І. Б. Трегубенко О. В. Коваль безпека корпоративних мереж. Служба каталогу active directory
| Вид материала | Документы |
- На правах рукописи, 1970.76kb.
- Телефон: +7-902-991-3258 (сотовый), 18.27kb.
- 003 и желающих получить аналогичные знания и навыки для администрирования серверов, 106.39kb.
- Active Directory Rights Management Services ad rms в составе ос windows Server® 2008., 872.38kb.
- Active Channel Узел Web, автоматически поставляемый на рабочий стол пользователя. , 316.14kb.
- План Основні поняття > Іntranet корпоративна мережа Вимоги до корпоративних мереж, 17.4kb.
- Список литературы на тему воспитание и образование детей в Древней Руси. Коваль Т.,, 14.67kb.
- Действительный залог(the Active Voice) и страдательный залог (the passive voice), 38.59kb.
- Перелік виставкових заходів нк «Експоцентр України», які потребують державної підтримки, 94.99kb.
- Безпека, 3519.8kb.
Шаблон Hisecws.inf
Щоб активізувати шаблон Hisecws.inf на окремому комп'ютері, необхідно дотримуватися наступних вимог:
- Всі контролери домена, що містять облікові записи користувачів, які будуть реєструватися на клієнтській машині, де застосовується цей шаблон, повинні працювати під керуванням Windows NT 4 із сервісним пакетом 4 або більш пізньої версії цієї операційної системи.
- Всі контролери домена, до якого підключений клієнт, повинні працювати під керуванням Microsoft Windows 2000 або більш пізньої версії цієї операційної системи.
Якщо на клієнтській машині діє шаблон Hisecws.inf на неї поширюється ряд обмежень.
- Клієнтські машини не можуть підключатися до комп'ютерів, на яких виконується тільки LAN Manager, а також до комп'ютерів, що працюють під керуванням Windows NT 4 із сервісним пакетом 3 або більш ранніх версій цієї операційної системи, за допомогою локальних облікових записів на цільових серверах.
- Клієнтські машини не можуть підключатися до серверів, що працюють під керуванням Windows 2000 або Windows NT 4 із сервісним пакетом 4, за допомогою локальних облікових записів, визначених на цих серверах, якщо відхилення в показаннях системних годинників двох машин перевищує 30 хвилин.
- Клієнтські машини не можуть підключатися до серверів, що працюють під керуванням Windows XP або більш пізніх версій цієї операційної системи, за допомогою локальних облікових записів, визначених на цих серверах, якщо відхилення в показаннях годинників двох машин перевищує 20 годин.
- Клієнтські машини не можуть підключатися до серверів LAN Manager, що працюють у режимі захисту на рівні доступу до загальних ресурсів.
Якщо на сервері діє шаблон Hisecws.inf в силу вступають наступні обмеження.
- Користувач із локальним обліковим записом на цьому сервері не може підключатися до нього із клієнтської машини, що не підтримує NTLM версії 2.
- Клієнтська машина з локальним обліковим записом на сервері не може підключатися до нього при відсутності настроювань на відправку відповідей по NTLM версії 2.
- На всіх клієнтських машинах, що підключаються до сервера за допомогою SMB, повинна бути включена функція підписання пакетів SMB на стороні клієнта. На комп'ютерах, що працюють під керуванням Windows 2000 або більш пізніх версій цієї операційної системи, ця функція включена за замовчуванням.
У шаблоні Hisecws.inf за допомогою параметрів груп з обмеженим доступом (Restricted Groups) із групи Power Users (Опытные пользователи) видаляються всі члени; при цьому в локальній групі Domain Admins (Администраторы) залишаються тільки адміністратори домена (Domain Admins) і локальні адміністратори. Ці обмеження на участь у групах встановлюються шаблоном Hisecws.inf з врахуванням того, що всі розміщувані додатки беруть участь у програмі Windows Logo for Software. У тих випадках, коли всі програми дійсно сертифіковані, необхідність у сумісних шаблонах і групі Power Users (та і інша групи відрізняються незахищеністю) відпадає. Користувачі одержують можливість запускати сертифіковані додатки у звичайному захищеному контексті, сформованому стандартними настроюваннями безпеки файлової системи і реєстру.
