Рекомендації по конфігуруванню параметрів безпеки операційної системи.

Рекомендації щодо конфігурування наведені для класів автоматизованих систем 1, 2 й 3 у наступних розділах параметрів безпеки операційної системи:

• політика облікових записів;

• параметри локальної політики;

• журнал подій;

• системні служби;

• налагодження реєстру;

• файлова система;

• адміністративні шаблони операційної системи Wіndоws XP;

• політика обмеженого використання програм.

Установка параметрів виконується шляхом редагування об'єктів групових політик за допомогою відповідних засобів операційної системи Wіndоws, у тому числі:

• вкладки "Локальна політика безпеки" – для редагування локального об'єкта групової політики Wіndоws XP;

• вкладки групової політики - для редагування групових політик у централізованій базі даних Асtіvе Dіrесtоrу домена Wіndоws Server 2003.

Операційна система Windows XP має розвинену систему безпеки, яка, проте, потребує налагодження.¹Система Windows XP повинна встановлюватися нарозділах NTFS, застосування файлової системи FAT32 не рекомендується, виходячи із принципів безпеки (вбудовані засоби безпеки просто не можуть бути реалізовані за умови застосування FAT32). У випадку застосування файлової системи на FAT 32 майже всі твердження даного розділу втрачають усяке значення. Єдиний спосіб включити всі дозволи файлової системи – перетворити диск у формат NTFS.

Після чистої установки Windows XP пропоновані за умовчанням параметри безпеки працюють як перемикачі типу "включити-виключити". Такий інтерфейс носить за замовчуванням назву Простий загальний доступ (Simple File Sharing).

Така конфігурація має низький рівень безпеки, що практично збігається із стандартною конфігурацією Windows 95/98/Me.

Якщо вас не влаштовує така конфігурація, ви можете скористатися всією міццю дозволів для файлів у стилі Windows 2000. Для цього відкрийте довільну папку Провіднику і виберіть Сервіс | Властивості папки (Tools | Folder options). Перейдіть на вкладку Вид найдіть в переліку прапорець Використовувати простий загальний доступ до файлів (рекомендується) (Use File Sharing (recommended) й зніміть його.²

Після вимикання простого загального доступу, у діалоговім вікні властивостей будь-якої папки з'являється вкладка Безпека.

Аналогічно здійснюється видача дозволів на файли. Усі дозволи зберігаються в списках керування доступом (Access Control List – ACL).

При установці й видаленні дозволів керуйтеся наступними основними принципами:

1. Працюйте за схемою "зверху-вниз".

2. Зберігаєте загальні файли даних разом.

3. Працюйте із групами скрізь, де це тільки можливо.

4. Не користуйтеся особливими дозволами.

5. Не давайте користувачам більшого рівня повноважень, чим це абсолютно необхідно (принцип мінімізації повноважень).

Встановлення дозволів із командного рядка.

Утиліта командного рядка cacls.exe доступна в Windows XP Professional й дозволяє переглядати й змінювати дозволи файлів і папок. Cacls – скорочення від Control ACLs – керування списками керування доступом.

Синтаксис

cacls і'мя_файлу [/t] [/e] [/c] [/g користувач:дозвіл] [/r користувач [...]] [/p користувач:дозвіл [...]] [/d користувач [...]]

Можливі ключі наведено в таблиці 9.1.

Із ключами /G і /P потрібно використовувати одну з перерахованих нижче букв (замість слова дозвіл):

• F (повний доступ) – еквівалентно установці прапорця Дозволити повний доступ (Full Control) на вкладці Безпека.

• C (змінити) – тотожно установці прапорця Дозволити змінити (Modify).

• R (читання) – еквівалентно установці прапорця Дозволити читання й виконання (Read & Execute).

• W (запис) – рівнозначно установці прапорця Дозволити запис (Write).

Таблиця 9.1. Ключі командного рядка утиліти cacls

Ключ	Дія
/T	Зміна дозволів доступу до указаних файлів у поточному каталозі й усіх підкаталогах
/E	Зміна списку керування доступом (не повна його заміна)
/C	Продовжити при виникненні помилки "відмовлено в доступі"
/G користувач:дозвіл	Виділення користувачеві указаного дозволу. Без ключа /E повністю заміняє поточні дозволи.
/R користувач	Скасовує права доступу для поточного користувача (використовується тільки із ключем /E)
/P користувач:дозвіл	Заміна указаних дозволів користувача
/D користувач	Забороняє користувачеві доступ до об'єкта

Якщо ви віддаєте перевагу роботі з командним рядком, то можете скористатися програмою cipher.exe. Вона здійснює відображення або зміну, шифрування каталогів і файлів на томах NTFS. Використана без параметрів команда cipher відображає стан шифрування поточного каталогу й усіх файлів, що перебувають у ньому.

Синтаксис

cipher [{/e|/d}] [/s:каталог] [/a] [/i] [/f] [/q] [/h] [/k] [/u[/n]] [шлях [...]] | [/r:і'мя_файлу_без_розширення] | [/w:шлях]