Изучаем безопасность Windows 2003

В январе 2002 года Microsoft выступила с инициативой "Trustworthy Computing", направленной на обеспечение безопасности платформы Windows. Это событие напрямую повлияло на отсрочку даты выпуска следующей волны продуктов Microsoft (собранных под "зонтиком" .NET), но дополнительные месяцы усилий разработчиков привели к тому, что новые продукты стали гораздо безопаснее и стабильнее, чем любые из их предшественников.

Марсин Полич (Marcin Policht)

В январе 2002 года Microsoft выступила с инициативой "Trustworthy Computing", направленной на обеспечение безопасности платформы Windows. Это событие напрямую повлияло на отсрочку даты выпуска следующей волны продуктов Microsoft (собранных под "зонтиком" .NET), но дополнительные месяцы усилий разработчиков привели к тому, что новые продукты стали гораздо безопаснее и стабильнее, чем любые из их предшественников.

Эта статья является первой в серии, которая охватывает улучшения в области безопасности, введенные в ОС Windows 2003 Server.

Новые функции разработаны с тем, чтобы предложить возросший уровень безопасности, практически, в каждой сфере функциональных возможностей новой операционной системы. Мы начнем с той из них, что оказывает влияние на огромное число пользователей и администраторов Windows.

Разрешения NTFS и общие разрешения, определяемые по умолчанию

В предыдущих версиях Windows разрешения по умолчанию наделяли правом Full Control (Полный доступ) группу Everyone (Все) (для обеих систем разрешений), что делало файловую систему полностью незащищенной (в случае локального доступа к системе). Начиная с Windows XP Professional, этот подход претерпел изменение.

Разрешения NTFS на корневом диске, предоставляемые группе Everyone ограничены правом Read (Чтение) и Execute (Выполнение) и предоставляются только на корневом каталоге. Это означает, что группа Everyont не может наследовать эти разрешения на любом из подкаталогов, созданном в корневом каталоге. Группа Everyone также исключена из списка управления доступом (Access Control List) для обеспечения большей безопасности таких областей файловой системы, как Program Files или каталоги Windows. Пользователи, в дополнение к правам Read и Execute, могут создавать подкаталоги (способные наследовать права) и файлы в подкаталогах. (Обратите внимание, что это не распространяется на корневой диск). Уровень разрешений, предоставляемых учетной записи System и членам локальной административной группы, не изменяется - они, по-прежнему, сохраняют права Full Control по отношению к корневому каталогу и всем его подкаталогам и файлам. Группа Creator Owner наделена правом Full Control к подкаталогам и файлам в них, что позволяет пользователям в полной мере управлять создаваемыми ими подкаталогами.

Общие разрешения для вновь создаваемых общих ресурсов для группы Everyone теперь ограничены правом Read.

Кроме того, группа Everyone больше не включает в свой состав анонимный идентификатор безопасности (anonymous SID), дающий возможность неавторизованного доступа к файловой системе. Вы также можете быстро проверить, насколько хорошо работает ваша система безопасности на уровне NTFS, с помощью вкладки Effective Permissions окна Advanced Security Settings для выбранного файла или папки. Это позволяет устранить необходимость приблизительной оценки и сложного анализа наследования и прямого назначения прав NTFS. Однако, эта функция не принимает в расчет общие разрешения на пользование ресурсом.

Владение файлами и папками

Теперь вы можете не только завладеть выбранным объектом файловой системы (файлом или папкой), но также передать его любому пользователю, используя вкладку Owner диалогового окна Advanced Security Setting этого файла или папки. Эта функция упрощает работу с дисковыми квотами Windows, основанными на свойствах владения. Например, администратор создает новый файл от имени пользователя (например, через копирование файла или установку новой программы), что приводит к тому, что администратор становится владельцем этого файла. Следовательно, размер нового файла не будет засчитываться в лимит квоты этого пользователя. В прошлом, это решение требовало громоздкого обходного пути или использования инструментов сторонних производителей. Теперь, с помощью функциональной возможности назначения владельца, доступного через пользовательский интерфейс, эта проблема может быть решена очень просто (для любого типа операционной системы, использующей NTFS - включая Windows NT 4.0, 2000 и XP Professional - если это изменение осуществляется на Windows 2003 Server).

Обратите внимание на то, что подобные функциональные возможности (эффективные разрешения и назначение владельца) также доступны для объектов Active Directory, управляемых с серверов Windows 2003 (через вкладки Effective Permissions и Owner в диалоговом окне Advanced Security оснастки Active Directory Users and Computers).

Настройка служб Windows

Изменения в настройках служб Windows могут быть сгруппированы в две основные категории:

Службы, запускаемые при включении: Некоторые, наиболее уязвимые службы, такие как Clipbook, Network DDE (и Network DDE DSDM), Telnet и WebClient, являются отключенными по умолчанию. Другие активируются только по мере необходимости (например, Intersite Messaging в ходе повышения статуса контроллера домена; или Routing and Remote Access Service (служба маршрутизации и удаленного доступа) при