Укрепление (hardening) сервера
При установке не делаем
Сейчас о том, чего делать не следует.
- Не загружайте "Службы сертификатов": им следует быть службой только для внутреннего пользования, так как закрытые ключи CA [Certificate Authorities (Полномочия сертификатов)] следует держать в тайне, и обычно вы не предлагаете регистрацию сертификата всяким пользователям Интернета. Общепринятым правилом является содержание корпоративных "Полномочий сертификатов" в жестко контролируемой, безопасной среде в изолированной внутренней сети. Более того, поскольку Lotus Domino вероятнее всего будет предлагать использование SSL, для данного компонента – не для операционной системы – будет лучше принять это предложение, что является еще одним аргументом в пользу того, чтобы не загружать "Служб сертификатов".
Если требуется системный мониторинг, установите SNMP из "Набора для управления и мониторинга" (Management and Monitoring Tools), но соответствующим образом измените "имена сообществ" (community) для чтения и записи.
- Не делайте установку в домен или в структуру "Активных каталогов" (Active Directory). Нет никаких разумных причин брандмауэру, DMZ-серверу, внешнему серверу DMZ или серверу DNS принимать участие в работе домена.
Политики Windows 2000
Если укрепление Windows NT 4.0 показалось несколько бессистемным, то на самом деле так оно и есть. Нет никакого простого способа определить и применить все изменения реестра, файловой системы, настроек сети и политики пользователь/группа. Хуже того, нет никакого простого способа следить за внесенными изменениями для гарантии того, что изменения в политике не были отменены взломщиками, установленным программным обеспечением или примененным пакетом обновлений.
С выходом Windows 2000 корпорация Microsoft ввела замечательный набор интегрируемых инструментов для "Консоли управления Microsoft" (Microsoft Management Console, MMC). Набор "Шаблонов безопасности" (Security Templates Tool) позволяет системным администраторам выбирать, просматривать и даже создавать самостоятельно шаблоны политики безопасности. Набор для "Конфигурации и анализа системы безопасности" (Security Configuration and Analysis Tool) дает системным ад министраторам возможность не только применять все эти политики одним простым действием, но и осуществлять наблюдение за сделанными изменениями, чтобы видеть, не изменилось ли чего впоследствии.
Изначально "Набор шаблонов шезопасности" и "набор для конфигурации и анализа системы безопасности" не видны в MMC. Для управления серверными политиками и настройками оба эти инструмента следует туда добавить.
Существует много пакетных шаблонов безопасности, среди которых и "Высокая безопасность для рабочих станций" (High Security for Workstations), которые определены в шаблоне HISECWS.INF. Кроме того, Microsoft выпустила "Шаблон высокой безопасности", предназначенный для Web-серверов. Шаблоны безопасности включают в себя большинство изменений в политике и в реестре, сделанные ранее для Windows NT 4.0. Шаблон безопасности HISECWEB.INF имеется в наличии на сайте Microsoft по следующему URL:
http://support.microsoft.com/support/misc/kblookup.asp?id=Q316347
Для использования шаблона выполните следующие шаги:
- Скопируйте шаблон в папку %windir%\security\templates.
- Откройте "Набор шаблонов безопасности" и тщательно просмотрите его настройки.
- Откройте "Набор для конфигурации и анализа системы безопасности" и загрузите шаблон.
- Кликните правой кнопкой мыши на "Наборе для конфигурации и анализа системы безопасности" и выберите "Анализировать компьютер" (Analyze Computer Now) из появившегося меню.
- Дождитесь окончания работы.
- Просмотрите найденное и, если необходимо, обновите шаблон.
Уделите некоторое время просмотру и чтению индивидуальных шаблонов. Вы можете сделать это либо посредством "Набора шаблонов безопасности", либо вручную при помощи текстового редактора вроде WordPad. Пробегите глазами по предлагаемым изменениям, чтобы определить, имеют ли они смысл для размещения в данной ИТ системе конкретного приложения. Готовый шаблон из "Набора шаблонов безопасности" можно использовать как основу для разработки индивидуального шаблона безопасности. После получения шаблона, удовлетворяющего нашим требованиям, следующий шаг – проанализировать, как он повлияет на сервер.
