Microsoft Windows — самая популярная операционная система в мире, поэтому большинство атак направлены именно на нее. В Windows 10 разработчики заложили значительный защитный потенциал, начиная с Защитника Windows и заканчивая групповыми политиками, BitLocker и Virtualization-Based Security — их нужно только грамотно настроить.
- Введение
- Безопасность Windows 7 и Windows 10
- Защита от бесфайловой атаки
- Виртуализация Windows 10
- Защита данных от утечки
- Выводы
Введение
Защита Windows 10 устроена интересным образом и делится на 3 больших параметра:
- Управление идентификацией и доступом
- Защита от угроз
- Защита информации
Если полностью описать весь набор правил, настроек и функций безопасности Windows 10, то придется написать книгу. Даже если детально присмотреться к пункту «Защита от угроз» в локальной политике, то сразу станет понятно, что все не так просто. Существует масса ключевых моментов при настройке как «Защитника Windows», так и всех его ответвлений. Поэтому придется коснуться частных случаев целевых атак, и показать опции и функции, которые нам любезно предоставили разработчики Windows 10, чтобы помочь сохранить время, деньги и нервы в подобных случаях.
Безопасность Windows 7 и Windows 10
На момент выпуска Windows 7, а это 2009 год, защита была построена таким образом, какого требовало время выпуска данной операционной системы и обстоятельства атак. На момент написания статьи она еще получает пакеты обновления, в которые входят заплатки для уязвимостей, патчи и т. д. Кардинально она уже не меняется, и новых функций не добавляется. А 14 января 2020 года, как заявляет Microsoft, поддержка этой операционной системы вовсе закончится. И, как бы многим ни было трудно принимать сей факт, — Windows 7 является устаревшим продуктом.
В отношении Windows 10 подход с обновлениями изменился — каждый год выпускается новый релиз. Другими словами, каждые полгода с обновлениями устанавливаются не только исправления ошибок кода и патчи, но также обновляются и добавляются новые функции безопасности.
Если сравнивать разницу защищенности Windows 7 и 10, то встроенный антивирус в «десятке» — это не весь спектр защиты. Возьмем, к примеру, хранение учетных данных в памяти этих операционных систем, и сравним.
На практике делается это очень просто: есть масса программ, которые смогут сделать дамп памяти, к примеру Mimicatz.
Открываем его в командной строке от имени администратора на обеих операционных системах и вводим последовательность команд:
mimikatz # privilege::debug
mimikatz # sekurlsa::logonPasswords full
Рисунок 1. Работа программы Mimikatz
Данной утилитой мы атакуем процесс lsass.exe, который хранит учетные данные пользователей. Получаем пароль пользователя Windows 7 в открытом виде, а Windows 10 — только NTLM-хеш пароля. К сравнению: пароли на более новой операционной системе не хранятся в открытом виде. Отсюда следует, что чем новее программное обеспечение, тем оно острее отвечает на атаки. Чем быстрее организации обновляют парк программного обеспечения, тем менее уязвима информационная инфраструктура организации.
Защита от бесфайловой атаки
Хакеры часто применяют для начала атаки спам-кампании. Основаны они на рассылке писем с вредоносными файлами, запуск которых сулит открыть двери в сеть для злоумышленников.
Файлы бывают разных типов и эксплуатируют они разные уязвимости операционных систем. Однако если система под защитой антивируса, скорее всего, вредоносные действия будут заблокированы, а файл удален. Но существуют атаки, которые антивирус не в состоянии блокировать. Например, документы MS Office с вредоносными макросами. Сам документ по своей сути может быть безвреден и подозрительной сигнатуры, и странного поведения в себе не несет. Но макрос может быть написан таким способом, что боевую нагрузку он скачает с удаленного сервера и исполнит на системе. Ни встроенный в Windows 10, ни сторонний антивирус не сможет отреагировать на такую атаку, так как файл был проверен перед запуском, и он лишь исполняет макрос. А вот какие конкретно действия производит код, уже никто не смотрит. Да и бороться антивирусу особо не с чем — остается лишь код в памяти. Такие типы атак называются бесфайловыми или бестелесными (самого исполняемого файла нет), и они являются наиболее опасными при спаме.
Для тех, кто не использует макросы, защититься легче — просто отключить их. Но какие меры предпринять, когда это необходимо использовать? Ведь встает задача различать макросы, которые необходимы, от тех, которые используют атакующие. Для этой цели в Windows 10 разработали Windows Defender Exploit Guard. Это набор функций, который включает в себя:
- защиту от эксплойтов;
- уменьшение поверхности атаки;
- защиту сети;
- контролируемый доступ к папкам.
В документации Microsoft можно найти описание всех функций более подробно.
Важный момент: практически все компоненты зависят от встроенного в Windows 10 антивируса. То есть если установлен сторонний антивирус — то в Windows Defender Exploit Guard возможно будет пользоваться только защитой от эксплойтов. Остальные перечисленные функции будут работать только при включенном Windows Defender!
Для защиты от бесфайловой атаки необходима функция уменьшения поверхности атаки. Она содержит в себе порядка 14 правил. На странице представлены описания правил и их GUID. В данном случае необходимо включить правило «Блокировка создания исполняемого содержимого приложениями Office» с GUID «3B576869-A4EC-4529-8536-B80A7769E899». Это правило блокирует запуск сторонних приложений непосредственно макросом.
Чтобы включить данное правило, необходимо перейти в редактор локальных групповых политик и во вкладке «Конфигурация компьютера» идти по цепочке: Административные шаблоны → Компоненты Windows → Антивирусная программа «Защитник Windows» → Exploit Guard в Защитнике Windows → Сокращение возможных направлений атак. Далее необходимо открыть «Настроить правила сокращения возможных направлений атак».
Включаем функцию, выбрав переключатель «Включено», и нажимаем кнопку «Показать». В открывшемся окне вводим GUID правила и значение. Значения принимают вид:
0 — не работает
1 — блокирует
2 — не блокирует, но записывает логи.
Рисунок 2. Добавление правила в Windows Defender Exploit Guard
Включаем функцию, добавляем правило и пытаемся запустить файл с вредоносным макросом.
Рисунок 3. Оповещение о блокировке вредоносных действий
В этот момент появится уведомление о том, что действия макроса заблокированы. Но если запустить макрос, который, к примеру, посчитает стоимость скидки на товар внутри таблицы, его блокировать Защитник не будет.
Виртуализация Windows 10
В идеале политика защиты информационной безопасности в организации строится так, что ни на одной рабочей станции у пользователей не должно быть прав локального администратора, но на практике это тяжело выполнить. В любом случае на одной-двух станциях обычно бывают такие права. И в примере с Mimikatz было показано, как из дампа процесса lsass.exe можно достать NTLM-хеш пароля пользователя. Им все еще можно воспользоваться. Сложнее, но всё же.
На этом этапе выявляется проблема архитектуры операционной системы Windows. Если у пользователя есть права локального администратора — он может делать все на данной машине. И эту парадигму сломать нельзя, так как на ней строится большинство приложений Windows. Возник вопрос: как защитить какие-то данные, чтобы к ним не мог получить доступ никто, независимо от того, какие у него привилегии, и в то же время оставить локального администратора? В Windows 10 на этот вопрос ответ нашелся в функции Windows 10 Virtualization-Based Security.
Эта функция позволяет запустить виртуальную среду за пределами операционной системы, и внутри этой виртуализации запустить контейнеры с данными. А так как гипервизор к аппаратной части компьютера ближе, чем сама операционная система, то виртуальная среда сама определяет уровень доверия к виртуальным контейнерам.
Рисунок 4. Архитектура Windows 10 Virtualization-Based Security
В итоге ситуация выглядит таким образом: даже если в системе работает локальный администратор, он не может получить доступ к данным в виртуальном контейнере. И лишь только некоторые системные запросы могут отправляться в этот контейнер.
Но в виртуальных контейнерах нельзя хранить все что угодно. В них хранятся специально разрабатываемые так называемые Trustlet. Один из них — это Credential Guard. То есть уже нельзя сделать дамп процесса lsass.exe со всеми учетными данными, которые там есть. Если быть совсем точным: дамп сделать можно, но процесс lsass раздваивается, и та часть, которая хранит в себе «учетки», находится в виртуальном контейнере.
Из минусов данной технологии:
- Пока так защитить можно только доменные учетные данные (если были введены другие учетные данные, то они так и останутся в памяти).
- Необходимо современное оборудование, желательно с крипточипами ТМ 1.2 или 2.0.
- Данную технологию можно запустить только на Windows Enterprise, что требует отдельного лицензирования и довольно дорого.
Переводить всю инфраструктуру на эту технологию нецелесообразно, но на двух-трех рабочих станциях, где используются учетные данные локального администратора, она была бы не лишней.
Чтобы проверить готовность рабочей станции к включению данного программного обеспечения, а также для самого включения можно скачать Device Guard and Credential Guard hardware readiness tool с официального сайта Microsoft. Это программное обеспечение представляет собой скрипт PowerShell. Обычный его запуск проверит на пригодность машины, а ключи «-Eneble -CG» запустят Windows Credential Guard с Windows 10 Virtualization-Based Security.
Рисунок 5. Проверка готовности системы к запуску виртуализации
После запуска и перезагрузки в диспетчере задач появится еще один процесс (если компьютер находится в домене): lsalso.exe — это и есть вторая часть lsass.exe, которая хранится в контейнере вместе с учетными данными. Сделать дамп этого процесса невозможно, а в lsass содержится зашифрованный NTLM-хеш, использовать который на практике нереально.
Чтобы убедиться, что виртуализация запустилась, необходимо зайти в «Сведения о системе», и напротив пункта «Безопасность на основе виртуализации: настроенные службы» должно быть значение Credential Guard.
Рисунок 6. Запущенная служба виртуализации
Защита данных от утечки
В рамках определенного сценария есть предположение, что пользователь случайно (или нет) может передавать информацию третьим лицам. Эти данные могут быть очень ценными, и от них может зависеть репутация или работа компании.
Также не исключены ситуации, когда носитель информации был утерян, или к устройству был получен несанкционированный доступ. В таких случаях получение данных с устройств — это лишь вопрос времени, причем очень короткого.
К примеру, можно взять ситуацию, когда злоумышленник получает доступ к рабочей станции. Достаточно загрузиться с загрузочного носителя, и через командную строку (вызывается сочетанием клавиш Shift+F10) мы получаем полный доступ к данным на жестком диске: можем их копировать и удалять.
Чтобы избежать такой ситуации и оградить хакера от информации на диске, в Windows 10 было разработано шифрование данных функцией BitLocker, правда, работает она только на Windows 10 версий Pro, Enterprise и Education.
Чтобы включить шифрование диска, необходимо в групповых политиках пройти по цепочке Конфигурация Компьютера > Административные шаблоны > Компонент Windows и выбрать «Диски операционной системы». Далее выбираем «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске».
В новом окне выберите пункт «Включено», поставьте галочку напротив «Разрешить использование BitLocker без совместимого доверенного платформенного модуля» и нажмите OK.
Рисунок 7. Изменение групповых политик для включения BitLocker
Теперь открываем «Панель управления» и заходим в раздел «Шифрование диска BitLocker», нажимаем «Включить BitLocker» и следуем инструкциям, появившимся на экране.
После шифрования диска при загрузке придется вводить пароль, который был указан при включении самой функции.
Рисунок 8. BitLocker просит ввести пароль для загрузки ОС
Если не ввести пароль в течение минуты, компьютер автоматически выключится.
Есть пара важных моментов, которые необходимо учесть при шифровании диска:
- Необходимо обзавестись ключами восстановления — на случай, если не удается получить доступ к шифрованному диску. И в рамках компании хранить такие ключи удобнее в Active Directory.
- Необходимо иметь копию данных, которые находятся на зашифрованном диске. Если, к примеру, диск был поврежден физически и из него надо извлечь данные, то нет гарантии, что будет возможность их расшифровать.
Выводы
Разработчики Microsoft провели колоссальную работу в направлении защиты Windows 10. Эта операционная система способна достойно ответить не только на вредоносный exe-файл (встроенный антивирус справляется с вредоносными программами не хуже, чем сторонние антивирусы с громкими именами, жаль только, что обновления баз данных происходит намного реже), но и отразить множество других хитрых атак хакеров.
Как уже косвенно упоминалось, обновление программного обеспечения — неотъемлемое звено в цепи защиты информации организации. К сожалению, зачастую это звено является слабым, наряду с ослабленной бдительностью администраторов и халатностью пользователей.
Исходя из всего сказанного, обновление парка операционных систем до Windows 10 — не просто необходимое, а вынужденное действие, которое должно войти в стратегию защиты информационного пространства любой организации на ближайшее время. Но, как и любое другое программное обеспечение, защита Windows 10 должна осуществляться грамотными специалистами, знающими свое дело.
Выпуск Windows 10 Technical Preview заинтересовал очень многих: число участников программы предварительной оценки Windows недавно достигло 1 млн, и мы получили более 200 000 отзывов. Мы благодарим всех, кто зарегистрировался для участия в программе и отправил нам свои отзывы. Мы хотим, чтобы Windows 10 полностью отвечала потребностям вашего бизнеса, и я с нетерпением жду ее выхода. В своем предыдущем посте я писал, что продолжу рассказывать о ключевых функциях новой ОС. Сегодня я хочу рассказать о безопасности в Windows 10. Этот вопрос был в центре активных обсуждений с пользователями с того самого момента, как было объявлено о выходе Windows 10 Technical Preview. Совершенно естественно, что вопросы безопасности и защиты информации имеют первостепенную важность для компаний.
Сегодня кибератаки на организации происходят повсеместно, а последствия их становятся все более серьезными. Недавно хакеры провели несколько атак на компании из списка Fortune 500. Они использовали украденные имена пользователей и пароли, с помощью которых смогли получить доступ к системам платежных терминалов и данным кредитных карт, которые обрабатывались этими системами. В результате атак были украдены номера миллионов кредитных карт, которые сразу были проданы на черном рынке. Недавно газета New York Times опубликовала статью о киберпреступной организации, которая украла 1,2 млрд. имен пользователей и паролей. Учитывая тот факт, что в мире всего 1,8 млрд. пользователей Интернета, такие данные выглядят устрашающе. Эти преступные организации и государственные структуры некоторых стран — не единственная угроза. Даже ваши собственные добросовестные сотрудники могут быть источником значительного риска, который следует минимизировать. Согласно опубликованному в этом году отчету компании Stroz Friedberg, предоставляющей услуги в области безопасности, 87 % руководителей высшего звена признали, что регулярно отправляют рабочие файлы на личную электронную почту или загружают их в облачную службу хранения данных, а 58 % пользователей признались, что хотя бы раз случайно отправляли конфиденциальную информацию не тому адресату.
В Windows 10 мы уделяем много внимания инструментам защиты от современных угроз безопасности. Мы совершенствуем функции защиты личных данных и информации, контроля доступа и противодействия угрозам. В этом выпуске операционной системы мы сделаем все возможное, чтобы уйти от однофакторных методов аутентификации, таких как пароли. ОС будет включать встроенную в платформу защиту от потери данных, а также ряд функций, которые помогут организациям защититься от вредоносного ПО, закрывая бреши, которые обычно используются для заражения.
