Существует довольно распространенный миф, что платформа Windows является незащищенной по своей природе. Это принципиально неверно. Windows Server 2003 - одна из наиболее защищенных операционных систем. Она основывается на системе безопасности Windows 2000 и расширяет ее. Windows Server 2003 можно сделать защищенной на любом требуемом уровне (если администратор знает, как это сделать). В этой лекции описываются некоторые средства и процессы, используемые для защиты вашего сервера.
Аутентификация Windows Server 2003
Аутентификация - это проверка того, что данное лицо соответствует опознавательным данным, которые он предъявляет; тем самым, аутентификация является основным компонентом системы безопасности Windows Server 2003. Она подтверждает опознавательные данные ("личность") пользователя, который хочет выполнить вход на компьютер, в сеть или в домен. Используя Active Directory, Windows Server 2003 поддерживает единый вход для доступа ко всем сетевым ресурсам. Это позволяет пользователю выполнять вход в домен с помощью единственного пароля или смарт-карты и аутентифицироваться для любого ресурса в домене.
Windows Server 2003 поддерживает два основных протокола для аутентификации.
Kerberos V5.Используемый по умолчанию протокол аутентификации для серверов Windows 2000, Windows XP и Windows Server 2003, если они являются членами домена Active Directory. Его можно использовать для интерактивного входа по паролю или смарт-карте.
NTLM.Поддерживается для совместимости с Windows 95, Windows 98, Windows Me и Windows NT 4, которые используют NTLM для подсоединения к сети. Компьютеры, работающие с Windows Server 2003, используют NTLM при подсоединении или доступе к ресурсам в домене Windows NT 4.
Аутентификация NTLM
Операционные системы Microsoft Windows 9x и Windows NT не могут использовать Kerberos, поэтому они используют NTLM для аутентификации в домене Windows Server 2003. В защите NTLM имеются "слабые места", которые позволяют специалистам по взлому паролей дешифровать NTLM-аутентификацию. Чтобы воспрепятствовать этому, Microsoft разработала NTLM версии 2. Клиенты и серверы Windows 2000, а также Windows XP будут продолжать аутентифицироваться на контроллерах доменов Windows Server 2003 с помощью Kerberos независимо от того, что используется, - NTLM или NTLMv2.
Примечание. Подробнее об активизации NTLMv2 в более ранних версиях Windows см. в статье 239869 Microsoft Knowledge Base "How to Enable NTLM 2 Authentication for Windows 95/98/2000/NT" по адресу [http://support.microsoft.com.]
Аутентификация NTLM для telnet
Для клиента telnet (сетевого теледоступа) в Windows 2000 добавлена поддержка аутентификации NTLM. Это позволяет клиенту telnet в Windows 2000 или Windows Server 2003 выполнять вход на сервер telnet Windows Server 2003 с помощью аутентификации NTLM. Для доступа к серверу telnet пользователи могут использовать свое локальное пользовательское имя и пароль Windows 2000 или информацию доменной учетной записи. Если аутентификация NTLM не используется, то пользовательское имя и пароль передаются на сервер telnet в виде нешифрованного текста. В результате эти данные могут быть перехвачены злоумышленником в сети. При аутентификации NTLM клиент использует для аутентификации средства безопасности Windows Server 2003, и у пользователя не запрашиваются пользовательское имя и пароль. Пользовательское имя и пароль передаются на сервер в шифрованном виде. После аутентификации все команды передаются в виде нешифрованного текста.
Примечание. Microsoft Terminal Server является более защищенной по сравнению с telnet. Terminal Server можно блокировать, используя в основном те же процессы, что используются для усиления защиты серверов Windows.
Обзор Kerberos
Протокол аутентификации Kerberos обеспечивает взаимную защиту между клиентами и серверами, а также между серверами. Когда пользователь выполняет вход, используя пользовательское имя/пароль или смарт-карту, компьютер находит сервер Active Directory и службу аутентификации Kerberos. Затем Kerberos выдает так называемые билеты (ticket), чтобы разрешить доступ к сетевым службам. Эти билеты содержат шифрованные данные, включая шифрованный пароль, подтверждающий опознавательные данные пользователя для этой службы.
Главным компонентом Kerberos является Центр распространения ключей (KDC - Key Distribution Center). KDC запускается на каждом контроллере домена как часть Active Directory и используется для хранения паролей и информации учетных записей клиентов. Windows Server 2003 реализует KDC как доменную службу и использует Active Directory домена как ее базу данных с информацией учетных записей. В процесс аутентификации Kerberos входят следующие шаги.
Пользователь на клиентском компьютере аутентифицируется для KDC с помощью пароля или смарт-карты.
KDC выдает клиенту специальный билет, позволяющий получить билет (TGT - Ticket-granting ticket), чтобы разрешить ему доступ к предоставляющей билеты службе (TGS - Ticket-granting service) на контроллере домена.
TGS выдает клиенту билет на обслуживание.
Этот билет подтверждает опознавательные данные пользователя для службы и опознавательные данные службы для пользователя.
Реализация Kerberos в Windows Server 2003
По умолчанию Kerberos обладает свойствами прозрачности и защищенности в Windows Server 2003. Это освобождает вас от необходимости знать, каким образом реализован Kerberos.
Примечание. Администраторам домена или предприятия не следует вносить изменения в реализацию Kerberos по умолчанию без ясного понимания цели этих изменений, а также их влияния на домен. После внесения изменений на одном контроллере домена настройки реплицируются на все остальные контроллеры домена. Любые изменения политики Kerberos окажут влияние на все компьютеры домена.
Если вам необходимо внести изменения в политику Kerberos, выполните следующие шаги.
Откройте оснастку Active Directory Users and Computers.
В дереве консоли щелкните правой кнопкой на данном домене.
Выберите пункт Properties (Свойства) и затем щелкните на вкладке Group Policy (Групповая политика).
Щелкните на кнопке Edit.
В дереве консоли щелкните на Kerberos Policy (в последовательности Computer Configuration/ Windows Settings/Security Settings/Account Policies/Kerberos Policy).
Дважды щелкните на политике Kerberos, которую хотите модифицировать.
Внесите изменения в эту политику и затем щелкните на кнопке OK.
Имеется несколько относящихся к Kerberos политик, которые можно модифицировать, если это крайне необходимо.
Enforce User Login Restrictions. Указывает, что KDC должен проверять наличие у пользователя права "Log on locally" (Локальный вход) или "Access this computer from the Network" (Доступ к данному компьютеру из сети). Если пользователь не имеет одного из этих прав, то билет на обслуживание не выдается. Эта политика включена по умолчанию.
Maximum Lifetime That a User Ticket Can Be Renewed.Задает максимальный срок действия билета TGT или сеансового библиотека. По умолчанию 7 дней.
Maximum Service Ticket Lifetime.Задает количество минут, в течение которых действителен билет на обслуживание. Это должно быть значение от 10 минут до времени, заданного в политике "Maximum User Ticket Lifetime". По умолчанию 600 минут.
Maximum Tolerance for Synchronization of Computer Clocks. Задает максимально допустимое отличие в минутах между таймерами компьютера-сервера KDC и клиентского компьютера. Таймеры этих машин должны быть синхронизированы с максимально возможной точностью. По умолчанию 5 минут.
Maximum User Ticket Lifetime. Задает количество часов, в течение которых действителен билет Kerberos TGT. По истечении этого времени должен быть получен новый билет или обновлен старый. По умолчанию 10 минут.
Имеется также небольшое число других опций Kerberos. Для доступа к этим опциям нужно выбрать пользователя в окне Active Directory Users and Computers и щелкнуть на Properties.
Smart Card Is Required for Interactive Logon.Требует, чтобы пользователь выполнял вход с помощью смарт-карты. По умолчанию эта политика отключена.
