[ Pobierz całość w formacie PDF ]
.W komputerze autonomicznym trzebausun¹æ klucze prywatne agentów odzyskiwania, aby w pe³ni wykorzystaæzwiêkszenie bezpieczeñstwa udostêpnione przez EFS.Niestety oznacza to, i¿trzeba przywróciæ certyfikat Agenta odzyskiwania w przypadku potrzebyodzyskania pliku lub foldera — wobec tego, zabezpieczanie platformy dlakomputerów autonomicznych jest nieco trudne.Lecz nawet w œrodowisku domeny nadal trzeba umieszczaæ certyfikaty odzyskiwaniadanych poza lokalnym komputerem, aby zapewniæ w³aœciwy poziom ochrony.Wkomputerach nale¿¹cych do domeny obs³uga certyfikatów i kluczy publicznych jestskonfigurowana w folderze Public Key Policies\Encrypted Data Recovery Agents.Tutaj nale¿y pozwoliæ tylko administratorom domeny na granie roli agentówodzyskiwania — a nie lokalnemu administratorowi.To z kolei sprawi, i¿powodzenie ataku bêdzie wymagaæ w³amania do dwóch komputerów — komputerazawieraj¹cego dane docelowe i komputera zawieraj¹cego klucz Agentaodzyskiwania, co znacz¹co zwiêksza trudnoœæ ataku.Ponadto atak na komputer zkluczem Agenta odzyskiwania bêdzie o wiele trudniejszy, poniewa¿ serwery domenymo¿na odpowiednio zabezpieczyæ przed atakami fizycznymi.Aby jednak osi¹gn¹æ najwy¿szy mo¿liwy poziom ochrony, trzeba oczywiœcieprzenieœæ certyfikaty administratorów domeny na jakiœ typ noœnika niedostêpnegoprzez sieæ (zwykle dyskietki od³o¿one do sejfu), tak jak wspomniano uprzednio.Na koniec, nawet jeœli certyfikaty Agentów odzyskiwania zostan¹ przeniesione doinnego komputera w sieci lokalnej, EFS nie jest w stanie podnieœæ poziomuochrony plików ponad poziom zabezpieczeñ zapewniony przez logowanie (czylikombinacjê nazwy u¿ytkownika i has³a, jeœli nazwa ostatnio zalogowanegou¿ytkownika jest wyœwietlana w oknie logowania, wystarczy zidentyfikowaæ has³o)u¿ytkowników posiadaj¹cych klucze, mog¹ce odblokowaæ ochronê EFS.Nale¿y wiêczastanowiæ siê nad licznymi Ÿród³ami k³opotów w zwi¹zku z logowaniem — naprzyk³ad, u¿yæ SYSKEY do zwiêkszonej ochrony SAM, Rejestru i innychinformacji.Implementowanie zabezpieczeñJak wspomniano w uprzednich rozdzia³ach, zdefiniowanie zachowania zabezpieczeñw systemie Windows 2000 Server i Active Directory jest o wiele ³atwiejsze, ni¿przywykliœmy w Windows NT.We wczeœniejszych wersjach Windows NT zabezpieczeniaby³y ustawiane w kilku miejscach.Obecnie, dysponuj¹c Zasadami grup, mo¿emykonfigurowaæ zabezpieczenia z jednego narzêdzia administracyjnego.Co równie wa¿ne, mo¿na obecnie zdefiniowaæ kilka ró¿nych profili zabezpieczeñ(tzw.szablonów zabezpieczeñ), które mo¿na zastosowaæ do ró¿nych klaskomputerów lub na zmianê do tego samego komputera.Windows 2000 zawiera kilkawstêpnie zdefiniowanych szablonów zabezpieczeñ, odpowiednich dla ró¿nychpoziomów bezpieczeñstwa oraz ró¿nych typów klientów i serwerów w sieci.Lecz wdu¿ym œrodowisku sieciowym przypuszczalnie op³aci siê rozszerzyæ domyœlneszablony zabezpieczeñ o w³asne preferencje.Tak to ju¿ jestMo¿emy znaleŸæ siê w sytuacji, w której bêdziemy chcieli dopasowaæ obecnysystem zabezpieczeñ do potrzeb œrodowiska o wysokim poziomie bezpieczeñstwa,albo te¿ po prostu ograniczyæ w³adzê administratorów.Niestety w wiêkszoœci przypadków oka¿e siê to niemo¿liwe (lub wyj¹tkowotrudne), poniewa¿ wiêkszoœæ co bardziej delikatnych praw i uprawnieñ dozarz¹dzania systemem operacyjnym mo¿e byæ kontrolowanych jedynie za pomoc¹ grupwbudowanych i wstêpnie zdefiniowanych.Przy