Suojausmääritysten tuki

Microsoft Corporation

Microsoft tarjoaa ohjeita omien käyttöjärjestelmiensä suojaamiseen. Olemme kehittäneet seuraavat kolme suojausasetustasoa:

• Enterprise Client (EC)

• Stand-Alone (SA)

• Erikoisvarmennuksella – rajoitetut toiminnot (SSLF)

Testasimme nämä ohjeet huolellisesti käytettäväksi monissa asiakasskenaarioissa. Ohjeet soveltuvat kaikille organisaatioille, jotka haluavat auttaa suojaamaan Windows-tietokoneisiinsa.

Tuemme täysin oppaitamme, koska olemme testanneet näiden oppaiden sovellusyhteensopivuutta. Lataa microsoftin oppaat seuraavilta Microsoftin sivustoilta:

• Windows Vistan suojausopas:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Windows XP:n perus suojauksen perusaikataulu:

  http://go.microsoft.com/fwlink/?LinkId=14839

• Windows Server 2003:n perusaikataulun suojaus:

  http://go.microsoft.com/fwlink/?linkid=14845

• Windows 2000:n tietoturvan vaikeusopas:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Jos sinulla on ongelmia tai sinulla on kommentteja Microsoftin suojausoppaita käyttöönottamisen jälkeen, voit antaa palautetta lähettämällä secwish@microsoft.com.



Suojausmääritysohjeet Windows-käyttöjärjestelmälle, Internet Explorerille ja Officen tuottavuusohjelmistolle ovat Microsoftin tietoturvan yhteensopivuuden hallinnassa: http://technet.microsoft.com/en-us/library/cc677002.aspx.

The Center for Internet Security

LISÄTIETO-toiminto on kehittänyt vertailuarvoja, joiden avulla organisaatiot voivat tehdä tietoon perustuvia päätöksiä tietyistä käytettävissä olevista suojausvalinnoilla. SENSissä on kolme suojaustason vertailuarvoa:

• Vanha

• Enterprise

• Korkea suojaus

Jos sinulla on ongelmia tai sinulla on kommentteja SEN JÄLKEEN, kun olet ottanut KÄYTTÖÖN5855500000001 win2k-feedback@cisecurity.org 2000000200000000000000000000000000000000000000000000000000

Huomaa, että TÄMÄN ARTIKKELIN ohjeet ovat muuttuneet sen jälkeen, kun artikkeli julkaistiin alun perin (3. marraskuuta 2004). EBA:n nykyiset ohjeet muistuttavat Microsoftin ohjeita. Lisätietoja Microsoftin ohjeista on tämän artikkelin aiemmassa Osassa Microsoft Corporation.

The National Institute of Standards and Technology

NIST on vastuussa Yhdysvaltain liittohallinnon suojausohjeiden luomisesta. NIST on luonut neljä suojausohjetasoa, joita Yhdysvaltain liittovaltion virastot, yksityiset organisaatiot ja julkiset organisaatiot käyttävät:

• SoHo

• Vanha

• Enterprise

• Erikoisturva – rajoitetut toiminnot

Jos sinulla on ongelmia tai sinulla on kommentteja NIST-suojausmallien toteuttamisen jälkeen, ota yhteyttä NIST:han lähettämällä sähköpostiviesti itsec@nist.gov.

Huomaa, että NIST:n ohjeet ovat muuttuneet sen jälkeen, kun artikkeli julkaistiin alun perin (3. marraskuuta 2004). NIST:n nykyiset ohjeet muistuttavat Microsoftin ohjeita. Lisätietoja Microsoftin ohjeista on tämän artikkelin aiemmassa Osassa Microsoft Corporation.

The Defense Information Systems Agency

DISA luo ohjeita, jotka on tarkoitettu erityisesti Yhdysvaltain puolustusministeriön (DOD) käyttöön. Yhdysvaltain dod-käyttäjät, joilla on ongelmia tai jotka saavat kommentteja DISA-määritysohjeiden toteuttamisen jälkeen, voivat antaa palautetta lähettämällä fso_spt@ritchie.disa.mil.

