Міністерство освіти і науки, молоді та спорту України Національний університет «Львівська Політехніка» Розрахункова робота №2 з курсу «Системи технічного захисту інформації» на тему «Інсталяція об’єкта експертизи та конфігурування параметрів безпеки ОС Windows XP Professional SP2» ТЕОРЕТИЧНІ ВІДОМОСТІ В документі розглядається інсталяція та конфігурування параметрів безпеки операційної системи (ОС) Microsoft Windows XP Professional SP2. Рекомендації поширюються на автоматизовані системи (АС) наступних класів [1]: "1"- одномашинний однокористувачевий комплекс; "2"- багатомашинний багатокористувачевий комплекс (наприклад, локальна обчислювальна мережа); "3"- розподілений багатомашинний багатокористувачевий комплекс з необхідністю передачі інформації через незахищене середовище. АС класів 1 та 2 не передбачають доступу комп’ютерів до незахищеного середовища, зокрема, глобальної мережі Інтернет. Параметри конфігурування визначені для протистояння узагальненій сукупності загроз безпеки інформації, які виникають при функціонуванні ОС у складі АС наступних типів за призначенням [1]: 1) АС, які призначені для автоматизації діяльності органів державної влади (тип 1). Основний тип загроз – загрози, що призводять до несанкціонованого ознайомлення з інформацією, тобто порушення конфіденційності. Першочергові вимоги до безпеки АС – забезпечення конфіденційності оброблюваної інформації та персональної відповідальності користувачів за дотриманням режиму секретності; 2) АС, які призначені для автоматизації банківської діяльності (тип 2). Основні загрози для банківської інформації — це в першу чергу загрози порушення цілісності інформації з використанням підробки, відмови від авторства, відмови від одержання або внаслідок порушення технології роботи, а в другу — порушення доступності і конфіденційності; 3) АС, що входять до складу довідково-пошукових систем (тип 3). Основними загрозами для довідково-пошукових систем масового обслуговування є порушення доступності. В зв’язку з цим, до ОС, що входять до складу таких систем, в першу чергу пред’являються вимоги щодо забезпечення доступності. Передбачається використання ОС в складі АС, в яких циркулює несекретна інформація або інформація з категорією „Для службового користування”. При визначенні рекомендованих значень параметрів безпеки за основу бралися керівництва корпорації Microsoft [2-4]. В цих керівництвах містяться рекомендації з налаштування параметрів безпеки ОС Windows XP Professional SP2 в трьох оточеннях: ПК на підприємстві (Enterprise) - робоче середовище на підприємстві складається з домену Microsoft Active Directory на базі ОС Windows 2000 або ОС Windows Server 2003. Для керування клієнтськими комп'ютерами в такому середовищі використовується групова політика яка застосовується до контейнерів, вузлів, доменів і організаційних підрозділів (ОП). Групова політика служить для централізованого керування безпекою робочого середовища; середовище з високим рівнем безпеки (High Security) - високий рівень безпеки середовища забезпечується установкою більш жорстких значень параметрів безпеки для клієнтських комп'ютерів. При цьому функціональні можливості користувачів обмежуються виконанням певних завдань. Доступ можливий тільки до санкціонованих застосувань, служб і компонентів інфраструктури; автономна система (Stand-Alone Environment) - автономне середовище зустрічається в організаціях, комп'ютери яких не можуть бути включеними в домен, або входять в домен під керуванням ОС Windows NT 4.0. При визначенні параметрів безпеки для класів АС 1,2 та 3 пропонується взяти за основу оточення “Середовище з високим рівнем безпеки” (High Security), яке найбільш відповідає 3-му класу АС. Для АС 1-го та 2-го класів ці параметри були змінені у відповідності до вимог, що пред'являються до АС цих класів [1, 5]. При визначенні параметрів безпеки застосовувався принцип максимально можливого виключення потенційно небезпечних служб ОС та мінімізації привілеїв користувачів. Цей принцип забезпечує мінімізацію реалізації потенційних загроз для інформації АС класів 1 та 2. В документі розглядається інсталяція та конфігурування параметрів безпеки операційної системи (ОС) Microsoft Windows XP Professional SP2. Рекомендації поширюються на автоматизовані системи (АС) наступних класів [1]: "1"- одномашинний однокористувачевий комплекс; "2"- багатомашинний багатокористувачевий комплекс (наприклад, локальна обчислювальна мережа); "3"- розподілений багатомашинний багатокористувачевий комплекс з необхідністю передачі інформації через незахищене середовище. АС класів 1 та 2 не передбачають доступу комп’ютерів до незахищеного середовища, зокрема, глобальної мережі Інтернет. Параметри конфігурування визначені для протистояння узагальненій сукупності загроз безпеки інформації, які виникають при функціонуванні ОС у складі АС наступних типів за призначенням [1]: 1) АС, які призначені для автоматизації діяльності органів державної влади (тип 1). Основний тип загроз – загрози, що призводять до несанкціонованого ознайомлення з інформацією, тобто