Реализация защиты серверов презентация

помощью шаблонов безопасности и групповых политик

и бесперебойная работа информационных ресурсов

поддержка

Приобретение

Исследования
Дизайн и внедрение
Интеграция
Тестирование
Сертификация

Обучение и тренировка

и взаимодействия систем
Сегрегация систем по задачам и требованиям безопасности
Определение доверяемых систем
Уровни доверия
Ограничение окружения и привилегий
Минимально допустимые права и привилегии
Службы и порты, необходимых для работы
Защита коммуникаций между системами и пользователями
Компромисс
Баланс между защищенностью системы и удобством работы с ней

базовой политики защиты
Рекомендации по защите различных типов серверов
Инструментарий для реализации защиты с помощью Групповых политик Active Directory
Набор шаблонов безопасности и сценариев

www.microsoft.com/security/guidance/prodtech/WindowsServer2003.mspx

серверы по ролям и использовать Групповые политики для централизованной настройки защиты

Отключить ненужные службы, переименовать встроенные учетные записи и ограничить их привилегии

Ограничить физический и сетевой доступ к серверам

описания
Ограничить права доступа к системе для служебных учетных записей
Administrator, Support_388945a0, Guest
Не использовать для работы сервисов доменные учетные записи
Использовать средства файловой системы NTFS для защиты файлов и папок

помощью шаблонов безопасности и групповых политик

для настройки системы безопасности

контейнеру назначено несколько политик, то они применяются поочередно, снизу вверх по списку

источников угроз
Выработка мер защиты от угроз
Создание детального плана действий на случай вторжения/атаки

каталога
Подключение отладчика к процессу LSA
Для достижения цели нужно
Получить физический доступ к контроллеру домена
Получить права администратора служб
У каждой компьютерной системы есть администратор…

или создание новой политики для домена
Политика паролей, учетных записей, параметры протокола Kerberos
Аудит системных разделов Active Directory
Разделение администраторов по категориям
Администраторы служб
Администраторы данных
Строгое делегирование и контроль административных полномочий

каждой роли
Встроенный контейнер для контроллеров домена
Групповая политика “Default Domain Controllers Policy”

Domain Policy

Domain

Member Server Baseline Policy

Member Servers

Domain Controllers

Domain Controllers Policy

Print Server Policy

File Server Policy

IIS Server Policy

Print Servers

File Servers

Web Servers

Operations Admin

Operations Admin

Web Service Admin

в защищенном окружении

Установить и соблюдать жесткие правила установки и восстановления контроллеров

Установить требуемые параметры защиты в Групповой политике для контроллеров домена

Обеспечить физическую защиту контроллеров

помощью шаблонов безопасности и групповых политик

применением шаблона проанализировать его параметры с помощью консоли «Security configuration and analysis»

Протестировать политику после импорта в нее шаблона безопасности

Хранить шаблоны в защищенном месте

определяет:
Политику аудита
Права пользователей
Параметры безопасности
Настройки журналов
Настройки системных служб

Domain Policy

Domain

Member Server Baseline Policy

Member Servers

Domain Controllers

Domain Controllers Policy

Print Server Policy

File Server Policy

IIS Server Policy

Print Servers

File Servers

Web Servers

Operations Admin

Operations Admin

Web Service Admin

между клиентами и серверами
При невозможности записать сообщения в журнал безопасности немедленно завершить работу
Запрет на анонимные подключения
Отключена аутентификация LM и NTLM v1
Разрешен только NTLM v2
Отключено кэширование регистрации пользователей

событий
Регистрация пользователя, управление учетными записями, доступ к объектам, изменение политик, системные события
Аудит неуспешных событий
Доступ к службе каталогов и использование привилегий

(где требуется):
Журнал сервера DHCP
Защита от DoS-атак на сервер DHCP
Настройка режима зон DNS
Active Directory-integrated
Учетные записи для сервисов
Блокировка ненужных портов с помощью фильтров IPSec

службы DFS и FRS, если они не используются
Назначить строгие права доступа к сетевым каталогам
Аудит доступа к критичным файлам
Регистрировать как успешные, так и неуспешные попытки доступа

«Print Spooler» должен быть включен и сконфигурирован
На каждом сервере печати
Для нормальной работы пользователей с очередью печати нужно отключить режим цифровой подписи коммуникаций в настройках протокола SMB

дополнительные настройки
Установить «IIS Lockdown» и настроить URLScan
Включить только необходимые компоненты IIS
Установить права доступа (NTFS) для папок, содержащих файлы веб-страниц и приложений
Разместить эти файлы на отдельном томе
Если возможно, не допускать одновременного разрешения на запись и исполнение для веб-сайта
Установить для приложений Средний или Высокий уровень защиты
Заблокировать все порты, кроме 80 and 443 с помощью фильтров IPSec

по умолчанию не установлен
По умолчанию включена усиленная защита
«IIS Lockdown» и «URL Scan»
По умолчанию обслуживается только статический контент
Web Service Extensions
Разрешение или запрет расширений
Права и разрешения
Такие же, как в IIS 5.0

домена, невозможно управлять с помощью групповых политик
Все настройки нужно делать в ручную, непосредственно на серверах
Возможно потребуется создать собственные шаблоны безопасности для каждого сервера
Для применения настроек можно использовать консоль «Security Configuration and Analysis» или утилиту Secedit
Security Configuration And Analysis
Графический инструмент для анализа настроек сервера и применения шаблонов
Secedit
Инструмент командной строки для автоматического применения шаблонов

быть только те сервисы, которые необходимы для конкретной роли

Включить журнал работы сервисов

Персональная модификация шаблонов для серверов, выполняющих одновременно несколько ролей

Блокировка ненужных портов с помощью фильтров IPSec

по защите серверов
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/prodtech/win2003/w2003hg/sgch00.asp

purposes only. Microsoft makes no warranties, express or implied, in this summary.