Use DES Encryption for This Account.Требует использования 56-битного DES-шифрования вместо 128-битного RC4, используемого в Microsoft Kerberos. Поскольку метод DES защищен намного меньше, чем RC4, использование DES не рекомендуется. По умолчанию эта политика отключена.
Хотя Kerberos существенно повышает защищенность по сравнению с прежними протоколами аутентификации, его безопасность в целом все еще основывается на пароле пользователя. В результате слабая политика паролей может обесценить все преимущества Kerberos. Один из способов разрешения данной проблемы - это использование смарт-карт.
Реализация смарт-карт
Windows Server 2003, как и Windows 2000, поддерживает использование смарт-карт для входа. На смарт-карте могут храниться сертификат пользователя и личный ключ, поэтому он может выполнять вход, установив эту карту в устройство чтения смарт-карт. После этого компьютер запрашивает у пользователя его личный идентификационный номер (PIN-код), чтобы разрешить этому пользователю вход в систему. Смарт-карты дают следующие преимущества по сравнению с паролями.
Отпадает вопрос слабости использования пароля в Kerberos. Смарт-карты обеспечивают более сильную аутентификацию, чем пароли, поскольку для них используются шифрованные идентификационные данные.
Требуется, чтобы пользователь лично установил смарт-карту для аутентификации в домене.
Смарт-карта может быть блокирована после определенного числа неудачных попыток ввода PIN-кода. Это может воспрепятствовать словарным и "лобовым" атакам на смарт-карту.
Windows Server 2003 использует несколько политик, чтобы определить вход в систему с помощью смарт-карт. Политика Smart Card Is Required for Interactive Logon требует использования смарт-карты для интерактивного входа в систему. Если задана эта политика, то пользователь не может использовать пароль для входа по учетной записи. Эта политика касается только интерактивных и сетевых входов, но не входов удаленного доступа, для которых используется другая политика. Смарт-карты особенно рекомендуются для наиболее важных учетных записей, например, учетных записей Administrator. Политику Smart Card Is Required for Interactive Logon не следует использовать, если пользователь должен указать пользовательское имя, пароль и имя домена для доступа к сетевым ресурсам.
Инфраструктура открытых ключей и аутентификация Windows Server 2003
Windows Server 2003 использует сертификаты для разнообразных функций, таких как аутентификация по смарт-карте, аутентификация на веб-сервере, защищенная электронная почта, безопасность IP (Internet Protocol) и подписание кода (code signing). Сертификат - это цифровой документ, выданный каким-либо ответственным органом для подтверждения идентификационных данных обладателя сертификата. Он связывает открытый ключ (public key) с пользователем, компьютером или службой, которые владеют соответствующим личным ключом (private key). В сертификат обычно включается информация о пользователе или компьютере, которому выдан этот сертификат, информация о самом сертификате и (обычно) о так
называемом Центре сертификации (ЦС) (Certificate authority [CA]), который выдал сертификат. Сертификаты обычно содержат следующую информацию.
Открытый ключ пользователя.
Часть идентифицирующей информации о пользователе, например, его имя и адрес электронной почты.
Срок действия этого сертификата.
Информация о поставщике этого сертификата.
Цифровая подпись поставщика, которая связывает открытый ключ пользователя и его уникальную идентифицирующую информацию.
Примечание. Хотя сертификаты использовались и в предыдущих операционных системах Windows, они не были широко распространены как средство системы безопасности. Эта ситуация изменяется с ростом числа организаций, развертывающих Active Directory.
Обычно сертификаты действуют только в течение указанного периода времени, который тоже включается в сертификат. По истечении периода действия сертификата пользователи должны запрашивать новый сертификат. При использовании сертификатов Windows Server 2003 доверяет тому, что поставщик сертификата удостоверил идентификационные данные пользователя сертификата. Сервер обозначает поставщика сертификатов как доверяемый корневой ЦС, помещая сертификат этого поставщика, подписанный его собственной подписью, в хранилище сертификатов доверяемых корневых ЦС на хост-компьютере. Для управления этими ЦС в Windows Server 2003 используется служба Certificate Services. Таким образом, ЦС несет ответственность за создание и удостоверение идентификационных данных обладателей сертификатов. Вы можете управлять службой Certificate Services с помощью консоли MMC Certification Authority (Центр сертификации).
Шаблоны сертификатов
Шаблон сертификата - это набор правил и настроек, которые применяются к запросам сертификатов. Для каждого типа сертификатов должен быть сконфигурирован шаблон сертификата. Шаблоны сертификатов можно настраивать в центрах сертификации (ЦС) предприятий Windows Server 2003, и они хранятся в Active Directory для использования всеми ЦС в домене. Это позволяет вам выбрать шаблон по умолчанию или модифицировать существующие шаблоны, чтобы создавать настраиваемые шаблоны. В Windows Server 2003 имеется несколько типов шаблонов сертификатов.
Server Authentication Certificates (Сертификаты для аутентификации серверов).
Используются для аутентификации серверов перед клиентами.
Client Authentication Certificates (Сертификаты для аутентификации клиентов).
Используются для аутентификации клиентов перед серверами.
Code Signing Certificates (Сертификаты для подписания кода).Используются для подписания активного содержимого и приложений, чтобы гарантировать их поступление от доверяемого источника.
Secure Email Certificates (Сертификаты для защищенной почты). Используются для подписания сообщений электронной почты.
Encrypting File System Certificates (Сертификаты для шифрующей файловой системы).Применяются для шифрования и дешифрования симметричного ключа, используемого файловой системой Encrypting File System (EFS) Windows Server 2003.
File Recovery Certificates (Сертификаты для восстановления файлов). Используются для шифрования и дешифрования симметричного ключа, используемого для восстановления данных, шифрованных с помощью файловой системы EFS Windows Server 2003.
Защита данных с помощью EFS (Encrypting File System) Windows Server 2003
Аналогично Windows 2000 и Windows XP система Windows Server 2003 может защищать данные на дисках формата NTFS с помощью EFS. EFS не работает на дисках, отформатированных с помощью FAT32. При шифровании файла ему присваивается уникальный ключ шифрования, с помощью которого можно дешифровать его данные. Этот ключ шифрования затем шифруется с помощью открытого ключа данного пользователя. Ключ шифрования файла защищается также открытым ключом других пользователей, которым были предоставлены полномочия на дешифрование этого файла, а также назначенного агента восстановления. Важно также понять, что когда шифрованные с помощью EFS файлы передаются через сеть, они не защищены, если не реализован IPSec (Internet Protocol Security).
Внимание. Хотя алгоритм шифрования EFS считается очень защищенным, шифрованные данные могут быть прочитаны хакером, если он "разгадает" пароль пользователя или администратора. Для защиты шифрованных данных критически важно иметь сильные пароли.
Существуют два метода шифрования файлов и папок с помощью EFS. Основной способ - это шифрование папки или файла с помощью Windows Explorer (Проводник).
Щелкните правой кнопкой на файле или папке.
Выберите Properties/General/Advanced (Свойства/Общие/Дополнительно).
Установите флажок Encrypt Contents To Secure Data (Шифровать содержимое для защиты данных).
Данные шифруются автоматически и совершенно прозрачным образом для пользователя.
Можно также использовать программу, которая называется cipher, чтобы шифровать данные с помощью EFS. Cipher можно вызывать из командной строки для шифрования файлов, папок и подпапок, которые указываются как параметры.
Вопросы администрирования, связанные с EFS
При резервном копировании шифрованных файлов они остаются шифрованными. После операции восстановления шифрованных данных эти данные тоже остаются шифрованными.
Одна из основных проблем восстановления шифрованных данных возникает в тех случаях, когда соответствующий пользователь увольняется из компании или когда эти данные запрашиваются правовыми органами. При таком восстановлении данных требуется дешифрование файла без личного ключа этого пользователя. Чтобы восстановить шифрованный файл, требуется агент восстановления для выполнения следующих шагов.
Резервное копирование шифрованных файлов.
