Безопасность в системе Windows Vista. Основные службы и механизмы безопасности (стр. 11 из 12)

Уменьшения сложности первоначального конфигурирования служб для пользователей и системных администраторов – еще одна задача компонента WindowsServiceHardening. Каждая служба, которая входит в состав ОС WindowsVista, имеет сконфигурированный заранее профиль, который применяется автоматически в процессе установки Windows. Данный процесс не требует каких бы то ни было усилий со стороны пользователей или администраторов.

Контроль пользовательских учетных записей (UserAccountControl)

В предыдущих версиях Windows большинство пользовательских учетных записей являлось членом локальной группы «Администратор», тем самым предоставляя пользователям все системные привилегии и возможности, требуемые для установки и конфигурирования приложений, загрузки некоторых фоновых системных процессов и драйверов устройств, изменения конфигурации системы и выполнения базовых повседневных задач.

Хотя этот подход и был удобен для пользователей, он делал компьютеры в сети более уязвимыми к вредоносному ПО, которое могло использовать системные привилегии для повреждения файлов, изменения конфигурации (например, отключение межсетевого экрана), кражи или изменения конфиденциальной информации. Кроме того, применение данного подхода повышало затраты на повседневное обслуживание компьютеров, потому что пользователь мог совершить несанкционированные или случайные изменения, которые, в свою очередь, могли нарушить работу сети и затруднить управление отдельными компьютерами. Хотя существовала возможность работы учетных записей пользователей Windows в конфигурации с ограниченными правами, она сильно сокращала продуктивность работы, потому что базовые задачи, такие как изменение системного времени, присоединение к безопасной беспроводной сети или установка драйвера принтера требовали административных привилегий.

Для решения этой проблемы, WindowsVista содержит компонент UserAccountControl (UAC). Это новый подход, который разделяет все операции в системе на 2 категории: те, которые может выполнять пользователь со своими стандартными правами и те, которые требуют административных привилегий. Применение нового подхода сокращает плацдарм для атак на операционную систему, в то же время предоставляя обычным пользователям большинство функций, которые им требуются каждый день.

UAC обладает двумя преимуществами: во-первых, он переопределяет список стандартных возможностей пользователя, путем включения в него множества базовых функций, которые не несут риска нарушения безопасности, хотя раньше требовали административных привилегий. К этим новым функциям можно отнести:

– Изменение временной зоны

– Настройку системы управления питанием

– Добавление принтера и других устройств, при условии, что драйверы для них уже установлены в системе

– Установку новых шрифтов

– Изменение настроек экрана

– Создание и настройка VPN-соединения

– Установка WEP (WiredEquivalentprivacy) для соединения с защищенной беспроводной сетью

– Просмотр календаря и системного времени

– Загрузка и установка обновлений, при условии использования UAC-совместимого инсталлятора.

UAC также помогает контролировать доступ к ценной информации, находящейся в папке «Мои документы». Теперь, если пользователь не является создателем файла, он не сможет его ни прочесть, ни изменить, ни удалить, т.е., другими словами, доступ к файлам других пользователей закрыт.

Когда обычные пользователи пытаются выполнить задачу, требующую административных привилегий (например, установка нового приложения или изменение важных системных настроек), им предлагается ввести пароль администратора. IT-администраторы имеют возможность отключить процедуру ввода пароля администратора для обычных пользователей, сокращая тем самым риск несанкционированных действий со стороны последних. Во-вторых, UAC позволяет пользователям с административными привилегиями работать в более безопасной среде путем ограничения (по умолчанию) доступа к критичным ресурсам и функциям системы. Если для выполнения какой-либо задачи требуются повышенные привилегии, система предупредит вас об этом с помощью окна с предложением подтверждения выполнения данной задачи.

Интерфейс пользователя ОС WindowsVista включает в себя ряд улучшений, призванных облегчить пользователям определение тех задач, которые требуют административных привилегий. Эти улучшения проявляются в виде описания запрашиваемых действий, а также в маркировании административных действий значком в виде щита (см. рис).

