Презентация, доклад на тему Обеспечение безопасной серверов, сети и рабочих станций

Обеспечение безопасности серверов, сети и рабочих станций

Windows Resource Protection -(WRP)

Windows Resource Protection (WRP)

Во время установки ПО инсталлятор системы Windows Vista не позволяет изменять файлы и папки защищенные Windows Resource Protection (WRP).
Случайное или намеренное удаление защищенных объектов затруднено.
Window Resource Protection (WRP) может защищать ключи реестра.

Типы защищаемых файлов:

.acm, .ade, .adp, .app, .asa, .asp, .aspx, .ax, .bas, .bat, .bin, .cer, .chm, .clb, .cmd, .cnt, .cnv, .com, .cpl, .cpx, .crt, .csh, .dll, .drv, .dtd, .exe, .fxp, .grp, .h1s, .hlp, .hta, .ime, .inf, .ins, .isp, .its, .js, .jse, .ksh, .lnk, .mad, .maf, .mag, .mam, .man, .maq, .mar, .mas, .mat, .mau, .mav, .maw, .mda, .mdb, .mde, .mdt, .mdw, .mdz, .msc, .msi, .msp, .mst, .mui, .nls, .ocx, .ops, .pal, .pcd, .pif, .prf, .prg, .pst, .reg, .scf, .scr, .sct, .shb, .shs, .sys, .tlb, .tsp, .url, .vb, .vbe, .vbs, .vsmacros, .vss, .vst, .vsw, .ws, .wsc, .wsf, .wsh, .xsd, and .xsl.

Windows Resource Protection (WRP)

WRP сохраняет файлы необходимые для запуска Windows в кэш папку %Windir%\winsxs\Backup.

Прочие защищаемые файлы хранятся в %systemroot%\system32\dllcache

Windows Resource Protection (WRP)

Типы защищаемых файлов:

.acm, .ade, .adp, .app, .asa, .asp, .aspx, .ax, .bas, .bat, .bin, .cer, .chm, .clb, .cmd, .cnt, .cnv, .com, .cpl, .cpx, .crt, .csh, .dll, .drv, .dtd, .exe, .fxp, .grp, .h1s, .hlp, .hta, .ime, .inf, .ins, .isp, .its, .js, .jse, .ksh, .lnk, .mad, .maf, .mag, .mam, .man, .maq, .mar, .mas, .mat, .mau, .mav, .maw, .mda, .mdb, .mde, .mdt, .mdw, .mdz, .msc, .msi, .msp, .mst, .mui, .nls, .ocx, .ops, .pal, .pcd, .pif, .prf, .prg, .pst, .reg, .scf, .scr, .sct, .shb, .shs, .sys, .tlb, .tsp, .url, .vb, .vbe, .vbs, .vsmacros, .vss, .vst, .vsw, .ws, .wsc, .wsf, .wsh, .xsd, and .xsl.

Windows Resource Protection (WRP)

В случае неавторизованной замены файла Windows восстанавливает его из следующих источников:

Кэш папки
Сетевой путь к дистрибутиву
Windows CD-ROM

Windows Resource Protection (WRP)

Windows Resource Protection (WRP)

Защита ОС и данных с помощью BitLocker.....

Шифрование дисков с помощью BitLocker™

Защищает от неавторизованого доступа к данным
Предназначен для защиты от физической кражи систем
Позволяет выполнять защищенный старт системы
Использует TPM или USB диск для хранения ключей

BitLocker

Архитектура TPM

Оранжевые – сервисы TPM
Голубые – сервисы Microsoft
Желтые и зеленые – сервисы сторонних производителей

Режим ядра (Kernel Mode)

NT Сервис

BitLocker™ и TPM

Шифрование диска BitLocker™
Шифрует полностью том
Использует Trusted Platform Module (TPM) v1.2 для проверки pre-OS компонентов
Настраиваемые методы защиты и аутентификации
Защита до запуска ОС
USB ключи, PIN, TPM аутентификация
Единый драйвер TPM от Microsoft
Улучшеная стабильность и безопасость

TPM Base Services (TBS)
Позволяет включать в цепочку приложение от сторонних поставщиков
Active Directory Backup
Автоматизированное резервное копирование ключей в AD
Поддержка групповых политик
Скриптовые интерфейсы
Управление TPM
Управление BitLocker™
Инструменты коммандной строки

Варианты применения BitLocker

Требования BitLocker

Аппаратное обеспечение Trusted Platform Module
TPM не ниже версии 1.2
Иметь логотип Vista certified
Не совместимое с TPM оборудование
BIOS должен поддерживать загрузку с USB включая считывание данных с USB до загрузки ОС.

Bitlocker - шифрование

Не шифруются:
загрузочный сектор
поврежденные сектора, отмеченные как нечитаемые
метаданные тома
состоят из трех избыточных копий данных, включая статистическую информацию о томе
защищенные копии некоторых ключей расшифровки*





*Эти элементы не требуют шифрования, поскольку не являются уникальными, ценными или позволяющими определить личность.

Bitlocker - шифрование

Используется алгоритм AES с ключом 128 бит. Возможно увеличение длины ключа до 256 бит с помощью GPO или WMI.

Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному.