Защита учетных данных и управление доступом
Для начала я хочу рассказать о решении, которое реализует очень современный подход к работе с удостоверениями и учетными данными пользователей и представляет собой новое поколение средств защиты учетных записей. Это решение обеспечивает защиту учетных данных пользователей в случае сбоя в системе безопасности центра обработки данных. В случае взлома устройств пользователи будут защищены от кражи данных, а риск кражи учетных данных во время фишинговых атак будет устранен практически полностью. Это решение эффективно и удобно как организациям, так и отдельным пользователям. Оно не сложнее пароля с точки зрения использования, однако обеспечивает безопасность на корпоративном уровне. Это результат работы, целью которой был уход от использования однофакторной идентификации (паролей). Мы считаем, что это решение выведет защиту учетных данных на новый уровень. Оно использует многофакторную защиту (которая до этого времени была представлена только смарт-картами) и интегрировано в операционную систему и в само устройство, поэтому ему не нужны дополнительные аппаратные устройства безопасности.
После регистрации сами устройства становятся одним из двух факторов, необходимых для аутентификации. Вторым фактором является ПИН-код или биометрическая информация, например, отпечаток пальца. С точки зрения безопасности это означает, что теперь злоумышленнику будет недостаточно получить учетные данные пользователя. Он также будет должен получить доступ к физическому устройству пользователя, а это в свою очередь потребует доступа к ПИН-коду или биометрической информации пользователя. Пользователи могут зарегистрировать каждое свое устройство с помощью новых учетных данных, или же они могут зарегистрировать одно устройство, например, свой мобильный телефон, который станет эффективным фактором аутентификации. В результате, имея мобильный телефон под рукой, они смогут получать доступ ко всем своим компьютерам, сетям и веб-службам. В этом случае телефон, используя Bluetooth или Wi-Fi, играет роль удаленной смарт-карты, и обеспечивает двухфакторную аутентификацию как для локального входа, так и для удаленного доступа.
Если посмотреть, как именно реализован этот компонент Windows 10, то ИТ-специалисты и специалисты по безопасности обнаружат, что лежащие в его основе технологии им хорошо знакомы. Учетные данные могут формироваться одним из двух способов. Это может быть пара ключей шифрования (закрытый и открытый ключи), которая сгенерирована Windows. Или это может быть сертификат, предоставленный устройству одной из имеющихся инфраструктур PKI. Благодаря поддержке обоих вариантов Windows 10 будет удобна для организаций, у которых уже имеется своя инфраструктура PKI. В то же время она подойдет для работы с веб-службами и для отдельных пользователей, когда защита учетных данных с помощью PKI не нужна и нецелесообразна. Active Directory, Azure Active Directory и учетные записи Майкрософт будут поддерживать новый формат работы с учетными данными без какой-либо дополнительной конфигурации, а это значит, что индивидуальные пользователи веб-служб Майкрософт смогут быстро уйти от использования паролей. Эта технология специально проектировалась таким образом, чтобы ее можно было использовать на разных платформах, в разных типах инфраструктур и для разных сценариев работы с веб-службами.
Защита учетных записей — это лишь одна составляющая нашего подхода к защите учетных данных. Другая оставляющая — это защита маркеров доступа, которые генерируются, когда ваши пользователи прошли проверку подлинности. Сегодня такие маркеры доступа все чаще становятся объектами атак с использованием технологий передачи хэша, передачи билета и др. Когда злоумышленник получает эти маркеры, он может получить доступ к ресурсам, выдав себя за нужного пользователя, и для этого даже не понадобятся учетные данные. Этот метод часто применяется в сочетании с продолжительными атаками повышенной сложности (APT) — и это еще одна причина, по которой мы очень хотим исключить этот метод атаки из арсенала хакеров. В Windows 10 это станет возможным благодаря архитектурному решению, которое хранит маркеры доступа пользователей внутри безопасного контейнера, работающего по технологии Hyper-V. Решение предотвращает извлечение маркеров из устройств даже в тех случаях, когда само ядро Windows подвергается атаке.
Защита информации
В Windows 10 мы значительного усовершенствовали защиту учетных данных. Защита информации тоже не осталась без внимания. Для начала я хотел бы представить вам некоторые факты, которые помогут понять, на что мы делаем ставку. Технология BitLocker стала ведущей в отрасли технологией защиты данных, находящихся на устройстве. Однако, как только данные покидают устройство, они уже не защищены. Для защиты данных вне устройства мы предлагаем службы управления правами Azure и службы управления правами на доступ к данным (IRM) в Microsoft Office. Однако, чтобы использовать эти службы, пользователь должен их активировать. Это создает некоторую брешь в защите организаций, так как если ваши пользователи самостоятельно не примут упреждающих мер, то они достаточно легко смогут по неосторожности сделать что-то, что приведет к утечке корпоративных данных. В Windows 10 мы решаем эту проблему с помощью компонента по защите от потери данных (DLP), который позволяет отделить корпоративные данные от личных данных пользователей и помогает защитить корпоративные данные за счет помещения их в контейнеры. Мы интегрировали этот функционал в платформу и пользовательский интерфейс, чтобы защиту можно было активировать без перебоев в работе, которые часто возникают при использовании других решений. Вашим пользователям не потребуется переключаться между режимами или приложениями, чтобы защитить корпоративные данные. То есть пользователи смогут обеспечить безопасность данных, не меняя свое привычное поведение. Защита корпоративных данных в Windows 10 включает автоматическое шифрование корпоративных приложений, данных, сообщений электронной почты, содержимого веб-сайтов и другой конфиденциальной информации при ее поступлении из корпоративной сети на устройство пользователя. А когда пользователи создают новое содержимое, наше решение помогает им разграничить корпоративные и личные документы. При необходимости компания может настроить политику, согласно которой все новое содержимое, созданное на устройстве, будет рассматриваться как корпоративное. Также можно настроить дополнительные политики, которые позволят предотвратить копирование данных из корпоративных документов в некорпоративные или во внешние места хранения, например, в социальные сети.
Итак, Windows 10 включает усовершенствованное решение по защите данных для компьютеров. А что насчет мобильных устройств? На платформе Windows Phone можно использовать тот же самый функционал, что и на платформе Windows для компьютеров. Кроме того, обеспечена полная совместимость, чтобы защищаемые документы были доступны с разных платформ. И в заключение темы о защите данных: Windows 10 позволит компаниям с помощью политик определять, каким приложениям разрешено получать доступ к корпоративным данным. По результатам ваших многочисленных отзывов мы несколько усовершенствовали этот функционал и расширили возможности политик, чтобы они отвечали требованиям работы с VPN.
Всем нам требуется доступ к корпоративным приложениям и документам, когда мы находимся в командировке или работаем дома. Организуя для пользователей удаленный доступ, ИТ-специалисты ищут способы снизить риски, связанные с подключением по VPN, особенно в сценариях работы на личных устройствах (BYOD). Windows 10 помогает ИТ-специалистам в этом деле, предоставляя ряд возможностей для управления VPN, начиная с создания постоянного подключения и заканчивая настройкой списка приложений, доступ к которым может быть разрешен по VPN. Благодаря таким спискам ИТ-специалисты смогут определять возможность доступа для конкретных приложений и управлять ими с помощью решений MDM (как для настольных, так и для универсальных приложений). Для администраторов, которым необходим более детальный контроль, мы предусмотрели возможность ограничения доступа по заданным портам или IP-адресам. Эти дополнительные возможности позволят ИТ-специалистам гибко настроить доступ к корпоративным ресурсам с учетом потребностей пользователей и без ущерба для безопасности и управляемости.
Защита от угроз
Windows 10 также предоставляет организациям возможность ограничивать функциональность устройств, что обеспечивает дополнительную защиту от угроз и вредоносного ПО. Зачастую пользователи сами по неосторожности устанавливают вредоносное ПО на свои устройства. Windows 10 решает эту проблему, позволяя настроить на устройствах запуск только доверенных приложений, то есть приложений, подписанных службой подписи Майкрософт. Доступ к службе подписи будет контролироваться посредством процесса проверки, аналогичного процессу контроля публикации приложений независимых поставщиков ПО в Магазине Windows, а функциональность самих устройств будет ограничена изготовителем оборудования. Процедура ограничения функциональности, которую будут использовать изготовители устройств, аналогична той, которую мы используем для устройств на платформе Windows Phone. Организации смогут выбирать, какие приложения считать доверенными: только приложения, подписанные ими самими; приложения, определенным образом подписанные независимыми поставщиками ПО; приложения из Магазина Windows или все вышеперечисленное. В отличие от платформы Windows Phone, доверенные приложения также могут включать классические приложения (Win32). Это означает, что все приложения, которые можно запустить на компьютере с ОС Windows, также могут быть запущены на таких устройствах. В итоге эта возможность ограничения функциональности устройств, доступная в Windows 10, дает организациям эффективный и гибкий инструмент для борьбы с современными угрозами, который можно использовать в большинстве сред.
По теме безопасности мне бы хотелось рассказать еще о многом. И я буду писать в своем блоге о других функциях безопасности по мере того, как они будут включаться в сборки продукта. Читайте мой блог, и вы узнаете о том, что мы делаем, чтобы Windows 10 стала лучшей ОС для организаций. Приглашаю вас также принять участие в программе предварительной оценки Windows 10 Technical Preview и отправить нам свои отзывы о нашей новой ОС, если вы еще не успели это сделать.
Джим Элков (Jim Alkove)
1. Средства защиты от НСД в ОС семейства Windows
Синадский Н.И. 1998-2018
2. Учебные вопросы
• Разграничение доступа средствами NTFS
• Аудит событий безопасности
• Шифрующая ФС
• Хранение парольной информации
• Структура файлов реестра
• Шифрование парольной информации
• Атаки на пароли
• BitLocker drive encryption
3. Семейство ОС Windows NT – 2000 – XP – 7
• Windows NT 3.51
• Windows NT 4.0 Workstation, Server
• Windows 2000 Professional, Server, Advanced Server, …
• Windows XP, 2003 Server
• Windows Vista
• Windows 7, 8, 10, Server 2008, Server 2012
4. Списки доступа
5.
• Список доступа (VAX/VMS, Windows
NT)
– С каждым объектом ассоциируется список
переменной длины, элементы содержат:
• идентификатор субъекта
• права, предоставленные этому субъекту на
данный объект
Файл 1
– Access Control List
User 1
R
User 2
R
User 3
RW
6.
7. Информация о правах доступа (разрешениях)
• Где хранить списки доступа?
– В отдельном общем файле ?
– Внутри каждого файла ?
• Файловая система должна поддерживать
списки доступа
• Файловая система NTFS в ОС Windows
NT -2000
8.
• Небольшой файл в NTFS
Станд. Инф.
DOS атрибуты,
время, …
Имя файла
Дескриптор
защиты
До 255
UNICODE
Список
прав доступа
Access Control
List (ACL)
Данные
Как формировать
ACL?
9. Идентификация пользователей
• У любого пользователя:
– имя пользователя
– уникальный идентификатор
• Идентификатор безопасности – SID
– (Security ID)
10. ACL файла «Файл 1»
Файл 1
User 1
R
User 2
R
User 3
RW
ACL
12278633-1016
R
12278633-1017
R
12278633-1018
RW
11. Дескриптор защиты
• Структура данных, описывающая объект:
– SID владельца объекта
– Дискреционный список контроля доступа
(DACL)
– Системный список контроля доступа
(SACL)
12. Дискреционный список контроля доступа (DACL)
• Discretionary Access Control List (DACL) список, в котором перечислены права
пользователей и групп на доступ к
объекту
• Обычно устанавливает владелец объекта
• Каждый элемент списка — запись
контроля доступа (Access Control Entry,
ACE), которая указывает права
конкретной учетной записи
13. Записи контроля доступа (ACE)
• Три типа записей:
– «доступ запрещен» — отклоняет доступ к
объекту для данного пользователя
– «доступ разрешен»
– «системный аудит»
• Каждая запись содержит (в частности):
– маску, определяющую набор прав на доступ
к объекту и
– идентификатор безопасности, к которой
применяется маска
14. Маска доступа – Access Mask
15. Маркер доступа
• Маркер доступа (access token) структура данных, содержащая
– SID пользователя
– Массив SID групп, к которым принадлежит
пользователь
– Массив прав пользователя
16. Контроль доступа
• Осуществляется монитором
безопасности
• Сравнение информации безопасности в
маркере доступа пользователя с
информацией в дескрипторе
безопасности объекта
• Происходит последовательное сравнение
SID всех записей АСЕ со всеми SID
пользователя из маркера доступа
17.
Дескриптор
безопасности
Объект
Пользователь
U1
Владелец
ACE
Access
Allowed
DACL
ACE
SID U1
SACL
ACE
Read
(RX)
Маркер доступа
……
SID U1
…….
18. Файл $Secure
19. Программа Security Manager
20. Реестр ОС
Ветвь реестра
Файл
HKEY_LOCAL_MACHINE\SYSTEM
HKEY_LOCAL_MACHINE\SAM
HKEY_LOCAL_MACHINE\SECURITY
HKEY_LOCAL_MACHINE\SOFTWARE
HKEY_LOCAL_MACHINE\ HARDWARE
ветвь
• HKEY_USERS\.DEFAULT
• HKEY_CURRENT_USER
system
sam
security
software
Временная
default
NTUSER.DAT
21.
РЕГИСТРАЦИЯ СОБЫТИЙ
БЕЗОПАСНОСТИ
Аудит
Событие безопасности (информационной):
идентифицированное возникновение состояния
ИС, сервиса или сети, указывающее на
• возможное нарушение безопасности
информации,
• или сбой средств защиты информации,
• или ранее неизвестную ситуацию, которая может
быть значимой для безопасности информации
Хранение — не менее трех месяцев
22.
РСБ Определение событий
безопасности
вход (выход), а также попытки входа субъектов
доступа в ИС и загрузки (останова) ОС;
подключение МНИ и вывод информации на МНИ;
запуск (завершение) программ и процессов
(заданий, задач), связанных с обработкой
защищаемой информации;
попытки доступа программных средств к
защищаемым объектам доступа;
попытки удаленного доступа
действия от имени привилегированных учетных
записей (администраторов)
изменение привилегий учетных записей
23.
Состав и содержание информации
о событиях безопасности
тип
дата и время
источник
результат (успешно или неуспешно)
субъект доступа (пользователь и (или) процесс)
Доступ к записям аудита и функциям управления
— только уполномоченным должностным лицам
24. Аудит событий безопасности
• Аудит — регистрация в журнале событий,
которые могут представлять опасность
для ОС
• Аудитор = Администратор
?
25. Требования к аудиту
• Только сама ОС может добавлять записи в
журнал
• Ни один субъект доступа, в т.ч. ОС, не имеет
возможности редактировать отдельные записи
• Только аудиторы могут просматривать журнал
• Только аудиторы могут очищать журнал
• При переполнении журнала ОС аварийно
завершает работу
Журнал — это файл, => может быть
получен доступ в обход ОС
26. Политика аудита
• Совокупность правил, определяющая то,
какие события должны регистрироваться:
– вход/выход пользователей из системы
– изменение списка пользователей
– изменения в политике безопасности
– доступ субъектов к объектам
– использование опасных привилегий
– системные события
– запуск и завершение процессов
27.
28. Адекватная политика аудита
• Регистрируется ровно столько событий,
сколько необходимо
• Рекомендации
– вход и выход пользователей регистрируются
всегда
– доступ субъектов к объектам регистрировать
только в случае обоснованных подозрений
злоупотребления полномочиями
29. Адекватная политика аудита
– регистрировать применение опасных
привилегий
– регистрировать только успешные попытки
внесения изменений в список пользователей
– регистрировать изменения в политике
безопасности
– не регистрировать системные события
– не регистрировать запуск и завершение
процессов, кроме случая обоснованных
подозрений вирусных атак
30. Адекватная политика аудита
31. Журналы аудита
• SecEvent.Evt, SysEvent.Evt и
AppEvent.Evt
• %SystemRoot%\System32\
– config
– Winevt\logs
• Путь к файлам журнала в реестре
– HKLM\SYSTEM\
CurrentControlSet\Services\EventLog
32.