Huomaa, että DISA:n ohjeet ovat muuttuneet sen jälkeen, kun artikkeli julkaistiin alun perin (3. marraskuuta 2004). DISA:n nykyiset ohjeet ovat samankaltaisia tai samoja kuin Microsoftin ohjeissa. Lisätietoja Microsoftin ohjeista on tämän artikkelin aiemmassa Osassa Microsoft Corporation.

National Security Agency (NSA)

NSA on laatinut ohjeita suuren riskin tietokoneiden turvalliseen Yhdysvaltain puolustamisministeriön (DOD) avulla. NSA on kehittänyt yhden tason ohjeita, jotka vastaavat suunnilleen muiden organisaatioiden tuottamaa korkeaa suojaustasoa.

Jos sinulla on ongelmia tai sinulla on kommentteja Windows XP:n NSA:n suojausoppaiden toteuttamisen jälkeen, voit antaa palautetta lähettämällä sähköpostiviestin XPGuides@nsa.gov. Jos haluat antaa palautetta Windows 2000 -oppaista, lähetä sähköpostiviesti w2kguides@nsa.gov.

Huomaa, että NSA:n ohjeet ovat muuttuneet sen jälkeen, kun artikkeli julkaistiin alun perin (3. marraskuuta 2004). NSA:n nykyiset ohjeet ovat samankaltaisia tai samoja kuin Microsoftin ohjeissa. Lisätietoja Microsoftin ohjeista on tämän artikkelin aiemmassa Osassa Microsoft Corporation.

Tiedostojärjestelmän ja rekisterin käytön hallintaluettelon muutokset

Windows XP:n ja sitä uudempien Windows-versioiden käyttöoikeuksia on huomattavasti tiukennettu koko järjestelmässä. Siksi oletuskäyttöoikeuksien laajoja muutoksia ei tarvitse tehdä. 

Muut harkinnanvaraisesti hallitun käytön hallintaluettelon (DACL) muutokset saattavat mitätöidä microsoftin sovelluksen yhteensopivuuden testauksen tai suurimman osan siitä. Tällaiset muutokset eivät ole usein läpikäyneet Microsoftin muilla asetuksilla suorittamaa perusteellista testausta. Tukitapaukset ja kenttäkokemus ovat näyttäneet, että DACL:n muokkaukset muuttavat käyttöjärjestelmän perustoimintatapaa usein tahattomia tapoja. Nämä muutokset vaikuttavat sovellusten yhteensopivuuteen ja vakauteen ja vähentävät toiminnallisuutta sekä suorituskyvyn että ominaisuuden osalta.

Näiden muutosten vuoksi emme suosittele tiedostojärjestelmän DACLs-tiedostojen muokkaamista tiedostoissa, jotka sisältyvät käyttöjärjestelmään tuotantojärjestelmissä. Suosittelemme, että arvioit muita ACL-muutoksia suhteessa tunnettuun uhkaan, jotta ymmärtäisit kaikki mahdolliset edut, joita muutokset voivat aiheuttaa tiettyyn määritykseen. Näistä syistä oppaamme tekevät vain hyvin vähäisiä DACL-muutoksia ja vain Windows 2000:ta. Windows 2000:ssä tarvitaan useita pieniä muutoksia. Nämä muutokset on kuvattu Windows 2000:n tietoturvan hardening-oppaassa.

Rekisterin ja tiedostojärjestelmän laajoja käyttöoikeusmuutoksia ei voi kumota. Tämä voi vaikuttaa uusiin kansioihin, kuten käyttäjäprofiilikansioihin, joita ei ollut käyttöjärjestelmän alkuperäisessä asennuksessa. Jos siis poistat RYHMÄKÄYTÄNTÖ-asetuksen, joka tekee DACL-muutoksia tai käytät järjestelmän oletusasetuksia, alkuperäisiä DACLs-osoitteita ei voi enää ottaa takaisin. 

%SystemDrive%-kansion DACL-tallennustilan muutokset voivat aiheuttaa seuraavia tilanteita:

• Roskakori ei enää toimi suunnitellusti, eikä tiedostoja voi palauttaa.

• Suojauksen pienentäminen, jonka avulla muut kuin järjestelmänvalvojat voivat tarkastella järjestelmänvalvojan roskakorin sisältöä.