tym Windows 2000 nie pozwoli namtego zmieniæ w ¿aden sposób — problem pochodzi od faktu przydzielenia na sta³emnóstwa zabezpieczeñ do grupy lokalnej Administratorzy w serwerach (do którejdomyœlnie nale¿¹ Administratorzy domeny i Administratorzy firmy) orazklientach.Wobec tego w wiêkszoœci przypadków mo¿emy albo przyznaæ danemuadministratorowi mnóstwo przywilejów, albo ograniczyæ je do stopnia, w którymtraci to sens.Jedynym wiêkszym wyj¹tkiem jest tu us³uga Active Directory, w której mo¿emydopasowywaæ zabezpieczenia niemal dowolnie za pomoc¹ funkcji Delegowaniaadministracji (lub usuwania wstêpnie zdefiniowanych uprawnieni przydzielonychró¿nym grupom).Domyœlnie, grupie globalnej (lub uniwersalnej) Administratorzyfirmy przyznana jest pe³na kontrola nad ca³¹ domen¹ i konfiguracj¹ kontekstównazewniczych.Lecz grupy Administratorzy i Administratorzy domeny równie¿ wtych dwóch kontekstach dysponuj¹ du¿¹ w³adz¹, nie obejmuj¹c¹ jedynie pe³nejkontroli i — w wiêkszoœci przypadków — praw do usuwania.Kolejn¹ now¹ funkcj¹ jest przystawka Konfiguracja i analiza zabezpieczeñ,daj¹ca mo¿liwoœæ porównania ustawieñ zabezpieczeñ komputera z danym szablonemzabezpieczeñ, przegl¹dania wyników i rozwi¹zywania wszelkich rozbie¿noœciwykrytych podczas analizy.Wprowadzenie do zestawu narzêdzi konfiguracji zabezpieczeñPodstawowym zadaniem zestawu narzêdzi konfiguracji zabezpieczeñ jestudostêpnienie pojedynczego punktu do administracji zabezpieczeñ systemuopartego na Windows 2000.Aby spe³niæ to zadanie, zestaw narzêdzi pozwalaadministratorom:Konfigurowaæ zabezpieczenia dla jednego lub wielu komputerów Windows 2000.Dokonywaæ analiz zabezpieczeñ dla jednego lub wielu komputerów Windows 2000.Wykonywaæ powy¿sze dwa zadania ze zintegrowanego i jednorodnego narzêdzia.Proces konfigurowania zabezpieczeñ w sieci opartej na Windows 2000 mo¿e byædoœæ przyt³aczaj¹cy z uwagi na iloœæ zaanga¿owanych sk³adników systemu iwymaganego poziomu zmian.Wobec tego zestaw narzêdzi konfiguracji zabezpieczeñjest zaprojektowany tak, by umo¿liwiæ konfigurowanie w skali makro.Inaczejmówi¹c, zestaw narzêdzi konfiguracji zabezpieczeñ pozwala na zdefiniowaniekilku ustawieñ zabezpieczeñ i ich implementowanie w tle.W ten sposób mo¿nazgrupowaæ i zautomatyzowaæ zadania konfiguracji dla jednego lub kilkukomputerów Windows 2000.Co wa¿ne, ten zestaw narzêdzi nie zosta³ zaprojektowany z myœl¹ o zast¹pieniuistniej¹cych narzêdzi systemowych, zajmuj¹cych siê ró¿nymi aspektamibezpieczeñstwa systemu.Zamiast tego, jego zadaniem jest uzupe³nienie tychnarzêdzi przez zdefiniowanie mechanizmu, który jest w stanie zinterpretowaæstandardowy plik konfiguracyjny i wykonaæ czynnoœci niezbêdne do automatycznegoskonfigurowania ustawieñ zabezpieczeñ w tle.Administratorzy mog¹ dalejkorzystaæ z istniej¹cych narzêdzi (lub ich nowszych wersji) w celu zmianypojedynczych ustawieñ zabezpieczeñ, gdy tylko zajdzie potrzeba.Aby zape³niæ lukê w analizie zabezpieczeñ, istniej¹c¹ gdy u¿ywamy tradycyjnychnarzêdzi do zarz¹dzania zabezpieczeniami, zestaw narzêdzi udostêpnia analizêzabezpieczeñ w skali mikro.Zestaw narzêdzi jest zaprojektowany, abyudostêpniaæ informacje o wszelkich zwi¹zanych z bezpieczeñstwem aspektachsystemu, oraz by pozwoliæ administratorom zabezpieczeñ na przegl¹danieinformacji i zarz¹dzanie ryzykiem zabezpieczeñ dla ca³ego œrodowiskasystemowego lub jego podzbioru
[ Pobierz całość w formacie PDF ]