Для загрузки шаблона используйте "Набор для конфигурации и анализа системы безопасности"; правый клик на иконке "Набора для конфигурации и анализа системы безопасности"; выберите "Анализировать компьютер". Найденное будет отображено на правой панели, показывая установки шаблона, текущие установки сервера и любые несоответствия. Просмотрите найденное и, если необходимо, настройте шаблон.
После того как шаблон безопасности был полностью настроен со всеми соответствующими разрешениями, политиками, установками реестра и ограничениями, кликните правой кнопкой мыши на иконке "Набора для конфигурации и анализа системы безопасности" и выберите "Анализировать компьютер". Затем откиньтесь на спинку стула и позвольте программе закончить свою работу.
У "набора для конфигурации и анализа системы безопасности" есть очень хороший эквивалент командной строки. Для анализа, настройки, обновления и сопоставления текущей серверной политики с вашим известным шаблоном можно использовать SECEDIT. Он удобен тем, что может быть запущен из сессии Telnet. Однако управлять сервером через нешифрованную удаленную сессию не рекомендуется.
Укрепление, относящееся к работе с приложениями
Ориентированные на приложения серверы, обитающие внутри брандмауэра, потребуют запуска дополнительных служб, которые будут предлагаться интернет-аудитории. Поскольку существует огромное количество приложений и вообще невообразимое множество различных комбинаций настроек этих приложений, попытка описать конфигурацию даже самых общих из них, таких, как HTTP, FTP и SMTP, выходит далеко за пределы данного курса.
Если же ничего больше не делать, приложения примеров, устанавливаемые по умолчанию с IIS и различными компонентами, следует удалить. Приложения-примеры и их каталоги приведены в табл. 9.1.
| Приложение | Куда установлено |
|---|---|
| IIS | \inetpub\iissamples |
| IIS SDK | \inetpub\iissamples\sdk |
| Admin Scripts | \inetpub\AdminScripts |
| Data Access | \Program Files\Common Files\System\msadc\Samples |
Нужно сказать, что существуют реальные документы, которые дают замечательную отправную точку для должной настройки более общих служб приложений DMZ-сервера:
- Microsoft Windows NT 4.0 and IIS 4.0:
- Microsoft Windows 2000 Server and IIS 5.0:
- Microsoft SQL Server:
Этим мы завершаем наше обсуждение Windows 2000. Хотя между укреплением Windows NT 4.0 и Windows 2000 и есть некоторые совпадения, инструменты и методы с течением времени тем не менее эволюционировали. В результате при помощи политик процесс укрепления сервера Windows 2000 значительно менее бессистемный, нежели процесс укрепления сервера Windows NT 4.0.
9.3.3 Укрепление рабочей станции Windows
До настоящего момента основное внимание уделялось укреплению серверных конфигураций, чтобы сделать их более устойчивыми к атакам. Поскольку безопасность является суммой всех своих составных частей и в то же время наиболее уязвима в своей самой слабой точке, важно также обсудить и процесс укрепления конфигураций рабочих станций, особенно тех, которые работают под управлением операционных систем Windows (NT, 2000, XP), так как именно они на момент публикации данной книги были самыми распространенными настольными операционными системами.
Также это является фундаментальной областью знаний о безопасности, в которой постоянно обнаруживаются все новые и новые слабые и уязвимые места во всех ИТ- системах, и операционная система Windows в этом плане не исключение.
В результате, если нет систематического процесса по поддержанию конфигураций ИТ-систем (серверов и рабочих станций) в соответствии с последними обновлениями поставщика (в форме патчей или пакетов обновлений), последствия будут слишком предсказуемы: эти системы падут жертвой взлома.
Этот раздел сосредоточивает свое внимание на рекомендациях по выбору инструментов, методик и технологий по укреплению рабочих станций Windows NT, 2000 и XP; и в частности на том, как применять патчи и настраивать эти системы для лучшей их защиты от компрометации. Рассмотренное в предыдущих разделах также следует принимать во внимание, так как у Windows в качестве серверной операционной системы и Windows в качестве рабочей станции много общего.
Поскольку в нашем курсе речь идет о продуктах Lotus Collaborative, данный список не является исчерпывающим. Точно так же, если приведено число уязвимых мест, которые должны быть освещены для данных версий операционной системы Windows, совершенно невозможно составить список, который будет включать в себя рекомендации по всем конфигурациям. Основная же идея состоит в том, чтобы предоставить самую базовую информацию для стимуляции желания узнать больше и уменьшения риска компрометации настолько, насколько это только возможно.