33. Важнейшие коды событий
• 512
Запуск Windows NT
• 513
Завершение работы Windows NT
• 517
Журнал аудита очищен
• 528
Успешная регистрация
• 529
Неудачная регистрация
(неизвестное имя пользователя или
неверный пароль)
• 560
Объект открыт
34. Идентификация пользователей
• по имени учетной записи пользователя
• учетная запись SID
SID S-1-5-21-2113235361-147094754-1228766249-500
35. SID S-1-5-21-2113235361-147094754-1228766249-500 S-1-5-21-2113235361-147094754-1228766249-501
S-1-5-21-2113235361-147094754-1228766249-512
• Относительные идентификаторы (RID) идентификаторы безопасности с
предопределенным последним номером
подразделения (для встроенных учетных
записей)
• Например:
– 500 — admninstrator
– 501 — Guest
– 512 — Domain Admins
36. Учетные записи в файле SAM
37. Параметр F
Смещение
0х00
8
0х08
8
Длина, байт
Описание
Неизвестно
Дата и время последней модификации учетной записи
0х10
8
Неизвестно
0х18
8
Дата и время создания учетной записи
0х20
8
Неизвестно
0х28
8
Дата и время последнего входа в систему
0х30
4
RID пользователя
0х34
4
Неизвестно
0х38
2
Флаги состояния учетной записи
0х3A 6
Неизвестно
0х40
2
Количество ошибок входа в систему
0х42
2
Общее количество входов в систему
0х44
12
Неизвестно, но у пользователей с правами администраторов первый байт всегда 1.
38. Флаги состояния учетной записи
Значение
0x0001
0x0002
0x0004
0x0008
0x0010
0x0020
0x0040
0x0080
0x0100
0x0200
0x0400
Представление
Описание
01 00 Учетная запись отключена
02 00 Требуется указание домашнего каталога
04 00 Запретить смену пароля пользователем
08 00 Неизвестно
10 00 Обычная учетная запись
20 00 Неизвестно
40 00 Глобальная учетная запись
80 00 Локальная учетная запись
00 01 Доверенная запись
00 02 Срок действия пароля не ограничен
00 04 Учетная запись заблокирована
39. Средства анализа данных на NTFS-разделах
• Эмулятор NTFSDOS и NTFSDOSPro
40.
41.
42.
43.
44. Шифрующая файловая система EFS
• Шифрование отдельных файлов
• Шифрование каталогов (входящие файлы
шифруются автоматически)
45. Шифрование с открытым ключом
• Пользователь: открытый и закрытый ключ
• Данные => симметричный алгоритм => ключ
шифрования файла FEK (File Encryption Key),
генерируется случайно
Заголовок
FEK
Данные
46. Шифрование с открытым ключом
• FEK => открытые ключи пользователей =>
список зашифрованных FEK => поле
дешифрованных данных DDF
• FEK => открытые ключи агентов
восстановления => список зашифрованных
FEK => поле восстановления данных DRF
FEK
FEK
Заголовок
агент2
агент1
FEK
польз2
FEK
польз 1
Данные
47. Расположение ключей
• ОС Windows XP
– C:\Documents and Settings\Имя_пользователя \Application Data
• ОС Windows 7
– C:\Users\Appdata\Roaming
• Сертификат открытого ключа
• \Microsoft\SystemCertificates\My\Certificates
• Закрытый ключ пользователя
• \Microsoft\Crypto\RSA \Идентификатор пользователя
• Файл блокировки
• \Microsoft\Protect\ Идентификатор пользователя
48.
49. Дополнительные замечания
• Временный файл efs0.tmp
• Не подлежат шифрованию файлы в
системном каталоге
• Для расшифрования файлов требуется
пароль пользователя, их зашифровавшего
• Утилита AEFSDR
• Создание АВ – cipher /R
50. Хранение парольной информации
51. Аутентификация пользователей
Имя +
• Пароль
Пароль
• Ключевая дискета
• Жетон
• Психобиофизические
характеристики
человека
Мах длина пароля — 14 символов (128)
52. Расположение БД SAM
• Куст реестра SAM в HKEY_LOCAL_MACHINE
• Winnt\System32\Config\sam — текущая база данных
• Winnt\Repair\sam — копия, создается при
выполнении резервного копирования
• ERD — диск аварийного восстановления
53. Хранение парольной информации в БД SAM
• Имя учетной записи
• ID — в открытом виде
• Пароль — в зашифрованном виде:
– Пароль Windows NT
– Пароль LAN Manager
Имя
SID
User1
User2
s-1…-1010
s-1…-1011
NT hash
Lanman
hash
54. Параметр V
0х00 Элемент неизвестного назначения
0х0С Индекс имени пользователя
0х18 Индекс полного имени
……..
0х84 Индекс времени, разрешенного для регистрации
(обычно содержит 168 (0хA8) бит – по одному на каждый час
недели)
0х90 Элемент неизвестного назначения
0х9С Индекс зашифрованного пароля LAN Manager
0хA8 Индекс зашифрованного пароля Windows NT
0хB4 Индекс предыдущего зашифрованного пароля Windows
NT
0хC0 Индекс предыдущего зашифрованного пароля LAN
Manager
55. Шифрование парольной информации
56. Шифрование паролей Windows NT
Пароль
(текстовый)
16 байт
16 байт
зашифрованный
HASH
Хеширование
HASH
Дополнительное
шифрование
OWF -Необратимая функция, RSA MD4
DES: ключ — RID пользователя
57. БД SAM
Имя
SID
NT hash
User1
s-1…-1010
User2
s-1…-1011
16 байт
хэш
16 байт
хэш
Lanman
hash
58. Локальная регистрация
Пароль
16
байт
16
байт
(текстовый)
HASH
HASH
Хеширование
?
16 байт
зашифрованный
Расшифрование
OWF -Необратимая функция, RSA MD4
DES: ключ — RID пользователя
HASH
59. Шифрование паролей LAN Manager
8 байт
Пароль
ПАРОЛЬ
(текстовый)
(верх. рег.)
8 + 8 байт
зашифрованный
LM HASH
7 символов
HASH
7 символов
(если <7, то нули)
8 байт
HASH
Хеширование
Если длина пароля <= 7 символов, то
Дополнительное 2-ая половина хеша известна шифрование
AAD3B435B51404EE
DES: ключ — 7 символов пароля, шифруется «магическое» число
60. БД SAM
Имя
SID
NT hash
User1
s-1…-1010
User2
s-1…-1011
16 байт
хэш
16 байт
хэш
Lanman
hash
8+8 байт
хэш
8+8 байт
хэш
61.
62. Процесс аутентификации пользователей по сети
63. Проверка пароля
База
SAM
Клиент
Вызов
Хэшпароль
Вызов
DES
DES
Ответ
Ответ
Хэшпароль
? Ответ
64. Шифрование пароля
• Сервер передает 8-байтовый вызов
• Клиент шифрует (DES) вызов, используя в
качестве ключа 16-байтовый
хешированный пароль
• Ответ клиента — структура длиной 24 байта
• В случае диалекта NT LM 0.12 клиент
передает два «ответа» (для NT и
LANMAN) — общей длиной 48 байт
65. Ключевые моменты
• Ни открытый пароль, ни хеш пароля по сети не
передаются
• Для НСД знания пароля не нужно — нужно лишь
знание хеш-значения
• По передаваемым по сети данным (Вызов -Ответ)
нельзя расшифровать ни сам пароль, ни его хешзначение
• Перехватив ответ, невозможно использовать его для
открытия сеанса, так как вызов генерируется снова
для нового соединения
• Данные, передаваемые в ходе сеанса, не шифруются
66. Дополнительное шифрование хешированных паролей в БД SAM
• Программа Syskey
Зашифрованные
Дополнительно
зашифрованные
хеш-значения паролей
хеш-значения
паролей
128-битный
ключ Password
Encryption Key
Системный
ключ
System Key
Зашифрованный
128-битный ключ
Password
Encryption Key,
хранится в
реестре
67. Способы хранения системного ключа
• В реестре компьютера
• На отдельной дискете
• Ключ не хранится, а вычисляется из пароля,
вводимого при загрузке
68. Атаки на пароли
69. Атаки на БД SAM
• Цели:
• извлечение хешированных паролей
– для подбора текстового пароля
– для сетевого соединения без подбора
текстового пароля
• модификация SAM
– подмена пароля пользователя
– добавление нового пользователя и т.п.
70. Способы получения базы SAM
• Загрузка с DOS-дискеты с
использованием эмуляторов NTFS
– NTFSDOS.exe
– NtRecover.exe
• Получение резервной копии SAM с ERDдиска, магнитных лент, каталога
Winnt\repair
• Перехват «вызова» и «ответа» и
выполнение полного перебора
71. Подбор пароля по HASH
• Brute force attack — перебор всех
комбинаций символов из заданного
набора
• Словарь
– данные о пользователе
– «хитрости» и «глупости»
• слова-наоборот
• qwerty, 12345
• IVAN
• пароль = ID
72. Количество комбинаций символов
Количество комбинаций
10 суток
1 сутки
символов
Длина
пароля
5
12 млн
A-Z, a-z,
0-9
60,5 млн 915 млн
6
310 млн
2 млрд
57 млрд
7
8 млрд
80 млрд
3,5 трлн
8
210 млрд
3 трлн
218 трлн
A-Z
A-Z, 0-9
73. Что дает hash LAN Manager?
• Недостаточная устойчивость к взлому
– символы ВЕРХНЕГО регистра
– две половины по 7 символов
• Все комбинации перебираются за 10
суток
• Если известен пароль в верхнем
регистре, то вариацией букв (верх/нижн)
получаем пароль Windows NT
• Отключен в Windows 7
74.
75. Механизм LAN Manager аутентификации в сети
256
Механизм LAN Manager
65535
аутентификации в сети
8 байт «вызов» 0001020304050607
Клиент
16 байт hash
+
5 нулей
=
Сервер
21 байт
С2341A8AA1E7665F AAD3B435B51404EE
С2341A8AA1E7665F AAD3B435B51404EE 0000000000
7 байт
7 байт
7 байт
С2341A8AA1E766
5FAAD3B435B514
04EE0000000000
8 байт DES Key
8 байт DES Key
8 байт DES Key
Шифруем «вызов» Шифруем «вызов» Шифруем «вызов»
AAAAAAAAAAAAAA
BBBBBBBBBBBBBB
«Ответ»
CCCCCCCCCCCCCC
76. BitLocker drive encryption
Версии Vista, 7
–
Посекторное шифрование всего тома
ОС алгоритмом AES (128 бит) кроме
–
–
–
Starter, Home Basic, Home Premium,
Business, Ultimate, Enterprise
загрузочного сектора;
поврежденных секторов;
метаданных тома.
Проверка целостности загрузочных
компонентов до запуска ОС
77.
78.
79. Доверенный платформенный модуль (TPM — Trusted Platform Module)
Хранение
«предохранителя»
ключа шифрования
тома
Хранение регистров
конфигурации
платформы (Platform
Configuration
Registers, PCR)
80. Архитектура ключей BitLocker
• Ключ шифрования тома (full-volume
encryption key, FVEK) зашифрован с
помощью
• Основного ключа тома (volume master
key, VMK), зашифрованного
• Предохранителями (одним или
несколькими)
81. Типы предохранителей
• TPM
• USB-накопитель (ключ запуска)
• Незашифрованный ключ на диске (при
отключении BitLocker)
82. Шифрование разделов
• Для системного раздела
– TPM
– USB-накопитель (ключ запуска)
– Ключ восстановления (48 цифр)
• Для пользовательского раздела
– Пароль (не менее 8 символов)
– Смарт-карта
– Ключ восстановления (48 цифр)
83.
84.
85. Атаки на BitLocker
• Атака при наличии файла гибернации
– hiberfil.sys
• Атака полным перебором
– 4 пароля/сек — 1 год для 4 символьного пароля
86.
87.
88.
89. Ускорение
• Ускорение за счет использования
вычислительной мощности GPU
графических карт NVIDIA (пароля /сек)
– MS BitLocker
– RAR 3.x (AES)
– MS Office 2010 (AES)
4
315
383
92
5,000
5,000
• Распределенное восстановление паролей
90.
91. Проверка целостности загрузочных компонентов до запуска ОС
• BIOS
• основной загрузочной записи (MBR)
• загрузочного сектора NTFS
• загрузочного блока NTFS
• диспетчера загрузки и управления
доступом BitLocker
92. BitLocker To Go
• накопители с файловыми системами FAT,
FAT32 и NTFS.
• AES с длиной ключа 128 (по умолчанию)
или 256 бит
• пароль или смарт-карта
Защита информации в ОС MS Windows
Министерство
образования и науки
российской
федерации
Федеральное
агентство по образованию
ГоУ ВПО
«дагестанский
государственный
методические
указания
к выполнению лабораторных работ по
дисциплине
«Информационная безопасность»
для студентов специальностей
— «Прикладная информатика в
экономике» и
— «Прикладная информатика в
юриспруденции»
Махачкала — 2007 г.
УДК 004.056 (075.32)
Методические указания к выполнению лабораторных работ по дисциплине
«Информационная безопасность». Часть 1.- Махачкала, ДГТУ, 2007. — 45 с.
Методические указания предназначены для студентов дневной и заочной форм
обучения по специальностям 080801 — «Прикладная информатика в экономике» и
080811 — «Прикладная информатика в юриспруденции».
Методические указания содержат краткие теоретические сведения о методах
защиты информации и ограничения доступа к персональному компьютеру (ПК). В
методических указаниях приведены индивидуальные задания к выполнению
лабораторных работ непосредственно на ПК.
Составители:
. Абдулгалимов А. М., зав. кафедрой ИСЭ ДГТУ, д. э. н., профессор;
. Филенко А. Д., ст. преподаватель каф. ИСЭ ДГТУ;
. Тагиев М. Х., ст. преподаватель каф. ИСЭ ДГТУ, к. э. н.;
. Тагиев Р. Х., асс. каф. ИСЭ ДГТУ.
Рецензенты:
. Гамидов Г.С., зав. кафедрой технологии машиностроения и
технологической кибернетики ДГТУ, д.т.н., профессор
. Джабраилов Х.С., директор ООО «Информационно-вычислительный
центр «Сигма», к.э.н.
Печатается по решению Совета Дагестанского государственного технического
университета от « » 200 г.
Введение
Развитие новых информационных технологий и всеобщая компьютеризация
привели к тому, что обеспечение информационной безопасности стала актуальной
проблемой цивилизованного общества. Как одна из важнейших характеристик информационной
системы (ИС) информационная безопасность становится обязательной дисциплиной
для изучения в вузе.
Под безопасностью ИС понимается защищенность системы от случайного или
преднамеренного вмешательства в нормальный процесс ее функционирования, от
попыток хищения (несанкционированного получения) информации, модификации или
физического разрушения ее компонентов. Иначе говоря, это способность
противодействовать различным возмущающим воздействиям на ИС.
Любая компьютерная система требует определенного рода защиты.
В своих противоправных действиях, направленных на овладение чужими
секретами, взломщики (лица, пытающиеся нарушить работу информационной системы
или получить несанкционированный доступ к информации) стремятся найти такие
источники конфиденциальной информации, которые бы давали им наиболее
достоверную информацию в максимальных объемах с минимальными затратами на ее
получение. Поэтому уровни защиты должны включать в себя физическую защиту
(центрального процессора, дисков и терминалов), защиту файлов, защиту процессов
и всей работающей системы.