Шаблон Hisecdc.inf
Шаблон Hisecdc.inf діє тільки в тому випадку, якщо контролер домена, на якому він активізований, а також контролери у всіх доменах, яким він довіряє та які йому довіряють, повинні працювати під керуванням Windows 2000. Активізація цього шаблона на контролері домена призводить до наступних обмежень:
- Користувач із обліковим записом у даному домені може підключатися із клієнтської машини до рядових серверів лише в тому випадку, якщо обидві сторони, по-перше, працюють під керуванням Windows 2000 або більш пізньої версії цієї операційної системи, а, по-друге, підтримують автентифікацію на основі Kerberos; крім того, клієнт повинен бути настроєний на відправлення відповідей по NTLM 2.
- Прив'язка клієнтів, що працюють по протоколу LDAP (Lightweight Directory Access Protocol, полегшений протокол служби каталогів), неможлива без узгодження процедури підписання даних. Запити на прив'язку ldap_simple_bind і ldap_simple_bind_s відхиляються. Відповідно до настроювань за замовчуванням, всі клієнти Microsoft LDAP, що поставляються в складі Windows XP, вимагають підписання даних у тому випадку, якщо протокол TSL/SSL (Transport Layer Security/Secure Sockets Layer, протокол безпеки транспортного рівня/протокол захищених сокетів) не використовується. В інакшому випадку передбачається, що процедура підписання даних погоджена.
Шаблон кореневої безпеки системи (Rootsec.inf)
Шаблон кореневої безпеки системи встановлює кореневі дозволи, вперше введені в операційній системі Windows ХР. За замовчуванням, шаблон Rootsec.inf визначає ці дозволи стосовно кореневого каталогу системного диска. Шаблон передбачає можливість повторної активації кореневих дозволів у випадку їхньої ненавмисної зміни; крім того, закладений в ньому набір дозволів можна застосувати до будь-яких інших томів. Він не перевизначає дозволи, явно визначені для дочірніх об'єктів, але дозволяє наслідування ними інших дозволів.
Шаблони безпеки (Securedc.inf і Securews.inf)
Шаблони безпеки визначають додаткові параметри безпеки, які в меншій мірі впливають на сумісність додатка, зокрема, ці параметри стосуються парольних політик, блокування і аудита. Крім того, ці шаблони обмежують можливості застосування протоколів автентифікації LAN Manager і NTLM. Для цього вони налаштовують клієнтські машини на відправлення відповідей NTLM 2, а сервери - на відмову у відправленні відповідей LAN Manager. Серед систем, що базуються на LAN Manager, можна назвати Windows for Workgroups, Windows 95 і Windows 98 без клієнтського пакета DS. Якщо в системах Windows 95 або Windows 98 встановлений клієнтський пакет DS, ці системи переходять на NTLM версії 2. Операційні системи Windows Me і Windows XP Professional підтримує NTLM 2 без додаткових модифікацій.
Securews.inf
При активізації на рядовому комп'ютері шаблона Securews.inf діють наступні обмеження:
- Всі контролери домена, що містять облікові записи всіх користувачів, які реєструються на даних клієнтських машинах, повинні працювати під керуванням Windows NT 4 із сервісним пакетом 4 або більш пізньої версії цієї операційної системи.
- Якщо рядовий комп'ютер приєднався до домену, в якому присутні контролери під керуванням Windows NT 4, розходження в показаннях системних годинників між цими двома типами комп'ютерів не повинні перевищувати 30 хвилин.
Якщо на клієнтській машині діє шаблон Securews.inf з'являються наступні обмеження.
- Клієнтські машини не можуть підключатися до комп'ютерів, на яких виконується тільки LAN Manager, а також до комп'ютерів, що працюють під керуванням Windows NT 4 із сервісним пакетом 4 або з більше ранніми пакетами, за допомогою локальних облікових записів на цільових серверах.
- Клієнтські машини не можуть підключатися до серверів, що працюють під керуванням Windows 2000 або Windows NT 4, за допомогою локальних облікових записів, визначених на цих серверах, якщо відхилення в показаннях системних годинників двох машин перевищує 30 хвилин.
- Клієнтські машини не можуть підключатися до комп'ютерів, що працюють під керуванням Windows ХР або більш пізніх версій цієї операційної системи, за допомогою локальних облікових записів, визначених на цих серверах, якщо відхилення в показаннях годинників двох машин перевищує 20 годин.
