Saugos konfigūravimo rekomendacijų palaikymas

"Microsoft Corporation"

"Microsoft" teikia patarimus, kaip apsaugoti savo operacines sistemas. Sukūrėme šiuos tris saugos parametrų lygius:

• Įmonės klientas (EB)

• Stand-Alone (SA)

• Specializuota sauga – ribota funkcija (SSLF)

Mes nuodugniai išbandėme šias rekomendacijas naudoti daugelyje klientų scenarijų. Nurodymai tinka bet kuriai organizacijai, kuri nori padėti apsaugoti kompiuterius, kuriuose veikia "Windows".

Mes visiškai palaikome mūsų vadovus dėl išsamių bandymų, kuriuos atlikome mūsų taikomųjų programų suderinamumo laboratorijose. Apsilankykite šiose "Microsoft" svetainėse, kad atsisiųstumėte mūsų vadovus:

• "Windows Vista" saugos vadovas:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• "Windows XP" saugos bazinė linija:

  http://go.microsoft.com/fwlink/?LinkId=14839

• "Windows Server" 2003 saugos bazinė linija:

  http://go.microsoft.com/fwlink/?linkid=14845

• "Windows 2000" saugos hardening vadovas:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Jei jums kyla problemų arba turite komentarų įdiegę "Microsoft" saugos vadovus, galite pateikti atsiliepimą nusiųsdami el. laišką į " Secwish@microsoft.com".



"Windows" operacinės sistemos, "Internet Explorer" ir "Office" produktyvumo paketo saugos konfigūravimo gairės pateikiamos "Microsoft Security" atitikties tvarkytuvui: http://technet.Microsoft.com/en-us/library/cc677002.aspx.

Interneto saugumo centras

CIS parengė kriterijus, kad pateiktų informaciją, kuri padeda organizacijoms priimti kompetentingus sprendimus dėl tam tikrų galimų saugos pasirinkimų. CIS numatė tris saugos etalonų lygius:

• Palikimas

• Enterprise

• Didelis saugumas

Jei jums kyla problemų arba turite komentarų įdiegę CIS Benchmark parametrus, kreipkitės į NVS siųsdami el. laišką į " Win2k-Feedback@cisecurity.org".

Pastaba CIS rekomendacijos pasikeitė, nes iš pradžių publikavote šį straipsnį (lapkričio 3 d., 2004). Dabartinės CIS rekomendacijos yra panašus į "Microsoft" pateiktų rekomendacijų. Daugiau informacijos apie "Microsoft" teikiamas gaires rasite anksčiau šiame straipsnyje esančiame skyriuje "Microsoft Corporation".

Nacionalinis standartų ir technologijų institutas

NIST yra atsakingas už Jungtinių Amerikos Valstijų federalinės vyriausybės saugumo rekomendacijų kūrimą. NIST sukūrė keturis saugos orientavimo lygius, kuriuos naudoja Jungtinių Amerikos Valstijų federalinės agentūros, privačios organizacijos ir viešosios organizacijos:

• SoHo

• Palikimas

• Enterprise

• Specializuota sauga – ribotas funkcionalumas

Jei susiduriate su problemomis arba turite komentarų po to, kai įgyvendinate NIST saugos šablonus, susisiekite su "NIST" nusiųsdami el. laišką į " ITSEC@nist.gov".

Pastaba NIST gairės pasikeitė, nes iš pradžių publikavote šį straipsnį (lapkričio 3 d., 2004). Dabartinės "NIST" nuorodos yra panašus į "Microsoft" pateiktų rekomendacijų. Daugiau informacijos apie "Microsoft" teikiamas gaires rasite anksčiau šiame straipsnyje esančiame skyriuje "Microsoft Corporation".

Gynybos informacinių sistemų agentūra

DISA sukuria gaires, skirtas naudoti Jungtinių Amerikos Valstijų gynybos departamente (DOD). JAV DOD vartotojai, kurie susiduria su problemomis arba turi komentarų po to, kai vykdo DISA konfigūravimo gaires, gali pateikti atsiliepimus nusiųsdami elektroninį laišką į fso_spt@ritchie.disa.mil.

Pastaba DISA gairės pasikeitė, nes iš pradžių publikavote šį straipsnį (lapkričio 3 d., 2004). Dabartinės DISA rekomendacijos yra panašios arba identiškos rekomendavimui, kurį teikia "Microsoft". Daugiau informacijos apie "Microsoft" teikiamas gaires rasite anksčiau šiame straipsnyje esančiame skyriuje "Microsoft Corporation".

Nacionalinė saugumo agentūra (NSA)

NSA parengė gaires, skirtas padėti apsaugoti didelės rizikos kompiuterius Jungtinių Amerikos Valstijų gynybos departamente (DOD). NSA sukūrė vieną rekomendacijų, kurios atitinka aukštą saugos lygį, kurį teikia kitos organizacijos, lygį.

Jei susiduriate su problemomis arba turite komentarų įdiegę "NSA" saugos vadovus, skirtus "Windows XP", galite pateikti atsiliepimų siųsdami el. laišką į " XPGuides@nsa.gov". Norėdami pateikti atsiliepimą apie "Windows" 2000 vadovus, siųskite el. laišką į " W2kguides@nsa.gov".

Pastaba: NSA gairės pasikeitė, nes iš pradžių publikavote šį straipsnį (lapkričio 3 d., 2004). NSA dabartinės gairės panašios arba identiškos "Microsoft" pateikiamai rekomendavimui. Daugiau informacijos apie "Microsoft" teikiamas gaires rasite anksčiau šiame straipsnyje esančiame skyriuje "Microsoft Corporation".

Failų sistemos ir registro prieigos valdiklių sąrašo modifikavimas

"Windows XP" ir naujesnėse "Windows" versijose labai sugriežtintos teisės visoje sistemoje. Todėl neturėtų būti būtini išsamūs numatytųjų teisių pasikeitimai. 

Papildomi diskrecinio prieigos valdymo sąrašo (DACL) pokyčiai gali panaikinti visus arba daugumą programos suderinamumo bandymų, kuriuos atlieka "Microsoft". Dažnai tokie pokyčiai nebuvo atlikti atlikus išsamų patikrinimą, kurį "Microsoft" atliko kitais parametrais. Palaikymo atvejai ir lauko patirtimi parodė, kad "DACL" redagavimai keičia esminę operacinės sistemos elgseną, dažnai nenumatytais būdais. Šie keitimai turi įtakos taikomųjų programų suderinamumui ir stabilumui bei sumažina funkcionalumą, atsižvelgiant į našumą ir pajėgumą.

Dėl šių pasikeitimų nerekomenduojame modifikuoti failų sistemos "DACLs" failuose, kurie yra įtraukti su operacinės sistemos gamybos sistemomis. Rekomenduojame įvertinti papildomus ACL pokyčius prieš žinomą grėsmę, kad būtų galima suprasti bet kokius galimus pranašumus, kuriuos gali reikėti atlikti su konkrečia konfigūracija. Dėl šių priežasčių mūsų vadovai daro tik labai minimalius DACL pokyčius ir tik "Windows" 2000. Jei naudojate "Windows" 2000, reikia atlikti kelis nedidelius pakitimus. Šie pokyčiai aprašomi "Windows" 2000 saugos hardening vadove.

Negalima anuliuoti išsamių teisių pasikeitimų, kurie dauginami visame registre ir failų sistemoje. Gali būti paveikti nauji aplankai, pvz., vartotojo profilio aplankai, kurie nebuvo pateikti pradiniame operacinės sistemos diegime. Todėl jei pašalinsite grupės strategijos parametrą, kuris atlieka "DACL" keitimus, arba taikote sistemos numatytuosius parametrus, negalite atšaukti pradinių "DACLs". 

"DACL" keitimas aplanke% SystemDrive% gali sukelti šiuos scenarijus:

• Šiukšlinė nebeveikia kaip sukurta ir failai negali būti atkurti.

• Saugos sumažinimas, leidžiantis ne administratoriui Peržiūrėti administratoriaus šiukšlinės turinį.

• Vartotojo profilių gedimas veiks taip, kaip tikėtasi.