Многочисленные публикации последних лет показывают, что злоупотребления
информацией, циркулирующей в ИС или передаваемой по каналам связи,
совершенствовались не менее интенсивно, чем меры защиты от них. В настоящее
время для обеспечения защиты информации требуется не просто разработка частных
механизмов защиты, а реализация системного подхода, включающего комплекс
взаимосвязанных мер (использование специальных технических и программных
средств, организационных мероприятий, нормативно-правовых актов и т.д.).
Настоящие методические указания посвящены выполнению
лабораторных работ по дисциплине «Информационная безопасность». В них приведены
теоретические сведения об основах защиты ПК, о методах ограничения доступа к
информации в офисных программах MS Word, MS Excel, шифрующей файловой системе EFS. Кроме того, в них
приведен обзор наиболее популярных и современных антивирусных программ.
Лабораторная работа №1
Тема: «Безопасность
в ОС MS Windows»
Цель работы: приобретение навыков защиты информации в
ОС MS Windows.
Краткие теоретические сведения
Защита информации — это комплекс мероприятий,
направленных на обеспечение информационной безопасности.
Угроза — это потенциальная возможность определенным
образом нарушить информационную безопасность.
Попытка реализации угрозы называется атакой, а тот,
кто предпринимает такую попытку, — злоумышленником. Потенциальные
злоумышленники называются источниками угрозы.
В данной лабораторной работе буду рассмотрены основные
принципы защиты информации от несанкционированного доступа.
Атаки делятся по объекту нападения на 2 большие
группы:
0
атаки на
локальный компьютер;
1
атаки на
компьютер, находящийся в какой либо сети.
Данная лабораторная работа посвящена изучению принципов
защиты локального компьютера.
Windows 9x и
выше предоставляет пользователю возможность ограничения доступа к информации с
помощью установки паролей для определенных процессов. Windows 9x и
выше также позволяет обеспечивать информационную безопасность стандартными
средствами, встроенными в офисные программы (MS Word, MS Excel).
В пределах локального компьютера защите подлежит как
информация, содержащаяся в файлах и папках, так и возможность доступа к самой
работе компьютера.
Способы ограничения доступа к работе компьютера.
1. Парольная защита компьютера в ждущем и спящем
режимах. Данный пароль устанавливается в Панели управления в разделе Управление
электропитанием. В данном разделе необходимо открыть вкладку Дополнительно в
окне Свойства. На этой вкладке устанавливается флажок Запрашивать пароль при
выходе из спящего режима.
2. Парольная защита входа в Windows 9x.
Данный пароль устанавливается в Панели управления в
разделе Пароли на вкладке Смена паролей. После нажатия на кнопку Сменить пароль
Windows… откроется окно, в котором
необходимо будет указать старый пароль, если таковой был установлен, новый
пароль и подтверждение пароля. Если компьютер находится в какой-либо сети, то
также представиться возможность назначить аналогичный пароль для входа в сетевые
службы.
3. Многопользовательский вход в Windows 9x.
Для того чтобы был возможен многопользовательский вход
в Windows 9x, необходимо разрешить ОС такой вход. Для этого в Панели
управления в разделе Пароли на вкладке Профили пользователей необходимо включить
кнопку «Каждый пользователь устанавливает личные настройки, которые
автоматически выбираются при входе в Windows». Здесь же необходимо отметить необходимые Постройки
пользовательских профилей. Затем необходимо создать нового Пользователя. Для
этого необходимо открыть раздел Пользователи в Панели управления. После нажатия
кнопки Добавить… откроется диалоговое окно Добавление пользователя. Затем,
следуя инструкциям, создать новый Профиль, указав его Имя, пароль, необходимые
настройки. Таким образом создается Новый пользователь, который при входе в Windows будет указывать свое имя и пароль
для входа, и он будет работать, во первых, со своими собственными настройками,
во-вторых вход для каждого пользователя компьютера будет разграничен.
Способы ограничения доступа к файлам и папкам
1. Защита файлов и папок путем назначения пароля
экранной заставке.
Этот способ является косвенным способом защиты, т.к.
он защищает не сами файлы и папки, а лишь ограничивает возможность закрытия
экранной заставка. Для этого необходимо установить пароль на закрытие экранной
заставки. Пароль устанавливается в разделе Экран в Панели инструментов.
Открываем вкладку Заставка, выбираем заставку, для которой будет установлен
пароль на закрытие. Отмечаем галочкой Пароль и нажимаем кнопку Изменить….
После этого вводим пароль и его подтверждение. Таким образом, если установлена
именно эта заставка, то для ее отключения необходимо будет ввести пароль.
2. Установка состояния «Скрытый» файл или папка,
их скрытие и отображение.
Открываем Контекстное меню необходимой папки и
выбираем пункт Свойства. На вкладке Общие устанавливаем галочку в Атрибутах для
«Скрытый». Для того чтобы скрытые файлы и папки не отображались в окнах
Проводника или Мой компьютер в окне диска или папки открываем пункт меню Вид,
затем выбираем Свойства папки… На вкладке Вид в Дополнительных настройках для
Файлов и папок в подразделе Скрытые файлы и папки выбираем способ отображения:
Не показывать скрытые и системные файлы/Не показывать скрытые файлы/Показывать
все файлы.
3. Назначение пароля общей папке или принтеру.
Данный способ применим только для папок и принтеров,
находящихся в общем пользовании, т.е. находящихся в какой-либо сети, для
которой включен режим Общего доступа к файлам и принтерам компьютера. Для того
чтобы установить пароль на пользование общим ресурсом, необходимо открыть эту
папку или принтер в окне Мой компьютер, выбрать Свойства в меню Файл, открыть
вкладку Доступ, и в группе Пароли ввести пароль для пользования и его
подтверждение. Пароли используются только при управлении доступом на уровне
ресурсов.
Способы ограничения доступа к информации в файле в
офисных программах MS Word, MS Excel.
В MS Word существуют несколько возможностей
ограничения изменений в документе:
Назначить документу пароль, предотвращающий открытие
документа пользователем, не имеющим соответствующих полномочий.
Назначить документу пароль, запрещающий запись, то
есть позволяющий другим пользователям открывать документ только для чтения.
Если кто-либо откроет предназначенный только для чтения документ и внесет в
него изменения, сохранить этот файл он сможет только под другим именем.
Рекомендовать другим пользователям работать с
документом как с файлом, предназначенным только для чтения. Если кто-либо
открывает этот документ как файл, предназначенный только для чтения, и вносит в
него изменения, сохранить этот файл он сможет только под другим именем. Если же
он открывает документ как обычный файл и вносит в него изменения, файл может
быть сохранен под прежним именем.
Если после присвоения пароля он будет забыт, невозможно будет ни открыть
документ, ни снять с него защиту, ни восстановить данные из него. Поэтому
следует составить список паролей и соответствующих им документов и хранить его
в надежном месте. Установка пароля для данной защиты производится при
сохранении документы путем нажатия кнопки Параметры… в диалогом окне
Сохранить как.
Microsoft Excel обладает следующими возможностями защиты:
Ограничение доступа к отдельным листам.
Ограничение возможности изменений для всей книги.
Ограничение доступа к книге с помощью пароля,
запрашиваемого при открытии или сохранении книги, либо установка при открытии
книги посторонними режима только для чтения
Возможность проверки макросов на наличие вирусов при открытии книги.
Задание к работе
1.
Создайте на диске
С: рабочую папку с названием «Фамилия»
2.
В папке
С:/Фамилия создайте произвольный файл в MS Word и файл MS Excel, содержащий таблицу данных,
диаграмму, рисунок, скрытые столбцы или строки, скрытые листы, ячейки с
расчетом результата по формулам.
3.
В MS Word изучите раздел Справки «Защита документов».
4. Выполните на основе полученных знаний:
A. Назначение документу пароля, предотвращающего
открытие документа пользователем, не имеющим соответствующих полномочий.
Б. Назначение документу пароля, запрещающего
запись.
B. Рекомендуйте другим пользователям работать с документом как с
файлом, предназначенным только для чтения.
5.
В MS Excel изучите раздел Справки «Защита в Microsoft Excel».
6.
Выполните на
основе полученных знаний:
|
№ варианта |
Задание |
|
1 |
1. Защитите Книгу, |
|
2 |
1. Заблокируйте |
|
3 |
1. Защитите Лист, при этом |
|
4 |
1. Запретите вставку новых |
|
5 |
1. Запретите просмотр |
|
6 |
1. Запретите изменение |
|
7 |
1. Установите пароль на |
|
8 |
1. Создайте полную Защиту |
|
9 |
1. Запретите отображение |
|
10 |
1. Запретите просмотр |
7.
Установите
возможность многопользовательского входа в Windows.
8.
Назначьте пароль
для закрытия экранной заставки.
9.
Установите для
созданного вами файла MS Word атрибут «Скрытый».
10.В папке Мой компьютер установите запрет на отображение скрытых файлов.
Вопросы для самоконтроля.
1.
Что такое защита
информации?
2.
Что такое угроза?
3.
На какие группы
делятся атаки по объекту нападения?
4.
Какие бывают
средства защиты от несанкционированного доступа в Windows 9x?
5.
Что означает
Многопользовательский вход в Windows?
6.
Как в папке
запретить отображение скрытых файлов?
7.
Какие существуют
способы защиты документа в MS Word?
8.
Какие существуют
способы защиты документа в MS Excel?
9.
Какие существуют
способы защиты данных внутри документа MS Excel?
Лабораторная работа №2
Тема: «Основы
защиты ПК»
Цель работы: приобретение навыков защиты информации на
ПК.
Краткие теоретические сведения
Резервное копирование
Если вы опасаетесь, что кто-нибудь намеренно или
случайно удалит ваши файлы, в систему попадет вирус или произойдет полный сбой
системы (а от этого никто не застрахован), то существует единственный способ
сохранить ваши файлы — создать резервную копию системы.
При установке программного обеспечения вы можете
создать аварийный или системный диск. На этом диске находится информация,
позволяющая операционной системе запустить компьютер с диска А, а также
некоторая информация о конфигурации компьютера Этот диск следует хранить в
безопасном месте на случай аварии жесткого диска, однако на нем нельзя хранить
какую-либо компрометирующую или конфиденциальную информацию
Разумеется, аварийный диск не поможет восстановить
файлы данных — он поможет вам восстановить работоспособность вашей операционной
системы. Файлами данных называются файлы, создаваемые при помощи различных
приложений — текстовых процессоров, электронных таблиц, графических редакторов
и т.д., а также информация, полученная из внешних источников (например,
сообщения электронной почты или файлы, скопированные с гибких дисков). Для всех
ценных файлов данных желательно создавать резервные копии (архивировать),
например, на гибких дисках, CD-R/CD-RW (иногда их
можно использовать для копирования всего содержимого жесткого диска) или ZIP-дисках. К сожалению CD-R/CD-RW не пригодны для тех данных, которые
вы собираетесь редактировать или изменять. Это связано с невозможностью
редактирования данных на компакт-дисках.
Выбор носителя информации зависит от вашего бюджета,
рабочих навыков и количества файлов, для которых необходимо создать резервные
копии.
При резервном копировании удобно создавать такие же каталоги и
подкаталоги для хранения файлов, как и на жестком диске. Впоследствии это
упрощает поиск и восстановление нужных файлов.
Проверка того, открывали ли ваш файл, когда вас не
было на месте.
Приведем последовательность действий для проверки
того, открывал ли кто-нибудь конкретный файл, когда вас не было на месте, при
помощи приложения Проводник.
1.
Запустите
Проводник, выбрав его в меню Программы из меню Пуск.
2.
Откройте каталог,
в котором хранится файл.
3.
Щелкните на имени
файла правой кнопкой мыши, и в отобразившемся контекстном меню выберите команду
Свойства.
Если доступ к файлу последний раз предоставлялся уже
после того, как вы отошли от ПК, это означает, что файл кто-то открывал.
Для просмотра диалогового окна свойств файла можно
также щелкнуть правой кнопкой мыши на имени файла в списке, который
отображается командой Файл /Открыть данного приложения.
Для того чтобы узнать, использовал ли кто-нибудь для
открытия ваших файлов особое, интересующее вас приложение, просмотрите меню
Файл этого приложения. В нижней части меню вы найдете нумерованный список
файлов; это те файлы, которые последними открывались из данного приложения.
Если вы заметите имя файла, с которым давно не работали, либо порядок имен
файлов будет отличаться от того порядка, в котором работали с файлами в данном
приложении вы, значит, кто-то открывал ваш файл (или файлы). В таком случае,
просмотрите окна свойств файлов, чтобы получить дополнительную информацию.
(Список файлов может быть недоступен, если вы его блокировали).
Прежде чем открыть подозрительный файл, обязательно
проверьте его свойства. Если вы этого не сделаете, то дата и время последнего
открытия файла будут заменены. При открытии файла операционная система Windows немедленно обновляет эту информацию.
Еще один способ контроля несанкционированного доступа
к файлам — просмотр меню Документы из меню Пуск. Чтобы просмотреть это меню,
выполните команду Пуск — Документы либо щелкните на кнопке Пуск, а затем
нажмите клавишу Д (D). Кроме того,
можно нажать комбинацию клавиш Alt+Esc, а затем — клавишу Д (D). В любом случае команда Документы
отображает список последних десяти-пятнадцати используемых документов.
Если в этом списке вы увидите имя файла, с которым
давно не работали, проверьте его свойства. Если этот документ вам совершенно
незнаком, то он создан кем-то, кто пользовался вашим компьютером; дата и время
создания файла указаны в окне его свойств.
Чтобы просмотреть файл, достаточно щелкнуть на его имени. Операционная система
Windows откроет файл, используя приложение,
в котором он создан.
Для этого необходимо сделать следующее:
. В меню Пуск выберите команду Панель задач и
меню «Пуск». Для этого выполните команду Пуск — Настройка — Панель
задач и меню «Пуск», -для Windows 98/Ме, или Пуск — Панель управления — Панель задач и меню
«Пуск» — для Windows
2000/XP. Отобразится диалоговое окно
Свойства: Панель задач.
В диалоговом окне Свойства выберите вкладку Настройка меню и в области Меню
«Документы» щелкните на кнопке Очистить.
Защита файлов и папок от изменения
Файлы
Если вы опасаетесь, что кто-либо случайно (или
преднамеренно) удалит ваши файлы, то Windows предоставляет вам небольшую страховку от такого рода
происшествий. Вы можете использовать Проводник для установки свойств файла так,
чтобы они стали недоступными для нежелательных изменений (при попытке изменить
такой файл Windows выдаст предупреждение). Это делается
установкой атрибута Только чтение. Атрибут Только чтение является системной,
установкой, которая предотвращает изменения файла. Вы можете просматривать или
копировать файл, но не сможете случайно изменить его имя или содержимое, что и
следует из названия атрибута — только чтение.
Для установки этого параметра выполните следующие
действия:
1.
Запустите
Проводник.
2.
Откройте
соответствующую папку и правым щелчком мыши выберите нужный файл. Затем в
отобразившемся контекстном меню выберите пункт Свойства. Откроется диалоговое
окно.
3.
Щелкните на
флажке Только чтение и на кнопке ОК. Теперь файл защищен от изменений его
содержимого.
Если хотите заменить атрибуты множества файлов в одном
каталоге значением Только чтение, то сразу выделите все требуемые файлы,
удерживая нажатой клавишу Ctrl и
щелкая на имени каждого файла. Затем щелкните правой кнопкой мыши на любом
выделенном имени, и в отобразившемся диалоговом окне Свойства установите
атрибут Только чтение для всех выделенных файлов.