- Клієнтські машини не можуть підключатися до серверів, що працюють в режимі захисту на рівні доступу до загальних ресурсів, засобами LAN Manager.
Якщо на сервері діє шаблон Securews.inf, в силу вступають наступні обмеження.
- Клієнтські машини з локальними обліковими записами на сервері не можуть підключатися до нього за допомогою цих записів, якщо на них підтримується тільки LAN Manager.
- Якщо сервер працює під керуванням Windows 2000, клієнтська машина з локальним обліковим записом на сервері, на якому настроєна автентифікація по протоколу NTLM 2, може підключатися до цього сервера лише в тому випадку, якщо розходження в показаннях системних годинників двох машин не перевищує 30 хвилин.
- Якщо сервер працює під керуванням Windows XP, клієнтська машина з локальним обліковим записом на сервері, на якому настроєна автентифікація по протоколу NTLM 2, може підключатися до цього сервера лише в тому випадку, якщо розходження в показаннях системних годинників на двох машинах не перевищує 20 годин.
Securedc.inf
Якщо на контролері домена діє шаблон Securedc.inf, користувач із обліковим записом у відповідному домені не може підключатися до рядових серверів із клієнтських комп'ютерів, на яких настроєний протокол LAN Manager.
Крім того, шаблони безпеки обмежують діяльність анонімних користувачів, зокрема, вони не дозволяють анонімним користувачам (наприклад, тим, що зареєстровані в доменах, з якими не встановлені довірчі відносини) виводити списки імен облікових записів і загальних ресурсів, а також проводити перетворення імен в SID і SID в імена. Нарешті, шаблони безпеки передбачають можливість підписання пакетів SMB на стороні сервера. Відповідно до настроювань за замовчуванням на всіх робочих станціях і серверах ця функція відключена. Оскільки підписання пакетів SMB на стороні клієнта дозволено за замовчуванням, у випадку функціонування робочих станцій і серверів на захищеному рівні відповідна процедура підлягає обов'язковому узгодженню.
Стандартний шаблон безпеки (Setup security.inf)
Стандартний шаблон безпеки містить настроювання безпеки, що активізуються на даному комп'ютері за замовчуванням в процесі встановлення операційної системи (зокрема, він регламентує дозволи на доступ до файлів у корені системного диска). Відповідно, цей шаблон унікальний для кожного комп'ютера. Він особливо корисний при відновленні після різного роду подій. Активізувати цей шаблон засобами групових політик категорично не рекомендується, оскільки його об’єм досить великий, а з огляду на практику регулярного відновлення групових політик, це обставина може помітно знизити продуктивність.
3.7.3. Керування шаблонами безпеки
Основним інструментом керування шаблонами безпеки є консоль Security Templates (Шаблоны безопасности).
До завдань керування шаблонами безпеки належать такі завдання як: операції з консоллю Security Templates (Шаблоны безопасности), настроювання визначених шаблонів безпеки, визначення нових шаблонів безпеки, імпорт шаблонів безпеки в локальні і нелокальні об'єкти GPO.
Настроївши визначений шаблон безпеки, його можна зберегти як новий (при цьому вихідний визначений шаблон залишиться незміненим). Згодом у новий шаблон можна буде вносити будь-які зміни.
Створивши новий шаблон безпеки, можна скорегувати задані в ньому параметри за замовчуванням, і таким способом досягти бажаного результату.
Будь-який шаблон безпеки можна імпортувати в локальний або нелокальний об'єкт GPO. Можливість імпорту шаблонів безпеки значно спрощує завдання адміністрування, оскільки фактично система безпеки настроюється при цьому на декількох комп'ютерах одночасно.
3.8. Аналіз системи безпеки
Функція аналізу і настроювання безпеки Security Configuration And Analysis (Анализ и настройка безопасности) призначена для аналізу та настроювання локальної системи безпеки. Вона дозволяє порівнювати дію окремого шаблона безпеки або сукупну дію декількох таких шаблонів з поточними настроюваннями безпеки на локальному комп'ютері.
