1я лекция. Вводная (стр. 18 )

· Loopback (Замыкание на себя) — дополнительный параметр груп­повой политики, который необходим на компьютерах в среде, тре­бующей нестандартной организации управления. Замыкание на себя — альтерна­тивный способ получения упорядоченного списка ОГП, парамет­ры пользовательской конфигурации которых влияют на среду пользователя. По умолчанию пользовательские параметры берут­ся из списка ОГП, зависящего от расположения объекта пользо­вателя в иерархии Active Directory. Параметр замыкания на себя, как и любой другой параметр полити­ки, может иметь одно из трех состояний: Not Configured (На задана), Enabled (Включена) или Disabled (Отключена). В состоянии Enabled действуют параметры Merge (Слияние) или Replace (Замена).

• Замыкание на себя с заменой. В этом случае список ОГП для данного пользователя полностью заменяется списком ОГП полученным для компьютера при его загрузке. ОГП компьютера заменяют пользовательские ОГП, которые обычно применяют­ся к данному пользователю.

• Замыкание на себя со слиянием. В этом случае список ОГП объединяется. Список ОГП, полученный для компьютера при его загрузке (см. пункт 2 в разделе «Влияние групповой поли­тики на загрузку компьютера и регистрацию пользователя в системе») добавляется к списку ОГП, полученному для пользо­вателя при его регистрации (пункт 7). Список ОГП для компь­ютера применяется позже и поэтому при возникновении кон­фликтов с параметрами, указанными в пользовательском спис­ке, имеет приоритет.

Наследование групповой политики

В общем, групповая политика передается от родительских к дочер­ним контейнерам. Если определенная групповая политика назначена на верхнем уровне родительского контейнера, то она применяется для всех контейнеров ниже родительского, включая объекты пользовате­лей и компьютеров в каждом контейнере. Однако при применении определенной групповой политики к дочернему контейнеру эта по­литика будет более приоритетной, чем наследуемая от родительского контейнера.

Ненастроенные параметры политики для родительского подраз­деления не наследуются дочерним подразделением. Отключенные параметры политики наследуются как отключенные. Если политика настроена для родительского подразделения, но не настроена для до­чернего, то дочернее подразделение наследует ее от родительского.

Если родительская и дочерняя политики совместимы, то помимо параметров родительской политики применяются и параметры дочер­ней. Политики наследуются до тех пор, пока они совместимы. На­пример, если родительская политика помещает определенную папку на рабочий стол, а дочерняя политика помещает на рабочий стол еще одну папку, то пользователь увидит обе папки.

Конфигурация безопасности

Расширение Security Settings (Параметры безопасности) оснастки Group Policy (Групповая политика) применяется для настройки конфигурации безопасности компьютеров и групп. На этом занятии усматриваются параметры конфигурации безопасности.

Параметры конфигурации безопасности

Конфигурация безопасности (security configuration) содержит парамет­ры для всех областей безопасности (security area) Windows 2000. В рас­ширении Security Settings оснастки Group Policy можно настроить параметры безопасности для нелокальных ОГП из следующих узлов:

• Account policies (Политики учетных записей);

• Local policies (Локальные политики);

• Event log (Журнал событий);

• Restricted groups (Группы с ограниченным доступом);

• System services (Системные службы);

• Registry (Реестр);

• File system (Файловая система);

• Public key policies (Политики открытого ключа);

' IP security policies (Политики безопасности IP).

Узел Account Policies

Политики из этого узла распространяются на учетные записи пользо­вателей. К атрибутам этого узла относятся:

· Password Policy (Политика паролей) — определяет параметры па­рольной защиты для доменных или локальных учетных записей, например обязательный ввод пароля или срок его действия;

· Account Lockout Policy (Политика блокировки учетной записи) — определяет, когда и какие доменные или локальные учетные за­писи будут заблокированы;

· Kerberos Policy (Политика Kerberos) — определяет параметры про­токола Kerberos для доменных учетных записей, например срок жизни билета или принудительные ограничения на вход пользо­вателей.

Узел Local Policies

Содержит параметры безопасности компьютера, на котором работает приложение или пользователь. Локальные политики определяются компьютером, на котором регистрируется пользователь, и разреше­ниями, которые ему предоставлены на данном компьютере. Данная область безопасности содержит следующие атрибуты:

• Audit Policy (Политика аудита) — определяет события, которые ре­гистрируются в журнале безопасности (успешные, неудачные и теи другие). Журнал безопасности является частью оснастки EventViewer (Просмотр событий);

• User Rights Assignment (Назначение прав пользователя) — опреде­ляет, какие пользователи и группы обладают правами на вход в систему и выполнение задач;

• Security Options (Параметры безопасности) — включают или отклю­чают такие параметры безопасности для компьютера, как цифро­вая подпись данных, имена учетных записей Administrator (Адми­нистратор) и Guest (Гость), доступ к флоппи-дисководам и при­

водам CD-ROM, установка драйверов и приглашения на вход в систему.