Установка атрибута Только чтение позволит пресечь
попытки какого-либо пользователя отредактировать и сохранить файл при помощи
приложений Windows или DOS. Это также предотвращает удаление файла средствами DOS. Тем не менее, при помощи Проводника
его может удалить любой пользователь, хотя программа вначале спросит, уверены
ли вы в том, что хотите удалить этот файл. Поскольку вы можете не быть той
персоной, которая даст утвердительный ответ на этот вопрос, то можно сделать
вывод, что этот метод — не такая уж надежная защита.
Можно установить атрибут Только чтение файлам,
созданным в различных приложениях, например Microsoft Word, сразу при их сохранении. Некоторые приложения
позволяют задавать такой параметр, в противном случае можно использовать для
ваших файлов диалоговое окно Свойства.
Папки
Вы можете защитить папку от переименования или
удаления так же, как и отдельные файлы, выполнив следующие действия.
1.
Запустите
Проводник.
2.
Выделите папку
(папки), которую вы хотите защитить от удаления.
3.
Щелкните на
выделении правой кнопкой мыши и в отобразившемся контекстном меню выделите
пункт Свойства.
Щелкните на флажке Только чтение и на кнопке ОК.
Невидимые файлы, папки и приложения
Для установки атрибута Скрытый достаточно
воспользоваться диалоговым окном Свойства — независимо от того, работаете вы с
файлом программы, данных или папкой. Скрытый файл не отображается на экране при
просмотре списка файлов каталога. Это правило распространяется на файлы,
каталоги и списки, отображаемые DOS и
некоторыми приложениями. Иногда (но не всегда) это справедливо и для списков,
создаваемых Проводником, чтобы сделать невидимыми объекты на жестком диске.
После этого соответствующие файлы и папки не будут отображаться в каталогах и
списках DOS и других приложений. Для того чтобы
сделать файлы или папки невидимыми, необходимо выполнить следующие действия.
1.
Сделать правый
щелчок на имени файла или папки, атрибуты которых вы хотите установить.
2.
В появившемся
контекстном меню выбрать Свойства. На экране появится одноименное диалоговое
окно.
Атрибуты расположены в нижней части диалогового окна.
Для установки соответствующего атрибута достаточно установить флажок, щелкнув
на нем. Повторный щелчок приводит к отмене атрибута.
Необходимо заметить, что установка атрибутов не
связана с типом файла, то есть не имеет значения, меняете вы атрибуты папки,
файла данных или программного файла.
Установив для файла или папки атрибут Скрытый, вы не
сможете просматривать их при помощи Проводника. (Но лишь до тех пор, пока не
укажете в установках Проводника другие значения.)
Чтобы изменить эти установки, в окне Проводника в меню Вид выберите
Свойства папки. На экране появится одноименное диалоговое окно.
Щелкните на переключателе Не показывать скрытые файлы,
чтобы включить данную опцию и разрешить проводнику не отображать скрытые файлы
и папки. Установка этой опции приведет к тому, что файлы и папки с атрибутом
Скрытый не будут отображаться Проводником.
Хотя изменение опций Проводника приведет к
невозможности просмотра скрытых файлов и папок, указанные опции легко изменить
— точно так же, как вы это только что сделали. Если предполагается, что вашим
компьютером будет интересоваться человек, у которого уровень знаний о ПК выше
среднего, то будьте готовы к тому, что этой меры окажется недостаточно.
Сокрытие приложений также может быть полезным моментом
при защите вашей информации. Если злоумышленник не сможет запустить приложение,
создающее определенные файлы, то он не сможет эти файлы просмотреть.
Воспользовавшись разнообразными приемами, вы можете почти полностью
застраховаться от попыток посторонних лиц отыскать интересующее их приложение
Скрыть приложение достаточно просто
1.
Удалите программу
из меню Пуск. Если ярлыки/значки программы находятся на Рабочем столе, удалите
их и очистите Корзину.
2.
Поместите
программу и создаваемые в ней файлы в новую папку. Если диск разбит на
несколько логических устройств, создайте эту новую папку на малоиспользуемом
виртуальном устройстве (например, устройстве D или Е).
3.
Сделайте все
программные файлы и связанные с ними файлы данных, а также папки, в которых они
находятся, невидимыми, установив атрибут Скрытый.
Убедитесь, что меню Пуск пустое, и что вы установили для файла приложения
атрибут Скрытый при помощи Проводника. Если вы этого не сделаете, то всякий,
кто пожелает, может щелкнуть на соответствующем пункте в списке документов или
на имени приложения в окне Проводника и запустить приложение.
Временные файлы — поиск и удаление
В Windows
имеется множество разных приложений (в том числе Microsoft Word), имеющих «привычку» сохранять документы
при работе на случай сбоя системы. Некоторые приложения позволяют сохранять
удаленный, скопированный и вставленный в документ текст Даже если вы не
сохранили документ в файле, его содержимое все равно записывается на диск Сама
по себе идея хороша, но иногда такой подход создает проблемы при обеспечении
безопасности Кроме этого, на вашем жестком диске «размножаются»
бесполезные временные файлы Часть из них появилась в результате сбоев системы
(вызванных, например, сбоями питания), но большинство досталось в наследство от
обычных сеансов редактирования. Вы можете уничтожить эти файлы,
воспользовавшись любым из приложений для очистки диска, например CleanSweep Extra Strength 4.0 или WinDelete Deluxe.
Также можно уничтожить эти файлы вручную — имеет смысл
проделать это хотя бы один раз. Кроме того, при использовании программы очистки
диска стоит сразу после этого вручную проверить обработанные каталоги и
убедиться, что вы не удалили ничего лишнего, либо не оставили то, что надо было
удалить.
Папка, которую нужно проверить на предмет наличия
бесполезных временных файлов, называется \WINDOWS\TEMP
(включая все папки, вложенные в нее, например \fax или \wordxx)
В них могут находиться файлы с расширением ТМР, но могут встретиться и более
экзотические, например.DOC
или.HTML; там же можно обнаружить файлы с
изображениями (например. JPG)
или файлы без расширения. Большинство таких файлов имеет нулевую (0) длину. Имя
типичного временного файла начинается с символа ~ (тильда), например
— wrdtemp. doc.
Если хотите узнать, что же именно содержится во
временных файлах, можете просмотреть их содержимое DOS-программой EDIT. В MS-DOS переместитесь в соответствующий каталог и введите
команду EDIT [filename]. ext (например, EDIT ~wrdtemp. doc). Также для просмотра можно воспользоваться теми
приложениями, в которых этих файлы были созданы, например Word или Excel. При желании можно воспользоваться графической
программой, например Paint Shop Pro.
Можете просмотреть временные файлы резервных копий,
созданных в том или ином приложении. Для этого достаточно после запуска
приложения выбрать в меню Файл команду Открыть. В появившемся окне можно, как
правило, обнаружить файлы с соответствующими названиями, например ~document.doc. Такие файлы должны удаляться после завершения работы
приложения,, но иногда они могут остаться.
Для удаления таких файлов запустите Проводник.
Переместитесь в каталог, содержащий файлы, подлежащие удалению. Для удаления
файла щелкните на нем, затем нажмите клавишу Delete и подтвердите выполнение операции. Если требуется
удалить сразу несколько файлов, следует выделить их все и нажать клавишу Delete. (Для выделения нескольких файлов
нажмите клавишу Ctrl и,, удерживая
ее нажатой, поочередно щелкайте на каждом файле. А можно щелкнуть на первом
файле, а затем, удерживая нажатой клавишу Shift, переместить выделение при помощи клавиш управления
курсором.)
Нужно заметить, что прежде чем удалять временные (или подозрительно
похожие на них) файлы, следует закрыть (завершить сеанс работы) все активные
приложения. Если этого не сделать, то в процессе удаления приложения начнут
выводить на экран неожиданные запросы. При самом неблагоприятном стечении
обстоятельств попытка удалить файл может привести к сбою системы.
Шифрование данных с помощью архиваторов
Winrar и Pkzip
Оба формата — RAR и ZIP — поддерживают шифрование. Чтобы зашифровать
файлы, нужно до начала архивации указать пароль в командной строке, в меню или
непосредственно на вкладке «Дополнительно» диалога «Имя и
параметры архива». В командной строке это делается с помощью ключа
-p<pwd>. Для ввода пароля в оболочке WinRAR нажмите <Ctrl+P> (то же
действие происходит при выборе команды «Пароль» в меню
«Файл» или при щелчке мышью на маленьком значке ключа в левом нижнем
углу окна WinRAR). Для ввода пароля в диалоге «Имя и параметры
архива» необходимо нажать кнопку «Установить пароль» на вкладке
«Дополнительно».
В отличие от ZIP, формат RAR позволяет шифровать не только данные файлов,
но и другие важные области архива: имена файлов, размеры, атрибуты, комментарии
и другие блоки. Если вы хотите задействовать эту функцию, включите опцию
«Шифровать имена файлов» в диалоге задания пароля. Чтобы включить
общее шифрование в режиме командной строки, вместо ключа — p [пароль] нужно
указать ключ — hp [пароль]. Зашифрованный в таком режиме архив нельзя без
пароля не только распаковать, но даже просмотреть список находящихся в нём
файлов.
Не забывайте удалять введенный пароль после того, как он становится
ненужным, иначе вы можете случайно запаковать какие-либо файлы с паролем,
абсолютно не намереваясь этого делать. Чтобы удалить пароль, введите пустую строку
в диалоге ввода пароля или закройте WinRAR и снова его запустите. Когда пароль
введен, жёлтый значок ключа становится красным. Кроме того, если вы начинаете
архивацию с использованием пароля, заголовок диалога ввода имени и параметров
архива дважды мигнет.
Если вы ввели пароль непосредственно в диалоге «Имя и параметры
архива», то вам не нужно отменять его самостоятельно — пароль будет
действовать только в течение одной операции архивирования, по окончании которой
сбросится автоматически.
При извлечении зашифрованных файлов можно ввести пароль заранее, хотя это
и необязательно. Если пароль не был введен перед началом извлечения, и WinRAR
обнаружил зашифрованный файл, он спросит пароль у пользователя.
В формате ZIP применяется собственный алгоритм шифрования. Архивы RAR
шифруются с помощью значительно более надежного алгоритма AES-128. Поэтому если
необходимо зашифровать важную информацию, то предпочтительнее формат RAR. Для
обеспечения достаточного уровня безопасности используйте пароли длиной не менее
8 символов. Не следует использовать в качестве пароля слова какого-либо языка,
лучшим выбором является случайная комбинация букв и цифр. Обратите внимание,
что в паролях учитывается регистр букв. Помните, что если вы потеряете свой
пароль, восстановить из архива зашифрованные файлы не удастся — в этом вам не
поможет и сам автор WinRAR.
Архиватор
pkzip <ftp://ftp.sovam.com/.1/dos/elm-pc/pkzip.exe> позволяет
архивировать файлы с защитой паролем. Синтаксис команды описан в самом файле,
если его запустить без аргументов. Специалисты по криптографии утверждают, что
в методе шифрования, используемом программой pkzip, обнаружены
«дыры», позволяющих взломать архив, не только подобрав пароль, но и
другими способами. Так что будьте осторожны, используйте программу только
тогда, когда вы уверены, что ваш «противник» не очень силен. Если
подбор пароля будет производится с помощью обычного PC с использованием
распространенных программ подбора ключа, pkzip может послужить весьма удобным и
быстрым способом защиты информации, хотя и обладающим описанным выше
«семейным» недостатком всех систем криптозащиты с одним ключом.
Программы взлома используют один из двух подходов по выбору пользователя. Они
либо подбирают пароль с использованием большого словаря, либо атакуют в лоб (brute
force), перебирая все возможные комбинации. Отсюда простой вывод: используйте
пароль, который вряд ли есть в словаре, а главное — длинный (до 24 знаков), и
содержащий цифры, специальные символы (?!$ etc.). Для лобовой атаки (подбор
комбинации из всех возможных) со скоростью 200 000 комбинации в секунду
(примерно соответствует возможностям PC Pentium 100) для пароля из 6 знаков
расклад таков:
|
Набор символов |
Максимальное время |
|
только цифры |
5.0 секунд |
|
только строчные буквы |
25.7 минуты |
|
только символы |
1.8 часа |
|
строчные и заглавные буквы |
27.5 часа |
|
строчные, заглавные, цифры |
3.3 дня |
|
строчные, заглавные, цифры, |
42.5 дня |
А если длина пароля не шесть, а 24 символа — тысячелетия.
Работа с ключами реестра для защиты ПК и информации
В файлах SYSTEM.DAT и USER.DAT в каталоге Windows 95/98 или в папке
C:\W\System32\Config\ в Windows NT хранится так называемый системный реестр,
содержащий большое количество информации.
Кроме
записей, необходимых Windows, большинство программ при установке записывают
туда и свою собственную информацию. Чтобы внести изменения в реестр, необходимо
открыть его с помощью программы, предназначенной для этого. Примером может
служить программа REGEDIT, поставляемая в стандартном комплекте Windows. Для ее
запуска откройте диалоговое окно ПускВыполнить,
введите Regedit и нажмите OK.
Вы
увидите окно, разделенное на две части. В левой части находится навигатор,
похожий на навигатор Проводника, а справа собственно информация. Реестр состоит
из шести разделов: HKEY_CLASSES_ROOT;
HKEY_CURRENT_USER;_LOCAL_MACHINE;_USERS;_CURRENT_CONFIG;
В
каждом разделе содержатся папки. Если в папке или разделе есть подпапки, то
слева от этой папки находится значок «плюс». При нажатии на него эта
папка «разворачивается», а значок превращается в «минус»,
нажав на который ее можно снова «свернуть». Если же нажать на значок
папки или ее название, то в правом окне появится список тех параметров, которые
содержатся в этой папке (но не в подпапках). Каждый параметр состоит из его
имени и значения. Для каждого параметра существует свой путь, по которому его
можно найти. Путь состоит из последовательности папок, в которых находится этот
параметр, начиная с родительской папки (это один из шести вышеперечисленных
основных разделов). Примером пути может быть следующий [HKEY_CURRENT_CONFIG\
Display\ Settings], а названием параметра Resolution.
Выделив
нужный раздел (нажав на значок раздела или его имя), в нем можно создать
параметр, или подраздел. Для этого необходимо воспользоваться меню ПравкаСоздать. В системном реестре Windows существует 3 вида
параметров: строковой, двоичный, и DWORD. В строковом хранится одна строка
(string), в двоичном — двоичное значение, в DWORD — десятичное или
шестнадцатеричное значение. При создании параметра необходимо указать его имя.
Затем, дважды нажав на нем в правом окне, можно ввести значение параметра (или
изменить существующее). Если сказано установить значение параметра, это значит,
что необходимо изменить существующее значение параметра на нужное, или, если
параметр с таким именем отсутствует, создать его, а затем изменить содержимое. В
конце работы для большинства изменений необходимо закрыть REGEDIT и
перезагрузить компьютер
Снятие
пароля Screen Saverа
В
Windows имеется возможность вручную снять пароль Screen Saverа. Для этого
открываем Редактор реестра и находим строковый параметр «ScreenSave_Data»
по адресу: [HKEY_USERS\.Default\Control Panel\desktop]
и
удаляем его
Вы
можете создать диалоговое окно, которое будет отображено для любого
пользователя перед входом в систему. Это полезно тогда, когда требуется
предупредить людей, делающих попытку войти в систему и не имеющих на то прав,
об ответственности.