• Käyttäjäprofiilien toiminta ei toimi odotetulla tavalla.

• Tietoturvan vähentäminen, joka tarjoaa vuorovaikutteisten käyttäjien luku-oikeuden joihinkin tai kaikkiin järjestelmän käyttäjäprofiileihin.

• Suorituskykyongelmat, kun monet DACL-muokkaukset ladataan ryhmäkäytäntöobjektiin, joka sisältää kohdejärjestelmän pitkät kirjautumisajat tai toistuvat uudelleenkäynnistyksen.

• Suorituskykyongelmat, mukaan lukien järjestelmän hidastuminen, 16 tunnin välein, kun ryhmäkäytäntöasetuksia käytetään uudelleen.

• Sovelluksen yhteensopivuusongelmat tai sovelluksen kaatuminen.

Microsoft tarjoaa kaupallisesti kohtuullisia toimia tukisopimuksen mukaisesti, jotta voit poistaa tällaisten tiedostojen ja rekisterikäyttöoikeuksien huonoimmat tulokset. Et kuitenkaan voi tällä hetkellä poistaa näitä muutoksia. Voimme taata vain sen, että voit palata suositeltuihin käyttökatkoasetuksiin alustamalla kiintolevyaseman uudelleen ja asentamalla käyttöjärjestelmän uudelleen.

Esimerkiksi rekisterin DACLs-rakenteen muutokset vaikuttavat rekisterin suuriin osiin ja voivat aiheuttaa sen, että järjestelmät eivät enää toimi odotetulla tavalla. Yksittäisen rekisteriavaimen DACLs-osoitteiden muokkaaminen aiheuttaa vähemmän ongelmia monissa järjestelmissä. Suosittelemme kuitenkin harkitsemaan näitä muutoksia huolellisesti ja testaamaan ne ennen niiden toteuttamista. Voimme myös taata, että voit palata suositeltuihin käyttökatkoasetuksiin, jos alustat käyttöjärjestelmän uudelleen ja asennat sen uudelleen.

Microsoftin verkkoasiakas: viestinnän digitaalinen allekirjoittaminen (aina)

Kun otat tämän asetuksen käyttöön, asiakkaiden on allekirjoitettava SMB (Server Message Block) -liikenne, kun he käyttävät palvelimia, jotka eivät edellytä SMB-allekirjoitusta. Tämä tekee asiakkaista vähemmän alttiita istuntojen kaappaushyökkäyksille. Se tarjoaa merkittäviä lisäarvoja, mutta ei ota käyttöön samankaltaista muutosta palvelimessa Microsoftin verkkopalvelimen käyttöönottoon: Digitaalisesti allekirjoita tietoliikenne (aina) tai Microsoftin verkkoasiakas: digitaalisesti allekirjoitettava tietoliikenne (jos asiakas hyväksyy)asiakas ei voi viestiä onnistuneesti palvelimen kanssa.

Verkon suojaus: Älä tallenna lähiverkon hallinnan hash-arvoa seuraavaa salasanamuutosta varten

Kun otat tämän asetuksen käyttöön, uuden salasanan LAN Manager (LM) -hash-arvoa ei tallenneta, kun salasana vaihdetaan. LM-hash on melko heikko ja altis hyökkäyksille verrattuna salattuun vahvempaan Microsoft Windows NT :n hash-hash-koodiin. Vaikka tämä asetus tarjoaa järjestelmälle laajat lisäsuojaustoimet estämällä monia yleisiä salasanojen murtamisen apuohjelmia, asetus voi estää joidenkin sovellusten käynnistymisen tai toiminnan oikein.