Перед шифрованием данных используется алгоритм, называемый диффузором (diffuser). В результате его применения любое мельчайшее изменение исходных данных приводит к полному изменению всего сектора.

Bitlocker – процесс расшифровки

(full-volume encryption key, FVEK) – ключ тома
защифрован VMK. Пользователи доступа к
ключу FVEK не имеют и он никогда не попадает
на диск в расшифрованном виде

(volume master key, VMK) – мастер ключ тома
разблокируется контрольной суммой
предзагрузочных компонентов

подсчитывает контрольные суммы и сравнивает с эталонными

Bitlocker - настройка

Bitlocker - настройка

Bitlocker запуск

Bitlocker восстановление

Защита информации

От каких угроз защищаемся?
От пользователей и Администраторов на этом же PC? (EFS)
Неавторизованый физический доступ? (BitLocker™)

Управление здоровьем систем - Network Access Protection .....

1

Защита сети с помощью NAP

1

Windows
клиент

2

2

DHCP, VPN или коммутатор/маршрутизатор передает данные о состоянии здоровья Network Policy серверу (RADIUS)

3

3

Network Policy Server (NPS) проверяет параметры здоровья на соответствие политике здоровья определенной департаментом ИТ

4

Если здоровье не соответствует политикам, помещаем клиента в карантинную сеть и даем доступ к серверу восстановления где он сможет скачать обновления, настройки, сигнатуры антивируса. (Повторяем шаги 1 - 4)

Не соответствует

5

Если здоровье клиента соответствует политикам, даем ему доступ в корпоративную сеть

Соответствует политике

NPS

DHCP, VPN
маршрутизато, коммутатор

4

5

Клиент запрашивает доступ в сеть и передает данные о состоянии здоровья

Архитектура нашего примера NAP

Демонстрация Network Access Protection

Что такое NPS?

Network Policy Server новая реализация Internet Authentication Services (IAS)
NPS это реализация RADIUS сервера от Microsoft с поддержкой основных RFC RADIUS и EAP
NPS работает только на Windows Server 2008

Методы использования NPS

Аутентификация доступа в сеть
802.1x
VPN
IPSec
NAP
Определение и принудительное исполнение политик
Учет доступа в сеть
Хранение настроек устройств используемых для доступа в сеть
Прозрачное перенаправление запросов аутентификации в AD

Преимущества NPS

NPS в соединении с AD и Windows Vista позволяет предоставлять удобный доступ к сетям и сервисам (single sign-on)
NPS объединяет в одной точке отчетность и управление доступом для всех способов (802.1x, VPN, DHCP…)

Пример работы NPS

Advanced Group Policy Management - (AGPM)

Microsoft Advanced Group Policy Management

Улучшаем групповые политики с помощью управления изменениями

Администрирование основаное на ролях и шаблонах
Гибкая модель делегирования
Отслеживание версий, история изменений и возвращение к предыдущей конфигурации

Ускорение управления за счет более точного административного контроля
Уменьшает риск глобального сбоя

Управляемость PC
Диагностика и Help Desk

Advanced Group Policy Management

Простота администрирования всех объектов GPO во всем лесе Active Directory

Просмотр всех объектов GPO в одном списке

Редактирование объектов в автономном режиме

Отчет о настройках GPO, безопасности (security), фильтрах (filter), копировании (delegation) и т.п.

Контроль наследования GPO inheritance с помощью Block Inheritance (блокировка наследования), Enforce (усиление) и Security Filtering (фильтры безопасности)

Модель делегирования (Delegation model)

Создание резервных копий объектов GPO

Перемещение объектов GPO в различные домены и леса

AGPM – делегирование

AGPM – делегирование

AGPM – делегирование

AGPM – автономное редактирование

AGPM – управление изменениями

Кто сделал изменение

Когда было сделано изменение

Что затронуло это изменение

AGPM – управление изменениями

AGPM – аудит изменений

Microsoft Advanced Group Policy Management

Проблема:
Необходимо управлять групповыми политиками 1,650 компьютеров компании Forsyth County в реальном времени, эффективно и безопасно

Результат:
Легкость и безопасность построения объектов групповых политик
Развертование групповых политки в нужный момент вместо ожидания замены PC из-за износа
Применение групплвых политик в реальном времени и минимизация простоев
Упрощение и автоматизация процесса управления изменениями групповых политик

“Advanced Group Policy для нас это серебряная пуля. Автоматизация управления изменениями и система делегирования полномочий действительно впечатляют. Я не смог бы управлять групповыми политиками без нее”.
MICHAEL WILCOX
MIS CLIENT SERVICES SUPERVISOR
FORSYTH COUNTY

Создание и управление групповых политик, подерживающих конфигурацию рабочих мест в соответствии с последними требованиями

Дополнительная информация

Документация
http://www.microsoft.com/windowsserver2008/
http://msdn2.microsoft.com/en-us/library/aa382503(VS.85).aspx
http://technet.microsoft.com/en-us/windowsvista/aa905065.aspx
http://msdn2.microsoft.com/en-us/library/ms723891.aspx


Блоги
http://blogs.technet.com/abeshkov/
http://blogs.technet.com/bitlocker/ http://blogs.technet.com/windowsserver/