порушення конфіденційності. Першочергові вимоги до безпеки АС – забезпечення конфіденційності оброблюваної інформації та персональної відповідальності користувачів за дотриманням режиму секретності; 2) АС, які призначені для автоматизації банківської діяльності (тип 2). Основні загрози для банківської інформації — це в першу чергу загрози порушення цілісності інформації з використанням підробки, відмови від авторства, відмови від одержання або внаслідок порушення технології роботи, а в другу — порушення доступності і конфіденційності; 3) АС, що входять до складу довідково-пошукових систем (тип 3). Основними загрозами для довідково-пошукових систем масового обслуговування є порушення доступності. В зв’язку з цим, до ОС, що входять до складу таких систем, в першу чергу пред’являються вимоги щодо забезпечення доступності. Передбачається використання ОС в складі АС, в яких циркулює несекретна інформація або інформація з категорією „Для службового користування”. При визначенні рекомендованих значень параметрів безпеки за основу бралися керівництва корпорації Microsoft [2-4]. В цих керівництвах містяться рекомендації з налаштування параметрів безпеки ОС Windows XP Professional SP2 в трьох оточеннях: ПК на підприємстві (Enterprise) - робоче середовище на підприємстві складається з домену Microsoft Active Directory на базі ОС Windows 2000 або ОС Windows Server 2003. Для керування клієнтськими комп'ютерами в такому середовищі використовується групова політика яка застосовується до контейнерів, вузлів, доменів і організаційних підрозділів (ОП). Групова політика служить для централізованого керування безпекою робочого середовища; середовище з високим рівнем безпеки (High Security) - високий рівень безпеки середовища забезпечується установкою більш жорстких значень параметрів безпеки для клієнтських комп'ютерів. При цьому функціональні можливості користувачів обмежуються виконанням певних завдань. Доступ можливий тільки до санкціонованих застосувань, служб і компонентів інфраструктури; автономна система (Stand-Alone Environment) - автономне середовище зустрічається в організаціях, комп'ютери яких не можуть бути включеними в домен, або входять в домен під керуванням ОС Windows NT 4.0. При визначенні параметрів безпеки для класів АС 1,2 та 3 пропонується взяти за основу оточення “Середовище з високим рівнем безпеки” (High Security), яке найбільш відповідає 3-му класу АС. Для АС 1-го та 2-го класів ці параметри були змінені у відповідності до вимог, що пред'являються до АС цих класів [1, 5]. При визначенні параметрів безпеки застосовувався принцип максимально можливого виключення потенційно небезпечних служб ОС та мінімізації привілеїв користувачів. Цей принцип забезпечує мінімізацію реалізації потенційних загроз для інформації АС класів 1 та 2. ХІД РОБОТИ Конфігуруємо нашу ОС згідно 3 пункту Експертизи WXP_SP2, відповідно до рекомендацій для АС третього типу. 3.1 Політика облікових записів (Политика учетных записей) 3.1.1 Політика паролів (Политика паролей) / 3.1.2 Політика блокування облікового запису (Политика блокировки учетной записи) / 3.2 Параметри локальної політики (Параметры локальной политики) 3.2.1 Політика аудиту (Политика аудита) / 3.2.2 Параметри призначення прав користувачів (Параметры назначения прав пользователя) / 3.2.3 Параметри безпеки (Параметры безопасности) / 3.3 Журнал подій (Журнал событий) 3.3.1 Параметри безпеки журналу подій (Параметры безопасности журнала событий) / 3.4 Системні служби (Системные службы) 3.4.1 Параметри налаштування системних служб для комп’ютерів (Параметры настройки системных служб для компьютеров) / 3.5 Налаштування реєстру (Настройка реестра) 3.5.1 Параметри налаштування реєстру (Параметры настройки реестра) / 3.6 Файлова система (Файловая система) 3.6.1. Параметри безпеки файлової системи (Параметры безопасности файловой системы) / 3.7 Адміністративні шаблони ОС Windows XP (Административные шаблоны ОС Windows XP) 3.7.1 Параметри комп’ютера для NetMeeting (Параметры компьютера для NetMeeting) / 3.7.2 Параметри комп’ютера для Internet Explorer (Параметры компьютера для Internet Explorer) 3.7.2.1 Параметри комп’ютера у вузлі Internet Explorer (Параметры компьютера в узле Internet Explorer) / 3.7.2.3 Параметри комп’ютера у вузлі Internet Explorer\Засоби безпеки\Обмеження безпеки для MK-протокола (Параметры компьютера в узле Internet Explorer\Средства безопасности\Ограничение безопасности для МК-протокола) / 3.7.3 Параметри комп’ютера для служби терміналів (Параметры компьютера для службы терминалов) 3.7.3.1 Параметри комп’ютера у вузлі Служби терміналів (Параметры компьютера в узле службы терминалов) / 3.8 Політика обмеженого використання програм (Политика ограниченного использования программ) 3.8.1 Рекомендації до правил для шляхів (Рекомендации к правилам для путей) 3.8.2 Додаткові правила (Дополнительные правила) / 3.8.3 Обмеження для файлів та користувачів (Ограничения для файлов и пользователей) / 3.8.4 Призначені типи файлів (Назначенные типы файлов) / 3.8.5 Довірені видавці (Доверенные издатели) /