Перемещение файлов резервной копии в какую-либо защищенную систему.
Импорт сертификата восстановления файлов и личного ключа в эту защищенную систему.
Восстановление файлов из резервной копии.
Дешифрование файлов с помощью Windows Explorer или команды cipher.
Администратор может использовать оснастку Group Policy, чтобы определить политику восстановления данных для отдельных компьютеров, доменов или организационных единиц (OU). Центр сертификации (ЦС) может выдавать сертификаты восстановления с помощью оснастки MMC Certificates. При работе в домене Windows Server 2003 реализует политику восстановления по умолчанию для домена, когда создается первый контроллер домена. Администратор домена назначается как агент восстановления.
Чтобы изменить политику восстановления для локального компьютера.
Щелкните на кнопке Start и затем на кнопке Run.
Введите mmc и затем щелкните на кнопке OK, чтобы запустить консоль управления Microsoft (MMC).
В меню Console щелкните на Add/Remove Snap-ins (Добавление/удаление оснасток) и затем щелкните на кнопке Add.
Добавьте Group Policy Object Editor (Редактор объектов Group Policy).
В Group Policy Object проследите, чтобы был представлен текст "Local Computer" и щелкните на кнопке Finish. Щелкните на кнопке Close и затем щелкните на кнопке OK.
В последовательности Local Computer Policy\Computer Configuration\Windows Settings\Security Settings\Public Key Policies щелкните правой кнопкой на Encrypting File System и затем выполните одно из следующих действий.
Чтобы назначить пользователя как дополнительного агента восстановления с помощью мастера Add Recovery Agent Wizard, щелкните на кнопке Add Data Recovery Agent (Добавить агента восстановления данных). Агентами восстановления можно назначать только пользователей, имеющих сертификат агента восстановления.
Чтобы разрешить системе EFS работать без агентов восстановления, щелкните на All Tasks (Все задачи) и затем щелкните на Do Not Require Data Recovery Agents (Не требовать агентов восстановления данных).
Чтобы удалить эту политику EFS и всех агентов восстановления, щелкните на All Tasks и затем щелкните на Delete Policy (Удалить политику). После выбора этого варианта пользователи по-прежнему смогут шифровать файлы на данном компьютере.
Использование системного ключа (SYSKEY)
SYSKEY (system key) выполняет сильное шифрование файлов паролей и устанавливается по умолчанию на машинах с Windows 2000, Windows XP и Windows Server 2003. SYSKEY может также защищать следующую важную информацию.
Главные ключи, которые защищают личные ключи.
Ключи для паролей пользовательских учетных записей, которые хранятся в Active Directory.
Ключи для паролей, которые хранятся в реестре в локальном разделе Security Accounts Manager (SAM).
Ключи защиты для секретов LSA
Ключ для пароля учетной записи Administrator, используемый для загрузки системы в режиме восстановления Safe Mode (Безопасный режим).
Примечание. У вас могут быть трудности с использованием какого-либо средства безопасности, выполняющего аудит паролей на компьютерах с установленным SYSKEY, поскольку шифрованные с помощью SYSKEY файлы паролей могут выглядеть одинаково с нешифрованными файлами, но на самом деле они считаются недоступными для взлома.
Системный ключ может сохраняться одним из трех способов.
В нормальном режиме (Mode 1) системный ключ сохраняется в реестре с помощью "сложной скрывающей функции". При этом варианте пользователи могут перезагружать компьютер без необходимости ввода системного ключа. Это конфигурация по умолчанию для системного ключа.
В режиме 2 (Mode 2) этот ключ также сохраняется в реестре, но чтобы снять блокировку компьютера во время его загрузки требуется ввод пароля. Системный ключ генерируется с помощью технологии хеширования MD5 из пароля, который может содержать до 128 символов. Этот пароль вводится во время загрузки компьютера.
В режиме 3 (Mode 3) системный ключ сохраняется на дискете, которую нужно вставить в дисковод во время загрузки Windows, иначе Windows не загрузится. Дискета должна быть установлена, когда Windows Server 2003 начинает выполнять последовательность загрузки, но до того момента, как пользователи смогут осуществлять вход в систему.
Примечание. Если вы забыли пароль для системного ключа или потеряна дискета, содержащая системный ключ, то загрузить систему невозможно. Единственный способ восстановить систему, когда утрачен SYSKEY, это использование диска аварийного восстановления Emergency Repair Disk (ERD) для восстановления реестра в состояние, предшествовавшее защите системы с помощью системного ключа. Но тогда будут потеряны все изменения, внесенные в систему после этого.
Для защиты по системному ключу выполните следующее.
>Введите syskey в командной строке.
Выберите вариант Encryption Enabled (Включено шифрование), если он еще не выбран, и затем щелкните на кнопке OK. Вы получите напоминание, чтобы следует создать обновленный диск аварийного восстановления (ERD), и в окне будут представлены варианты выбора режима для базы данных учетных записей (Account Database). По умолчанию выбран режим Mode 1.
Щелкните на кнопке Update (Обновить).
В диалоговом окне Account Database Key (Ключ базы данных учетных записей) выберите вариант ключа или измените пароль, затем щелкните на кнопке OK.
Выберите нужный вариант использования системного ключа и затем щелкните на кнопке OK.
Перезагрузите компьютер.
Примечание. Если выбран вариант Password Startup (Загрузка с паролем), то SYSKEY не требует какой-либо минимальной длины пароля.
При загрузке системы у пользователей может быть запрошен ввод системного ключа в зависимости от установленного варианта ключа. Windows Server 2003 обнаруживает первое использование системного ключа и генерирует новый случайный ключ шифрования паролей. Ключ шифрования паролей защищен системным ключом, что обеспечивает сильное шифрование всей информации по паролям учетных записей.
Если установлен SYSKEY, то реализуется следующая последовательность загрузки Windows.
Windows Server 2003 получает системный ключ из хранящегося в реестре ключа, из введенного пароля или с дискеты.
Windows Server 2003 использует системный ключ для дешифрования главного защитного ключа.
Windows Server 2003 использует главный защитный ключ для получения ключа шифрования паролей пользовательских учетных записей, который затем используется для дешифрования информации паролей в Active Directory или в локальном разделе реестра SAM.
Использование SYSKEY в домене
Для компьютеров, которые включены в домен, только члены группы Domain Admin могут запускать SYSKEY. В случае автономных компьютеров SYSKEY могут запускать локальные администраторы.
Примечание. Генерируемый компьютером SYSKEY, хранящийся локально на основном контроллере домена (Primary Domain Controller), не реплицируется на другие контроллеры домена.
SYSKEY можно конфигурировать независимо на каждом компьютере в домене. Каждый компьютер может иметь свой собственный ключ шифрования паролей и уникальный системный ключ. Например, один контроллер домена может иметь режим Mode 3, а другой контроллер домена может использовать Mode 2.
Примечание. Если имеется только один контроллер домена, то администраторы должны обеспечить использование второго (резервного) контроллера домена пока не будут внесены и проверены изменения на первом контроллере домена. Рекомендуется также иметь свежую копию аварийной дискеты (ERD) для этого компьютера.
Защищенные паролем заставки
Защищенная паролем заставка (screensaver) позволяет Windows Server 2003 автоматически блокировать экран после заданного периода "неактивности". Это может быть резервное копирование, когда пользователь или администратор забыл блокировать доступ к рабочей станции. После блокировки экрана компьютера его может разблокировать только пользователь, выполнивший текущий вход на компьютер, или уполномоченный администратор.
Чтобы задать автоматическую блокировку экрана на отдельном компьютере, выполните следующее.
Щелкните правой кнопкой на рабочем столе пользователя и выберите пункт Properties. Появится окно Display Properties (Свойства: Экран).
Щелкните на вкладке Screen Saver (Заставка).
Выберите заставку из раскрывающегося списка Screen Saver.
