Методы и средства защиты информации. Криптография

Рис. 5. Ограничение доступа  по IP- адресам

• схемы шифрования. Чтобы обеспечить безопасность пакетов во время их пересылки по сети, приходится применять различные схемы шифрования. Необходимость в такой защите вызвана тем, что при пересылке пакетов по сети не исключен перехват кадров. Большинство схем шифрования работает внутри прикладного и транспортного уровня модели OSI. Некоторые схемы могут работать и на более низких уровнях. Используются такие протоколы, как: SSL, PCT, SET, PPTP, PGP.

Аудит

Аудит — одно из средств защиты сети Windows NT. С его помощью можно отслеживать действия пользователей и ряд системных событий в сети. Фиксируются следующие параметры, касающиеся действий, совершаемых пользователями:

• выполненное действие;
• имя пользователя, выполнившего действие;
• дата и время выполнения.

Аудит, реализованный на одном контроллере  домена, распространяется на все контроллеры  домена. Настройка аудита позволяет  выбрать типы событий, подлежащих регистрации, и определить, какие именно параметры  будут регистрироваться.

В сетях с минимальным требованиям к безопасности подвергайте аудиту:

• успешное использование ресурсов, только в том случае, если эта информация вам необходима для планирования;
• успешное использование важной и конфиденциальной информации.
• В сетях со средними требованиями к безопасности подвергайте аудиту:
• успешное использование важных ресурсов;
• удачные и неудачные попытки изменения стратегии безопасности и административной политики;
• успешное использование важной и конфиденциальной информации.
• В сетях с высокими требованиями к безопасности подвергайте аудиту:
• удачные и неудачные попытки регистрации пользователей;
• удачное и неудачное использование любых ресурсов;
• удачные и неудачные попытки изменения стратегии безопасности и административной политики.

Аудит приводит к дополнительной нагрузке на систему, поэтому регистрируйте  лишь события, действительно представляющие интерес.

Windows NT записывает события в три журнала:

• Системный журнал (system log) содержит сообщения об ошибках, предупреждения и другую информацию, исходящую от операционной системы и компонентов сторонних производителей. Список событий, регистрируемых в этом журнале, предопределен операционной системой и компонентами сторонних производителей и не может быть изменен пользователем. Журнал находится в файле Sysevent.evt.
• Журнал безопасности (Security Log) содержит информацию об успешных и неудачных попытках выполнения действий, регистрируемых средствами аудита. События, регистрируемые в этом журнале, определяются заданной вами стратегией аудита. Журнал находится в файле Secevent.evt.
• Журнал приложений (Application Log) содержит сообщения об ошибках, предупреждения и другую информацию, выдаваемую различными приложениями. Список событий, регистрируемых в этом журнале, определяется разработчиками приложений. Журнал находится в файле Appevent.evt.

Все журналы размещены в папке %Systemroot%\System32\Config.

При выборе событий для проведения аудита следует учитывать возможность  переполнения журнала. Для настройки  журнала используйте диалоговое окно Event Log Settings (рис. 6).

Рис. 6

С помощью этого окна можно управлять:

• размером архивируемых журналов (размер по умолчанию – 512 Кбайт, можно изменить размер от 64 до 4 194 240 Кбайт.);
• методикой замещения устаревших записей журнала;
• Overwrite Events as Need – в случае заполнения журнала при записи новых событий операционная система удаляет самые старые события;
• Overwrite Events Older then X Days – в случае заполнения журнала при записи новых событий удаляются самые события, но только если они старше Х дней, иначе новые события будут проигнорированы;
• Do not Overwrite Events – в случае заполнения журнала новые события не фиксируются. Очистка журнала производится вручную.

Для просмотра информации об ошибках  и предупреждениях, а также об успешных и неудачных запусках задач  используется программа Event Viewer. Организация доступа к журналам описана в табл. 5.

Таблица 5

Журнал	Учетная запись	Разрешение
System Log	System	Read, Write, Clear
	Administrators	Read, Write, Clear
	Server Operators	Read, Clear
	Everyone	Read
Security Log	System	Read, Write, Clear
	Administrators	Read, Clear
Application Log	System	Read, Write, Clear
	Administrators	Read, Write, Clear
	Server Operators	Read, Write, Clear
	Everyone	Read, Write

По умолчанию аудит выключен, и журнал безопасности не ведется.

Первый этап планирования стратегии аудита — выбор подлежащих аудиту событий в диалоговом окне Audit Policy утилиты User Manager for Domains (User Manager) (рис. 7).

Рис. 7

Приведем типы событий, которые  могут регистрироваться:

• Logon and Logoff – регистрация пользователя в системе или выход из нее, а также установка и разрыв сетевого соединения;
• File and Object Access – доступ к папкам, файлам и принтерам, подлежащим аудиту;
• Use of User Rights – использование привилегий пользователей (кроме прав, связанных с входом и выходом из системы);
• User and Group Management – создание, изменение и удаление учётных записей пользователей и групп, а также изменения в ограничениях учётной записи;
• Security Policy Changes — изменения в привилегиях пользователей, стратегии аудита и политике доверительных отношений;
• Restart, Shutdown and System — перезапуск или выключение компьютера пользователем; возникновение ситуации, влияющей на безопасность системы;
• Process Tracking — события, которые вызывают запуск и завершение программ.

Настройка функций аудита описана  в документации по Windows NT. Дополнительно рассмотрим следующие типы аудита:

Аудит базовых объектов. Кроме файлов и папок, принтеров и разделов системного реестра в Windows NT есть базовые объекты, которые рядовому пользователю не видны. Они доступны только разработчикам приложений или драйверов устройств. Для включения аудита этих объектов необходимо разрешить аудит событий типа File and Object Access в диспетчере пользователей и с помощью редактора реестра установить значение параметра:

Ветвь	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Имя	AuditBaseObjects
Тип	REG_DWORDЗначение 1

Аудит привилегий. Среди возможных  прав пользователя существуют некоторые  привилегии, которые в системе  не проверяются даже тогда, когда  аудит на использовании привилегии включен. Эти привилегии приведены  в табл. 6.

Таблица 6

Право	Учётная запись	Описание
Bypass traverse checking	everyone	Возможность получать доступ к файлам и вложенным папкам, даже если у  пользователя нет доступа к родительской папке
Debug programs	administrators	Возможность отладки разных объектов низкого уровня, такие как потоки
Create a token object	no one	Процесс может создать маркер доступа
Replace process level token	no one	Возможность модификации маркера  доступа процесса.
Generate Security Audits	no one	Процесс может генерировать записи
Backup files and directories	administrators and backup operators	Возможность делать резервные копии  файлов и каталогов в обход  разрешений файловой системы
Restore files and directories	administrators and backup operators	Возможность, используя резервную  копию, восстанавливать файлы и  папки в обход разрешений файловой системы.

Для включения аудита данных привилегий необходимо, используя редактор реестра, добавить следующий параметр:

Ветвь	HKEY_LOCAL_MACHINE\System\ CurrentControlSet\Control\Lsa:
Имя	FullPrivilegeAuditing
Тип	REG_BINARY
Значение	1

 

Службы безопасности Windows NT 5.0

Система безопасности Windows NT 5.0 позволяет реализовать все новые подходы к проверке подлинности пользователя и защиты данных. В ее состав входит:

• полное интегрирование с активным каталогом Windows NT 5.0 для обеспечения масштабируемого управления учетными записями в больших доменах с гибким контролем доступа и распределением административных полномочий;
• протокол проверки подлинности Kerberos версии 5 — стандарт безопасности для Internet, реализуемый как основной протокол проверки подлинности входа в сеть;
• проверка подлинности с применением сертификатов, основанных на открытых ключах;
• безопасные сетевые каналы, базирующиеся на стандарте SSL;
• файловая система с шифрованием.