Найдите
в реестре раздел:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon]
И
измените значение строкового параметра «LegalNoticeCaption» так,
чтобы оно соответствовало заголовку диалогового окна (например:
«Внимание!»). Затем установите значение параметра
«LegalNoticeText» так, чтобы он был равен содержанию диалогового окна
(например: «Не входите в систему, если у Вас нет полномочий!»).
Запрещение
различных функций и ресурсов.
Если
Вы хотите запретить на клиентских машинах, работающих под управлением Windows
95/98/NT, выполнение некоторых функций, то можете отредактировать
соответствующим образом реестр. Запустите regedit и используйте следующие имена
(установка для параметров типа DWORD значения в 1 включает ограничение,
установка в 0 — снимает):
«RestrictRun»
— при установке в 1 будет разрешён только запуск программ, определённых в ключе
[HKEY_CURRENT
_USER\Software\Microsoft\Windows\CurrentVersion Policies\Explorer\RestrictRun]
с помощью строковых параметров с именами в виде чисел по возрастанию, например:
«1»=»c:\windows\notepad.exe»
«2»=»c:\program
files\msoffice\winword.exe»
«NoDrives»
— определяет, какие из дисков скрыть в «Моём компьютере». Порядок
устанавливается с самого низкого бита — диск A: до 26-ого бита — диск Z: Чтобы
скрыть диск, надо включить его бит. Если Вы не умеете работать с
шестнадцатеричными числами, установите эти десятичные числа для скрытия
диска(ов):
A: 1, B: 2,
C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q:
65536, R: 131072, S: 262144, T:
524288, U: 1048576, V: 2097152, W:
4194304, X: 8388608, Y: 16777216, Z:
33554432, ALL: 67108863
Обратите
внимание: эти диски будут всё равно отображены в Диспетчере файлов, для
удаления Диспетчера файлов удалите файл winfile.exe;
«NoSaveSettings»
— отключает сохранение изменений параметров настройки настольной конфигурации
(расположение значков, вид и т.д.) при выходе из Windows, чтобы другие люди не
смогли изменить любимый вид Вашего Рабочего стола;
«NoFileSharingControl»
— скрывает диалоговое окно управления совместным использованием файлов и
принтеров, не позволяя пользователям управлять созданием новых совместных
файлов или принтеров (только в Windows 9x);
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Network]
«NoPrintSharing»
— блокируют опцию «Файлы и принтеры этого компьютера можно сделать
общими», что не позволяет предоставлять услуги другим пользователям сети (оба
параметра должны быть вместе заблокированы или допустимы);
«MinPwdLen»
— определяет минимальную длину пароля (этот параметр двоичного типа!), что
заставляет Windows отклонять пароли меньшей длины, чтобы предотвратить
использование тривиальных паролей там, где важна защита (это изменение не
затрагивает существующие пароли, а воздействует только на новые или замену
старых);
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
«NoSecCPL»
— отключает доступ к значку «Пароли» в Панели управления и не
позволяет пользователем изменять параметры, связанные с защитой (только в
Windows 9x);
«NoPwdPage»
— скрывает вкладку «Смена паролей» (только в Windows 9x);
Меню
«Пуск — Документы» содержит ярлыки недавно использовавшихся файлов
или документов. Если в системе работает несколько пользователей с одной и той
же конфигурацией, и, при этом, нежелательно предоставлять пользователям быстрый
доступ к ярлыкам недавно использовавшихся файлов или документов, с которыми
работали другие пользователи, то в Windows 98 можно включить автоматическую
очистку содержимого меню «Документы» при завершении работы Windows:
.
Запустите редактор реестра (regedit.exe).
.
Откройте следующий раздел системного реестра:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
3.
В данном разделе создайте двоичный параметр
«ClearRecentDocsOnExit»
и присвойте ему значение «01000000».
.
Закройте редактор реестра и перезагрузите компьютер.
Примечание:
Ярлыки меню «Документы» хранятся на жёстком диске в папке
%WinDir%\Recent, где %WinDir% — папка, в которую установлена Windows.
Задание
к работе.
1. Создайте системную дискету и осуществите с нее загрузку
компьютера.
2. А. На диске С:\ создайте личную папку и в ней два произвольных
документа Word и Excel
Б. Отследите открытие и изменение этих файлов (сделанные вашим соседом)
посредством Проводника и из соответствующего приложения.
3. Уничтожьте следы открытия своих файлов в меню Документы.
4. Установите на своих файлах, а затем и на каталоге атрибут «Только
чтение».
. Изучите пункты по скрытию файлов, папок, приложений и удалению
временных файлов.
. Защитите пароль на компьютере способом описанным в пункте Снятие
пароля Screen Saverа.
. Заархивируйте созданные вами файлы программой WinRar с установкой пароля.
. Изучите краткое руководство по работе с реестром.
. На основе полученных знаний выполните:
1. Создать предупредительное диалоговое окно, которое будет
отображено для любого пользователя перед входом в систему.
2. Запретите сохранение изменений параметров настройки настольной
конфигурации (расположение значков, вид и т.д.) при выходе из Windows.
. Отключите доступ к значку «Пароли» в Панели
управления.
. Снимите пароль с экранной заставки.
. Осуществите скрытие и обратное отображение диска А: на вашем компьютере.
. Включите автоматическую очистку содержимого меню
«Документы» при завершении работы Windows.
. Скройте вкладку «Смена паролей».
. Определите минимальную длину пароля.
. Скройте диалоговое окно управления совместным использованием
файлов и принтеров.
. Блокируйте опцию «Файлы и принтеры этого компьютера можно
сделать общими».
Вопросы для самоконтроля.
1. Понятие невидимого файла или папки. Как установить запрет на
отображение скрытых файлов и папок?
2. Понятие временного файла. Где хранятся временные файлы?
. Что такое реестр? Как запустить реестр?
. Из каких разделов состоит реестр? Кратко охарактеризуйте каждый
раздел.
. Какие вы знаете типы параметров реестра?
Лабораторная работа №3
Тема: «Шифрующая
файловая система EFS»
Цель работы: Приобретение навыков шифрования в Windows
2000.
Краткие теоретические сведения
Аутентификация (проверка подлинности). Это процесс
надежного определения подлинности поддерживающих связь компьютеров.
Аутентификация основана на методах криптографии, и это гарантирует, что
нападающий или прослушивающий сеть не сможет получить информацию, необходимую
для рассекречивания пользователя или другого объекта. Аутентификация позволяет
поддерживающему связь объекту доказать свое тождество другому объекту без
пересылки незащищенных данных по сети. Без «сильной» (strong)
аутентификации и поддержания целостности данных любые данные и компьютер,
который их послал, являются подозрительными.
Целостность (integrity). Правильность данных, то есть их неизменность по сравнению
с первоначально посланными. Службы, поддерживающие целостность, защищают данные
от несанкционированного изменения по пути их следования.
Конфиденциальность (privacy). Гарантирует, что данные будут раскрыты только тем
получателем, которому они были предназначены. Это свойство не является
обязательным.
Предотвращение повторного использования (anti-replay). Предотвращение повторного использования
гарантирует, что каждая посланная 1Р-датаграмма (IP-пакет) отличается от любой
другой, чтобы помочь предотвратить атаки, в которых сообщение прерывается и
сохраняется атакующим, а затем многократно используется им позже для
организации попытки нелегального доступа к информации.
Шифрование с открытым ключом. Криптография — это наука
о защите данных. Алгоритмы криптографии с помощью математических методов
комбинируют входной открытый текст и ключ шифрования, в результате чего
получаются зашифрованные данные. Применение криптографии обеспечивает надежную
передачу данных и предотвращение их получения несанкционированной стороной. Применяя
хороший алгоритм шифрования, можно сделать практически невозможным, с точки
зрения необходимых вычислительных и временных ресурсов, взлом защиты и
получения открытого текста подбором ключа. Для быстрого выполнения подобного
преобразования необходим расшифровывающий ключ. В традиционном шифровании с
секретным ключом (secret key) (симметричное шифрование) зашифровывающий и
расшифровывающий ключи совпадают. Стороны, обменивающиеся зашифрованными
данными, должны знать общий секретный ключ. Процесс обмена информацией о
секретном ключе представляет собой брешь в безопасности вычислительной системы.
Фундаментальное отличие шифрования с открытым ключом
(асимметричное шифрование) заключается в том, что зашифровывающий и
расшифровывающий ключи не совпадают. Шифрование информации является
односторонним процессом: открытые данные шифруются с помощью зашифровывающего
ключа, однако с помощью того же ключа нельзя осуществить обратное
преобразование и получить открытые данные. Для этого необходим расшифровывающий
ключ, который связан с зашифровывающим ключом, но не совпадает с ним. Подобная
технология шифрования предполагает, что каждый пользователь имеет в своем
распоряжении пару ключей — открытый ключ (public key) и личный или закрытый
ключ (private key).
Цифровые (электронные) подписи. Наверное, наиболее
ярким проявлением всех преимуществ шифрования с открытым ключом является
технология цифровых или электронных подписей. Она основана на математическом
преобразовании, комбинирующем данные с секретным ключом таким образом, что:
· Только владелец секретного ключа
может создать цифровую подпись.
· Любой пользователь, обладающий
соответствующим открытым ключом, может проверить истинность цифровой подписи.
· Любая модификация подписанных данных
(даже изменение одного бита) делает неверной цифровую подпись.
Цифровые подписи гарантируют целостность (integrity) и
подлинность (non-repudiation) данных. Когда данные распространяются открытым
текстом (без шифрования), получатели должны иметь возможность проверки, что
данные в сообщении не были изменены.
Добавление подписи не изменяет содержания данных: в
этом случае генерируется цифровая подпись, которая может быть связана с данными
или передаваться отдельно.
Для выполнения этой операции клиентская программа
создает дайджест, снимок данных, используя метод хэширования (например, MDS).
Программа использует ваш личный ключ для шифрования дайджеста и подписывает
данные или сообщение с помощью вашего сертификата, добавляя ваш открытый ключ.
Соответствующая программа адресата сообщения использует открытый ключ для
расшифровки дайджеста, затем использует тот же алгоритм хэширования для
создания другого дайджеста данных. Данная программа затем сравнивает два
дайджеста сообщений. Если они идентичны, то подтверждаются целостность и
подлинность данных сообщения.
Распределенная аутентификация. Шифрование с открытым
ключом применяется для создания надежной службы распределенной аутентификации,
гарантирующей, что данные пришли получателю от истинного корреспондента.
Соглашение о секретном ключе, достигаемое с помощью
открытого ключа. Шифрование с открытым ключом позволяет двум сторонам,
используя открытый ключ в незащищенной сети, договориться о секретном ключе.
Обе стороны посылают друг другу половины секретного ключа, зашифрованного
соответствующими открытыми ключами. Каждая из сторон получает возможность
расшифровать полученную половину секретного ключа и на ее основе, с учетом
своей половины ключа, получить весь секретный ключ.
Обеспечение истинности открытых ключей. При шифровании
с открытым ключом жизненно важна абсолютно достоверная ассоциация открытого
ключа и передавшей его стороны, поскольку в обратном случае возможна подмена
открытого ключа и осуществление несанкционированного доступа к передаваемым
зашифрованным данным. Необходим механизм, гарантирующий достоверность
корреспондента, например, применение сертификата, созданного авторизованным
генератором сертификатов.
Что такое сертификат? Сертификат — это средство,
позволяющее гарантированно установить связь между переданным открытым ключом и
передавшей его стороной, владеющей соответствующим личным ключом. Сертификат
представляет собой набор данных, зашифрованных с помощью цифровой, или
электронной, подписи. Информация сертификата подтверждает истинность открытого
ключа и владельца соответствующего личного ключа. Обычно сертификаты содержат
дополнительную информацию, позволяющую идентифицировать владельца личного
ключа, соответствующего данному открытому ключу. Сертификат должен быть подписан
авторизованным генератором сертификатов. Наиболее распространенным на данный
момент стандартом сертификатов является ITU-T X.509. Эта фундаментальная
технология применяется в Windows 2000. Однако это не единственная форма
сертификатов.
Центр сертификации. Центр сертификации (ЦС), или
поставщик сертификатов (Certificate Authority, СА), — это организация или
служба, создающая сертификаты. ЦС выступает в качестве гаранта истинности связи
между открытым ключом субъекта и идентифицирующей этот субъект информацией,
содержащейся в сертификате. Различные ЦС могут применять для проверки связи
различные средства, поэтому перед выбором достойного доверия ЦС важно хорошо
понять политику данного ЦС и применяемые им процедуры проверки.
Доверие и проверка. Получив подписанное сообщение,
следует решить: насколько можно доверять данной подписи? Действительно ли
подпись была поставлена тем, кого она представляет? Математическую верность
подписи можно проверить по получении подписанного сообщения. Для этого
применяется открытый ключ. Но при этом нет полной уверенности в том, что
используемый открытый ключ действительно принадлежит корреспонденту, от
которого получено подписанное сообщение. Возникает необходимость проверки
принадлежности открытого ключа. Она может быть проведена с помощью сертификата,
созданного центром авторизации, пользующимся доверием у стороны, получившей
подписанное сообщение. В сертификате должна содержаться следующая информация:
· Криптографически верная подпись,
идентифицирующая создателя сертификата;
· Подтверждение связи между стороной,
приславшей подписанное сообщение, и ее открытым ключом;
· Сертификат должен быть создан ЦС,
которому приемная сторона доверяет. Истинность полученного сертификата может
быть проверена с помощью от крытого ключа, принадлежащего создавшему этот
сертификат ЦС.
Применение алгоритмов шифрования с открытым ключом в
Windows 2000. Операционная система Windows 2000 обладает развитыми средствами
шифрования данных с открытым ключом, представляющими собой дальнейшее развитие служб
шифрования информации Windows NT. На данный момент Windows 2000 располагает
интефированным набором служб и инструментов администрирования, предназначенных
для создания, реализации и управления приложениями, использующими алгоритмы
шифрования с открытым ключом. Это позволит независимым разработчикам
программного обеспечения интенсивно применять в своих продуктах технологию
общего ключа (shared key). В то же время предприятия получают возможность
создавать и поддерживать эффективные защищенные вычислительные среды, применяя
для этого хорошо развитый и легкий в работе набор инструментов и механизмов
обеспечения соблюдения политик безопасности.
Компоненты Windows 2000, обеспечивающие шифрование.
Средства работы с открытым ключом не заменяют существующих механизмов
доверительных отношений между доменами и аутентификации, реализованных с
помощью контроллеров доменов и центров распространения ключей Kerberos (Key
Distribution Center, KDC). Напротив, данные средства взаимодействуют с этими
службами, что позволяет приложениям безопасно передавать конфиденциальную
информацию через Интернет и корпоративным глобальным каналам.
Поддержка прикладных средств шифрования информации с
открытым ключом включена в состав программного обеспечения операционных систем
Windows 2000, Windows NT, а также Windows 95/98.
Основой архитектуры поддержки прикладных программ
шифрования информации с открытым ключом является библиотека CryptoAPI. Она
позволяет работать со всеми устанавливаемыми поставщиками услуг шифрования
(Cryptographic Service Providers, CSP) через стандартный интерфейс. CSP могут
быть реализованы на программном уровне или с помощью специального оборудования.
Они поддерживают различные длины ключей и алгоритмы шифрования. Один из CSP
поддерживает смарт-карты. Услугами служб шифрования пользуются службы
управления сертификатами. Они соответствуют стандарту Х.509 v3 и позволяют
организовывать принудительное хранение, службы подсчета и дешифрования. Кроме
того, эти службы предназначены для работы с различными отраслевыми стандартами
сообщений. В основном они поддерживают стандарты PKCS и разработанный в IETF
(Internet Engineering Task Force) набор предварительных стандартов PKIX (Public
Key Infrastructure, X.509).