UAC помогает существующим приложениям работать с правами стандартного пользователя без модификаций, путем предоставления им специальной платформы, которая помогает последним обойтись без использования административных привилегий в обычных ситуациях. Например, чтобы обеспечить нормальную работу приложений, требующих для своего выполнения административных привилегий, WindowsVista содержит механизм виртуализации файловой системы и реестра. Данный механизм перенаправляет запросы чтения и записи из защищенных областей в какое-либо место внутри профиля пользователя, таким образом, приложение работает корректно, не влияя на ресурсы других пользователей или систему вцелом. Это сокращает риск нарушения безопасности, потому что приложения никогда не получат доступ к ресурсам, требующим прав администратора для доступа. Однако Microsoft рекомендует использовать данное решение для приложений только как временный выход из ситуации, пока не найдется замена, не требующая административных привилегий и корректно работающая под UAC.

Необходимо отметить, что Microsoft предлагает ряд инструментов, технологий и ресурсов, чтобы помочь производителям составлять новые программы, корректно работающие под UAC. Например, инструмент StandartUserAnalyzer позволяет определить, будет ли корректно работать то или иное приложение с правами стандартного пользователя или же нет.

Благодаря включению UAC в бета-версию WindowsVista, Microsoft получила ценную информацию от пользователей, что привело в последствии к ряду улучшений в компоненте UAC второй бета-версии WindowsVista. Вот основные улучшения UAC во второй бета-версии WindowsVista:

– Сокращение числа объектов Панели управления, которые требуют административных привилегий для доступа (объекты Мышь и Клавиатура, Инфракрасный порт и Bluetooth).

– Планировщик заданий теперь не требует административных привилегий

– Применены исправления к сотням приложений, с целью их корректной работы без ввода пароля администратора

Диалоговые окна UAC также подверглись пересмотру. Теперь они более точно указывают на программу, запрашивающую права администратора, а также помогают определить программы, которые потенциально опасны для системы. Microsoft будет продолжать улучшать компонент UAC, удалять ненужные диалоговые окна вплоть до финального выпуска WindowsVista, используя данные, полученные от пользователей.

Отзывы пользователей применяются для точного определения числа всплывающих сообщений (подсказок), которые появятся в пост-бета2 версии WindowsVista, известной как кандидат №1 на широкомасштабный выпуск (ReleaseCandidate№1). В этой версии WindowsVista их будет даже меньше, чем во второй бета-версии. Например, предполагается удалить сообщение для администраторов, когда они удаляют ярлыки на общем рабочем столе, а также сообщение, которое появляется, когда пользователь получает критичные обновления с WindowsUpdate.

Защита доступа к сети (Network Access Protection, NAP)

NAP – это система, которая позволяет системным администраторам быть уверенным в том, что в сети находятся только «здоровые» машины. Под понятием «здоровые» подразумеваются машины со всеми необходимыми обновлениями ПО, антивирусных баз и т.д. Если компьютер, не соответствует требованиям, предъявляемым NAP, он объявляется «нездоровым», ему не разрешается доступ к сети, до тех пор, пока все требования NAP не будут выполнены.

Защита от вредоносного кода и компьютерных атак

Центр безопасности Windows (Windows Security Center, WSC)

В 2004 году компания Microsoft включила в операционную систему WindowsXPSP2 компонент WSC. Загружаясь как фоновый процесс, WSC в WindowsXP постоянно проверял и показывал состояние трех наиболее важных аспектов безопасности: межсетевого экрана, антивирусного ПО, автоматических обновлений.

WindowsVista также содержит WSC, однако, последний имеет ряд улучшений таких как отображение состояния антишпионского ПО, настроек защиты InternetExplorer и UAC. WSC может следить за состоянием защитного ПО третьих производителей, работающих на данном компьютере. В случае если защитное ПО выключено либо требует установки обновлений, WSC предупреждает пользователя об этом.

WindowsDefender

WindowsDefender – компонент который защищает компьютер от руткитов, кейлоггеров, шпионов, adware, bots и другого вредоносного ПО. (WindowsDefender не защищает от червей и вирусов).

WindowsDefender содержит 9 агентов безопасности, которые постоянно наблюдают за теми критическими областями ОС, которые наиболее часто пытается изменить вредоносное ПО. К таким областям ОС относятся:

– Автозагрузка. Агент безопасности постоянно наблюдает за списком программ, которым позволено загружаться при старте системы. Таким образом, реализуется защита от вредоносного ПО, которое пытается загрузиться вместе с системой.

– Настройки безопасности системы. Агент безопасности постоянно проверяет настройки безопасности Windows. Не секрет, что некоторое вредоносное ПО старается изменить настройки безопасности с целью облегчения вредного воздействия на ОС. Агент безопасности этой области не позволит неавторизованному ПО изменить настройки безопасности.