В поле Wait (Интервал ожидания) введите количество минут периода неактивного состояния, после которого будет инициирована заставка (рекомендуется значение по умолчанию, равное 15 минутам).
Установите флажок On Resume, Password Protect (При возобновлении защита по паролю).
Щелкните на кнопке OK, чтобы задать эту защищенную паролем заставку.
Члены группы Domain Administrators могут активизировать групповую политику Active Directory, чтобы задать, будут ли пользователи использовать заставки и смогут ли они изменять свойства заставки.
Ниже приводятся настройки групповой политики, которые могут влиять на работу заставки.
Hide Screen Saver Tab (Скрывать вкладку "Заставка"). Удаление вкладки Screen Saver из окна Display в панели управления (Control Panel).
Screen Saver (Заставка).Может запрещать запуск заставок.
Screen Saver Executable Name (Имя исполняемого модуля заставки).Указывает заставку для рабочего стола пользователя и препятствует изменениям.
Password Protect the Screen Saver (Защита заставки паролем).Разрешает использовать пароли для всех заставок. Отключите, если не хотите использовать пароли для всех заставок.
Чтобы сделать блокировку заставки паролем недоступной для пользователей с помощью групповой политики, выполните следующие шаги.
Щелкните на кнопке Start и затем на кнопке Run.
Введите mmc и затем щелкните на кнопке OK, чтобы запустить консоль управления Microsoft (MMC).
В меню Console щелкните на Add/Remove Snap-ins и затем щелкните на кнопке Add.
Щелкните на Group Policy (Групповая политика) или Local Policy (Локальная политика). Если это будет политика Active Directory, щелкните на кнопке Add, затем на кнопке Browse и выберите сайт, домен или организационную единицу (OU), к которой будут применяться эта политика.
Щелкните на кнопке Close.
Раскройте последовательность User Configuration\Administrative Templates\Control Panel\Display.
В правой панели дважды щелкните на Password protect the screen saver.
Выберите вариант Disable (Отключить) во вкладке Policy. Тем самым пользователи не смогут задавать пароли по заставкам для этого компьютера или домена.
Щелкните на вкладке Explain (Пояснения), чтобы получить информацию по использованию этой политики.
Щелкните на кнопке Apply (Применить).
Щелкните на кнопке OK и затем закройте эту консоль MMC.
IPSec (Internet Protocol Security)
IP Security (IPSec) можно использовать для защищенной передачи данных между двумя компьютерами. Он совершенно прозрачен для приложений, поскольку реализован на транспортном уровне модели OSI, позволяя приложениям выполнять обмен данными с помощью портов TCP и UDP. IPSec имеет следующие возможности.
Обеспечивает конфиденциальность сообщений путем шифрования всех данных, передаваемых через сетевые соединения, включая соединения удаленного доступа, например, коммутируемые (dial-up) соединения.
Обеспечивает целостность сообщений, передаваемых между двумя компьютерами, путем защиты данных от несанкционированной модификации во время их передачи.
Ограничивает список компьютеров, которые могут взаимодействовать друг с другом. Администраторы могут также ограничивать обмен определенными протоколами IP и портами TCP/UDP. IPSec можно использовать как "ограниченный" брандмауэр для блокирования приема или передачи определенного трафика IP.
Препятствует воспроизводящим атакам, гарантируя, что допустимые пакеты данных не используются повторно для получения доступа к сети в будущем.
Примечание. Два из наиболее распространенных применений IPSec - брандмауэр на основе хоста и соединение двух серверов, разделенных брандмауэром. Например, IPSec можно использовать для защищенной передачи данных между веб-сервером, находящимся перед брандмауэром, с сервером базы данных, находящимся за брандмауэром в корпоративной сети интранет.
Конфигурация политик IPSec Windows Server 2003 преобразует деловые потребности IPSec в политики IPSec, которые можно назначать на уровне домена, сайта, организационной единицы (OU) или локальных машин. Ее можно реализовать, поместив серверы в OU и назначив политику IPSec этой OU с правилом, которое требует защищенного трафика между серверами и всеми другими компьютерами. В Windows Server 2003 оснастка IP Security Monitor в консоли MMC позволяет администраторам управлять политиками IPSec, включая следующее.
Создание и модифицирование политики IPSec.
Слежение за информацией IPSec о локальном компьютере и удаленных компьютерах.
Просмотр деталей политик IPSec.
Просмотр фильтров, статистики и ассоциаций безопасности (security associations) IPSec.
Из оснастки IP Security Policies можно централизованно управлять политикой IPSec для членов Active Directory или для локальных компьютеров. Политика IPSec состоит из набора фильтров, действий фильтров и правил. Фильтр содержит следующие данные.
Один исходный IP-адрес или диапазон адресов.
Один целевой IP-адрес или диапазон адресов.
Протокол IP, такой как TCP, UDP или "any" (любой).
Исходный и целевой порты.
Действие фильтра (filter action) указывает, что происходит, когда вызывается фильтр. Например, это может быть разрешение отправки и приема трафика IP без блокирования, блокирование трафика и согласование протокола безопасности для его использования между компьютерами.
Правило связывает фильтр с действием фильтра. Отраженная политика применяет правила ко всем пакетам, где меняются местами указанные исходный и целевой IP-адреса.
Внимание. Windows Server 2003 содержит списки заранее определенных файлов, действий фильтров и политик по умолчанию IPSec. Они предназначены для использования только как пример политик IPSec. Их не следует использовать без модификации. Эти политики по умолчанию определены для компьютеров в сетях интранет, поскольку они разрешают членам домена Active Directory получать незащищенный трафик.
Для добавления, редактирования или удаления политик IPSec используйте MMC, чтобы открыть консоль, содержащую IP Security Policy Management (Управление политиками IPSec), и затем выполните одну из следующих процедур.
Добавление новой политики. Выберите Action/Create IP Security Policy. Выполняйте инструкции мастера IP Security Policy Wizard, пока не появится диалоговое окно Properties для этой новой политики.
Модифицирование существующей политики.Дважды щелкните на политике, которую вы хотите модифицировать, и внесите необходимые изменения.
Удаление политики.Щелкните на политике, которую вы хотите удалить, и в меню Action щелкните на пункте Delete.
Если вы добавляете или модифицируете политику, щелкните на вкладке General, введите уникальное имя в поле Name и введите описание этой политики безопасности в поле Description.
Чтобы задать частоту проверки обновлений агентом политик IPSec Policy Agent, введите в поле Check (Проверка) количество минут для интервала проверки изменений политик.
Если у вас имеются особые требования к безопасности обмена ключами, щелкните на кнопке Settings, щелкните на вкладке Rules (Правила) и создайте или измените все необходимые правила для данной политики. Активизируйте или отключите правила, как это вам нужно.
Внимание. Фильтры являются наиболее важной частью политики IPSec для компьютера, защищаемого с помощью IPSec. Если фильтры неверно сконфигурированы в политиках компьютеров или серверов либо изменились IP-адреса, то защита, обеспечиваемая IPSec, может быть потеряна.
Для добавления, редактирования или удаления фильтров IPSec выполните следующее.
Используйте MMC, чтобы открыть консоль, содержащую IP Security Policies.
Дважды щелкните на политике, которую вы хотите модифицировать.
Дважды щелкните на правиле IP Security, содержащем список фильтров IP, который вы хотите модифицировать.
Во вкладке IP Filter List (Список фильтров IP) дважды щелкните на списке фильтров IP, содержащем фильтр IP, который вы хотите модифицировать.
В диалоговом окне IP Filter List выполните одну из следующих процедур.
Для добавления фильтра щелкните на кнопке Add.
Для изменения существующего фильтра выберите этот фильтр и затем щелкните на кнопке Edit.
Для удаления существующего фильтра выберите этот фильтр и затем щелкните на кнопке Remove.
В диалоговом окне IP Filter List выполните одну из следующих процедур.
