Способы защиты от сетевых вирусов
Методы и средства защиты от компьютерных вирусов
Александр Фролов, Григорий Фролов
В предыдущей статье, посвященной антивирусной защите, мы рассмотрели основные типы вирусов и способы их распространения. Теперь, основываясь на этих знаниях, мы займемся защитой от вирусов, троянских и других вредоносных программ. Мы расскажем о программно-технических и административно-технологических решениях и мероприятиях, необходимых для снижения риска вирусного заражения и уменьшения вреда, если такое заражение уже произошло.
Программно-технические методы обнаружения вирусов
Основным средством борьбы с вирусами были и остаются антивирусные программы. Можно использовать антивирусные программы (антивирусы), не имея представления о том, как они устроены. Однако без понимания принципов устройства антивирусов, знания типов вирусов, а также способов их распространения, нельзя организовать надежную защиту компьютера. Как результат, компьютер может быть заражен, даже если на нем установлены антивирусы.
Сегодня используется несколько основополагающих методик обнаружения и защиты от вирусов:
· использование антивирусных мониторов;
· использование антивирусов, встроенных в BIOS компьютера.
Кроме того, практически все антивирусные программы обеспечивают автоматическое восстановление зараженных программ и загрузочных секторов. Конечно, если это возможно.
Самая простая методика поиска вирусов заключается в том, что антивирусная программа последовательно просматривает проверяемые файлы в поиске сигнатур известных вирусов. Под сигнатурой понимается уникальная последовательность байт, принадлежащая вирусу, и не встречающаяся в других программах.
Антивирусные программы-сканеры способны найти только уже известные и изученные вирусы, для которых была определена сигнатура. Применение простых программ-сканеров не защищает Ваш компьютер от проникновения новых вирусов.
Для шифрующихся и полиморфных вирусов, способных полностью изменять свой код при заражении новой программы или загрузочного сектора, невозможно выделить сигнатуру. Поэтому простые антивирусные программы-сканеры не могут обнаружить полиморфные вирусы.
Эвристический анализ позволяет обнаруживать ранее неизвестные вирусы, причем для этого не надо предварительно собирать данные о файловой системе, как этого требует, например, рассмотренный ниже метод обнаружения изменений.
Антивирусные программы, реализующие метод эвристического анализа, проверяют программы и загрузочные секторы дисков и дискет, пытаясь обнаружить в них код, характерный для вирусов. Эвристический анализатор может обнаружить, например, что проверяемая программа устанавливает резидентный модуль в памяти или записывает данные в исполнимый файл программы.
Практически все современные антивирусные программы реализуют собственные методы эвристического анализа. На рис. 1 мы показали одну из таких программ — сканер McAffee VirusScan , запущенный вручную для антивирусной проверки диска.
Рис. 1. Сканер McAffee VirusScan проверяет диск
Когда антивирус обнаруживает зараженный файл, он обычно выводит сообщение на экране монитора и делает запись в собственном или системном журнале. В зависимости от настроек, антивирус может также направлять сообщение об обнаруженном вирусе администратору сети.
Если это возможно, антивирус вылечивает файл, восстанавливая его содержимое. В противном случае предлагается только одна возможность — удалить зараженный файл и затем восстановить его из резервной копии (если, конечно, она у Вас есть).
Существует еще целый класс антивирусных программ, которые постоянно находятся в памяти компьютера, и отслеживают все подозрительные действия, выполняемые другими программами. Такие программы носят название антивирусных мониторов или сторожей.
Монитор автоматически проверяет все запускаемые программы, создаваемые, открываемые и сохраняемые документы, файлы программ и документов, полученные через Интернет или скопированные на жесткий диск с дискеты и компакт диска. Антивирусный монитор сообщит пользователю, если какая-либо программа попытается выполнить потенциально опасное действие.
Рис. 2. Сканер Doctor Web
Антивирусные программы, называемые ревизорами диска, не выполняют поиск вирусов по сигнатурам. Они запоминают предварительно характеристики всех областей диска, которые подвергаются нападению вируса, а затем периодически проверяют их (отсюда происходит название программы-ревизоры). Ревизор может найти изменения, сделанные известным или неизвестным вирусом.