Остальные службы используют CryptoAPI для придания
дополнительной функциональности прикладным программам. Защищенный канал (Secure
Channel) поддерживает сетевую аутентификацию и шифрование в соответствии со
стандартными протоколами TLS и SSL, обращение к которым может быть выполнено с
помощью интерфейсов Microsoft Winlnet и SSPI. Служба Authenticode предназначена
для проверки и подписи объектов и в основном используется при получении
информации через Интернет. В состав программного обеспечения служб поддержки
прикладных средств шифрования входит поддержка интерфейса, предназначенного для
работы со смарт-картами. Они используются для регистрации на компьютере и в
сети Windows 2000.
Политики безопасности действуют в рамках сайта, домена
или контейнера (подразделения, организационной единицы, OU) каталога Active
Directory и распространяются на группы, компьютеры и пользователей — то есть на
все объекты администрирования. Безопасность шифрования с открытым ключом
является одним из аспектов общей политики безопасности Windows 2000 и
интегрирована в ее структуру. Это механизм, с помощью которого можно
посредством объектов политики безопасности централизованно осуществлять
настройку и управление глобальной политикой работы с открытым ключом.
С помощью политики открытого ключа можно определять
следующие аспекты безопасности Windows 2000:
· Доверенные корни ЦС;
· Регистрация и обновление
сертификатов;
· Регистрация в системе с помощью
смарт-карты.
Шифрующая файловая система EFS
На персональном компьютере операционную систему можно
загрузить не с жесткого, а с гибкого диска. Это позволяет обойти проблемы,
связанные с отказом жесткого диска и разрушением загрузочных разделов. Однако,
поскольку с помощью гибкого диска можно загружать различные операционные
системы, любой пользователь, получивший физический доступ к компьютеру, может обойти
встроенную систему управления доступом файловой системы Windows 2000 (NTFS) и с
помощью определенных инструментов прочесть информацию жесткого диска. Многие
конфигурации оборудования позволяют применять пароли, регулирующие доступ при
загрузке. Однако такие средства не имеют широкого распространения. Кроме того,
если на компьютере работает несколько пользователей, подобный подход не дает
хороших результатов, да и сама защита с помощью пароля недостаточно надежна.
Вот типичные примеры несанкционированного доступа к данным:
Хищение переносного компьютера. Любой злоумышленник
может похитить переносной компьютер, а затем получить доступ к конфиденциальной
информации, находящейся на его жестком диске.
Неограниченный доступ. Компьютер оставлен в рабочем
состоянии, и за ним никто не наблюдает. Любой пользователь может подойти к
такому компьютеру и получить доступ к конфиденциальной информации.
Из приведенных выше соображений следует вывод:
единственный надежный способ защиты информации — это шифрующая файловая
система. На рынке программного обеспечения существует целый набор продуктов,
обеспечивающих шифрование данных с помощью образованного от пароля ключа на
уровне приложений. Однако такой подход имеет ряд ограничений:
· Ручное шифрование и дешифрование. Службы
шифрования большинства продуктов непрозрачны для пользователей. Пользователю
приходится расшифровывать файл перед каждым его использованием, а затем опять
зашифровывать. Если пользователь забывает зашифровать файл после окончания
работы с ним, информация остается незащищенной. Поскольку каждый раз необходимо
указывать, какой файл должен быть зашифрован (и расшифрован), применение такого
метода защиты информации сильно затруднено.
· Утечка информации из временных файлов
и файлов подкачки. Практически все приложения в процессе редактирования
документов создают временные файлы. Они остаются на диске незашифрованными,
несмотря на то, что оригинальный файл зашифрован. Кроме того, шифрование
информации на уровне приложений выполняется в режиме пользователя Windows 2000.
Это значит, что ключ, применяемый для такого типа шифрования, может храниться в
файле подкачки. В результате, с помощью изучения данных файла подкачки можно
получить ключ и расшифровать все документы пользователя;
· Слабая криптостойкостъ ключей. Ключи
образуются от паролей или случайных фраз. Поэтому в случае, если пароль был
легко запоминаемым, атаки с помощью словарей могут легко привести к взлому
системы защиты;
· Невозможность восстановления данных.
Большинство продуктов, позволяющих шифровать информацию, не предоставляют
средств восстановления данных, что для пользователей является дополнительным
поводом не применять средства шифрования. Это особенно касается тех работников,
которые не хотят запоминать дополнительный пароль. С другой стороны, средство
восстановления данных с помощью пароля — еще одна брешь в системе защиты
информации. Все, что необходимо злоумышленнику, — это пароль, предназначенный
для запуска механизма восстановления данных, который позволит получить доступ к
зашифрованным файлам.
Все перечисленные выше проблемы позволяет решить
шифрующая файловая система (Encrypting File System, EFS), реализованная в
Windows 2000 и работающая только на NTFS 5.0. В следующих разделах подробно
описаны технология шифрования, место шифрования в операционной системе,
взаимодействие с пользователями и способ восстановления данных.
Архитектура EFS. EFS содержит следующие компоненты
операционной системы Windows 2000:
Драйвер EFS.
Драйвер EFS является надстройкой над файловой
системой NTFS. Он обменивается данными со службой EFS — запрашивает ключи шифрования,
наборы DDF (Data Decryption Field) и DRF (Data Recovery Field), — а также с другими службами управления ключами.
Полученную информацию драйвер EFS
передает библиотеке реального времени файловой системы EFS (File System Run-Time Library, FSRTL),
которая прозрачно для операционной системы выполняет различные операции,
характерные для файловой системы (чтение, запись, открытие файла, присоединение
информации);
Библиотека реального времени файловой системы EFS. FSRTL — это модуль, находящийся внутри драйвера EFS, реализующий вызовы NTFS. выполняющие такие операции, как
чтение, запись и открытие зашифрованных файлов и каталогов, а также операции,
связанные с шифрованием, дешифрованием и восстановлением файлов при их чтении
или записи на диск. Хотя драйверы EFS и FSRTL реализованы в виде одного
компонента, они никогда не обмениваются данными напрямую. Для передачи
сообщений друг другу они используют механизм вызовов (callouts) NTFS, предназначенный для управления файлами. Это
гарантирует, что вся работа с файлами происходит при непосредственном участии NTFS. С помощью механизма управления
файлами операции записи значений атрибутов EFS (DDF и DRF) реализованы как обычная модификация
атрибутов файла. Кроме того, передача ключа
· шифрования файла FEK (см. ниже), полученного службой EFS, в FSRTL выполняется так, чтобы он мог быть установлен в
контексте открытого файла. Затем контекст файла используется для
автоматического выполнения операций шифрования и дешифрования при записи и
чтении информации файла;
· Служба EFS. Служба EFS (EFS Service)
является частью системы безопасности операционной системы. Для обмена данными с
драйвером EFS она использует порт связи LPC, существующий между локальным
администратором безопасности (Local Security Authority, LSA) и монитором
безопасности, работающим в привилегированном режиме. В режиме пользователя для
создания ключей шифрования файлов и генерирования данных для DDF и DRF служба
EFS использует CryptoAPI. Она также поддерживает набор API для Win32;
· Набор API для Win32. Этот набор интерфейсов прикладного
программирования позволяет выполнять шифрование файлов, дешифрование и
восстановление зашифрованных файлов, а также их импорт и экспорт (без
предварительного дешифрования). Эти API поддерживаются стандартным системным модулем DLL — advapi32.dll.
Технологии шифрования EFS основана на шифровании с
открытым ключом и использует все возможности архитектуры CryptoAPI в Windows 2000. Каждый файл шифруется с помощью случайно сгенерированного
ключа, зависящего от пары открытого (public) и личного, закрытого (private)
ключей пользователя. Подобный подход в значительной степени затрудняет
осуществление большого набора атак, основанных на криптоанализе. При
криптозащите файлов может быть применен любой алгоритм симметричного
шифрования. Текущая версия EFS
использует алгоритм DESX (расширенный DES) с длиной ключа 56 бит. EFS позволяет осуществлять шифрование и
дешифрование файлов, находящихся на удаленных файловых серверах.
Принципы шифрования. В EFS для шифрования и
дешифрования информации используются открытые ключи. Данные зашифровываются с
помощью симметричного алгоритма с применением ключа шифрования файла (File
Encryption Key, FEK). FEK — это сгенерированный случайным образом ключ, имеющий
определенную длину. В свою очередь, FEK шифруется с помощью одного или
нескольких открытых ключей, предназначенных для криптозащиты ключа. В этом
случае создается список зашифрованных ключей FEK, что позволяет организовать
доступ к файлу со стороны нескольких пользователей. Для шифрования набора FEK
применяется открытая часть пары ключей каждого пользователя. Список
зашифрованных ключей FEK хранится вместе с зашифрованным файлом в специальном
атрибуте EFS, называемом полем дешифрования данных (Data Decryption Field,
DDF). Информация, требуемая для дешифрования, привязывается к самому файлу.
Секретная часть ключа пользователя необходима при дешифровании FEK. Она
хранится в безопасном месте, например на смарт-карте или другом устройстве,
обладающем высокой степенью защищенности.
Операция шифрования. Шифрование данных производится в
следующем порядке:
· Незашифрованный файл пользователя
шифруется с помощью сгенерированного случайным образом ключа шифрования файла, FEK;
· FEK шифруется с помощью открытой части
пары ключей пользователя и помещается в поле дешифрования данных, DDF;
· FEK шифруется с помощью открытой части
ключа восстановления и помещается в поле восстановления данных, DRF.
Операция дешифрования. Дешифрование данных
производится следующим образом:
· Из DDF извлекается зашифрованный FEK и дешифруется с помощью секретной части ключа
пользователя;
· Зашифрованный файл пользователя
дешифруется с помощью FEK,
полученного на предыдущем этапе.
При работе с большими файлами дешифруются только
отдельные блоки, что значительно ускоряет выполнение операций чтения.
Процесс восстановления файла после утраты секретной
части ключа
Для восстановления данных выполняются следующие
операции:
· Из DDF извлекается зашифрованный FEK и дешифруется с помощью секретной части ключа
восстановления.
· Зашифрованный файл пользователя
дешифруется с помощью FEK,
полученного на предыдущем этапе.
Описанная выше общая система криптозащиты позволяет
применять максимально надежную технологию шифрования и дает возможность многим
пользователям и агентам восстановления получать общий доступ к зашифрованным
файлам. Она полностью независима от применяемого алгоритма шифрования, что
очень важно, поскольку позволит в будущем легко перейти на новые, более
эффективные алгоритмы.
Место EFS в Windows 2000тесно взаимодействует с NTFS
5.0. Временные файлы, создаваемые приложениями, наследуют атрибуты оригинальных
файлов (если файлы находятся в разделе NTFS). Вместе с файлом шифруются также и
его временные копии. EFS находится в ядре Windows 2000 и использует для
хранения ключей специальный пул, не выгружаемый на жесткий диск. Поэтому ключи
никогда не попадают в файл подкачки.
Конфигурация EFS, устанавливаемая по умолчанию,
позволяет пользователю шифровать свои файлы без всякого вмешательства со стороны
администратора. В этом случае EFS автоматически генерирует для пользователя
пару ключей (открытый и личный), применяемую для криптозащиты данных.исключает
необходимость предварительного расшифровывания данных при доступе к ним.
Операции шифрования и дешифрования выполняются автоматически при записи или
считывании информации. EFS автоматически распознает зашифрованный файл и найдет
соответствующий ключ пользователя в системном хранилище ключей. Поскольку
механизм хранения ключей основан на применении CryptoAPI, пользователи получают
возможность хранить ключи на защищенных устройствах, например, смарт-картах.
Если зашифрованные файлы хранятся на общих ресурсах,
то для работы с ними пользователи должны иметь сертификат и личный ключ того,
кто установил шифрование этих файлов. Впоследствии каждый пользователь может
при необходимости независимо расшифровать файл при помощи своего личного ключа.
Предупреждение. Будьте внимательны: нельзя шифровать
сжатые файлы и папки (и наоборот — сжимать зашифрованные данные)! Каталоги и
файлы можно шифровать только на томах NTFS.
Работа с EFS
Управление сертификатами пользователей. Пользователи
могут запрашивать, экспортировать, импортировать сертификаты, служащие в EFS
для идентификации пользователей, а также управлять ими. Эта возможность
предназначена для опытных пользователей, которые хотят иметь средство
управления собственными сертификатами. Обычно пользователям не приходится
самостоятельно управлять сертификатами, поскольку EFS автоматически генерирует
для них пару ключей при первом обращении к ней — т.е. при попытке зашифровать
файл или каталог (при этом открытый ключ сертифицируется в центре сертификации,
а если таковой недоступен, то EFS сама подписывает открытый ключ).
Утилита cipher. Эта утилита командной строки позволяет
шифровать и дешифровать файлы. Параметр путь может быть маской, файлом или
каталогом. Команда cipher без параметров выдает информацию о том, зашифрован ли
данный каталог или файлы, находящиеся в нем. Если параметр путь присутствует,
то имен файлов может быть несколько. Между собой параметры должны быть
разделены пробелом.
Для того чтобы зашифровать каталог Мои документы,
введите команду:
с:\cipher /Е «Мои документы»
Для того чтобы зашифровать все файлы с расширением
doc, введите команду:
с:\cipher /Е /А *.doc
Шифрование файлов и каталогов
Поскольку шифрование и дешифрование выполняются
автоматически, пользователь может работать с файлом так же, как и до установки
его криптозащиты. Например, можно так же открыть текстовый процессор Word,
загрузить документ и отредактировать его, как и прежде. Все остальные
пользователи, которые попытаются получить доступ к зашифрованному файлу,
получат сообщение об ошибке доступа, поскольку они не владеют необходимым
личным ключом, позволяющим им расшифровать файл. Следует отметить, что
пользователи (в данном случае администраторы) не должны шифровать файлы,
находящиеся в системном каталоге, поскольку они необходимы для загрузки
системы, в процессе которой ключи пользователя недоступны. Это сделает
невозможным дешифрование загрузочных файлов, и система потеряет
работоспособность. Проводник предотвращает возможность возникновения такой
ситуации, не позволяя шифровать файлы с атрибутом системный.
Шифрование информации задается в окне свойств файла
или папки:
· В появившемся окне свойств на вкладке
Общие (General) нажмите кнопку Другие (Advanced). Появится окно диалога Дополнительные
атрибуты (Advanced Attributes);
· В группе Атрибуты сжатия и шифрования
(Compress or Encrypt attributes) установите флажок Шифровать
содержимое для защиты данных (Encrypt contents
to secure data) и нажмите кнопку ОК;
· Нажмите кнопку ОК в окне свойств зашифровываемого
файла или папки. В появившемся окне диалога укажите режим шифрования.
При шифровании папки можно указать следующие режимы
применения нового атрибута:
· Только к этой папке
(Apply changes to this folder);
· К этой папке и всем вложенным папкам и файлам (Apply changes to this folder,
subfolders and files);
Дешифрование файлов и каталогов
· Чтобы дешифровать файл или папку, на
вкладке Общие окна свойств соответствующего объекта нажмите кнопку Другие.
· В открывшемся окне диалога в группе
Атрибуты сжатия и шифрования сбросьте флажок Шифровать содержимое для защиты
данных.
Задание к работе.
