Безопасность в системе Windows Vista. Основные службы и механизмы безопасности (стр. 1 из 12)
МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ОБРАЗОВАНИЮ ГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
Безопасность в системе Windows Vista. Основные службы и механизмы безопасности
2008
Оглавление
Введение. 4
Cреда EC. 5
Схема безопасности и внедрение. 6
Схема подразделений для политик безопасности. 6
Подразделение отдела. 8
Подразделение пользователей Windows Vista. 8
Подразделение компьютеров с Windows Vista. 9
Схема объектов групповой политики для политик безопасности. 9
Рекомендуемые объекты групповой политики. 11
Внедрение политик безопасности. 13
Проверка схемы в лабораторной среде. 15
Развертывание схемы в рабочей среде. 19
Средство GPOAccelerator 26
Предыдущие параметры безопасности. 29
Работа с шаблонами безопасности. 30
Технологии защиты системы Windows Vista. 37
Контроль учетных записей. 37
Оценка риска. 39
Снижение рисков. 40
Процедура снижения рисков. 42
Защитник Windows. 43
Сообщество Microsoft SpyNet 44
Оценка риска. 45
Снижение рисков. 45
Условия для снижения рисков. 46
Процедура снижения рисков. 47
Использование процедуры снижения рисков. 47
Брандмауэр Windows. 48
Оценка риска. 49
Снижение рисков. 50
Условия для снижения рисков. 50
Снижение рисков с помощью брандмауэра Windows в режиме повышенной безопасности. 51
Центр обеспечения безопасности Windows. 53
Процедура снижения рисков. 55
Политики ограниченного использования программ. 55
Технологии защиты обозревателя Internet Explorer 7. 57
Защищенный режим обозревателя Internet Explorer. 57
Функция ActiveX Opt-in. 59
Защита от атак с применением междоменных сценариев. 59
Строка состояния системы безопасности. 60
Антифишинг. 60
Аппаратная защита WindowsVista. 62
Технология NX (NoExecute) 62
Случайное расположение адресного пространства. 63
Защита ядра для x64. 64
Программная защита. 65
Подписывание драйверов для x64. 65
Контроль пользовательских учетных записей (UserAccountControl) 67
Защита доступа к сети (Network Access Protection, NAP) 72
Защита от вредоносного кода и компьютерных атак. 72
Центр безопасности Windows (Windows Security Center, WSC) 72
WindowsDefender 72
Улучшения межсетевого экрана Windows. 74
Защита данных. 75
Заключение. 77
Литература. 79
Введение
Windows Vista™ – на сегодняшний день самая безопасная операционная система, выпущенная корпорацией Майкрософт. Тем не менее для соответствия требованиям к сети конкретной среды могут потребоваться изменения конфигурации. В этой главе продемонстрирована относительная простота настройки параметров безопасности для усиления защиты клиентских компьютеров под управлением стандартной операционной системы, которые присоединены к домену со службой каталогов Active Directory®.
WindowsVista™ – это первая клиентская операционная система от Microsoft, в которой контроль за безопасностью осуществляется на всех этапах разработки (технология Microsoft’sSecurityDevelopmentLifecycle). Это означает, что во главу угла ставится именно безопасность новой ОС. Согласно технологии SDL, к разработчикам ПО с самого начала приставляется консультант по безопасности, который контролирует все этапы разработки на предмет отсутствия уязвимостей. Кроме того, Microsoft собирается сертифицировать WindowsVista по стандарту ISO «Общие Критерии» с целью получения сертификатов EAL4 и SingleLevelOSProtectionProfile.
В главе приводится простой набор процедур для внедрения рекомендуемых параметров для усиления стандартной системы безопасности операционной системы. Упрощенные процедуры позволяет быстро и эффективно защитить клиентские компьютеры под управлением Windows Vista в существующей среде.
Теперь защиту операционной системы можно усилить, используя только объекты групповой политики. Предыдущие рекомендации корпорации Майкрософт требовали импорта INF-файлов шаблона безопасности и существенного изменения вручную раздела «Административные шаблоны» нескольких объектов групповой политики. Эти файлы или шаблоны больше не требуется использовать. Тем не менее INF-файлы шаблона безопасности распространяются с руководством. Их можно использовать для усиления безопасности автономных клиентских компьютеров. Все рекомендуемые параметры групповой политики описаны в приложении A «Параметры групповой политики, связанные с безопасностью».
Чтобы применить рекомендуемые параметры, необходимо:
• создать структуру подразделений для существующей среды;
• выполнить сценарий GPOAccelerator.wsf, который распространяется с руководством;
• использовать консоль управления групповыми политиками для связи объектов групповой политики и управления ими.