Вместе с ADinf применяется лечащий модуль ADinf Cure Module (ADinfExt), который использует собранную ранее информацию о файлах для восстановления их после поражения неизвестными вирусами. Ревизор AVP Inspector также имеет в своем составе лечащий модуль, способный удалять вирусы.
В системные платы компьютеров тоже встраивают простейшие средства защиты от вирусов. Эти средства позволяют контролировать все обращения к главной загрузочной записи жестких дисков, а также к загрузочным секторам дисков и дискет. Если какая-либо программа попытается изменить содержимое загрузочных секторов, срабатывает защита и пользователь получает соответствующее предупреждение.
Однако эта защита не очень надежна. Существуют вирусы (например, Tchechen.1912 и 1914), которые пытаются отключить антивирусный контроль BIOS, изменяя некоторые ячейки в энергонезависимой памяти (CMOS-памяти) компьютера.
Особенности защиты корпоративной интрасети
Корпоративня интрасеть может насчитывать сотни и тысячи компьютеров, играющих роль рабочих станций и серверов. Эта сеть обычно подключена к Интернету и в ней имеются почтовые серверы, серверы систем автоматизации документооборота, такие как Microsoft Exchange и Lotus Notes , а также нестандартные информационные системы.
Для надежной защиты корпоративной интрасети необходимо установить антивируы на все рабочие станции и серверы. При этом на файл-серверах, серверах электронной почты и серверах систем документооборота следует использовать специальное серверное антивирусное программное обеспечение. Что же касается рабочих станций, их можно защитить обычными антивирусными сканерами и мониторами.
Разработаны специальные антивирусные прокси-серверы и брандмауэры, сканирующие проходящий через них трафик и удаляющие из него вредоносные программные компоненты. Эти антивирусы часто применяются для защиты почтовых серверов и серверов систем документооборота.
Защита файловых серверов должна осуществляться с использованием антивирусных мониторов, способных автоматически проверять все файлы сервера, к которым идет обращение по сети. Антивирусы, предназначенные для защиты файловых серверов, выпускают все антивирусные компании, поэтому у Вас есть богатый выбор.
Антивирусные мониторы неэффективны для обнаружения вирусов в почтовых сообщениях. Для этого необходимы специальные антивирусы, способные фильтровать трафик SMTP , POP3 и IMAP , исключая попадание зараженных сообщений на рабочие станции пользователей.
Для защиты почтовых серверов можно приобрести антивирусы, специально предназначенные для проверки почтового трафика, или подключить к почтовому серверу обычные антивирусы, допускающие работу в режиме командной строки.
Демон антивируса Doctor Web можно интегрировать со всеми наиболее известными почтовыми серверами и системами, такими как Doctor ComminiGatePro , Sendmail , Postfix , Exim , QMail и Zmailer . Аналогичные средства предоставляются и Лабораторией Касперского в составе пакета Kaspersky Corporate Suite.
Почтовый сервер MERAK Mail Server допускает подключение внешних антивирусов различных типов, имеющих интерфейс командной строки. Некоторые почтовые серверы (например, EServ ) поставляются со встроенным антивирусом.
Можно также дополнительно проверять трафик POP 3 и на рабочих станциях пользователей. Это позволяет сделать, например, антивирусный прокси-сервер SpIDer Mail для протокола POP 3, который можно приобрести вместе с антивирусом Doctor Web .
Серверы систем документооборота, такие как Microsoft Exchange и Lotus Notes , хранят документы в базах данных собственного формата. Поэтому использование обычных файловых сканеров для антивирусной проверки документов не даст никаких результатов.
Существует ряд антивирусных программ, специально предназначенных для антивирусной защиты подобных систем. Это Trend Micro ScanMail для Lotus Notes , McAfee GroupScan и McAfee GroupShield , Norton Antivirus для Lotus Notes , антивирус Касперского Business Optimal для MS Exchange Server и некоторые другие.
Эти программы сканируют почту и файлы вложений, удаляя в реальном времени все вредоносные программы, обнаруживают макрокомандные вирусы и троянские программы в формах и макросах, в файлах сценариев и в объектах OLE. Проверка выполняется в режиме реального времени, а также по требованию.
Для антивирусной защиты нестандартных информационных систем, хранящих данные в собственных форматах, необходимо либо встраивать антивирусное ядру в систему, либо подключать внешний сканер, работающий в режиме командной строки.
Если же не обеспечить своевременное и эффективное выполнение перечисленных выше операций, технология антивирусной защиты корпоративной сети обязательно будет нарушена, что рано или поздно приведет к вирусному заражению. Например, пользователи могут неправильно настроить автоматическое обновление антивирусной базы данных или просто выключать свои компьютеры в то время, когда такое обновление выполняется. В результате автоматическое обновление не будет выполнено и возникнет потенциальная угроза заражения новыми вирусами.
В современных антивирусных системах реализованы следующие функции удаленного управления и контроля:
· установка и обновление антивирусных программ, а также антивирусных баз данных;
· централизованная дистанционная установка и настройка антивирусов;
· автоматическое обнаружение новых рабочих станций, подключенных к корпоративной сети, с последующей автоматической установкой на эти станции антивирусных программ;
· планирование заданий для немедленного или отложенного запуска (таких как обновление программ, антивирусной базы данных, сканирование файлов и т.п.) на любых компьютерах сети;
· отображение в реальном времени процесса работы антивирусов на рабочих станциях и серверах сети.
Сетевые центры управления позволяют управлять антивирусной защитой всей сети с одной рабочей станции системного администратора. При этом для ускорения процесса установки антивирусов в удаленных сетях, подключенных к основной сети медленными каналами связи, в этих сетях создаются собственные локальные дистрибутивные каталоги.
При использовании клиент-серверной архитектуры основой сетевого центра управления является антивирусный сервер, установленный на одном из серверов корпоративной сети. С ним взаимодействуют, с одной стороны, программы-агенты, установленные вместе с антивирусами на рабочих станциях сети, а с другой стороны — управляющая консоль администратора антивирусной защиты (рис. 3).
Рис. 3. Взаимодействие консоли администратора, агентов и антивирусного сервера
Антивирусный сервер выполняет управляющие и координирующие действия. Он хранит общий журнал событий, имеющих отношение к антивирусной защите и возникающих на всех компьютерах сети, список и расписание выполнения заданий. Антивирусный сервер отвечает за прием от агентов и передачу администратору антивирусной защиты сообщений о возникновении тех или иных событий в сети, выполняет периодическую проверку конфигурации сети с целью обнаружения новых рабочих станций или рабочих станций с изменившейся конфигурацией антивирусных средств и т.д.
Помимо агентов, на каждой рабочей станции и сервере корпоративной сети устанавливается антивирус, выполняющий сканирование файлов и проверку файлов при их открытии (функции сканера и антивирусного монитора). Результаты работы антивируса передаются через агентов антивирусному серверу, которых их анализирует и протоколирует в журнале событий.
Управляющая консоль может представлять собой стандартное приложение Microsoft Windows с оконным интерфейсом или аплет ( snap - in ) управляющей консоли Control Panel операционной системы Microsoft Windows . Первый подход реализован, например, а управляющей системе антивирусов Sophos , а второй — в управляющей системе Norton AntiVirus .
Пользовательский интерфейс управляющей консоли позволяет просматривать древовидную структуру корпоративной сети, получая при необходимости доступ к отдельным компьютерам тех или иных групп пользователей или доменов.
Архитектура многоуровневых систем с Web -интерфейсом предполагает использование Web -сервера в качестве ядра системы. Задачей этого ядра является, с одной стороны, организация диалогового интерактивного взаимодействия с пользователем, а с другой — с программными модулями той или иной системы.
Преимущества такого подхода заключаются в унификации способов управления различными системами сети, а также в отсутствии необходимости устанавливать на рабочую станцию администратора какие-либо управляющие программы или консоли. Администрирование может выполняться с любого компьютера сети, а если сеть подключена к Интернету, то из любого места земного шара, где есть Интернет и компьютер с браузером.
Для защиты управляющей информации при ее передаче по Интернету или корпоративной интрасети применяются протоколы SSH или другие аналогичные средства (например, собственные защищенные модификации протокола HTTP ).
На рис. 4-5 мы показали структурную схему системы антивирусной защиты с Web -интерфейсом Trend Virus Control System . Эта система позволяет полностью управлять и контролировать работу корпоративной системы антивирусной защиты с одной рабочей станции через браузер, даже если отдельные фрагменты сети находятся в разных странах или на разных континентах.
Рис. 4. Антивирусная система с Web -интерфейсом
Эта схема аналогична схеме, показанной на рис. 4-1, однако администратор антивирусной защиты управляет ее работой через браузер, а не через консольное приложение.
На рабочих станциях устанавливается антивирус ( PC - cillin , Server Protect , InterScan VirusWall , ScanMail и т.д.). Этот антивирус управляется антивирусным сервером через агента.
На компьютере, играющем роль антивирусного сервера, устанавливается Web -сервер Microsoft IIS . Специальное Web -приложение, работающее на этом сервере, управляет антивирусным сервером. Оно также предоставляет администратору пользовательский интерфейс для управления системой антивирусной защиты.
С целью обеспечения максимальной независимости от компьютерных платформ сервер Trend VCS Server и клиентское приложение написаны на языке программирования Java и других языках, применяющихся для разработки приложений Интернета.
Что же касается извещений о возникновении событий в корпоративной системе антивирусной защиты, то они передаются программами-агентами серверу Trend VCS Server и рассылаются по электронной почте, по пэйджинговым сетям, через системы SMS и т.п.
Административно-технологические методы защиты
Для того чтобы антивирусные программы эффективно выполняли свои функции, необходимо строго соблюдать рекомендации по их применению, описанные в документации. Особое внимание следует обратить на необходимость регулярного обновления вирусных баз данных и программных компонент антивирусов. Современные антивирусы умеют загружать файлы обновлений через Интернет или по локальной сети. Однако для этого их необходимо настроить соответствующим образом.
Однако даже без применения антивирусных программ можно постараться предотвратить проникновение вирусов в компьютер и уменьшить вред, который они нанесут в случае заражения. Вот что следует для этого сделать в первую очередь:
· блокируйте возможные каналы проникновения вирусов: не подключайте компьютер к Интернету и локальной сети компании, если в этом нет необходимости, отключите устройства внешней памяти, такие как дисководы для дискет и устройства CD - ROM ;
· настройте параметры BIOS таким образом, чтобы загрузка ОС выполнялась только с жесткого диска, но не с дискет;
· запретите программное изменение содержимого энергонезависимой памяти BIOS ;
· изготовьте системную загрузочную дискету, записав на нее антивирусы и другие системные утилиты для работы с диском, а также диск аварийного восстановления Microsoft Windows ;
· проверяйте все программы и файлы документов, записываемые на компьютер, а также дискеты с помощью антивирусных программ новейших версий;
· устанавливайте программное обеспечение только с лицензионных компакт-дисков;
· установите на всех дискетах защиту от записи и снимайте ее только в случае необходимости;
· ограничьте обмен программами и дискетами;
· регулярно выполняйте резервное копирование данных;
· устанавливайте минимально необходимые права доступа к каталогам файлового сервера, защищайте от записи каталоги дистрибутивов и программных файлов;
· составьте инструкцию для пользователей по антивирусной защите, описав в ней правила использования антивирусов, правила работы с файлами и электронной почтой, а также опишите действия, которые следует предпринять при обнаружении вирусов.
Проблема домашних компьютеров
Часто сотрудники компаний работают не только в офисе, но и дома, обмениваясь файлами между домашним компьютером и офисной рабочей станцией. Системный администратор компании не в состоянии защитить от вирусов все домашние компьютеры сотрудников. Вирусы могут попасть на домашний компьютер из Интернета, а также в результате обмена игровыми программами. Зачастую это происходит, если к домашнему компьютеру имеют доступ другие члены семьи и дети.
Установка персональных брандмауэров
Корпоративная сеть, подключенная к Интернету, должна быть защищена от атак хакеров при помощи брандмауэра. Однако помимо этого можно дополнительно защитить рабочие станции и серверы сети, установив на них персональные брандмауэры, такие как AtGuard (рис. 5).
Рис. 5. Настройка персонального брандмауэра AtGuard
Помимо фильтрации нежелательного трафика, некоторые персональные брандмауэры способны защитить компьютер от троянских аплетов Java и элементов управления ActiveX . Такие компоненты могут быть встроены в почтовые сообщения формата HTML и в страницы троянских Web -сайтов.
Персональные брандмауэры, находящиеся в так называемом режиме обучения, могут оказать помощь в обнаружении трафика от троянских программ, логических бомб и других нежелательных вредоносных компонентов. Когда такой компонент попытается установить связь с компьютером хакера, брандмауэр отобразит на экране предупреждающее сообщение.
Следует заметить, что в настройках браузера Вы также можете отключить возможность использования активных компонентов, таких как аплеты Java и элементов управления ActiveX . Однако персональные брандмауэры более универсальны, и позволяют блокировать использование таких компонентов любыми программами, например, почтовыми клиентами
Курс дистанционного обучения:
"Экономическая информатика"
Модуль 1 (1,5 кредит): Введение в экономическую информатику
1.4. Сервисное программное обеспечение ПК и основы алгоритмизации
Компьютерный вирус – это небольшая вредоносная программа, которая самостоятельно может создавать свои копии и внедрять их в программы (исполняемые файлы), документы, загрузочные сектора носителей данных.
Известно много различных способов классификации компьютерных вирусов.
Одним из способов классификации компьютерных вирусов – это разделение их по следующим основным признакам:
- среда обитания;
- особенности алгоритма;
- способы заражения;
- степень воздействия (безвредные, опасные, очень опасные).
В зависимости от среды обитания основными типами компьютерных вирусов являются:
- Программные (поражают файлы с расширением. СОМ и .ЕХЕ) вирусы.
- Загрузочные вирусы.
- Макровирусы.
- Сетевые вирусы.
Программные вирусы – это вредоносный программный код, который внедрен внутрь исполняемых файлов (программ). Вирусный код может воспроизводить себя в теле других программ – этот процесс называется размножением.
По прошествии определенного времени, создав достаточное количество копий, программный вирус может перейти к разрушительным действиям – нарушению работы программ и операционной системы, удаляя информации, хранящиеся на жестком диске. Этот процесс называется вирусной атакой.
Загрузочные вирусы – поражают не программные файлы, а загрузочный сектор магнитных носителей (гибких и жестких дисков).
Макровирусы – поражают документы, которые созданы в прикладных программах, имеющих средства для исполнения макрокоманд. К таким документам относятся документы текстового процессора WORD, табличного процессора Excel. Заражение происходит при открытии файла документа в окне программы, если в ней не отключена возможность исполнения макрокоманд.
Сетевые вирусы пересылаются с компьютера на компьютер, используя для своего распространения компьютерные сети, электронную почту и другие каналы.
По алгоритмам работы различают компьютерные вирусы:
- черви (пересылаются с компьютера на компьютер через компьютерные сети, электронную почту и другие каналы);
- вирусы-невидимки (Стелс-вирусы);
- троянские программы;
- программы – мутанты;
- логические бомбы;
- и другие вирусы.
В настоящее время к наиболее распространенным видам вредоносных программ, относятся: черви, вирусы, троянские программы.
Желательно не допускать появление вирусов в ПК, но при заражении компьютера вирусом очень важно его обнаружить.
Основные признаки появления вируса в ПК:
- медленная работа компьютера;
- зависания и сбои в работе компьютера;
- изменение размеров файлов;
- уменьшение размера свободной оперативной памяти;
- значительное увеличение количества файлов на диске;
- исчезновение файлов и каталогов или искажение их содержимого;
- изменение даты и времени модификации файлов.
- И другие признаки.
Одним из основных способов борьбы с вирусами является своевременная профилактика.
Чтобы предотвратить заражение вирусами и атаки троянских коней, необходимо выполнять некоторые рекомендации:
- Не запускайте программы, полученные из Интернета или в виде вложения в сообщение электронной почты без проверки на наличие в них вируса.
- Необходимо проверять все внешние диски на наличие вирусов, прежде чем копировать или открывать содержащиеся на них файлы или выполнять загрузку компьютера с таких дисков.
- Необходимо установить антивирусную программу и регулярно пользоваться ею для проверки компьютеров. Оперативно пополняйте базу данных антивирусной программы набором файлов сигнатур вирусов, как только появляются новые сигнатуры.
- Необходимо регулярно сканировать жесткие диски в поисках вирусов. Сканирование обычно выполняется автоматически при каждом включении ПК и при размещении внешнего диска в считывающем устройстве. При сканировании антивирусная программа ищет вирус путем сравнения кода программ с кодами известных ей вирусов, хранящихся в базе данных.
- создавать надежные пароли, чтобы вирусы не могли легко подобрать пароль и получить разрешения администратора. Регулярное архивирование файлов позволит минимизировать ущерб от вирусной атаки
- Основным средством защиты информации – это резервное копирование ценных данных, которые хранятся на жестких дисках
Существует достаточно много программных средств антивирусной защиты. Современные антивирусные программы состоят из модулей:
- Эвристический модуль – для выявления неизвестных вирусов.
- Монитор – программа, которая постоянно находится в оперативной памяти ПК
- Устройство управления, которое осуществляет запуск антивирусных программ и обновление вирусной базы данных и компонентов
- Почтовая программа (проверяет электронную почту)
- Программа сканер – проверяет, обнаруживает и удаляет фиксированный набор известных вирусов в памяти, файлах и системных областях дисков
- Сетевой экран – защита от хакерских атак
К наиболее эффективным и популярным антивирусным программам относятся: Антивирус Касперского 7.0, AVAST, Norton AntiVirus и многие другие.
Программа состоит из следующих компонентов:
- Файловый Антивирус - компонент, контролирующий файловую систему компьютера. Он проверяет все открываемые, запускаемые и сохраняемые файлы на компьютере.
- Почтовый Антивирус- компонент проверки всех входящих и исходящих почтовых сообщений компьютера.
- Веб-Антивирус – компонент, который перехватывает и блокирует выполнение скрипта, расположенного на веб-сайте, если он представляет угрозу.
- Проактивная защита - компонент, который позволяет обнаружить новую вредоносную программу еще до того, как она успеет нанести вред. Таким образом, компьютер защищен не только от уже известных вирусов, но и от новых, еще не исследованных.
Антивирус Касперского 7.0 – это классическая защита компьютера от вирусов, троянских и шпионских программ, а также от любого другого вредоносного ПО.
- Три степени защиты от известных и новых интернет-угроз: 1) проверка по базам сигнатур, 2) эвристический анализатор, 3) поведенческий блокиратор
- Защита от вирусов, троянских программ и червей.
- Защита от шпионского (spyware) и рекламного (adware) ПО.
- Проверка файлов, почты и интернет-трафика в режиме реального времени.
- Защита от вирусов при работе с ICQ и другими IM-клиентами.
- Защита от всех типов клавиатурных шпионов.
- Обнаружение всех видов руткитов.
- Автоматическое обновление баз.
Антивирусная программа avast! v. home edition 4.7 (бесплатная версия) русифицирована и имеет удобный интерфейс, содержит резидентный монитор, сканер, средства автоматического обновление баз и т.д.
Защита Avast основана на резидентных провайдерах, которые являются специальными модулями для защиты таких подсистем, как файловая система, электронная почта и т.д. К резидентным провайдерам Avast! относятся: Outlook/Exchange, Web-экран, мгновенные сообщения, стандартный экран, сетевой экран, экран P2P, электронная почта.
Состоит из одного модуля, который постоянно находится в памяти компьютера и осуществляет такие задачи как мониторинг памяти и сканирование файлов на диске. Доступ к элементам управления и настройкам программы выполняется с помощью соответствующих закладок и кнопок.
Автозащита должна быть всегда включенной, чтобы обеспечить защиту ПК от вирусов. Автозащита работает в фоновом режиме, не прерывая работу ПК.
Даже если блокируемые службы при установке из стандартного набора исключены, пользователи могут инсталлировать их без ведома администратора. Поэтому полезно отредактировать объект Group Policy Object (GPO) по имени Default Domain Policy, чтобы блокировать службы по умолчанию. Активизируя или отключая службы, следует помнить, что Windows 2000 пополняет GPO службами, обнаруженными на компьютере, на котором работает администратор. Поэтому редактировать GPO следует с машины, на которой установлены все необходимые службы.
Что делать с компьютерами, которым нужен доступ к одной или нескольким блокированным службам? Например, как быть с рабочими станциями, нуждающимися в доступе к службе IIS WWW для работы с Microsoft FrontPage? Можно построить особые GPO, которые активизируют соответствующие службы для отдельных компьютеров.
распаковывает файлы мастера в папке C:iislockd. Документация мастера хранится в файле iislockd.chm. При необходимости блокировать IIS на нескольких компьютерах программу можно запустить в автоматическом режиме, описание которого содержится в файле runlockdunattended.doc. Чтобы запустить мастер на всех компьютерах из списка в Active Directory (AD), можно составить сценарий начальной загрузки для GPO. Например, с помощью сценария начальной загрузки во FrontPageWorkstationsPolicies GPO можно запустить мастер на всех машинах группы FrontPageWorkstations. Windows 2000 автоматически выполняет эти сценарии каждый раз при перезагрузке компьютера, поэтому необходимо предусмотреть специальные меры, предотвращающие повторное выполнение мастера при каждой перезагрузке.
Для этого нужно отредактировать файл C:iislockdiislockd.ini в Notepad или другом текстовом редакторе. Соответствующему серверному шаблону следует присвоить параметр Unattended-ServerType. В серверном шаблоне определены разрешающие и запрещающие параметры, в зависимости от режима использования IIS. Например, при работе с FrontPage некоторые функции должны быть активизированы. 14 серверных шаблонов для распространенных типов IIS-серверов хранятся в разделе файла iislockd.ini, следующем за [Info]. В начале каждого шаблона указывается его имя, заключенное в квадратные скобки, за которым следует более длинное имя метки и параметры шаблона. Например, параметру UnattendedServer
Type можно присвоить значение frontpage: UnattendedServerType=frontpage; установить Unattended=TRUE и сохранить файл.
Затем следует создать командный файл с именем LockDownIfNotAlreadyDone.bat и записать в него следующие строки:
Чтобы отредактировать GPO FrontPageWorkstationsPolicies, нужно открыть консоль Microsoft Managament Console (MMC) и выбрать Group Policy. В левой панели следует выбрать пункт Computer ConfigurationWindows SettingsScripts (Startup/Shutdown) и дважды щелкнуть на кнопке Startup в правой панели, чтобы открыть диалоговое окно Startup Properties. Содержимое папки Startup можно увидеть, щелкнув на кнопке Show Files. Необходимо создать новую подпапку с именем iislockd и скопировать содержимое C:iislockd в Startupiislockd. Потом следует вернуться в диалоговое окно Startup Properties, щелкнуть на кнопке Add, затем Browse, после чего перейти в каталог Startupiislockd и дважды щелкнуть на файле LockDownIfNotAlready Done.bat. В заключение нужно нажать OK. В списке диалогового окна Startup Properties появится файл LockDownIfNotAlreadyDone.bat. Мастер IIS Lockdown Wizard автоматически запускается на любом компьютере с FrontPageWorkstationsPolicies GPO. Когда в следующий раз при начальной загрузке компьютера будет выполнен LockDownIfNotAlreadyDone.bat, командный файл обнаружит папку iisalreadylockeddown и завершит работу.
Как правило, в дистанционном доступе к рабочей станции нуждаются только специалисты по обслуживанию. Можно организовать группу WorkstationSupport, а затем создать GPO, применяемый ко всем рабочим станциям. Если на предприятии есть организационная единица (OU) Workstations, то GPO следует связать с ней. Затем нужно отредактировать GPO (в разделе Computer ConfigurationWindowsSettingsSecurity SettingsLocal PoliciesUser Rights Assignment), чтобы присвоить этой группе право Access this computer from the network.
Во-вторых, необходимо выяснить, все ли члены леса действительно нуждаются в доступе к файл-серверам и компьютерам, на которых запущена служба Server. Как правило, доступ к серверу необходим лишь подмножеству пользователей (сотрудникам определенного подразделения или группы). По умолчанию, члены группы Everyone, объединяющей всех пользователей леса, имеют право Access this computer from the network. Предоставив это право лишь подмножеству пользователей, можно сократить число учетных записей, которые могут послужить трамплином для нападения на сервер через службу Server.
Было бы очень удобно запретить компьютерам прием любых пакетов, кроме посылаемых машинами, с которыми данная система должна поддерживать связь, но составить и своевременно обновлять список доверенных машин чрезвычайно трудно. Лучше строить политики IPSec на основе обобщенных характеристик трафика.
Существуют разные методы аутентификации — Kerberos, с заранее переданным (preshared) ключом, и аутентификация на основе сертификатов.
В нашем случае метод Kerberos бесполезен, так как каждый компьютер в лесу AD автоматически поддерживает аутентификацию Kerberos. Необходимо использовать заранее переданный ключ или сертификаты, чтобы следить за тем, какие компьютеры обмениваются друг с другом данными. Проще выполнить аутентификацию с заранее переданным ключом, чем использовать сертификаты, для которых необходим центр сертификации (Certificate Authority, CA). Поэтому я рассматриваю пример запрета связей между рабочими станциями с использованием заранее переданного ключа.
Для этой цели нужно создать две политики IPSec: одну — для рабочих станций, другую — для серверов.
В первом случае рабочие станции должны использовать режим связи IPSec AH, с аутентификацией при помощи заранее подготовленного ключа. Для обмена данными между рабочими станциями и с внешними Web-серверами Internet в политике для рабочих станций необходимо предусмотреть исключение. Серверная политика будет отвечать компьютерам, требующим режима AH с определенным ключом. Для реализации данного решения необходимо сначала построить организационные подразделения OU Workstations и OU Servers, сделать рабочие станции и серверы членами соответствующих OU, а затем создать связанные с OU объекты GPO, чтобы реализовать политики IPSec.
Во-первых, каждому администратору следует предоставить две учетные записи: одну — с административными полномочиями, другую — без них.
 |
| Экран 1. Переключения для запуска приложения с учетной записью администратора. |
Ручное удаление всех привязок на каждой рабочей станции сети — сложная задача. Эту работу можно выполнить с помощью файла .reg. Чтобы удалить ассоциации с типом файла для файлов с расширением .vbs, следует открыть Notepad или другой текстовый редактор и создать файл со следующими строками:
REGEDIT4 — обязательный заголовок, определяющий тип файла. Для каждой ассоциации, которую нужно удалить, следует скопировать и отредактировать вторую строку, заменив VBS соответствующим расширением (например, CMDFile). Прежде чем сохранять файл, следует дать ему имя deleteFileAssociations.reg. Затем нужно открыть командное окно на локальной машине (чтобы удалить привязку только на локальном компьютере) и ввести с клавиатуры
Команда удалит указанные подразделы в разделе HKEY_CLASSES_ROOT реестра, где хранятся ассоциации файлов. Например, в приведенном примере должен быть удален подраздел VBSFile. С помощью групповой политики и сценариев начальной загрузки можно переслать .reg-файл на все рабочие станции сети и выполнить его автоматически (как описано в рекомендации 2).
Однако в процессе установки пакета обновлений или новой версии операционной системы удаленные ассоциации с типом файла могут быть восстановлены. Поэтому вместо удаления ассоциаций можно связать опасные файловые расширения с другими, безвредными, программами (например, notepad.exe) или воспользоваться шаблоном безопасности, чтобы запретить доступ по чтению к разделам реестра HKEY_CLASSES_ROOT, которые соответствуют блокируемым ассоциациям с типом файла.
Поделитесь материалом с коллегами и друзьями
Читайте также:
