|
|
БИТиС ЛР1. ЛР1. Основные сведения
Цель – изучить и научиться настраивать локальные политики безопасности на автономном автоматизированном рабочем месте (АРМ) пользователя с установленной на нем операционной системой Windows для защиты информации от несанкционированного доступа (НСД).
Основные сведения.
Локальная политика безопасности АРМ – это параметры безопасности операционной системы Windows и системы защиты информации от несанкционированного доступа, которые обеспечивают безопасность АРМ в соответствии с требованиями политики информационной безопасности автоматизированной системы предприятия. Для настройки локальной политики безопасности на автономном АРМ используется «Локальная политика безопасности».
Примечание: в Windows 10 home edition отсутствует редактор локальной групповой политики, он есть только в версиях professional и выше. Для установки редактора необходимо на рабочем столе создать текстовый файл .txt, скопировать в него следующее содержание:
@echo off
dir /b C:\Windows\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package3*.mum >find-gpedit.txt
dir /b C:\Windows\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package
3*.mum >>find-gpedit.txt
echo Ustanovka gpedit.msc
for /f %%i in ('findstr /i . find-gpedit.txt 2^>nul') do dism /online /norestart /add-package:"C:\Windows\servicing\Packages\%%i"
echo Gpedit ustanovlen.
pause
Затем сохранить его с расширением .bat и запустить от имени администратора. После установки можно пользоваться редактором.
Источник: https://remontka.pro/cannot-find-gpedit-msc/
Управление встроенными учетными записями.
Допустим, к данному АРМ необходимо предоставить доступ людям, не являющимся сотрудниками компании, но имеющим на это необходимость. Для этого в Windows имеется соответствующая гостевая учетная запись «Гость». Название данной учетной записи можно изменить.
Выполняем последовательность действий:
Нажимаем Win-R → в появившемся окне пишем secpol.msc → нажимаем Enter:
Далее идем по пути: Локальные политики → Параметры безопасности. Кликаем на «Учетные записи: Переименование учетной записи гостя» и в появившемся окне меняем имя на «Гостевая запись»:
Нажимаем «OK» и перезагружаем компьютер. После перезагрузки опять заходим в Локальные политики → Параметры безопасности и напротив «Учетные записи: Переименование учетной записи гостя» видим, что изменение успешно сохранилось:
По умолчанию гостевая запись отключена. При необходимости ее можно включить, но желательно переименовать для большей защищенности АРМ от НСД.
Управление политиками паролей.
Злоумышленники, с целью допуска к информации на АРМ, могут получить к ней доступ через подбор паролей. Для защиты от этого в «Локальной политике безопасности» предусмотрены следующие инструменты:
Перейдем по пути: Локальная политика безопасности → Политики учетных записей → Политика паролей.
1). Вести журнал паролей.
Этот параметр безопасности определяет число новых уникальных паролей, которые должны быть назначены учетной записи пользователя до повторного использования старого пароля. Число паролей должно составлять от 0 до 24.
Эта политика позволяет администраторам улучшать безопасность, гарантируя, что старые пароли не будут повторно использоваться постоянно.
Установим значение 10. Это значит, что пользователю необходимо будет придумать минимум 11 оригинальных паролей.
2). Максимальный срок действия пароля.
Этот параметр безопасности определяет период времени (в днях), в течение которого можно использовать пароль, пока система не потребует от пользователя сменить его. Срок действия пароля может составлять от 1 до 999 дней; значение 0 соответствует неограниченному сроку действия пароля.
Установим значение на 30 дней. Таким образом пользователь обязан менять пароль раз в месяц, а у злоумышленников будет не так много времени для получения пароля.
3). Минимальная длина пароля.
Этот параметр безопасности определяет минимальное количество знаков, которое должно содержаться в пароле пользователя. Максимальное значение для этого параметра зависит от значения параметра "Ослабить ограничение минимальной длины пароля". Если параметр "Ослабить ограничение минимальной длины пароля" не определен, этому параметру можно присвоить значение от 0 до 14. Если параметр "Ослабить ограничение минимальной длины пароля" определен и отключен, этому параметру можно присвоить значение от 0 до 14. Если параметр "Ослабить ограничение минимальной длины пароля" определен и включен, этому параметру можно присвоить значение от 0 до 128. Если присвоить этому параметру значение 0, пароль не требуется.
Установим значение на 6:
Таким образом при смене пароля пользователю необходимо ввести минимум 6 символов.
4). Минимальный срок действия пароля.
Данная настройка работает вкупе с максимальным сроком действия пароля.
Этот параметр безопасности определяет период времени (в днях), в течение которого необходимо использовать пароль, прежде чем пользователь сможет его изменить. Можно установить значение от 1 до 998 дней либо разрешить изменять пароль сразу, установив значение 0 дней. Минимальный срок действия пароля должен быть меньше максимального, кроме случая, когда максимальный срок равен 0 дней и, следовательно, срок действия пароля никогда не истечет. Если максимальный срок действия пароля равен 0 дней, то минимальный срок может принимать любые значения в диапазоне от 0 до 998 дней.
Если установить минимальное значение, то пользователь будет вынужден менять пароли слишком часто, что приведет к неудачным попыткам входа и пользователь просто-напросто не запомнит столько информации. Также это приведет к тому, что пользователь будет хранить пароли не в голове, а в блокноте, в заметках телефона, на стикерах возле АРМ, в свою очередь это будет шанс для злоумышленника завладеть им. С другой стороны если будет установлено большое значение, то у злоумышленника будет больше времени на определение пароля.
Установим время, равное 20 календарным дням:
5). Пароль должен отвечать требованиям сложности.
Этот параметр безопасности определяет, должен ли пароль отвечать требованиям сложности. Если эта политика включена, пароли должны удовлетворять следующим минимальным требованиям:
- Не содержать имени учетной записи пользователя или частей полного имени пользователя длиной более двух рядом стоящих знаков
- Иметь длину не менее 6 знаков
- Содержать знаки трех из четырех перечисленных ниже категорий:
- Латинские заглавные буквы (от A до Z)
- Латинские строчные буквы (от a до z)
- Цифры (от 0 до 9)
- Отличающиеся от букв и цифр знаки (например, !, $, #, %)
Требования сложности применяются при создании или изменении пароля.
Данная политика является наиболее важной, так как рядовой пользователь не будет по своей воле придумывать хороший пароль, ограничится именем домашнего животного, детей, даты рождения и т.д., что выяснить злоумышленнику не составит никакого труда.
Включаем политику:
6). Хранить пароли, используя обратимое шифрование.
Этот параметр безопасности определяет, используется ли операционной системой для хранения паролей обратимое шифрование.
Эта политика обеспечивает поддержку приложений, использующих протоколы, требующие знание пароля пользователя для проверки подлинности. Хранение паролей с помощью обратимого шифрования - по существу то же самое, что и хранение паролей открытым текстом. По этой причине данная политика не должна применяться, пока требования приложения не станут более весомыми, чем требования по защите паролей.
Эта политика необходима при использовании проверки подлинности протокола CHAP через удаленный доступ или службу проверки подлинности в Интернете (IAS). Она также необходима при использовании краткой проверки подлинности в IIS.
Включать данную политику мы не будем, так как это существенно понизит безопасность нашего АРМ.
Политики блокировки учетной записи.
Даже после создания сложного пароля и правильной настройки политик безопасности, учётные записи пользователей всё ещё могут быть подвергнуты атакам недоброжелателей. Злоумышленник может быть сотрудником той же компании и иметь неограниченные возможности для попыток входа в чужую учетную запись. Для решения данной проблемы можно настроить политику блокировки учетной записи так, что после определенного количества неудачных попыток входа учетная запись блокируется.
Перейдем по пути: Локальная политика безопасности → Политики учетных записей → Политика блокировки учетной записи:
1). Время до сброса счетчика блокировки.
Этот параметр безопасности определяет количество минут, которые должны пройти после неудачной попытки входа в систему до того, как счетчик неудачных попыток входа будет сброшен до 0. Допустимые значения: от 1 до 99999 минут. Если определено пороговое значение блокировки учетной записи, то время сброса должно быть меньше или равно длительности блокировки учетной записи.
По умолчанию: Не задано, т.к. этот параметр политики принимает значения, только если задано пороговое значение блокировки учетной записи. Поэтому сначала зададим пороговое значение блокировки учетной записи:
После этого задаем время до сброса счетчика блокировки:
То-есть после 10 неудачных попыток входа счетчик блокировки обнулится через 60 минут.
2). Пороговое значение блокировки.
Этот параметр безопасности определяет количество неудачных попыток входа в систему, приводящее к блокировке учетной записи пользователя. Заблокированная учетная запись не может использоваться до тех пор, пока не будет сброшена администратором, либо пока не истечет период блокировки этой учетной записи. Количество неудачных попыток входа в систему может составлять от 0 до 999. Если установить это значение равным 0, то учетная запись никогда не будет разблокирована.
Неудачные попытки ввода паролей на рабочих станциях или серверах-членах домена, заблокированных с помощью клавиш CTRL+ALT+DELETE или с помощью защищенных паролем заставок, считаются неудачными попытками входа в систему.
Установка данной политики – см. п. 2).
3). Продолжительность блокировки учетной записи.
Этот параметр безопасности определяет количество минут, в течение которых учетная запись остается заблокированной до ее автоматической разблокировки. Допустимые значения: от 0 до 99999 минут. Если продолжительность блокировки учетной записи равна 0, то учетная запись будет заблокирована до тех пор, пока администратор не разблокирует ее.Если определено пороговое значение блокировки учетной записи, то длительность блокировки учетной записи должна быть больше или равна времени сброса.
По умолчанию: Не задано, т.к. этот параметр политики принимает значения, только если определено пороговое значение блокировки учетной записи.
Установим значение политики на 60 минут:
Политика аудита.
Если злоумышленник является сотрудником компании, он может пытаться получить доступ к закрытой информации для нанесения ущерба, промышленного шпионажа и т.д. Для дополнительной защиты и с целью выявления недоброжелателей необходимо настроить политики аудита.
Перейдем по пути: Локальная политика безопасности → Локальные политики → Политика аудита:
1). Аудит входа в систему.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит каждой попытки входа пользователя в систему или выхода из нее на данном компьютере. События выхода из системы создаются каждый раз, когда завершается сеанс учетной записи пользователя в системе. Если этот параметр политики задан, то администратор может указать, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Выберем оба пункта, так как если злоумышленник уже знает пароль, то мы увидим, когда он выполнил вход в учетную запись, а там можно уже и обратиться в службу безопасности для выявления нарушителя, допустим по камерам.
2). Аудит доступа к объектам.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит попыток доступа пользователей к объектам, не относящимся к Active Directory. Аудит выполняется только для объектов, для которых указаны системные списки управления доступом, при условии, что запрашиваемый тип доступа (например, "Запись", "Чтение" и "Изменение") и учетная запись, выполняющая запрос, соответствуют параметрам в таких списках. Администратор может задать только аудит успешных попыток, только аудит неудачных попыток, аудит успешных и неудачных попыток либо совсем отключить аудит этих событий (как успешных, так и неудачных попыток).
Если включен аудит успешных попыток, запись аудита создается при каждой успешной попытке доступа учетной записи к объекту, который не относится к Active Directory и для которого задан соответствующий системный список управления доступом.
Если включен аудит неудачных попыток, запись аудита создается при каждой неудачной попытке доступа учетной записи к объекту, который не относится к Active Directory и для которого задан соответствующий системный список управления доступом.
Выберем оба пункта, так как если злоумышленник получит доступ к объекту, то мы увидим, когда это произошло, а там можно уже и обратиться в службу безопасности для выявления нарушителя, допустим по камерам.
3). Аудит доступа к службе каталогов.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит попыток доступа пользователей к объектам Active Directory. Аудит выполняется только для объектов, для которых указан системный список управления доступом, при условии, что запрашиваемый тип доступа (например, "Запись", "Чтение" или "Изменение") и учетная запись, выполняющая запрос, соответствуют параметрам в данном списке. Администратор может указать, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Если включен аудит успешных попыток, то запись аудита создается при каждой успешной попытке доступа учетной записи к объекту Active Directory с соответствующим системным списком управления доступом.
Если включен аудит неудачных попыток, то запись аудита создается при каждой неудачной попытке доступа учетной записи к объекту Active Directory с соответствующим системным списком управления доступом.
Выберем оба пункта, так как если злоумышленник получит доступ к объекту, то мы увидим, когда это произошло, а там можно уже и обратиться в службу безопасности для выявления нарушителя, допустим по камерам.
4). Аудит изменения политики.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит каждой попытки изменения политики назначения прав пользователей, политики аудита, политики учетных записей или политики доверия. Администратор может определить, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Если включен аудит успешных попыток, запись аудита создается при каждой успешной попытке изменения политики назначения прав пользователей, политики аудита, политики учетных записей или политики доверия.
Если включен аудит неудачных попыток, запись аудита создается при каждой попытке изменения политики назначения прав пользователей, политики аудита, политики учетных записей или политики доверия с помощью учетной записи, не имеющей разрешения на такие изменения политик.
Выберем оба пункта, поскольку потенциальные последствия несанкционированного изменения политик влекут за собой возможности злоумышленника к изменения личной информации, а также к повышению прав пользователя.
5). Аудит использования привилегий.
Этот параметр безопасности определяет, будет ли выполняться аудит каждого случая применения прав пользователя.
Определяя этот параметр политики, можно задать только аудит успешных попыток, только аудит неудачных попыток либо совсем отключить аудит этих событий (как успешных, так и неудачных попыток). Если включен аудит успешных попыток, запись аудита создается при каждой успешной попытке применения прав пользователя. Если включен аудит неудачных попыток, запись аудита создается при каждой неудачной попытке применения прав пользователя.
Выберем оба пункта. Причиной этому послужили потенциальные последствия несанкционированного изменения привилегий, например, приложение, обладающее большими полномочиями, чем предполагалось системным администратором, может совершать неавторизированные действия.
6). Аудит отслеживания процессов.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит связанных с процессами событий, таких как создание процесса, завершение процесса, обработка дублирований, а также непрямой доступ к объектам.
Если этот параметр политики определен, администратор может определить, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Если включен аудит успешных попыток, запись аудита создается каждый раз, когда операционная система успешно выполняет какое-либо из этих действий, связанных с процессами.
Если включен аудит неудачных попыток, запись аудита создается каждый раз, когда операционная система не может выполнить какое-либо из этих действий.
Выберем оба пункта, так как если злоумышленник получит непрямой доступ к объекту или будет манипулировать с процессами, то мы увидим, когда это произошло, а там можно уже и обратиться в службу безопасности для выявления нарушителя, допустим по камерам.
7). Аудит системных событий.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит следующих событий.
• Попытка изменения системного времени
• Попытка запуска или отключения системы безопасности
• Попытка загрузки компонентов расширяемой проверки подлинности
• Потеря отслеженных событий из-за сбоя системы аудита
• Размер журнала безопасности превысил настраиваемый уровень порогового значения предупреждений
Если определен этот параметр политики, администратор может определить, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Если включен аудит успешных попыток, создается запись аудита при каждом успешном выполнении операционной системой какого-либо из этих действий.
Если включен аудит неудачных попыток, создается запись аудита при каждой неудачной попытке выполнения операционной системой какого-либо из этих действий.
Выберем оба пункта, так как данная политика существенно помогает в поиске нарушителей, проблем и неполадок.
8). Аудит событий входа в систему.
Этот параметр безопасности определяет, будет ли операционная система выполнять аудит каждый раз, когда на компьютере выполняется проверка учетных данных.
События входа в учетную запись создаются при проверке доверенным компьютером учетных данных какой-либо учетной записи. Члены домена и компьютеры, не входящие в домен, являются доверенными для своих локальных учетных записей; все контроллеры домена являются доверенными для учетных записей в домене. Проверка учетных данных может выполняться при локальном входе или, в случае учетной записи в домене Active Directory на контроллере домена, при входе на другом компьютере. Состояние проверки учетных данных не отслеживается, поэтому для событий входа в учетную запись нет соответствующего события выхода.
Если данный параметр политики задан, то администратор может определить, какие события подлежат аудиту: только успешные попытки, только неудачные попытки, успешные и неудачные попытки, никакие попытки (т. е. аудит данного типа событий будет отключен).
Выберем оба пункта, так как данная политика помогает в поиске нарушителей, проблем и неполадок.
9). Аудит управления учетными записями.
Этот параметр безопасности определяет, необходимо ли выполнять аудит каждого события управления учетными записями на компьютере. Далее указаны примеры событий управления учетными записями.
• Учетная запись пользователя либо группа создана, изменена или удалена.
• Учетная запись пользователя переименована, отключена или включена.
• Пароль установлен или изменен.
При определении данного параметра политики можно указать, какие события подлежат аудиту: успешные, неудачные или никакие (т. е. аудит для данного типа событий не выполняется). При аудите успешных попыток создается запись аудита, когда любое событие управления учетными записями завершается успешно. При аудите неудачных попыток создается запись аудита, когда любое событие управления учетными записями завершается сбоем. Чтобы отключить аудит, в диалоговом окне свойств этого параметра политики выберите флажок "Задать эти параметры политики" и снимите флажки "Успешные" и "Неудачные".
Выберем оба пункта, так как данная политика существенно помогает в поиске нарушителей, проблем и неполадок.
Политика назначения прав пользователей.
Всем пользователям должны быть назначены конкретные права в соответствии с его должностью на предприятии. Однако, даже у обычного пользователя может быть достаточно привилегий для нанесения ущерба. Для решения подобных проблем помогают локальные политики безопасности «Назначения прав пользователя». При помощи них можно определять для каких пользователей или групп пользователей предоставлены права и привилегии для выполнения их должностных обязанностей, что существенно повышает безопасность системы. Для назначения прав доступны 44 политики безопасности. Рассмотрим три наиболее актуальных.
1). Изменение системного времени.
Это право пользователя определяет, какие пользователи и группы могут изменять время и дату внутренних часов компьютера. Пользователи с данным правом могут влиять на вид журналов событий. Если системное время было изменено, записи отслеженных событий отразят новое время, а не действительное время совершения событий.
Так как изменение системного времени может серьезно повлиять на работоспособность системы, то в этом списке не должно быть лишних групп.
2). Завершение работы системы.
Этот параметр безопасности определяет пользователей, которые после локального входа в систему могут завершить работу операционной системы при помощи команды "Завершить работу". Неправильное применение этого права пользователя может стать причиной отказа в обслуживании.
Так как завершение работы системы может серьезно повлиять на работоспособность системы, то удалим все группы пользователей, кроме группы «Администраторы» из списка тех групп, которые могут выполнять данное действие.
3). Разрешить вход в систему через службу удаленных рабочих столов.
Этот параметр безопасности определяет, у каких пользователей или групп есть разрешение на вход в систему в качестве клиента служб удаленных рабочих столов.
Так как вход в систему через службу удаленных рабочих столов является операцией, которая может серьезно повлиять на работоспособность и безопасность системы, то удалим лишние группы, оставив только администраторов.
Журналы событий Windows.