Распределенные службы безопасности Windows NT 5.0 сохраняют сведения об учетных записях в активном каталоге. Достоинства активного каталога:

• Учетные записи пользователей и групп можно распределить по контейнерам — подразделениям (Organization Unit, OU). Домен в рамках иерархического пространства имен может содержать любое количество подразделений. Это позволяет организациям добиться согласования между используемыми в сети именами и структурой предприятия.
• Активный каталог поддерживает гораздо большее количество объектов и с более высокой производительностью, чем реестр. Дерево объединенных доменов Windows NT способно поддерживать существенно более сложные организационные структуры.
• Администрирование учетных записей улучшено благодаря новым графическим средствам управления активным каталогом, а также обращающихся к СОМ- объектам активного каталога сценариям.
• Службы тиражирования каталога поддерживают множественные копии учетных записей. Теперь обновление информации можно выполнить для любой копии учетной записи (не требуется разделения контроллеров домена на главный и резервные). Протокол Light-weight Directory Access Protocol (LDAP) и службы тиражирования обеспечивают механизмы для связи каталога Windows NT 5.0 с другими основанными на Х.500 и LDAP каталогами на предприятии.

Для того чтобы обеспечить совместимость  с существующими клиентами, предоставить более эффективные механизмы  безопасности и сделать возможным  взаимодействие в гетерогенных сетях, в Windows NT поддерживается несколько протоколов безопасности. Архитектура Windows NT не устанавливает ограничений на применение тех или иных протоколов безопасности.

Windows NT 5.0 будет поддерживать:

• протокол проверки подлинности Windows NT LAN Manager (NTLM), используемый в Windows NT 4.0 и в предыдущих версиях Windows NT;
• протокол проверки подлинности Kerberos версии 5, заменяющий NTLM в роли основного протокола для сетевого доступа к ресурсам доменов Windows NT 5.0;
• протокол распределенной проверки подлинности паролей (Distributed Password Authentication, DPA); благодаря DPA пользователь, получивший один пароль при регистрации, может подсоединяться к любому узлу Интернета, обслуживаемому данной организацией;
• протоколы, основанные на открытых ключах и применяемые в основном для связи между программами просмотра и Web-серверами. Стандартом de facto здесь стал протокол Secure Sockets Layer (SSL).

Для единообразного обращения к  различным протоколам разработан новый  интерфейс прикладного программирования Win32 — интерфейс поставщиков поддержки безопасности (Security Support Provider Interface, SSPI). SSPI позволяет изолировать проверку подлинности пользователя, которая может осуществляться по разным протоколам, — от применяющих ее служб и приложений. Интерфейс SSPI представляет собой несколько наборов доступных прикладным программам процедур, выполняющих:

• управление мандатами (Credential Management) работу с информацией о клиенте (пароль, билет и т. д.);
• управление контекстом (Context Management) — создание контекста безопасности клиента;
• поддержку передачи сообщений (Message Support) — проверку целостности переданной информации (работает в рамках контекста безопасности клиента);
• управление пакетами (Package Management) — выбор протокола безопасности.

Протокол проверки подлинности  Kerberos определяет взаимодействие между клиентами и службой проверки подлинности Центром распределения ключей (Key Distribution Center, KDC). Домен Windows NT 5.0 эквивалентен царству Kerberos (Kerberos realm), но будет в этой операционной системе по-прежнему называться доменом. Реализация Kerberos в Windows NT 5.0 основана на документе RFC1510. По сравнению с NTLM у протокола проверки подлинности Kerberos имеются следующие преимущества:

• более быстрое подсоединение клиента к серверу; поскольку сервер для проверки подлинности пользователя не должен связываться с контроллером домена, улучшение масштабируемости компьютерной сети;
• транзитивные доверительные отношения между доменами упрощают администрирование сложной сети.