Чтобы использовать мастер IP Filter Wizard для создания фильтра, проследите, чтобы был установлен флажок Use Add Wizard (Использовать мастер добавления), и затем щелкните на кнопке Add.
Чтобы создать фильтр вручную, сбросьте флажок Use Add Wizard и затем щелкните на кнопке Add.
Чтобы модифицировать существующий фильтр, выберите этот фильтр и затем щелкните на кнопке Edit.
Во вкладке Addresses (Адреса) выберите исходный адрес (Source Address).
Щелкните на Destination Address (Адрес назначения) и повторите шаг 7 для адреса назначения.
В секции Mirrored (Зеркальный) выберите нужную настройку.
Чтобы автоматически создать два фильтра с одинаковыми настройками, один для трафика в точку назначения и второй - из точки назначения, установите флажок Mirrored.
Чтобы создать один фильтр, сбросьте флажок Mirrored.
В поле Description вкладки Description введите описание этого фильтра.
Оснастка IPSec Monitor
В Windows 2000 была автономная исполняемая программа IP Security Monitor, которая называлась IPSecmon.exe. В Windows Server 2003 реализована оснастка MMC IP Security Monitor, с помощью которой вы можете делать следующее.
Следить за информацией IPSec для локальных и удаленных компьютеров.
Просматривать детали активных политик IPSec, включая имя, описание, дату последнего изменения, хранилище, путь, OU и имя объекта Group Policy.
Просматривать информацию фильтров IP.
Просматривать статистику IPSec.
Просматривать ассоциации безопасности в основном и быстром режимах.
Выполнять поиск фильтров по исходному IP-адресу или IP-адресу назначения.
Локальные политики безопасности
Политики безопасности критически важны для реализации защищенных серверов Windows Server 2003 и защиты доменов. Администраторы могут управлять политикой безопасности на локальных и удаленных компьютерах, включая политики паролей, политики блокировки учетных записей, политики Kerberos, политики аудита, права пользователей и другие политики. Управлять политиками безопасности можно путем редактирования политик на локальном компьютере, в OU или в домене, а также путем применения файлов с шаблонами безопасности (файлы с расширением имени .inf). Настройки Local Security Policy можно задавать на автономных компьютерах или применять к членам домена. В домене Active Directory настройки Domain Security Policy имеют приоритет по сравнению настройками Local Security Policy.
Примечание. Как Microsoft, так и агентство NSA (National Security Agency) предлагают файлы шаблонов безопасности, которые можно использовать для защиты Windows, серверов, рабочих станций и приложений. Их следует использовать с большой осторожностью и только после обширного тестирования. После их установки может нарушиться работа многих конфигураций приложений и серверов.
Чтобы модифицировать Local Security Policy, сделайте следующее.
Выполните вход на данный компьютер с административными правами.
Выберите Start/Programs/Administrative Tools/Local Security Policy. Появится консоль Local Security Settings.
Локальные политики безопасности для учетных записей
Windows Server 2003 использует политики учетных записей для управления двумя важными составляющими аутентификации по учетной записи.
Password policy (Политика паролей). Определяет настройки для реализации функций управления паролями пользователей.
Account lockout policy (Политика блокировки учетных записей).Определяет, когда и насколько будет блокирована от системы учетная запись в случае отказа в аутентификации пользователя.
Enforce Password History (Журнал паролей).Должно быть задано запоминание 12 паролей.
Maximum Password Age (Максимальный срок действия паролей).Промежуток времени, после которого пользователям требуется изменить свой пароль. Должно быть задано значение от 45 до 90 дней.
Minimum Password Age (Минимальный срок действия паролей).Минимальный промежуток времени, в течение которого пользователи не могут изменять пароль. Должно быть задано значение 1 день.
Minimum Password Length (Минимальная длина паролей).Минимальное количество символов, которое должно быть в пользовательских паролях. Должно быть задано значение не менее 8 символов. Каждый дополнительный символ в пароле существенно повышает трудность взлома пароля.
Password Must Meet Complexity Requirements (Пароль должен отвечать требованиям сложности).Требует использования сильных паролей и поэтому должна быть включена (Enabled). Это требует задания пароля, содержащего не менее трех символов из следующих четырех наборов символов: прописные буквы, строчные буквы, числа и неалфавитные символы.
Примечание. Слабые пароли пользователей и администраторов являются одной из основных причин проникновения хакеров на серверы. Если хакер может "разгадать" пароль Domain Administrators, то он фактически "владеет" всем доменом.
Политики блокировки учетных записей
Существует несколько подходов к реализации политик блокировки учетных записей. В одной из рекомендаций говорится, что блокировку учетных записей реализовать не следует: если политики паролей сконфигурированы должным образом, то никакой злоумышленник не сможет разгадать пароль за приемлемый период времени. Кроме того, активизация политик блокировки учетных записей значительно повышает возможность отказа в обслуживании, если делаются попытки компрометации сервера с помощью автоматизированных атакующих программ. Эти программы часто осуществляют перебор небольшого числа типичных паролей, что может привести к блокировке некоторых или всех учетных записей на сервере (за исключением учетной записи Administrator, которая не может быть блокирована).
Внимание. Существует ряд "червей", которые пытаются выполнить вход для открытия разделяемых сетевых ресурсов путем перебора небольшого числа паролей для учетной записи Administrator. Если им удается выполнить вход, это открывает бреши для проникновения хакеров в систему.
Ниже приводятся некоторые рекомендованные настройки на тот случай, если вы решили реализовать политику блокировки учетных записей.
Account Lockout Duration (Длительность блокировки учетной записи).Должна быть задана равной 0, что требует помощи администратора для разблокирования учетной записи. Эта политика блокирует учетную запись на указанный период времени после неудачных попыток ввода пароля.
Account Lockout Threshold (Предельное число попыток перед блокировкой учетной записи).Учетные записи следует блокировать после пяти неверных попыток входа.
Reset Account Lockout Counter After (Сброс счетчика попыток через).Должно быть задано значение 30 минут. Эта политика задает, как долго должно оставаться в счетчике предельное число попыток, прежде чем выполнить его сброс.
Локальные политики
Локальные политики позволяют администраторам реализовать настройки безопасности, которые относятся к отдельным компьютерам или пользователям. Для конфигурирования можно использовать секцию Local Policies.
User rights assignment (Назначение прав пользователей).Охватывает разнообразные политики, определяющие типы действий, которые могут выполнять отдельные пользователи или группы. Их конкретная реализация зависит от сайта и компьютера.
Security options (Параметры безопасности).Управление различными настройками для компьютера. Их конкретная реализация зависит от окружения сайта и того, как используется сервер.
Audit policy (Политика аудита). Определяет, какие события безопасности регистрируются в журнале событий безопасности на данном компьютере. Управление журналом безопасности Windows Security осуществляется из оснастки Event Viewer.
Существует целый ряд опций безопасности,которые вы можете реализовать в Windows Server 2003. Конфигурирование этих опций сильно зависит от окружения сервера и характера использования данного сервера. Например, контроллер домена может иметь опции, отличные от связанного с интернетом веб-сервера. Возможно, вы захотите просмотреть и реализовать некоторые из этих политик. Две из наиболее важных политик - это переименование учетной записи Administrator и учетной записи Guest.
Следующие политики безопасности можно задавать для повышения безопасности локальных компьютеров и компьютеров, являющихся членами домена.
Set Additional Restrictions for Anonymous Connections (Задание дополнительных ограничений для анонимных соединений).Отключает для анонимных пользователей возможность доступа к спискам учетных записей SAM и разделяемых ресурсов. Это затрудняет определение учетных записей, которые могут быть компрометированы. Эта политика должна быть включена (Enabled).
Disable Shutdown Without Logon (Запрет завершения работы компьютера до выполнения входа). Запрещает пользователям завершать работу компьютера, пока он не выполнил вход в систему. Эта политика должна быть отключена (Disabled).