Локальные политики, по определению, применяются к локально­му компьютеру. Локальные параметры, импортированные в ОГП Active Directory, влияют на локальные параметры безопасности каж­дого компьютера, к которому применяется данный ОГП.

Узел Event Log

В этой области безопасности определяются атрибуты, относящиеся К журналам Application (Журнал приложений), Security (Журнал безопасности) и System (Журнал системы): максимальный размер, права доступа к каждому журналу, а также способы их хранения.

Узел Restricted Groups

Данная возможность является новым важным средством безопаснос­ти, распространяющимся на членов группы. Группы с ограниченным доступом автоматически обеспечивают безопасность на основе член­ства в стандартных группах Windows 2000, таких, как Administrators (Администраторы), Power Users (Опытные пользователи), Print Ope­rators (Операторы печати), Server Operators (Операторы сервера) и Domain Admins (Администраторы домена), автоматически включены в состав Restricted Groups. Позже в список безопасности групп с ог­раниченным доступом можно добавить другие требуемые группы или Разрешения.

узел Public Key Policies

Эта область безопасности предназначена для настройки агентов восстановления шифрованных данных, доменных корней и доверенных центров сертификации.

Узел IP Security Policies

Эта область безопасности предназначена для настройки безопасного обмена данными в IP-сетях.

Аудит

Под аудитом (auditing) в Windows 2000 подразумевается процесс кон­троля действий пользователей и операционной системы, которые на­зываются событиями (events). Посредством аудита определяются со­бытия, которые необходимо записать в журнал безопасности, напри­мер попытки законного и незаконного входа в систему, события, свя­занные с созданием, открытием или удалением файлов, и др. Каждая запись в журнале безопасности содержит следующую информацию:

• описание действия;

• имя пользователя, который его совершил;

• время и результат (успех или неудача) события.

Использование политики аудита

Политика аудита (audit policy) определяет категории событий, кото­рые записываются в журнал безопасности каждого компьютера. Журнал безопасности позволяет регистрировать любые события, которые вы укажете.

Событие записывается в журнал безопасности того компьютера, где оно произошло. Например, неудачная попытка войти в компьютер домена фиксируется в журнале безопасности контроллера домена, так как именно он не смог удостовериться в личности пользователя-Политика аудита позволяет:

• выявить успешные и неудачные события, например попытки войти в систему, доступ к определенным файлам, изменение учетных записей пользователей, членство групп и другие параметры безо­пасности;

• устранить или минимизировать риск непредусмотренного исполь­зования ресурсов.

Рекомендации по настройке политики аудита

при планировании политики аудита необходимо определить компь­ютеры, подлежащие аудиту, и события, которые требуется на них ре­гистрировать. По умолчанию аудит выключен.

После определения подлежащих аудиту событий необходимо выб­рать, какие события стоит регистрировать: успешные, неудачные или и те, и другие. Регистрация успешных событий покажет, как часто пользователи и операционная система обращаются к файлам, прин­терам и другим объектам. Эта информация пригодится при планиро­вании использования ресурсов. Регистрация неудачных событий вы­явит нарушения безопасности. Например, при обнаружении несколь­ких неудачных попыток доступа, особенно в нерабочее время, можно сделать вывод, что кто-то пытается проникнуть в систему.

Правила, которыми следует руководствоваться при настройке политики аудита:

• Определите, собираетесь ли вы контролировать тенденции исполь­зования системы. В этом случае надо архивировать журналы собы­тий. Это позволит проследить изменение использования систем­ных ресурсов во времени и нарастить их до того, как выявится их нехватка.

• Регулярно просматривайте журнал безопасности. Для этого составь­те расписание и следуйте ему. Ведь одного аудита недостаточно Для обнаружения нарушений режима безопасности.

• Политика аудита должна быть полезна и управляема. Всегда выпол­няйте аудит уязвимых и конфиденциальных данных. Регистрируй­те только те события, которые содержат существенную информа­цию.

• Настройте аудит доступа к ресурсам для группы Everyone, а не для группы Users. Таким образом, вы проведете аудит доступа, всех, кто подключается по сети, а не только пользователей, для которых созданы учетные записи. Настройте также аудит неудачных попыток доступа для группы Everyone.

• Настройте аудит всех действий администраторов. Это позволит выявить все дополнения или изменения, сделанные администратором.

рами.

События, аудит которых рекомендован