Функція Security Configuration And Analysis (Анализ и настройка безопасности) надає адміністраторам можливість проведення оперативного аналізу системи безпеки. В ході такого аналізу, крім констатації поточних настроювань системи безпеки, генеруються рекомендації щодо їх зміни і виявляються області, в яких поточні настроювання не відповідають бажаному рівню безпеки. Крім того, ця функція дозволяє усувати всі виявлені в ході аналізу невідповідності.
Нарешті, функція Security Configuration And Analysis (Анализ и настройка безопасности) застосовується для настроювання безпеки локальної системи. З її допомогою можна імпортувати шаблони безпеки, сформовані за допомогою одноіменної консолі, і активізувати на локальному комп'ютері задані в них настроювання через об'єкти GPO. В результаті безпека системи піднімається до рівня, визначеного в шаблоні.
Практичне застосування функції аналізу і настроювання безпеки зводиться до виконання наступних завдань:
- Відкриття консолі аналізу і настроювання безпеки (Security Configuration And Analysis) через консоль mmc.
- Вибір бази даних настроювання і аналізу безпеки.
- Аналіз безпеки системи.
- Перегляд результатів аналізу безпеки системи.
- Усунення невідповідностей у системі безпеки.
- Експорт параметрів бази даних безпеки в шаблон безпеки.
Доступ до функції Security Configuration And Analysis (Анализ и настройка безопасности) надається тільки адміністраторам і членам групи Administrators.
Консоль Security Configuration And Analysis (Анализ и настройка безопасности) працює у взаємодії з базою даних - саме вона безпосередньо виконує функції настроювання і аналізу. В базі даних зберігаються шаблони безпеки, що порівнюються з поточними параметрами системи безпеки комп'ютера. Таким чином, перш ніж переходити до настроювання і аналізу безпеки, необхідно настроїти саму базу даних.
З метою аналізу і настроювання системи безпеки можна задіяти існуючу базу даних, після відкриття якої, вона буде виконувати роль бази даних настроювання і аналізу безпеки. Шаблони, що містяться в цій базі безпеки будуть використовуватися при будь-яких операціях, пов'язаних з аналізом і конфігуруванням безпеки.
Крім того можна створити нову базу даних, вказавши її ім'я в списку імені файлу. При цьому необхідно вибрати шаблон або шаблони безпеки, які будуть завантажені в нову базу даних настроювання і аналізу безпеки. Після цього шаблони, що з’являться в новій базі даних аналізу і настроювання безпеки, будуть виконувати роль еталона при порівнянні з фактичними параметрами безпеки системи.
Завдання аналізу безпеки системи зводиться до зпівставлення параметрів у всіх областях системи безпеки. Якщо поточні параметри відповідають параметрам, визначеним у базі даних, вони визнаються правильними. В протилежному випадку параметри вважаються потенційно проблемними, відносно таких параметрів рекомендується провести додаткові дослідження. Шлях, встановлений за замовчуванням до файлу журналу, що генерується за результатами аналізу, наступний:
%Systemroot%\ Documents and Settings\ UserAccount\ My Documents\ Security\ Logs\ DatabaseName Jog.
При необхідності він може бути змінений.
В правій секції вікна консолі Security Configuration And Analysis (Анализ и настройка безопасности), виводяться результати аналізу. Вони сортуються по областях безпеки, а прапорці вказують на виявлені проблеми.
- Червоний символ X вказує на відмінність поточного параметра від конфігурації бази даних.
- Зелена галочка підтверджує погодженість поточного параметра з конфігурацією бази даних.
- Чорний знак питання вказує на те, що даний параметр не визначений у базі даних, а отже, не аналізується. Із цього можна зробити два висновки: або параметр дійсно відсутній у базі даних аналізу і настроювання безпеки, або користувач, що виступив ініціатором аналізу, не має достатніх повноважень для його проведення відносно даного об'єкта або області.
- Червоний знак оклику свідчить про те, що параметр визначений у базі даних аналізу, але відсутній в аналізованій системі безпеки. Приміром, у базі даних може бути визначена група з обмеженими повноваженнями, яка в системі не використовується.
- Відсутність знака говорить про те, що дана політика безпеки не аналізувалася через її відсутність у шаблоні.