Clear Virtual Memory Page File When System Shuts Down (Удаление файла виртуальной памяти при завершении работы системы).Удаление файла подкачки при завершении работы системы. Это гарантирует, что любая информация, остающаяся в файле подкачки, будет недоступна следующему пользователю, выполняющему вход на эту машину. Эта политика должна быть включена (Enabled).
Disable CTRL+ALT+DEL Required for Logon (Исключить требование CTRL+ALT+DEL для входа). Упрощает вход в сеанс пользователя. По умолчанию эта политика отключена (Disabled). Не активизируйте эту политику!
Do Not Display Last User Name on Logon Screen (Не выводить имя последнего пользователя в окне входа).Удаление имени последнего пользователя из сеанса входа. В этом случае злоумышленнику придется угадывать идентификатор и пароль пользователя. Эта политика должна быть включена (Enabled).
Implement an Authorized Usage Warning (Реализация предупреждения об авторизованном использовании). Реализация интерактивного окна входа, где выводится баннер входа с заголовком и предупреждением. Администраторы могут задавать заголовок и текст сообщения.
Rename Administrator Account (Переименование учетной записи администратора).Снижает вероятность успешных атак за счет того, что потенциальному хакеру придется угадывать пароль и пользовательский идентификатор учетной записиAdministrator. Администраторы могут задавать новое имя для учетной записи Administrator.
Rename Guest Account (Переименование учетной записи гостя). Снижает вероятность успешных атак за счет того, что потенциальному хакеру придется угадывать пароль и пользовательский идентификатор учетной записи Guest. Администраторы могут задавать новое имя для учетной записи Guest.
Реализация аудита
Аудит - это основное средство для администраторов, позволяющее выявлять и отслеживать потенциальные проблемы безопасности, обеспечивать учет пользователей и обнаруживать признаки проникновения в систему безопасности. Для реализации политики аудита требуется, чтобы вы определили, какие события и объекты нужно включить в аудит. Наиболее часто в аудит включаются следующие типы событий.
Вход и выход пользователей из системы.
Изменения в пользовательских учетных записях и группах.
Доступ пользователей к важным объектам, таким как файлы и папки.
Изменения политик.
Примечание. Аудит журнала событий - это один из наиболее действенных способов, позволяющих выявить несанкционированное проникновение на сервер.
Для эффективного аудита Windows Server 2003 вы должны выработать стратегию аудита, которая определяет следующее.
События безопасности сервера, которые следует включить в аудит.
Максимальный размер и срок хранения записей для журнала Windows Security. Эти значения можно задать в Event Viewer (выберите Start/Settings/Control Panel/ Administrative Tools/Event Viewer, щелкните правой кнопкой на конкретном журнале и выберите пункт Properties).
Объекты, такие как файлы и папки, которые должны быть включены в мониторинг. Администраторам следует включать в аудит только необходимые объекты, иначе это вызовет очень быстрое заполнение журналов аудита.
Развертывание политики аудита (Auditing Policy) с помощью средства Local Security Policy (Start/Settings/Control Panel/Administrative Tools/Local Security Policy) на автономной машине или (с помощью Group Policy) в домене.
Регулярный просмотр журналов безопасности. Ценность аудита заключается именно в том, что вы можете просматривать журналы безопасности для выявления проникновений в систему безопасности. Ниже приводится местоположение журналов Windows Server 2003.%SYSTEMROOT%\system32\config\SysEvent.Evt
%SYSTEMROOT%\system32\config\SecEvent.Evt
%SYSTEMROOT%\system32\config\AppEvent.Evt
Обновление политики аудита по мере необходимости. После просмотра журналов за определенный период времени может потребоваться сбор большего или меньшего объема информации.
Чтобы активизировать локальный аудит безопасности Windows с помощью Local Security Policy, выполните следующие шаги.
Выполните вход в качестве администратора в Windows Server 2003.
Выберите Start/Settings/Control Panel.
Дважды щелкните на Administrative Tools.
Дважды щелкните на Local Security Policy, чтобы запустить оснастку MMC Local Security Settings.
Дважды щелкните на Local Policies, чтобы раскрыть этот контейнер, и затем дважды щелкните на Audit Policy (Политика аудита).
В правой панели дважды щелкните на политике, которую хотите активизировать или отключить.
Установите флажки Success (Успешные) и Fail (Неуспешные).
Чтобы активизировать аудит безопасности с помощью консоли MMC, выполните следующие шаги.
Выполните вход в качестве администратора в Windows Server 2003.
Выберите Start/Run, введите mmc и затем щелкните на кнопке OK.
Добавьте оснастку Group Policy.
В поле Select Group Policy Object щелкните на Local Computer, щелкните на кнопке Finish, щелкните на кнопке Close и затем щелкните на кнопке OK.
Раскройте Local Computer Policy\Computer Configuration\Windows Settings\ Security Settings\Local Policies и затем щелкните на Audit Policy.
В правой панели дважды щелкните на политике, которую хотите активизировать или отключить.
Установите флажки Success и Fail.
Имеется несколько политик аудита, которые можно реализовать для повышения безопасности Windows Server 2003.
Audit Account Logon Events (Аудит событий входа по учетным записям). Аудит событий входа, связанных с аутентификацией пользователя. Рекомендуется аудит успешных и неудачных попыток входа (SUCCESS и FAILURE).
Audit Account Management (Аудит управления учетными записями). Аудит таких событий, как создание учетной записи, блокировка учетной записи и удаление учетной записи. Рекомендуется аудит событий типа SUCCESS и FAILURE.
Audit Directory Service Access (Аудит доступа к службе каталога).Активизирует аудит доступа к объектам Active Directory. Рекомендуется аудит событий типа SUCCESS и FAILURE.
Audit Logon Events (Аудит событий входа). Аудит событий входа в систему, к которой применяется данная политика. Рекомендуется аудит событий типа SUCCESS и FAILURE.
Audit Object Access (Аудит доступа к объектам). Активизирует аудит доступа ко всем объектам, которые можно включать в аудит, например, объекты файловой системы и реестра. Рекомендуется аудит событий типа SUCCESS и FAILURE.
Audit Policy Change (Проверка изменений политик). Определяет, нужен ли аудит изменений, вносимых в политики назначения прав пользователей, в политики аудита или в политики доверия. Рекомендуется аудит событий типа SUCCESS.
Audit System Events (Аудит системных событий). Аудит таких событий, как завершение работы системы и загрузка системы, или событий, влияющих на системный журнал и/или журнал безопасности, например, очистка этих журналов. Рекомендуется аудит событий типа SUCCESS.
Примечание. Наиболее важными событиями, для которых требуется мониторинг, являются события Audit Logon Events (из них можно определить, кто пытался выполнить вход), Audit Policy Change (из них можно определить, вносились ли изменения в какую-либо политику) и Audit System Events (они позволяют выявить необычные действия на данном компьютере). Эти события аудита часто используются для выявления проникновений в систему.
После задания аудита, направленного на обнаружение и запись доступа через систему безопасности к файлам или папкам, вы можете отслеживать пользователей, которые выполняют доступ к определенным объектам, и анализировать проникновения в систему безопасности. Анализ аудита может показать, кто выполнил действия и кто пытался выполнить действия, которые не разрешены.
Чтобы задать аудит по файлу или папке, выполните следующие шаги.
Запустите Windows Explorer и затем найдите файл или папку, для которой хотите задать аудит.
Щелкните правой кнопкой на этом файле или папке, выберите пункт Properties и затем щелкните на вкладке Security.
Щелкните на кнопке Advanced и затем щелкните на вкладке Auditing.
Определите тип изменений в аудите, которые нужно выполнить.Чтобы задать аудит для новой группы или нового пользователя, щелкните на кнопке Add. В поле Name введите имя пользователя или используйте кнопку Advanced, чтобы найти конкретного пользователя.