В Microsoft Windows событие (event) – это любое происшествие в операционной системе, которое записывается в журнал или требует уведомления пользователей или администраторов. Это может быть служба, которая не хочет запускаться, установка устройства или ошибка в работе приложения. События регистрируются и сохраняются в журналах событий Windows и предоставляют важные хронологические сведения, помогающие вести мониторинг системы, поддерживать ее безопасность, устранять ошибки и выполнять диагностику. Необходимо регулярно анализировать информацию, содержащуюся в этих журналах. Вам следует регулярно следить за журналами событий и настраивать операционную систему на сохранение важных системных событий. В том случае, если вы администратор серверов Windows, то необходимо следить за безопасностью их систем, нормальной работой приложений и сервисов, а также проверять сервер на наличие ошибок, способных ухудшить производительность. Если вы пользователь персонального компьютера, то вам следует убедиться в том, 15 что вам доступны соответствующие журналы, необходимые для поддержки своей системы и устранения ошибок. По умолчанию в операционной системе определен перечень событий, которые фиксируются в журналах. Дополнительно степень детализации событий определяется настройками политики аудита.
При поиске нарушителя проводится анализ его действий на АРМ, путем просмотра журнала событий. Чем больше размер журнала, тем за больший отрезок времени можно проанализировать данные активности недоброжелателя и тем больше информации можно записать.
По умолчанию в ОС Windows определён перечень событий, которые фиксируются в журналах. Дополнительно степень детализации событий определяется настройками политики аудита.
Для открытия «Просмотра событий» выполняем следующие действия: Win+R → вводим eventvwr.msc → жмем «OK».
Стандартный набор включает 3 журнала:
Приложение – хранит важные события, связанные с конкретным приложением. Например, почтовый сервер сохраняет события, относящиеся к пересылке почты, в том числе события информационного хранилища, почтовых ящиков и запущенных служб.
Безопасность – хранит события, связанные с безопасностью, такие как вход/выход из системы, использование привилегий и обращение к ресурсам.
Система – хранит события операционной системы или ее компонентов, например, неудачи при запусках служб или инициализации драйверов, общесистемные сообщения и прочие сообщения, относящиеся к системе в целом.
Желательно почаще просматривать журналы событий «Приложение» и «Система» и изучать существующие проблемы и предупреждения, которые могут предвещать о проблемах в будущем. Для каждого журнала можно настроить его свойства. Для этого нужно выбрать журнал событий, а затем выбрать команду «Свойства» из меню «Действие» или из контекстного меню выбранного журнала.
В поле «Максимальный размер журнала (КБ)» установить требуемое значение при помощи счётчика или установить вручную без использования счётчика. В этом случае значение будет округлено до ближайшего числа, кратного 64 КБ, так как размер файла журнала должен быть кратен 64 КБ и не может быть меньше 1024 КБ. По умолчанию максимальный размер журнала 512 КБ.
Зададим максимальный размер журнала 20480 КБ.
События сохраняются в файле журнала, размер которого может увеличиваться только до заданного максимального значения. После достижения файлом максимального размера, обработка поступающих событий будет определяться политикой хранения журналов:
• По умолчанию установлено – переписывать события при необходимости (сначала старые события) – в этом случае новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое;
• Архивировать журнал при заполнении; не перезаписывать события – в этом случае журнал архивируется, события не перезаписываются;
• Не переписывать события (очистить журнал вручную) – в этом случае журнал очищается вручную, а не автоматически.
Так как в настраиваемом АРМ записей в журнале событий будет много, потому что АРМ может иметь как множество пользователей, так и множество приложений, - оставим вариант «по-умолчанию».
Вывод. В результате лабораторной работы была произведена настройка локальных политик безопасности АРМ с установленной ОС Windows 10 и расположенного в «открытом» контуре. Обоснование выбора и настройки параметров локальных политик безопасности базируются на требованиях к защите АРМ от НСД в «открытом» контуре. |
|
|
Скачать 0.65 Mb.