Järjestelmän salaus: FIPS-yhteensopivien algoritmien käyttäminen salaukseen, hajautustoimintoon ja allekirjoittamiseen

Kun otat tämän asetuksen käyttöön, IIS (Internet Information Services) ja Microsoft Internet Explorer käyttävät vain TLS (Transport Layer Security) 1.0 -protokollaa. Jos tämä asetus on käytössä palvelimessa, jossa on KÄYTÖSSÄ IIS, vain TLS 1.0 :aa tukevat selaimet voivat muodostaa yhteyden. Jos tämä asetus on käytössä verkkosovelluksessa, asiakas voi muodostaa yhteyden vain palvelimiin, jotka tukevat TLS 1.0 -protokollaa. Tämä vaatimus saattaa vaikuttaa asiakkaan kykyyn käydä SSL(Secure Sockets Layer) -suojausta (Secure Sockets Layer) käyttävät sivustot. Jos haluat lisätietoja, napsauta seuraavaa artikkelin numeroa, jotta voit tarkastella artikkelia Microsoft Knowledge Base -tietokannassa:

811834 SSL-sivustoihin ei voi käydä sen jälkeen, kun FIPS-yhteensopiva salaus on käytössä. Kun otat tämän asetuksen käyttöön päätepalveluja käyttävässä palvelimessa, asiakkaiden on käytettävä
RDP-asiakasohjelman 5.2-versiota tai uudempaa versiota yhteyden muodostamiseen.

Jos haluat lisätietoja, napsauta seuraavaa artikkelin numeroa, jotta voit tarkastella artikkelia Microsoft Knowledge Base -tietokannassa:

811833 "Järjestelmän salaus: KÄYTÄ FIPS-yhteensopivia algoritmeja salaukseen, hajautustoimintoon ja allekirjoittamiseen" -suojausasetuksen ottaminen käyttöön Windows XP:ssä ja myommissa Windows-versioissa

Automaattinen päivityspalvelu tai taustan älykäs siirtopalvelu (BITS) on poistettu käytöstä

Yksi Microsoftin suojausstrategian keskeisistä peruspilareista on varmistaa, että järjestelmät ovat ajan tasalla päivityksistä. Tämän strategian keskeinen osa on Automaattiset päivitykset -palvelu. Sekä Windows Update- että Software Update -palvelut käyttävät Automaattiset päivitykset -palvelua. Automaattiset päivitykset -palvelu käyttää BITS (Background Intelligent Transfer Service) -palvelua. Jos nämä palvelut on poistettu käytöstä, tietokoneet eivät enää voi vastaanottaa Päivityksiä Windows Updatesta automaattisten päivitysten, Software Update Services (SUS) -palvelusta tai joistakin Microsoft Systems Management Server (SMS) -asennuksista. Nämä palvelut tulisi poistaa käytöstä vain järjestelmissä, joissa on tehokas päivitysten jakelujärjestelmä, joka ei käytä BITTIS-palvelua.

NetLogon-palvelu on poistettu käytöstä

Jos poistat NetLogon-palvelun käytöstä, työasema ei enää toimi luotettavasti toimialueen jäsenenä. Tämä asetus voi olla sopiva joissakin tietokoneissa, jotka eivät osallistu toimialueisiin. Se on kuitenkin arvioitava huolellisesti ennen käyttöönottoa.

NoNameReleaseOnDemand

Tämä asetus estää palvelinta luopumasta NetBIOS-nimestä, jos se on ristiriidassa verkon toisen tietokoneen kanssa. Tämä asetus on hyvä ennaltaehkäisevä mittayksikkö nimipalvelimia ja muita erittäin tärkeitä palvelinrooleja vastaan tehtyjä palvelunestohyökkäyksiä varten.

Kun otat tämän asetuksen käyttöön työasemassa, työasema ei suostu luopumaan NetOHJAIMES-nimestä, vaikka nimi olisi ristiriidassa tärkeän järjestelmän, kuten toimialueen ohjauskoneen, nimen kanssa. Tässä skenaariossa voidaan poistaa käytöstä tärkeät toimialuetoiminnot. Microsoft tukee voimakkaasti alan toimia, joilla voidaan tarjota suojausohjeita, jotka on kohdennettu käyttöönotoille korkealla suojausalalla. Nämä ohjeet on kuitenkin testattava huolellisesti kohdeympäristössä. On erittäin suositeltavaa, että järjestelmänvalvojat, jotka tarvitsevat muita suojausasetuksia kuin oletusasetukset, käyttävät Microsoftin apuviivoja lähtökohtana organisaation vaatimuksille. Jos sinulla on tukea tai jos sinulla on kysyttävää kolmannen osapuolen oppaista, ota yhteyttä ohjeiden antajaan organisaatioon.