство.

Теперь, когда вы знаете, что должно содержаться в журнале безопасности, давайте подробнее разберемся с тем, как можно применять запись в журнал и настраивать различные служебные функции, облегчающие управление межсетевым экраном ICF.

Включение и отключение ведения журнала

В связи с тем, что ведение журнала ICF не активировано по умолчанию при инсталляции ICF, его необходимо включать. Для этого выполните следующие действия.

1. Выберите Start\ControlPanel (Пуск\Панель управления).

2. Щелкните на NetworkandInternetConnections (Сеть и подключения к интернету), а затем - на NetworkConnections (Сетевые подключения).

3. Щелкните на соединении, которое использует ICF, а затем в NetworkTasks (Сетевые задачи) щелкните на Changesettingsofthisconnection (Изменение настроек подключения).

4. На вкладке Advanced (Дополнительно) щелкните на Settings (Параметры).

5. На вкладке SecurityLogging (Ведение журнала безопасности) (рис. 27.4) выберите опции:

o регистрация пропущенных пакетов;

o регистрация всех входящих попыток установить соединение, которому отказано в доступе;

o регистрация успешных соединений;

o регистрация всех успешных попыток исходящих соединений.

Разумеется, если вы решите больше не отслеживать работу ICF, то можете отключить ведение журнала. Для этого просто очистите флажки рядом с опциями Logdroppedpackets (Записывать пропущенные пакеты) и Logsuccessfulconnections (Записывать успешные подключения).

Рис. 27.4. Опции ведения журнала ICF

Управление файлом журнала ICF

Вы можете переименовать журнал ICF или указать для него путь, отличный от пути по умолчанию. Это удобно, если нужно получать несколько отчетов (время дня, день недели и т. д.). Для изменения пути или имени файла на вкладке SecurityLogging (Ведение журнала безопасности) (рис. 27.4) в разделе Logfileoptions (Параметры файла журнала) щелкните на Browse (Обзор) и перейдите в то место, где нужно разместить файл журнала. Введите выбранное имя в поле Filename (Имя файла) и нажмите на Open (Открыть).

Примечание. Если вы оставите поле имени файла пустым, то система Windows XP Professional по умолчанию назовет файл журнала pfirewall. log.

Просматривать журнал регистраций ICF так же несложно, как и выполнять другие задачи. На вкладке SecurityLogging (Ведение журнала безопасности) в области Logfileoptions(Параметры файла журнала) в разделе Name (Имя) щелкните на Browse (Обзор) и найдите журнал. Если вы не сохранили его под определенным именем, то он называться pfirewall. log. Щелкните на нем правой кнопкой мыши и затем выберите Options (Параметры) для просмотра содержания.

Изменение размера журнала ICF

Вы можете решить, что размер файла журнала ICF слишком мал, что не соответствует вашим нуждам. Размеры файла, в свою очередь, зависят от размеров организации, количества регистрируемых соединений и времени использования журнала ICF. Если нужно сделать журнал побольше (или поменьше, если он занимает слишком много места на жестком диске), то войдите на вкладку SecurityLogging (Параметры файла журнала), как это было описано выше. Затем в разделе Logfileoptions в Sizelimit (Ограничение размера журнала) используйте кнопки со стрелками для изменения размера журнала. По умолчанию размер журнала составляет 4 Мб, а максимальный размер - 32 Мб.

Примечание. Если журнал (например, используемый по умолчанию) будет заполнен, то регистрация не прекратится. Более того, будут сгенерированы новые файлы журналов с именами pfirewall. log.1 и т. д.

Шаблоны безопасности

Используя оснастку SecurityTemplates (Шаблоны безопасности), вы можете создавать текстовые файлы, которые содержат в себе все настройки безопасности для безопасных областей, поддерживаемых локальной политикой безопасности. Это удобно для использования всех элементов системы защиты, доступных в Windows XP Professional. В этом разделе мы расскажем о том, как создавать шаблон, модифицировать существующий шаблон и применять его в системе Windows XP Professional.

Создание шаблона

Для запуска оснастки SecurityTemplates (Шаблоны безопасности) и просмотра настройки политики безопасности проделайте следующие шаги.

1. Откройте ММС.

2. В меню File (Файл) щелкните на Add/RemoveSnap-in (Добавить или удалить оснастку) и затем щелкните на Add (Добавить).

3. В списке AvailableStandaloneSnap-ins (Доступные изолированные оснастки) выберите SecurityTemplates (Шаблоны безопасности).

4. Щелкните на Add (Добавить) и затем нажмите Close (Закрыть).