Для просмотра или изменения аудита для существующей группы или пользователя щелкните на имени и затем щелкните на кнопке View/Edit.
Чтобы отменить аудит для существующей группы или пользователя, щелкните на имени и затем щелкните на кнопке Remove.
В панели Access (Доступ) щелкните на флажках Successful (Успешные) и/или Failed (Безуспешные) в зависимости от типа доступа, аудит которого вам нужен.
Если вы хотите, чтобы файлы и подпапки в данной папке не наследовали настройки аудита, сбросьте флажок Apply these auditing entries.
Примечание. Вы можете просматривать события IPSec Policy Agent в журнале аудита и события драйвера IPSec в системном журнале. Чтобы активизировать регистрацию событий драйвера IPSec, задайте в реестре для HKEY_LOCAL_MACHINE\ System\CurrentControlSet\Services\IPSec\DiagnosticMode значение 1 и перезагрузите компьютер. Драйвер IPSec записывает события в системный журнал только раз в час.
Выявление проникновений в систему безопасности путем аудита журналов
Попытки несанкционированного доступа, записанные в журнале Windows Security, можно видеть как записи предупреждений или ошибок. Чтобы выявить возможные проблемы безопасности, просмотрите журнал Windows Security.
Выберите Start/Settings/Control Panel.
Дважды щелкните на Administrative Tools и затем дважды щелкните на Computer Management.
Раскройте System Tools и затем раскройте Event Viewer.
Щелкните на Security.
Просмотрите, нет ли в журналах "подозрительных" событий безопасности, включая следующие события.
Неверные попытки входа.
Безуспешное использование привилегий.
Безуспешные попытки доступа и изменения файлов .bat или .cmd.
Попытки изменить привилегии безопасности или журнал аудита.
Попытки завершить работу сервера.
Защита журналов событий
Важно ограничить доступ к журналам событий, чтобы защитить их от изменения. Злоумышленник может попытаться изменить журналы безопасности, отключить аудит во время атаки или очистить журнал безопасности, чтобы воспрепятствовать обнаружению.
Внимание. Совершенно пустой журнал безопасности, когда включен аудит безопасности, может означать, что было проникновение на сервер, и хакер пытался скрыть свои следы.
Журналам безопасности можно назначить права доступа, чтобы ограничить круг пользователей, которые могут читать эти файлы. По умолчанию эти файлы могут читать члены группы Everyone. Для обеспечения защиты записей журналов событий, вы должны предпринять соответствующие шаги.
Отмените права доступа группы Everyone и ограничьте доступ группами Administrators и System. Определите политику для хранения, перезаписи и обслуживания всех журналов событий. Эта политика должна определять все требуемые настройки журналов событий и поддерживаться Group Policy.
Проследите, чтобы в политике указывалось, что делать в случае заполнения всего журнала событий, особенно журнала безопасности. В этом случае рекомендуется требовать, чтобы по возможности была завершена работа сервера.
Задайте настройки политики безопасности, чтобы локальные учетные записи Guest не могли получать доступ к системному журналу и к журналам приложений и безопасности.
Проследите, чтобы для системных событий выполнялся аудит как успешных, так и безуспешных попыток, чтобы выявить возможные попытки стирания содержимого журнала безопасности.
Все администраторы, которые имеют возможность просматривать или модифицировать настройки аудита, должны использовать сложные пароли или двух-факторные методы аутентификации, например, вход по смарт-карте, чтобы предотвратить атаки на эти учетные записи для получения доступа к информации аудита.
Доверительные отношения между доменами
Доверие домену - это отношения между доменами, которые позволяют пользователям одного домена быть аутентифицированными контроллером домена в другом домене. При использовании Windows Server 2003 аутентификация по учетным записям между доменами активизируется двусторонними транзитивными доверительными отношениями на базе Kerberos. Это позволяет пользователям и компьютерам аутентифицироваться между любым доменом в дереве доменов или в лесу. Эти доверительные отношения автоматически создаются между родительским и дочерним доменами, когда в дереве доменов создается новый домен. В лесу доверительные отношения автоматически создаются между корневым доменом леса и корневым доменом каждого дерева доменов, добавляемого к лесу.
Внимание. Доверительные отношения доменов могут представлять серьезную угрозу безопасности. Обычно угроза безопасности ограничена в каждый момент каким-либо одним конкретным доменом. Компрометация безопасности в домене с доверительными отношениями может подвергать риску все домены, которые являются "партнерами" этого домена. Например, если учетная запись верхнего уровня компрометирована в одном домене, ее могут использовать для проникновения в другие доверяемые домены.
Прежде чем учетной записи может быть предоставлен доступ к ресурсам контроллером другого домена, система Windows Server 2003 должна проверить, имеет ли этот домен доверительные отношения с первым доменом. Для этого Windows Server 2003 определяет "последовательность доверия" между контроллерами этих двух доменов. Последовательность доверия - это набор доверительных отношений, который должен быть пройден средствами безопасности Windows Server 2003 для передачи запросов аутентификации между любыми двумя доменами.
Примечание. Если пользователь аутентифицируется контроллером доверяющего домена, это не позволяет пользователю автоматически получать доступ к ресурсам в этом домене. Доступ пользователя по-прежнему определяется правами и полномочиями, предоставленными учетной записи этого пользователя для доверяющего домена администратором домена.
Явные доверительные отношения между доменами создаются администраторами - в отличие от доверительных отношений, создаваемых во время установки контроллера домена. Администраторы создают явные доверительные отношения и управляют ими с помощью оснастки MMC Active Directory Domains and Trusts (Домены Active Directory и доверительные отношения).
Имеется два вида явных доверительных отношений доменов: внешние доверительные отношения (external trust) и сокращенные доверительные отношения (shortcut trust). Внешние доверительные отношения разрешают аутентификацию пользователя в домене, находящемся вне определенного леса, в то время как сокращенные доверительные отношения сокращают последовательность доверия в сложном лесу.
Внешние доверительные отношения создают отношения доверия между доменами в различных лесах. Внешние доверительные отношения разрешают аутентификацию пользователя в домене, который не входит в последовательность доверия определенного леса. Хотя все внешние доверительные отношения являются односторонними нетранзитивными доверительными отношениями, два внешних доверительных отношения можно объединить для создания двусторонних доверительных отношений.
Повторите эту процедуру во втором домене этого явного доверительного отношения.
Управление корректировками ПО
Поддержка корректировок для Windows Server 2003 с помощью последних выпусков ПО является критически важной для защиты системы. Если в систему не вносятся эти поправки, все остальные попытки защиты Windows Server 2003 не дают никакого эффекта.
Компании по разработке ПО выпускают поправки (заплаты) для исправлений кода или устранения проблем конфигурации. Иногда эти проблемы связаны с вопросами безопасности, когда злоумышленники используют бреши (уязвимые точки) в системе безопасности. Как только становится известно о такой точке, злоумышленники часто пытаются использовать ее для компрометации систем. Обычно компании по разработке ПО стараются как можно быстрее выпустить такие заплаты безопасности, чтобы защитить своих пользователей.
Обычно термины "заплата" (patch), пакет обновлений (service pack) и оперативное исправление (hotfix) используют в равной степени, подразумевая обновления ПО, но каждый из них имеет свое конкретное определение.
Пакеты обновлений (service pack).Используются для поддержки соответствующего продукта на уровне текущих изменений, а также исправления проблем, появившихся после выпуска этого продукта. Для каждого продукта имеется несколько пакетов обновлений, но один пакет обновлений обычно подходит для различных версий одного продукта. Пакеты обновлений являются накопительными, то есть каждый новый пакет обновлений содержит предыдущие пакеты обновлений, а также новые исправления, появившиеся с момента выпуска предыдущего пакета обновлений.