Після проведення аналізу безпеки можна ознайомитися з файлом журналу, в якому відображаються його результати. У файлі журналу знаходяться всі відомості про аналіз. Для того, щоб виявити в ньому розходження між параметрами, заданими в шаблоні, і поточними параметрами локальної системи, достатньо провести пошук по слову «mismatch».
Існує декілька способів усунення невідповідностей, виявлених в ході аналізу безпеки.
- Прийняття/зміна деяких/всіх відзначених прапорцями або не включених у базу даних настроювання і аналізу безпеки значень. Цей спосіб актуальний в тому випадку, якщо відповідно до ролі, яку виконує локальний комп'ютер, поточні рівні безпеки можна вважати виправданими.
- Імпорт в базу даних настроювання і аналізу безпеки шаблона, краще адаптованого до ролі, що виконується даним комп'ютером.
- Якщо виявляється, що поточний рівень безпеки не відповідає вимогам, виконується настроювання системи безпеки у відповідності зі значеннями, що містяться в базі даних настроювання і аналізу безпеки.
Якщо, відповідно до ролі, яку виконує локальний комп'ютер, задані на ньому параметри безпеки цілком достатні, і є бажання відобразити цю ситуацію в базі даних аналізу, її потрібно відредагувати. Подібного роду зміни не впливають ні на шаблон безпеки, ні на фактичні параметри безпеки. Вони діють тільки на копію шаблона, що зберігається в базі даних настроювання і аналізу безпеки.
Крім безпосереднього редагування бази даних, існує можливість імпортувати в неї додаткові шаблони безпеки. Більше того, декілька шаблонів, що містяться в ній можна об'єднати в один. Конфлікти після цього будуть вирішуватися відповідно до порядку імпорту шаблонів, при цьому параметри останнього імпортованого шаблона будуть вважатися приорітетними. Нарешті, при імпорті додаткового шаблона безпеки його можна не поєднувати з існуючими. У такому випадку імпортований шаблон заміняє все, що існувало в базі даних до нього.
При імпортуванні в базу даних декількох шаблонів безпеки, об'єднаний шаблон можна зберегти в окремому файлі. Згодом цей файл можна буде імпортувати в інші бази даних або перенастроїти в консолі Security Templates (Шаблоны безопасности).
Якщо потрібно настроїти локальний комп'ютер у відповідності із значеннями, визначеними в базі даних настроювання і аналізу безпеки, необхідно внести відповідні зміни в поточні параметри системи безпеки. Фактично ця операція зводиться до активізації збереженого в базі даних шаблона безпеки. При цьому зміни потрібно вносити лише в ті області безпеки, які не охоплюються параметрами групової політики, зокрема, настроювання захисту локальних папок і файлів, розділів реєстру і системних служб. В іншому випадку, при активізації настроювань групової політики вони перевизначають локальні настроювання, наприклад, політики облікових записів.
Якщо безпека визначена на рівні домена або підрозділу, змінювати настроювання окремих комп'ютерів не варто. У такій ситуації потрібно повернутися до консолі Security Templates (Шаблоны безопасности), внести зміни в обраний шаблон і повторно поширити його дію на відповідний об'єкт GPO.
3.9. Безпека дискових масивів корпоративної мережі. Оптимізація дискової підсистеми
3.9.1. Основні поняття пов'язані зі зберіганням даних
Керування дисковими масивами одна з найбільш важливих функцій, що забезпечують гарантоване зберігання даних у мережі.
Перш ніж приступити до розгляду можливостей оптимального керування дискової підсистемою, потрібно уяснити деякі важливі поняття, пов'язані зі зберіганням даних.
Фізичний диск — це апаратний пристрій, який представляє собою сукупність пластику, металу і кремнію, що дозволяє користувачам зберігати гігантські об’єми даних і файлів. Обсяг інформації, яку можна зберігати на диску, залежить від його розміру і застосування стиснення. Сучасні дискові підсистеми, наприклад апаратні RAID-масиви, можуть складатися з декількох фізичних дисків, але їх виділені апаратні контролери приховують фізичну композицію дискового набору, щоб операційна система сприймала і представляла користувачу таку дискову підсистему у вигляді одного фізичного диска.
