Безопасность в системе Windows Vista. Основные службы и механизмы безопасности

Оглавление

Введение. 4

Cреда EC. 5

Схема безопасности и внедрение. 6

Схема подразделений для политик безопасности. 6

Подразделение отдела. 8

Подразделение пользователей Windows Vista. 8

Подразделение компьютеров с Windows Vista. 9

Схема объектов групповой политики для политик безопасности. 9

Рекомендуемые объекты групповой политики. 11

Внедрение

политик безопасности. 13

Проверка схемы в лабораторной среде. 15

Развертывание схемы в рабочей среде. 19

Средство GPOAccelerator 26

Предыдущие параметры безопасности. 29

Работа с шаблонами безопасности. 30

Технологии защиты системы Windows Vista. 37

Контроль учетных записей. 37

Оценка риска. 39

Снижение рисков. 40

Процедура снижения рисков. 42

Защитник Windows. 43

Сообщество Microsoft SpyNet 44

Оценка риска. 45

Снижение рисков. 45

Условия для снижения рисков. 46

Процедура снижения рисков. 47

Использование процедуры снижения рисков. 47

Брандмауэр Windows. 48

Оценка риска. 49

Снижение рисков. 50

Условия для снижения рисков. 50

Снижение рисков с помощью брандмауэра Windows в режиме повышенной безопасности 51

Центр обеспечения безопасности Windows. 53

Процедура снижения рисков. 55

Политики ограниченного использования программ. 55

Технологии защиты обозревателя Internet Explorer 7. 57

Защищенный режим обозревателя Internet Explorer. 57

Функция ActiveX Opt-in. 59

Защита от атак с применением междоменных сценариев. 59

Строка состояния системы безопасности. 60

Антифишинг. 60

Аппаратная защита Windows Vista. 62

Технология NX (No Execute) 62

Случайное расположение адресного пространства. 63

Защита ядра для x64. 64

Программная защита. 65

Подписывание драйверов для x64. 65

Контроль пользовательских учетных записей (User Account Control) 67

Защита доступа к сети (Network Access Protection, NAP) 72

Защита от вредоносного кода и компьютерных атак. 72

Центр безопасности Windows (Windows Security Center, WSC) 72

Windows Defender 72

Улучшения межсетевого экрана Windows. 74

Защита данных. 75

Заключение. 77

Литература. 79

Введение

Windows Vista™ – на сегодняшний день самая безопасная операционная система, выпущенная корпорацией Майкрософт. Тем не менее для соответствия требованиям к сети конкретной среды могут потребоваться изменения конфигурации. В этой главе продемонстрирована относительная простота настройки параметров безопасности для усиления защиты клиентских компьютеров под управлением стандартной операционной системы, которые присоединены к домену со службой каталогов Active Directory®.

Windows Vista™ – это первая клиентская операционная система от Microsoft, в которой контроль за безопасностью осуществляется на всех этапах разработки (технология Microsoft’s Security Development Lifecycle). Это означает, что во главу угла ставится именно безопасность новой ОС. Согласно технологии SDL, к разработчикам ПО с самого начала приставляется консультант по безопасности, который контролирует все этапы разработки на предмет отсутствия уязвимостей. Кроме того, Microsoft собирается сертифицировать Windows Vista по стандарту ISO «Общие Критерии» с целью получения сертификатов EAL4 и Single Level OS Protection Profile.

В главе приводится простой набор процедур для внедрения рекомендуемых параметров для усиления стандартной системы безопасности операционной системы. Упрощенные процедуры позволяет быстро и эффективно защитить клиентские компьютеры под управлением Windows Vista в существующей среде.

Теперь защиту операционной системы можно усилить, используя только объекты групповой политики. Предыдущие рекомендации корпорации Майкрософт требовали импорта INF-файлов шаблона безопасности и существенного изменения вручную раздела «Административные шаблоны» нескольких объектов групповой политики. Эти файлы или шаблоны больше не требуется использовать. Тем не менее INF-файлы шаблона безопасности распространяются с руководством. Их можно использовать для усиления безопасности автономных клиентских компьютеров. Все рекомендуемые параметры групповой политики описаны в приложении A «Параметры групповой политики, связанные с безопасностью».

Чтобы применить рекомендуемые параметры, необходимо: • создать структуру подразделений для существующей среды; • выполнить сценарий GPOAccelerator.wsf, который распространяется с руководством; • использовать консоль управления групповыми политиками для связи объектов групповой политики и управления ими.

Предупреждение.

Важно тщательно протестировать схемы подразделений и объектов групповой политики перед их развертыванием в рабочей среде. В разделе «Внедрение политик безопасности» этой главы описаны процедуры создания и развертывания структуры подразделений и объектов групповой политики, связанных с безопасностью, во время внедрения в тестовой и рабочей среде.

Объекты групповой политики набора базовых показателей, которые распространяются с руководством, включают сочетание протестированных параметров, которые улучшают безопасность клиентских компьютеров под управлением Windows Vista в двух различных средах:

• Enterprise Client (EC)

• Specialized Security – Limited Functionality (SSLF)

Cреда EC

Среда Enterprise Client (EC), описываемая в этой главе, включает домен со службой каталогов Active Directory®, в котором компьютеры с Microsoft® Windows Server® 2003 R2 или Windows Server 2003 с пакетом обновления 1 (SP1) и Active Directory управляют клиентскими компьютерами с Windows Vista или Windows XP®. В такой среде управление клиентскими компьютерами осуществляется с помощью групповой политики, которая применяется к сайтам, доменам и подразделениям. Групповая политика обеспечивает централизованную инфраструктуру на базе Active Directory, которая позволяет выполнять изменения на уровне доменов и управлять конфигурацией пользователей и параметрами компьютеров, включая параметры безопасности и данные пользователей.

Схема безопасности и внедрение

Схема безопасности, рекомендуемая в этой главе, является основой для сценариев, описанных в данном руководстве, а также для рекомендаций по устранению проблем. В следующих разделах главы описывается основная схема безопасности и приводятся процедуры для ее тестирования и внедрения на компьютерах под управлением Windows Vista: • Схема подразделений для политик безопасности • Схема объектов групповой политики для политик безопасности • Внедрение политик безопасности

Схема подразделений для политик безопасности

Подразделение – это контейнер в домене с Active Directory. Подразделение может включать пользователей, группы, компьютеры и другие подразделения. Если подразделение содержит другие подразделения, оно является родительским.

Подразделение, которое находится внутри родительского подразделения, называется дочерним.

К подразделению можно привязать объект групповой политики, после чего параметры объекта групповой политики будут применены к пользователям и компьютерам, которые находятся в этом подразделении и его дочерних подразделениях. Для упрощения администрирования можно делегировать административные полномочия каждому подразделению.

 Скачать реферат