Оперативные исправления (hotfix). Это "заплаты" для продуктов, поставляемые отдельным заказчикам, имеющим существенные проблемы без каких-либо способов их обхода. Оперативные исправления не проходят исчерпывающего регрессивного тестирования и выпускаются только для разрешения конкретной проблемы. Группы оперативных исправлений часто объединяются в пакеты обновлений.
Заплаты безопасности (security patch). Специальные выпуски для устранения брешей в системе безопасности. Они аналогичны оперативным исправлениям, но в основном выпускаются для защиты систем. Без применения текущих заплат безопасности система Windows Server 2003 может быть уязвима в высокой степени для проникновения вирусов и атак хакеров.
Для всех этих обновлений вам следует взвесить риски и преимущества их развертывания. Следует также тестировать каждое обновление, прежде чем развертывать его в эксплуатируемой среде. Microsoft разработала бесплатные средства, позволяющие определить, была ли обновлена система.
Microsoft Network Security Hotfix Checker (HFNETCHK)
HFNETCHK (Проверка оперативных исправлений системы безопасности сети) - это утилита командной строки, позволяющая проверить, установлены ли все заплаты безопасности на рабочей станции или сервере. Утилита MBSA V1.1, выпущенная а декабре 2002 г., заменила автономное средство HFNETCHK эквивалентной программой Mbsacli.exe.
Примечание. Администраторы, которые используют в настоящее время HFNETCHK, могут получать ту же информацию, используя следующую команду из папки, где была установлена MBSA 1.1: Mbsacli.exe /hf.
Программу Mbsacli.exe, заменившую HFNETCHK, можно использовать для проверки состояния обновлений Windows Server 2003, Windows NT 4, Windows 2000 и Windows X P, а также оперативных исправлений для Internet Information Server (IIS) 4.0, IIS 5.0, SQL Server 7.0, SQL Server 2000, Microsoft Data Engine (MSDE), Exchange Server 5.5, Exchange Server 2000, Windows Media Player и Internet Explorer, начиная с версии 5.01.
Microsoft Baseline Security Analyzer (MBSA)
MBSA - это бесплатное графическое средство проверки безопасности, которое ищет на Windows-компьютерах типичные нарушения конфигураций безопасности и генерирует отчет о состоянии безопасности для каждого сканируемого компьютера. MBSA работает на компьютерах Windows Server 2003, Windows 2000 и Windows X P. Оно выполняет только сканирование нарушений в безопасности на компьютерах Windows Server 2003, Windows NT 4, Windows 2000 и Windows XP. MBSA сканирует характерные нарушения безопасности в Microsoft Windows, Microsoft IIS, Microsoft SQL Server, Microsoft Internet Explorer (IE) и Microsoft Office. MBSA также выполняет сканирование для выявления недостающих обновлений системы безопасности в Microsoft Windows, IIS, SQL Server, IE, Windows Media Player (WMP), Exchange Server и Exchange 2000 Server. Для проверки безопасности на определенной машине с помощью этого средства требуются административные привилегии.
Для MBSA, Mbsacli.exe и для старой утилиты HFNETCHK требуется XML-файл, непосредственно загружаемый с веб-сайта Microsoft и содержащий список самых последних оперативных исправлений, которые следует установить на данном компьютере. Если нет соединения с Интернет, то они используют локальный XML-файл, но он может оказаться устаревшим и оставить систему незащищенной. При запуске MBSA или Mbsacli.exe они всегда пытаются получить самую последнюю копию этого XML-файла.
Этот XML-файл (MSSECURE.XML) содержит имя и заголовок соответствующего бюллетеня безопасности, а также подробную информацию об оперативных исправлениях безопасности для данного продукта, включая следующие данные.
Имена файлов в каждом пакете оперативных исправлений вместе с версиями этих файлов и контрольными суммами.
Разделы реестра, к которым относятся эти оперативные исправления.
Информация, указывающая, какие заплаты заменяют другие заплаты.
Номер соответствующей статьи в Microsoft Knowledge Base.
Возможности сканирования MBSA
MBSA можно использовать как бесплатное очень ограниченное средство оценки уязвимости системы со следующими возможностями.
Сканирование одного или нескольких компьютеров Windows Server 2003, Windows NT 4, Windows 2000 и Windows XP.
Проверка на точки уязвимости операционной системы Windows.
Проверка на точки уязвимости IIS.
Проверка на точки уязвимости SQL Server. Проверка выполняется для каждого экземпляра SQL Server, найденного на проверяемом компьютере.
Проверка на слабость паролей и типичные элементы уязвимости паролей. Проверяя пароли, MBSA может добавлять записи в журнал Security, если активизирован аудит. MBSA выполняет сброс любых обнаруженных политик блокировки учетных записей, чтобы не блокировать никаких пользовательских учетных записей во время проверки паролей, но эта проверка не выполняется на контроллерах домена.
Проверка на отсутствующие обновления системы безопасности.
При сканировании системы безопасности MBSA сохраняет для каждого компьютера выходные отчеты в отдельных XML-файлах в папке %userprofile%\ SecurityScans. Их можно просматривать с помощью средства MBSA Scan reports (Отчеты о сканировании).
Внимание. Известной проблемой MBSA является то, что в случае применения оперативного исправления (hotfix), не относящегося к системе безопасности, после
hotfix по системе безопасности MBSA, возможно, сообщит, что hotfix по безопасности отсутствует. Данный компьютер будет все же защищен, даже если MBSA сообщает, что это не так. Это будет устранено в следующем выпуске MBSA.
Еще один способ проверить наличие оперативных исправлений - это использование Regedit32 для просмотра раздела реестра HKLM\Software\Microsoft\Windows NT\Currentversion\hotfix. Для каждого установленного hotfix должен быть раздел, соответствующий статье из Microsoft Knowledge Base для этого hotfix. Но здесь, возможно, не будут представлены старые оперативные исправления и оперативные исправления для некоторых приложений.
Контрольный список
Ниже приводится контрольный список для поддержания системы безопасности Windows Server 2003.
Поддерживайте антивирусное ПО на уровне последних изменений. Существуют тысячи вирусов, причем каждый день появляется в среднем по пять новых вирусов. Вирусы не только повреждают компьютер, но также могут сделать его уязвимым для атак хакеров.
Подпишитесь на службу Microsoft Security Notification Service, чтобы получать уведомления о последних заплатах безопасности Microsoft: [www.microsoft.com/ technet/security/bulletin/notifyasp .]
Разработайте систему управления заплатами. В организациях должен быть определен процесс тестирования и развертывания новых заплат безопасности вскоре после их выпуска.
Регулярно просматривайте журналы. Ищите признаки проникновения.
Просматривайте журналы Application, System, Security и IIS (если установлена IIS).
Объясните администраторам, как выглядит атака.
Реализуйте регулярный мониторинг сети, чтобы выявлять проникновение в сеть и действия хакеров.
Регулярно запускайте сканирование с помощью MBSA на всех клиентских компьютерах и серверах Windows Server 2003, Windows NT 4, Windows 2000 и Windows XP
Блокируйте свои веб-серверы с помощью таких средств, как IISlockdown/ URLSCAN. Вы можете найти их по адресам http://www.microsoft.com/windows2000/downloads/recommended/iislockdown/default.asp и http://www.microsoft.com/windows2000/downloads/recommended/urlscan/default.asp
.
Просматривайте рекомендации Microsoft для реализации защищенных конфигураций в вашей среде: [www.microsoft.com/technet/security/tools/tools. Эти рекомендации могут оказаться очень полезны, даже если они не относятся непосредственно к Windows Server 2003.]
Просматривайте руководства по безопасности агентства NSA, где можно найти дополнительные идеи по защите вашей среды Windows: http://nsa2.www.conxion.com/win2k/index.html. Имейте в виду, что установка .inf-файлов NSA может нарушить работу ваших приложений.
Используйте услуги сторонних организаций для регулярного аудита и оценок безопасности вашей сети и серверного окружения.