Мы рекомендуем вам прочитать статью Microsoft "Семь шагов к персональной компьютерной безопасности" ("Семь Steps to Personal Computing Security"), которая доступна на их корпоративном сайте по следующему URL:
http://www.microsoft.com/security/articles/steps_default.asp
В конечном итоге здесь мы пытаемся сфокусировать наше внимание на более защищенных конфигурациях Windows, а точнее на тех, которые построены вокруг ядра Windows NT (NT 4.0, 2000 и XP). Этот раздел не затрагивает конфигураций, построенных на ядре Windows "9x" – 95, 98, 98SE и ME, поскольку они создавались без учета аспектов безопасности и взламываются слишком легко. Организациям, действительно заботящимся о своей ИТ-безопасности, но имеющим рабочие станции на основе ядра 9x, следует рассмотреть перспективу замены их на конфигурации с ядром Windows NT.
Использование учетной записи "Администратор"
Для поддерживания рабочей станции Windows NT, 2000 или XP вам потребуется доступ к учетной записи "Администратор". (Это отличается от Windows 95, 98 и ME, в которых все пользователи имеют полные права доступа ко всей системе. Фактически это одна из главнейших причин, почему системы 9x являются незащищенными по своему дизайну.) В этом разделе мы обсудим привилегии, дающиеся конечному пользователю по отношению к учетной записи "Администратор", и затем рассмотрим защиту этой учетной записи.
И наоборот, лучше разработать такие конфигурации рабочей станции Windows, которые не наделяют конечного пользователя администраторскими правами (или предоставление им привилегий администратора) на их машинах. Ограничение на то, какое программное обеспечение конечные пользователи могут установить на свои рабочие станции и каким образом, предохраняет многие "дыры" безопасности от вскрытия и делают всю ИТ-инфраструктуру более безопасной.
Это обычно не согласуется с желаниями большинства пользователей. Большинство из них полагает, что на корпоративной рабочей станции (или даже на терминале) им следует обладать такой же степенью свободы, как и на своем собственном домашнем компьютере. Это вполне понятно, но машины не являются собственностью конечного пользователя, они являются собственностью организации. А значит, организации следует иметь в наличии политику безопасности, в соответствии с которой конечные пользователи не обладают на своих машинах администраторскими правами. (Если у организации ее нет, самое время вернуться к "лекции 2, "Методологии построения систем безопасности"" , и написать набор соответствующих политик безопасности вместе с правилами пользования для конечного пользователя.) Если же такая политика имеется, данная тема закрыта для обсуждения и вам не придется тратить кучу времени на объяснения пользователям.
Учетная запись "Администратор" имеет привилегии делать с системой Windows все что заблагорассудится. Хакеры-злоумышленники будут выискивать подсоединенные к Интернету рабочие станции, в которых учетная запись "Администратор" имеет либо тривиальный пароль, либо вообще не имеет пароля как такового. Как только эта учетная запись взломана, хакер получает полный контроль над рабочей станцией.
Поэтому есть два варианта: один – иметь учетную запись "Администратор", другой – избавиться от нее (хотя и не полностью). Давайте рассмотрим их оба.
- Если учетная запись "Администратор" остается как есть, ей следует быть защищенной нетривиальным паролем, который трудно угадать. Вот некоторые советы для генерации такого пароля:
- В нем должно быть как минимум восемь символов. (Его следует рассматривать как парольную фразу, и, таким образом, в нем может быть символов намного больше восьми.)
- Следует использовать по меньшей мере три различных типа символов (алфавитные, числовые и, если возможно, знаки пунктуации).
- Он должен быть настолько случайным, насколько это возможно; вариаций словарных слов следует избегать.
- Потенциально более эффективный подход – создать альтернативную администраторскую учетную запись, с другим именем, которая использовалась бы для всех административных задач и имела бы все привилегии учетной записи "Администратор". То есть удалите оригинальную учетную запись "Администратор" и создайте фиктивную учетную запись "Администратор", без привилегий. Как только взломщики попытаются взломать эту учетную запись, запись о них будет оставлена в журналах аудита.