Логічний том – це основна одиниця дискової пам'яті, що підлягає настроюванню та керуванню. Він може містити простір на декількох фізичних дисках. Логічні томи (або логічні диски в контексті моніторингу продуктивності) є фізично розділеними одиницями зберігання і дозволяють окремо зберігати інформацію різного типу, наприклад, ОС, додатки і дані користувачів. Логічні томи традиційно позначаються одною буквою латинського алфавіту. Це сильно обмежує (до 26) кількість і гнучкість використання логічних томів, які можна створити в системі.
Файлова система NTFS в Windows Server 2003 дозволяє призначити для тому одну букву алфавіту або не призначати її зовсім. Крім того, можна змонтувати том до однієї або декількох пустих папок на існуючому томі NTFS. Наприклад, можна створити пусту папку Docs на існуючому томі X: і змонтувати новий логічний том розміром 120 Гб до цієї папки. При звертанні до папки X:\Docs дискова підсистема перенаправляє запити введення-виводу на новий том. Все це відбувається прозоро для користувача.
Можливості цієї потужної функції дозволяють розширити доступний простір на існуючому томі. Якщо новий том є відмовостійким, а існуючий - ні, папка X:\Docs, до якої монтується том, представляє відмовостійку частину простору імен існуючого тому. Теоретично, можна змонтувати всі логічні томи сервера до папок на дисках С: або D: і в такий спосіб об'єднати величезний обсяг пам'яті під одною буквою диска.
Відмовостійкість - це здатність системи продовжити роботу при відмові одного з компонентів, зокрема, жорсткого диска.
Windows Server 2003 підтримує два типи відмовостійких логічних томів: дзеркальний (RAID-1) і чередуючийся з парністю (RAID-5). Докладніше ці конфігурації обговорюються далі. Зараз важливо запам'ятати кілька фактів про відмовостійкість Windows Server 2003, що часто називається програмним RAID.
- В відмовостійких конфігураціях використовується не менше двох дисків, а простір для зберігання даних розподіляється так, щоб система могла відновити їх при відмові одного з дисків.
- Засоби, що забезпечують відмовостійкість в Windows Server 2003, не дозволяють продовжити роботу в тому випадку, якщо з ладу виходять два або більше його диски.
- ОС дозволяє використовувати будь-які два (або більше) диски для створення відмовостійких томів.
Щоб створити відмовостійку конфігурацію сервера, не потрібно встановлювати додаткове апаратне або програмне забезпечення. Проте, при використанні дзеркальних томів або томів RAID-5 краще на одній шині використовувати схожі або однакові диски. Зайва різноманітність дискового обладнання або застосування дисководів, підключених до різних шин SCSI і/або IDE, може значно знизити продуктивність.
Функції відмовостійкості Windows Server 2003 використовують цикли процесора і інші ресурси сервера для керування томами. Тому RAID-5 можуть значно знизити продуктивність сервера.
В той же час можна придбати недорогі апаратні відмовостійкі дискові масиви, що називаються апаратними RAID-масивами, в яких використовуються спеціальні контролери, відповідальні за відмовостійкість. Такі системи звичайно перевершують у швидкості і гнучкості керування і відновлення програмні RAID-системи.
Оскільки апаратні RAID-контролери звільняють ОС від завдань керування масивами, апаратний RAID-масив виглядає як один диск.
Поділ даних
Перш ніж приступити до настроювання дискової підсистеми сервера, потрібно ретельно проаналізувати вимоги до зберігання даних. Адміністратори зазвичай встановлюють ОС на логічний том окремо від додатків і даних. Відокремлення ОС спрощує захист і керування дисковим простором, щоб для ОС завжди вистачало вільного місця. Крім того, для ОС прийнято настроювати певний рівень відмовостійкості.
Додатки звичайно зберігаються на другому томі, а дані і файли користувачів - на третьому.
Поділ даних по типах дозволяє управляти безпекою, продуктивністю і відмовостійкістю окремо для кожного типу даних. Так, Active Directory використовують журнали транзакцій для запису даних у бази даних, зазвичай такі журнали зберігаються на томах, розташованих на окремих від баз даних фізичних дисках. Тоді у випадку збою можна відновити БД по журналах.
Ретельно проаналізувавши вимоги до дискової пам'яті в плані типів даних, безпеки, продуктивності і відмовостійкості, можна вирішити, скільки дисків буде потрібно і як їх варто настроїти.