5. Нажмите ОК. Оснастка SecurityTemplates показана на рис. 27.5.

6. В правом окне щелкните на значке '+', чтобы развернуть SecurityTemplates (Шаблоны безопасности).

7. Разверните C:\Windows\security\templates (С: - это обозначение диска, на котором хранится система Windows).

8. Для создания шаблона щелкните дважды на SecurityTemplates, правой кнопкой мыши щелкните на папке шаблонов по умолчанию и затем щелкните на NewTemplate (Новый шаблон).

Таким образом, вы создадите пустой шаблон, в который можно внести все, относящееся к политике безопасности организации. Для сохранения шаблона откройте меню File (Файл) и щелкните на SaveAs (Сохранить как).

Рис. 27.5. Оснастка SecurityTemplates (Шаблоны безопасности)

Редактирование существующих шаблонов

Система Windows XP Professional изначально включает в себя ряд шаблонов. Они создают хороший фундамент для построения собственной политики безопасности. У вас может быть готовая политика безопасности, которую вы захотите улучшить и применить позже. Для открытия и редактирования любого шаблона дважды щелкните на нем в левом окне оснастки SecurityTemplates (Шаблоны безопасности).

Примечание. Хотя в SecurityTemplates имеются уже готовые шаблоны, неплохо внимательно изучить их заранее и убедиться, что они подходят для нужд вашей организации.

Существует четыре основных типа шаблонов:

· основной;

· безопасный;

· высокой степени безопасности;

· смешанный.

Эти шаблоны представляют диапазон средств безопасности, начиная со стандартных (Basic) и заканчивая средствами повышенной безопасности (HighSecure). Шаблоны Miscelleneous (смешанные) предоставляют настройки безопасности для некоторых категорий, для которых трудно определить место в рамках иерархии Basic, Secure и HighSecure. Они содержат настройки для таких опций как TerminalServices (Службы терминалов) и CertificateServices (Службы сертификации). Ниже перечислены некоторые шаблоны, содержащихся в рамках каждой категории.

· Basicsv Устанавливает базовый уровень безопасности для сервера печати и файлового сервера.

· Securews Устанавливает средний уровень безопасности для рабочих станций.

· Hisecdc Устанавливает самый высокий уровень безопасности для контроллеров доменов.

· Ocfiless Устанавливает политику безопасности файловых серверов.

Любой из десяти образцов шаблонов хорошо подходит для начала разработки сетевой безопасности. Однако при модификации шаблона имеет смысл сохранить его под новым именем, чтобы старый шаблон не был переписан.

Применение шаблонов безопасности

Создание или редактирование уже существующего шаблона не вносит изменений в настройки системы безопасности. Чтобы произвести такие изменения, следует применить шаблон к своему компьютеру. Для применения вновь созданного или отредактированного шаблона проделайте следующее.

1. В оснастке GroupPolicy (Групповая политика) щелкните дважды на ComputerConfiguration (Конфигурация компьютера) и разверните WindowsSettings (Конфигурация Windows).

2. Щелкните правой кнопкой мыши на SecuritySettings (Параметры безопасности) и затем щелкните на ImportPolicy (Импорт политики) (рис. 27.6).

3. Выберите шаблон, которым вы хотите воспользоваться.

4. Нажмите на ОК.

Аудит безопасности

Так как компьютерные сети постоянно конфигурируются, реконфигурируются и настраиваются, то может случиться так, что уже существующие рабочие настройки безопасности не будут работать корректно после изменений, внесенных в сеть. Чтобы держать под контролем систему обеспечения безопасности сети, полезно использовать инструменты проверки (аудита) безопасности, предоставляемые Windows XP Professional. К таким инструментам относятся:

· EventViewer(Просмотр событий);

· Auditpolicies (Политики аудита);

· оснастка SecurityConfigurationandAnalysis (Анализ и настройка безопасности).

Рис. 27.6. Применение шаблонов безопасности

Проверка проводится посредством оснастки групповой политики ММС. Вы можете увидеть различные элементы, проверка которых возможна в Windows XP Professional, открыв папку LocalComputerPolicy\ComputerConfiguration\WindowsSettings\SecuritySettings\LocalPolicies\AuditPolicy в оснастке GroupPolicy.

Что можно проверить

Ввод учетной записи регистрируется всякий раз, когда пользователь пытается войти в сеть. Регистрируются как удачные, так и неудачные попытки. Неудачные попытки впоследствии делятся на те, для которых учетная запись устарела, пользователь пытался войти локально, был введен неправильный пароль или другие случаи. Можно проверить следующие элементы.

· Управление учетной записью. Регистрируется всякое управление учетной записью.