Предупреждение.
Важно тщательно протестировать схемы подразделений и объектов групповой политики перед их развертыванием в рабочей среде. В разделе «Внедрение политик безопасности» этой главы описаны процедуры создания и развертывания структуры подразделений и объектов групповой политики, связанных с безопасностью, во время внедрения в тестовой и рабочей среде.
Объекты групповой политики набора базовых показателей, которые распространяются с руководством, включают сочетание протестированных параметров, которые улучшают безопасность клиентских компьютеров под управлением Windows Vista в двух различных средах:
• Enterprise Client (EC)
• Specialized Security – Limited Functionality (SSLF)
Cреда EC
Среда EnterpriseClient (EC), описываемая в этой главе, включает домен со службой каталогов ActiveDirectory®, в котором компьютеры с Microsoft® WindowsServer® 2003 R2 или WindowsServer 2003 с пакетом обновления 1 (SP1) и ActiveDirectoryуправляют клиентскими компьютерами с WindowsVistaили WindowsXP®. В такой среде управление клиентскими компьютерами осуществляется с помощью групповой политики, которая применяется к сайтам, доменам и подразделениям. Групповая политика обеспечивает централизованную инфраструктуру на базе Active Directory, которая позволяет выполнять изменения на уровне доменов и управлять конфигурацией пользователей и параметрами компьютеров, включая параметры безопасности и данные пользователей.
Схема безопасности и внедрение
Схема безопасности, рекомендуемая в этой главе, является основой для сценариев, описанных в данном руководстве, а также для рекомендаций по устранению проблем. В следующих разделах главы описывается основная схема безопасности и приводятся процедуры для ее тестирования и внедрения на компьютерах под управлением Windows Vista:
• Схема подразделений для политик безопасности
• Схема объектов групповой политики для политик безопасности
• Внедрение политик безопасности
Схема подразделений для политик безопасности
Подразделение – это контейнер в домене с Active Directory. Подразделение может включать пользователей, группы, компьютеры и другие подразделения. Если подразделение содержит другие подразделения, оно является родительским.
Подразделение, которое находится внутри родительского подразделения, называется дочерним.
К подразделению можно привязать объект групповой политики, после чего параметры объекта групповой политики будут применены к пользователям и компьютерам, которые находятся в этом подразделении и его дочерних подразделениях. Для упрощения администрирования можно делегировать административные полномочия каждому подразделению.
Подразделения позволяют легко группировать пользователей и компьютеры, обеспечивая эффективный способ сегментации административных границ. Корпорация Майкрософт рекомендует назначать пользователей и компьютеры различным подразделениям, так как некоторые параметры относятся только к пользователям, а другие – только к компьютерам.
Можно делегировать управление группой или отдельным подразделением с помощью мастера делегирования в оснастке «Active Directory – пользователи и компьютеры» консоли управления (MMC). Ссылки на документацию по делегированию полномочий см. в разделе «Дополнительные сведения» в конце данной главы.
Одна из основных задач схемы подразделений любой среды – создание основы для полного внедрения групповой политики, которая применяется ко всем клиентским компьютерам в Active Directory. Это обеспечивает соответствие клиентских компьютеров стандартам безопасности организации. Схема подразделений также должна учитывать параметры безопасности для отдельных типов пользователей в организации. Например, разработчикам может быть необходим такой способ доступа к компьютерам, который не требуется обычным пользователям. Кроме того, требования к безопасности для пользователей переносных и настольных компьютеров могут различаться. На следующем рисунке показана простая структура подразделений, достаточная для рассмотрения групповой политики в этой главе. Структура подразделений может не соответствовать требованиям среды вашей организации.
Рисунок 1.1. Пример структуры подразделений для компьютеров под управлением Windows Vista
Подразделение отдела
Так как требования к безопасности внутри организации могут различаться, иногда имеет смысл создать в среде подразделения отделов. Такие подразделения можно использовать для применения параметров безопасности к компьютерам и пользователям в соответствующих отделах с помощью объекта групповой политики.
Подразделение пользователей Windows Vista
Это подразделение содержит учетные записи пользователей для среды EC. Параметры, применяемые к такому подразделению, подробно описаны в приложении A «Параметры групповой политики, связанные с безопасностью».
Подразделение компьютеров с Windows Vista
Это подразделение содержит дочерние подразделения для каждого типа клиентских компьютеров под управлением Windows Vista в среде EC. Данное руководство содержит прежде всего рекомендации по безопасности для настольных и переносных компьютеров. По этой причине его разработчики создали следующие подразделения компьютеров: