Настройка элементов политики безопасности

Лабораторная работа 1

Настройка элементов политики безопасности операционной системы Windows SP2

Цель работы: освоение средств администратора защищенных версий операционной системы Windows, предназначенных для:
 регистрации пользователей и групп в системе, определения их привилегий;
 определения параметров политики безопасности, относящихся к аутентификации и авторизации пользователей при интерактивном входе;
 определения параметров политики безопасности;
 определения параметров политики аудита;
 просмотра и очистки журнала аудита;
 разграничения доступа субъектов к папкам и файлам;
 обеспечения конфиденциальности папок и файлов с помощью шифрующей файловой системы;
 определения параметров политики ограниченного использования программ.

Теоретические сведения

Управление зарегистрированными пользователями
Для управления зарегистрированными пользователями необходимо войти в операционную систему с правами администратора. Открыть список зарегистрированных пользователей можно через меню Пуск | Панель управления | Администрирование | Управление компьютером | Локальные пользователи и группы.
Для создания нового пользователя необходимо выбрать пункт Пользователи и с помощью команды контекстного меню «Новый пользователь» создать учетную запись.
Для добавления пользователя в группу необходимо выделить нужного пользователя и выполнить команду контекстного меню «Свойства», далее на открывшемся окне «Свойства пользователя» выбрать вкладку «Членство в группах» и с помощью кнопок «Добавить», «Дополнительно» и «Поиск» включить вновь созданного пользователя в нужную группу.
Для создания новой группы пользователей необходимо открыть список групп Пуск | Панель управления | Администрирование | Управление компьютером | Локальные пользователи и группы | Группы и создать новую группу с помощью команды контекстного меню «Создать группу».
Для назначения прав пользователям необходимо открыть окно настройки прав пользователей Пуск | Панель управления | Администрирование | Локальная политика безопасности | Локальные политики | Назначение прав пользователя.
Для обеспечения дополнительной защиты базы учетных записей с помощью шифрования нужно начать работу с программой syskey с помощью команды «Выполнить» меню «Пуск». Для настройки вариаций генерации системного ключа нужно нажать кнопку «Обновить».

Настройка элементов политики безопасности
Для управления настройкой политики безопасности необходимо войти в систему с правами администратора и открыть окно определения параметров политики безопасности Пуск | Панель управления | Администрирование | Локальная политика безопасности.
Для обеспечения использования пользователями доверенного канала при вводе паролей необходимо установить значение «Отключен» для параметра «Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL» с помощью меню Пуск | Панель управления | Администрирование | Локальная политика безопасности | Локальные политики | Параметры безопасности.
Настройка политики использования паролей осуществляется с помощью меню Пуск | Панель управления | Администрирование | Локальная политика безопасности | Локальные политики | Параметры безопасности | Политики учетных записей | Политика паролей:
 Параметр безопасности «Максимальный срок действия пароля» определяет период времени (в днях), в течение которого можно использовать пароль, пока система не потребует от пользователя сменить его. Срок действия пароля может составлять от 1 до 999 дней; значение 0 соответствует неограниченному сроку действия пароля.
 Параметр безопасности «Минимальная длина пароля» определяет минимальное количество знаков, которое должно содержаться в пароле пользователя. Можно установить значение от 1 до 14 знаков, либо 0 знаков, если пароль не требуется.
 Параметр безопасности «Минимальный срок действия пароля» определяет период времени (в днях), в течение которого пользователь должен использовать пароль, прежде чем его можно будет изменить. Можно установить значение от 1 до 998 дней либо разрешить изменять пароль сразу, установив значение 0 дней.
 Параметр безопасности «Пароль должен отвечать требованиям сложности» определяет, должен ли пароль отвечать требованиям сложности. Если эта политика включена, пароли должны удовлетворять следующим минимальным требованиям:
• Не содержать имени учетной записи пользователя или частей полного имени пользователя длиной более двух рядом стоящих знаков;
• Иметь длину не менее 6 знаков;
• Содержать знаки трех из четырех перечисленных ниже категорий:
1. Латинские заглавные буквы (от A до Z);
2. Латинские строчные буквы (от a до z);
3. Цифры (от 0 до 9);
4. Отличающиеся от букв и цифр знаки (например, !, $, #, %).

Освоение средств определения политики аудита
Для определения политики аудита необходимо открыть окно определения параметров политики аудита (Пуск | Панель управления | Администрирование | Локальная политика безопасности | Локальные политики | Политика аудита) и с помощью параметров политики аудита установить регистрацию в журнале аудита успешных и неудачных попыток
 входа в систему;
 доступа к объектам;
 доступа к службе каталогов;
 изменения политики;
 использования привилегий;
 отслеживания процессов;
 системных событий;
 событий входа в систему;
 управления учетными записями.
Для просмотра и очистки журнала безопасности необходимо открыть окно просмотра журнала аудита событий безопасности (Пуск | Панель управления | Администрирование | Просмотр событий | Журналы Windows | Безопасность), выполнить команду «Свойства» контекстного меню (или команду Действие | Свойства).
Для ознакомления со средствами эффективного анализа журнала аудита событий безопасности нужно открыть журнал аудита событий безопасности и с помощью команды «Фильтр» отобрать записи к просмотру всего журнала.


Освоение средств определения политики ограниченного использования программ
Для определения политики ограниченного использования программ необходимо:
 открыть окно определения уровней безопасности политики ограниченного использования программ (Пуск | Панель управления | Администрирование | Локальная политика безопасности | Политики ограниченного использования программ | Уровни безопасности);
 открыть окно определения дополнительных правил политики ограниченного использования программ (Пуск | Панель управления | Администрирование | Локальная политика безопасности | Политики ограниченного использования программ | Дополнительные правила).

Освоение средств разграничения доступа пользователей к файлам и папкам
Для разграничения доступа к файлам и папкам необходимо выполнить команду «Свойства» контекстного меню Вашей папки или файла и выбрать вкладку «Безопасность» (если эта команда недоступна, то выключить режим «Использовать простой общий доступ к файлам» на вкладке «Вид» окна свойств папки). Для просмотра полного набора прав доступа к папке и файлу для каждого из имеющихся в списке субъектов необходимо с помощью кнопки «Дополнительно» открыть окно дополнительных параметров безопасности папки.
Разграничить доступ к файлу (папке) можно с помощью кнопки «Добавить» и с помощью кнопок «Дополнительно» и «Поиск» открыть список зарегистрированных пользователей и групп и выбрать нужного пользователя.
Для разграничения доступа к объектам в операционной системе предусмотрено наличие системной программы по управлению списками контроля доступа (CACLS). Для работы с системной программой необходимо начать сеанс работы в режиме командной строки (Пуск | Программы | Стандартные | Командная строка). Далее в строке приглашения ввести название программы, ознакомиться с ее назначением и параметрами.

Освоение средств обеспечения конфиденциальности папок и файлов с помощью шифрующей файловой системы
Для выполнения операции шифрования файлов и папок нужно выполнить команду «Свойства» контекстного меню Вашей папки или файла, и на вкладке «Общие» окна свойств нажать кнопку «Другие». Далее включить выключатель «Шифровать содержимое для защиты данных», нажать кнопку «Применить» и в окне подтверждения изменения атрибутов нажать кнопку «Ok».
При шифровании данных на компьютере необходимо предусмотреть способ восстановления этих данных на случай, если что-то произойдет с ключом шифрования. Если ключ шифрования потерян или поврежден и способ восстановления данных отсутствует, данные будут потеряны. Данные будут также потеряны, если повреждена или утеряна смарт-карта, на которой хранился ключ шифрования. Чтобы гарантировать постоянный доступ к зашифрованным данным, нужно сделать резервные копии сертификата и ключа шифрования. Если компьютером пользуются несколько человек или если для шифрования файлов используется смарт-карта, нужно создать сертификат восстановления файла. Для создания резервной копии EFS-сертификата необходимо:
1. Открыть диспетчер сертификатов (Нажмите кнопку «Пуск», в поле «Поиск» введите certmgr.msc и нажмите клавишу «ВВОД»). В левой области дважды щелкните папку (Личная | Сертификаты).
2. В основной области щелкните сертификат, содержащий пункт «Шифрованная файловая система» в группе «Назначения». Если имеется несколько EFS-сертификатов, нужно сделать резервное копирование для всех.
3. В меню «Действие» выберите пункт «Все задачи» и щелкните «Экспорт». В окне мастера экспорта сертификатов нажмите кнопку «Далее», выберите параметр «Да, экспортировать закрытый ключ» и нажмите кнопку «Далее».
4. Щелкните «Файл обмена личной информацией» и нажмите кнопку «Далее». Введите пароль, который следует использовать, подтвердите его, а затем нажмите кнопку «Далее». Процесс экспорта создаст файл для хранения сертификата.
5. Введите имя файла и его расположение (полный путь) или нажмите кнопку «Обзор», перейдите к нужному месту, введите имя файла и нажмите кнопку «Сохранить». Последовательно нажмите кнопки «Далее» и «Готово». Храните резервную копию EFS-сертификата в надежном месте.

Задание к лабораторной работе

Порядок действий:
1. Создайте двух пользователей (условно назовем их дальше User1, User2). Назначьте для каждого из них рабочую область следующей структуры: C:[имя пользователя] файл (например: текстовый).
2. Настройте разграничение доступа для папок пользователей в рамках дискреционной модели двумя способами:
a) с помощью контекстного меню:
С:User1файл1 С:User2файл1
User1 Запись запрещена Только чтение

b) с помощью команды CACLS (ICACLS для Windows 7):
С:User1файл1 С:User2файл1
User2 Только чтение Полный доступ

3. Установите следующие ограничения на работу пользователей:
 Ограничения по паролю пользователей: длина 6 символов, требования к сложности и неповторяемости, время действия – 45 дней, число попыток входа – 3.
 Реализуйте возможность использования доверенного канала при вводе паролей.
 Запретите пользователю Гость локальный вход в систему.
 Запретите отображение последнего имени пользователя при входе в систему.
 Поставьте немедленное отключение системы, в случае невозможного внесения записей в журнал безопасности.
 Выполните операцию шифрования для файла1 в папке User1. Выполните резервное копирование сертификата шифрованной файловой системы (EFS).
 Все нарушения системы защиты записываются в журнал событий – не более 4 МБ. Должны регистрироваться следующие события: вход/выход, изменение политик, добавление/удаление пользователя, общие события, разграничение доступа, доступ к объектам в папках пользователя, при этом должен использоваться фильтр событий (по времени, событию, пользователю).
 Разрешите пользователю User1 запуск программ только из директории С:Program files.
Подготовить отчет о выполнение лабораторной работы, который должен включать в себя:
 титульный лист с названиями университета, факультета, кафедры, учебной дисциплины и лабораторной работы, фамилиями и инициалами студента (студентов) и преподавателя, города и года выполнения работы;
 содержание отчета с постраничной разметкой;
 сведения о выполнении работы по пунктам с включением содержания задания, копий экранных форм и ответов на вопросы.

Контрольные вопросы и задания

1) Какие события безопасности должны фиксироваться в журнале аудита?
2) Какие параметры определяют политику аудита?
3) Какие факторы влияют на определение размеров доменов безопасности?
4) Какая информация хранится в реестре Windows?
5) Какая политика безопасности лежит в основе разграничения доступа к объектам в защищенных версиях операционной системы Windows?
6) Как работает механизм наследования при определении прав на доступ субъектов к объектам в защищенных версиях операционной системы Windows?
7) Какие дополнительные возможности разграничения доступа к информационным ресурсам предоставляет шифрующая файловая система?