. Войти в систему (Windows)
как User с заданным именем. 2. Создать на
диске С (каком-либо каталоге) папку с именем <Dir_Name>.
3. Поместить в папку 2 небольших файла — текстовый и любой не текстовый. 4.
Зашифровать файлы и каталог программой cipher. 5. Войти снова в систему как User (но с другим именем). 6. Войти в
каталог <Dir_Name> и просмотреть файлы. 7. Полученные результаты
объяснить.
Вопросы для самоконтроля.
Аутентификация (проверка подлинности); Целостность (integrity); Конфиденциальность (privacy); Предотвращение повторного
использования (anti-replay); Шифрование с открытым ключом;
Цифровые (электронные) подписи; Распределенная аутентификация; Шифрование
больших объемов данных; Обеспечение истинности открытых ключей; Что такое
сертификат ? Центр сертификации; Доверие и проверка; Применение алгоритмов
шифрования с открытым ключом в Windows 2000; Компоненты Windows 2000,
обеспечивающие шифрование; Политики безопасности; Шифрующая файловая система
EFS; Архитектура EFS; Технологии шифрования EFS; Принципы шифрования; Операция
шифрования; Операция дешифрования; Процесс восстановления файла после утраты
секретной части ключа; Место EFS в Windows 2000; Работа с EFS; Управление
сертификатами пользователей; Утилита cipher; Шифрование файлов и каталогов;
Дешифрование файлов и каталогов; Восстановление зашифрованных файлов на другом
компьютере; Создание резервной копии сертификата; Восстановление сертификата из
резервной копии; Восстановление данных, зашифрованных с помощью неизвестного
личного ключа.
Лабораторная работа №4
Тема: «Обзор
антивирусных программ для персональных пользователей»
Цель работы: Приобретение навыков работы с
антивирусными программами.
Краткие теоретические сведения
Прежде чем приступать непосредственно к обзору антивирусных продуктов,
необходимо ввести ряд определений и рассказать о ключевых технологиях,
используемых в антивирусных программах.
Основные методы определения вирусов
Антивирусные программы развивались параллельно с эволюцией вирусов. По
мере того как появлялись новые технологии создания вирусов, усложнялся и
математический аппарат, который использовался в разработке антивирусов.
Первые антивирусные алгоритмы строились на основе сравнения с эталоном.
Речь идет о программах, в которых вирус определяется классическим ядром по
некоторой маске. Смысл алгоритма заключается в использовании статистических
методов. Маска должна быть, с одной стороны, маленькой, чтобы объем файла был
приемлемых размеров, а с другой — достаточно большой, чтобы избежать ложных
срабатываний (когда «свой» воспринимается как «чужой», и наоборот).
Первые антивирусные программы, построенные по этому принципу (так
называемые сканеры-полифаги), знали некоторое количество вирусов и умели их
лечить. Создавались эти программы следующим образом: разработчик, получив код
вируса (код вируса поначалу был статичен), составлял по этому коду уникальную
маску (последовательность 10-15 байт) и вносил ее в базу данных антивирусной программы.
Антивирусная программа сканировала файлы и, если находила данную
последовательность байтов, делала заключение о том, что файл инфицирован.
Данная последовательность (сигнатура) выбиралась таким образом, чтобы она была
уникальной и не встречалась в обычном наборе данных.
Описанные подходы использовались большинством антивирусных программ
вплоть до середины 90-х годов, когда появились первые полиморфные вирусы,
которые изменяли свое тело по непредсказуемым заранее алгоритмам. Тогда
сигнатурный метод был дополнен так называемым эмулятором процессора,
позволяющим находить шифрующиеся и полиморфные вирусы, не имеющие в явном виде
постоянной сигнатуры.
Принцип эмуляции процессора демонстрируется на рис. 1. Если обычно
условная цепочка состоит из трех основных элементов: ЦПУ®ОС® Программа, то при
эмуляции процессора в такую цепочку добавляется эмулятор. Эмулятор как бы
воспроизводит работу программы в некотором виртуальном пространстве и
реконструирует ее оригинальное содержимое. Эмулятор всегда способен прервать
выполнение программы, контролирует ее действия, не давая ничего испортить, и
вызывает антивирусное сканирующее ядро.
Рис. 1. Схема работы эмулятора процессора.
Второй механизм, появившийся в середине 90-х годов и
использующийся всеми антивирусами, — это эвристический анализ. Дело в том, что
аппарат эмуляции процессора, который позволяет получить выжимку действий,
совершаемых анализируемой программой, не всегда дает возможность осуществлять
поиск по этим действиям, но позволяет произвести некоторый анализ и выдвинуть
гипотезу типа «вирус или не вирус?».
В данном случае принятие решения основывается на статистических подходах.
А соответствующая программа называется эвристическим анализатором. Для того
чтобы размножаться, вирус должен совершать какие-либо конкретные действия:
копирование в память, запись в сектора и т.д. Эвристический анализатор (он
является частью антивирусного ядра) содержит список таких действий,
просматривает выполняемый код программы, определяет, что она делает, и на
основе этого принимает решение, является данная программа вирусом или нет.
При этом процент пропуска вируса, даже неизвестного антивирусной
программе, очень мал. Данная технология сейчас широко используется во всех
антивирусных программах.
Классификация антивирусных программ
Классифицируются антивирусные программы на чистые антивирусы и антивирусы
двойного назначения (рис. 2). Чистые антивирусы отличаются наличием
антивирусного ядра, которое выполняет функцию сканирования по образцам.
Принципиальным в этом случае является то, что возможно лечение, если известен
вирус. Чистые антивирусы, в свою очередь, по типу доступа к файлам
подразделяются на две категории: осуществляющие контроль по доступу (on access)
или по требованию пользователя (on demand). Обычно on access-продукты называют
мониторами, а on demand-продукты — сканерами.
Оn demand-продукт работает по следующей схеме: пользователь хочет
что-либо проверить и выдает запрос (demand), после чего осуществляется
проверка. On access-продукт — это резидентная программа, которая отслеживает
доступ и в момент доступа осуществляет проверку.
Рис. 2. Схема классификации антивирусных программ
Кроме того, антивирусные программы, так же как и вирусы, можно разделить
в зависимости от платформы, внутри которой данный антивирус работает. В этом
смысле наряду с Windows или Linux к платформам могут быть отнесены Microsoft
Exchange Server, Microsoft Office, Lotus Notes.
Программы двойного назначения — это программы, используемые как в
антивирусах, так и в ПО, которое антивирусом не является. Например, CRC-checker
— ревизор изменений на основе контрольных сумм — может использоваться не только
для ловли вирусов. Разновидностью программ двойного назначения являются
поведенческие блокираторы, которые анализируют поведение других программ и при
обнаружении подозрительных действий блокируют их. От классического антивируса с
антивирусным ядром, распознающего и лечащего от вирусов, которые
анализировались в лаборатории и которым был прописан алгоритм лечения,
поведенческие блокираторы отличаются тем, что лечить от вирусов они не умеют,
поскольку ничего о них не знают.
Данное свойство блокираторов позволяет им работать с любыми вирусами, в
том числе и с неизвестными. Это сегодня приобретает особую актуальность,
поскольку распространители вирусов и антивирусов используют одни и те же каналы
передачи данных, то есть Интернет. При этом антивирусной компании всегда нужно
время на то, чтобы получить сам вирус, проанализировать его и написать
соответствующие лечебные модули. Программы из группы двойного назначения как
раз и позволяют блокировать распространение вируса до того момента, пока
компания не напишет лечебный модуль.
Обзор наиболее популярных антивирусных программ.
В обзор вошли наиболее популярные антивирусы для персонального
использования от трех известных разработчиков. Следует отметить, что некоторые
из рассмотренных ниже компаний предлагают несколько версий персональных
программ, различающихся по функциональности и соответственно по цене. В нашем
обзоре мы рассмотрели по одному продукту от каждой компании, выбрав наиболее
функциональную версию, которая, как правило, носит название Personal Pro.
Другие варианты персональных антивирусов можно найти на соответствующих сайтах.
Антивирус КасперскогоPro v. 4.0
Разработчик: «Лаборатория Касперского». Web-сайт:
#»862794.files/image005.gif»>
Рис. 3. Антивирус Касперского Personal Pro
Антивирус Касперского Personal Pro (рис. 3) — одно из наиболее популярных
решений на российском рынке и содержит целый ряд уникальных технологий.
Поведенческий блокиратор модуль Office Guard держит под контролем выполнение
макросов, пресекая все подозрительные действия. Наличие модуля Office Guard
дает стопроцентную защиту от макровирусов. Ревизор Inspector отслеживает все
изменения в вашем компьютере и при обнаружении несанкционированных изменений в
файлах или в системном реестре позволяет восстановить содержимое диска и
удалить вредоносные коды. Inspector не требует обновлений антивирусной базы:
контроль целостности осуществляется на основе снятия оригинальных отпечатков
файлов (CRC-сумм) и их последующего сравнения с измененными файлами. В отличие
от других ревизоров, Inspector поддерживает все наиболее популярные форматы
исполняемых файлов.
Эвристический анализатор дает возможность защитить компьютер даже от
неизвестных вирусов.
Фоновый перехватчик вирусов Monitor, постоянно присутствующий в памяти
компьютера, проводит антивирусную проверку всех файлов непосредственно в момент
их запуска, создания или копирования, что позволяет контролировать все файловые
операции и предотвращать заражение даже самыми технологически совершенными
вирусами.
Антивирусная фильтрация электронной почты предотвращает возможность
проникновения вирусов на компьютер. Встраиваемый модуль Mail Checker не только
удаляет вирусы из тела письма, но и полностью восстанавливает оригинальное содержимое
электронных писем. Комплексная проверка почтовой корреспонденции не позволяет
вирусу укрыться ни в одном из элементов электронного письма за счет проверки
всех участков входящих и исходящих сообщений, включая прикрепленные файлы (в
том числе архивированные и упакованные) и другие сообщения любого уровня
вложенности.
Антивирусный сканер Scanner дает возможность проводить полномасштабную
проверку всего содержимого локальных и сетевых дисков по требованию.
Перехватчик скрипт-вирусов Script Checker обеспечивает антивирусную
проверку всех запускаемых скриптов до того, как они будут выполнены.
Поддержка архивированных и компрессированных файлов обеспечивает
возможность удаления вредоносного кода из зараженного компрессированного файла.
Изоляция инфицированных объектов обеспечивает изоляцию зараженных и
подозрительных объектов с последующим их перемещением в специально
организованную директорию для дальнейшего анализа и восстановления.
Автоматизация антивирусной защиты позволяет создавать расписание и порядок
работы компонентов программы; автоматически загружать и подключать новые
обновления антивирусной базы через Интернет; рассылать предупреждения об
обнаруженных вирусных атаках по электронной почте и т.д.
Doctor Web для
Windows 95-XP
Разработчик:
«Лаборатория Данилова» и «ДиалогНаука». Web-сайт:
<#»862794.files/image006.gif»>
Программа
построена помодульному принципу, то есть разделена на оболочку, ориентированную
на работу в конкретной среде, и ядро, не зависимое от среды.
Подобная
организация позволяет использовать одни и те же файлы вирусной базы Dr.Web для
разных платформ, подключать ядро к различным оболочкам и приложениям,
реализовывать механизм автоматического пополнения вирусных баз и обновления
версий оболочки и ядра через сеть Интернет.
Программа
предлагает наглядные средства выбора объектов тестирования путем просмотра
дерева подкаталогов. Обновление антивирусной базы производится автоматически
через Интернет.
Сторож
SpIDer осуществляет анализ всех опасных действий работающих программ и
блокирует вирусную активность практически всех известных и еще неизвестных
вирусов. Благодаря технологии SpIDer-Netting программа сводит к нулю процент
ложных срабатываний и пресекает все виды вирусной активности. Данная технология
позволяет не допустить заражения компьютера вирусом, даже если этот вирус не
сможет быть определен сканером Doctor Web с включенным эвристическим
анализатором. В отличие от ряда других существующих резидентных сторожей,
реагирующих на каждое проявление вирусоподобной активности и тем самым быстро
утомляющих пользователя своей назойливой подозрительностью, SpIDer проводит
эвристический анализ по совокупности вирусоподобных действий, что позволяет
избежать большинства случаев ложных реакций на вирус.
По
сравнению с полнофункциональной коммерческой версией она имеет следующие
ограничения:
· при старте выдается сообщение о том, что версия является
ознакомительной;
· не проверяются архивы и почтовые файлы;
· невозможно лечение зараженных файлов.
Чтобы
превратить ознакомительную версию в полнофункциональную рабочую, ее необходимо
зарегистрировать и получить регистрационный ключ. Подробную информацию об
условиях приобретения индивидуальных ключей для программы Dr.Web32 можно
получить по адресу: <#»862794.files/image007.gif»>
Единственным
недостатком данного продукта является его достаточно высокая цена.
Задание
к работе.
1. Изучите основные возможности вышеперечисленных антивирусных
программ.
2. Установите Doctor Web на ваш
персональный компьютер.
. Обновите антивирусные базы через Интерет.
. Выполните полную проверку компьютера на наличие вирусов.
. Изучите, какие действия можно выполнить с найденными вирусами.
Вопросы для самоконтроля.
1. Что с собой представляет антивирусная программа?
. Из каких компонентов состоит Антивирус Касперского?
. Какие достоинства и недостатки имеет Антивируса Касперского?
. Из каких компонентов состоит Doctor Web?
. Какие достоинства и недостатки имеет Doctor Web?
. Принцип работы Norton AntiVirus 2003 Professional
Edition?
Структура отчета по лабораторной
работе
1. Титульный лист (см. Приложение 1);
2. Название лабораторной работы;
. Цель лабораторной работы;
. Краткие теоретические сведения, необходимые для выполнения
лабораторной работы;
. Индивидуальное задание;
. Описание хода выполнения лабораторной работы;
. Выводы, обобщения, критический анализ и комментарии к
результатам, полученным в процессе выполнения лабораторной работы;
. Список литературы, использованной для выполнения лабораторной
работы.
Оформление отчета по лабораторной работе
Текст отчета пишется с одной стороны стандартного машинописного листа
формата А4. Межстрочное расстояние 1 интервал, размер шрифта — 12, шрифт — Times new Roman. Слева и справа на полях оставляются поля: слева 3
см., справа 1-1.5 см., сверху и снизу 2.0-2.5 см. Абзацный отступ — 1.25 см.
Список литературы должен оформляться согласно существующим правилам.
защита информация компьютер программа
Литература
1. Мельников В.В. Защита информации в компьютерных
системах.- М.: Финансы и статистика; Электронинформ, 1997. — 368 с.
. Анин Б.Ю. Защита компьютерной информации. СПб.:
БХВ-Петербург, 2000.- 384 с.
. Коул Эрик Руководство по защите от хакеров. : Пер. с
англ.- М.: Издательский дом «Вильямс», 2002.- 640 с.
. Крысин А.В. Информационная безопасность.
Практическое руководство. М.: СПАРРК, К.: ВЕК+, 2003.- 320 с.
. Евсеев Г.А., Симонович С.В Windows 98: Полный справочник в вопросах и ответах. М.:
АСТ-ПРЕСС КНИГА: Инфорком-Пресс, 2003. — 496с.
. Андреев А.Г. и др. Microsoft Windows 2000 Professional. СПб.: БХВ-Петербург, 2002.- 752 с.
. Попов В.Б. Основы информационных и
телекоммуникационных технологий. Основы информационной безопасности: Учеб.
пособие. — М.: Финансы и статистика, 2005.-176 с.
© 2025 Prezi Inc.
Terms & Privacy Policy