• Saugos sumažinimas, suteikiantis interaktyviųjų vartotojų skaitymo prieigą prie kai kurių arba visų sistemos vartotojų profilių.

• Veikimo problemos, kai daugelis DACL redagavimų yra įkeliami į grupės strategijos objektą, kuriame yra ilgos įėjimo laikas arba pakartotinai paleidžiamas paskirties sistema.

• Veikimo problemos, įskaitant sistemos slowdowns, kas 16 valandų arba taip, kaip grupės strategijos parametrai yra pakartotinai taikomi.

• Taikomųjų programų suderinamumo problemos arba taikomoji programa sugenda.

Kad būtų lengviau pašalinti blogiausius tokių failų ir registro teisių rezultatus, "Microsoft" suteiks komerciškai pagrįstų pastangų pagal jūsų palaikymo sutartį. Tačiau šiuo metu negalite atšaukti šių keitimų. Mes galime garantuoti tik tai, kad galite grįžti prie rekomenduojamų "out-of-the-box" parametrų performatuodami standųjį diską ir iš naujo įdiegę operacinę sistemą.

Pvz., registro Dakls pakeitimai turi įtakos didelei registro avilių dalims ir gali sukelti sistemos nebeveikti kaip tikėtasi. "DACLs" modifikavimas viename registro raktuose kelia mažiau problemų daugeliui sistemų. Tačiau rekomenduojame atidžiai apsvarstyti ir išbandyti šiuos pokyčius prieš juos įgyvendinant. Vėlgi, mes galime garantuoti tik tai, kad galite grįžti į rekomenduojamus "out-of-the-box" parametrus, jei performatuojate ir iš naujo įdiegiate operacinę sistemą.

"Microsoft" tinklo klientas: elektroniniu parašu pasirašyti pranešimai (visada)

Kai įgalinate šį parametrą, klientai turi pasirašyti serverio pranešimų blokavimo (SMB) srautą, kai jie susisiekite su serveriais, kuriems nereikia SMB prisijungimo. Tai leidžia klientams, kurie yra mažiau jautrūs seanso vogimą atakų. Jame pateikiama reikšminga reikšmė, bet neįjungus panašaus keitimų serveryje, kad įgalintumėte "Microsoft" tinklo serverį: elektroniniu parašu pasirašyti pranešimai (visada) arba "Microsoft" tinklo klientas: elektroniniu parašu pasirašyti pranešimai (jei klientas sutinka), klientas negalės sėkmingai bendrauti su serveriu.

Tinklo sauga: nesaugokite LAN tvarkytuvo maišos reikšmės dėl paskesnio slaptažodžio keitimo

Įjungus šį parametrą, naujo slaptažodžio LAN tvarkytuvo (LM) maišos reikšmė nebus saugoma, kai pakeičiamas slaptažodis. LM hash yra santykinai silpnas ir linkęs atakuoti, palyginti su kriptografiškai stipresniu "Microsoft Windows NT" maiša. Nors šis parametras suteikia daug papildomų saugos sistemai, nes neleidžia daugeliui dažnai naudojamų slaptažodžių krekingo paslaugų, nustatymas gali neleisti kai kurioms programoms paleisti arba tinkamai veikti.

Sistemos kriptografija: naudoti FIPS suderinamas algoritmai šifravimui, maišymo ir pasirašymas

Įgalinus šį parametrą, interneto informacijos tarnybos (IIS) ir "Microsoft Internet Explorer" naudoja tik transportavimo lygmens saugos (TLS) 1,0 protokolą. Jei šis parametras įgalintas serveryje, kuriame veikia IIS, gali prisijungti tik žiniatinklio naršyklės, palaikančios TLS 1,0. Jei šis parametras įgalintas žiniatinklio kliente, klientas gali prisijungti tik prie serverių, palaikančių TLS 1,0 protokolą. Šis reikalavimas gali turėti įtakos kliento galimybėms lankytis žiniatinklio svetainėse, kuriose naudojami saugiųjų jungčių lygmuo (SSL). Jei reikia daugiau informacijos, spustelėkite toliau esantį straipsnio numerį ir peržiūrėkite straipsnį "Microsoft" žinių bazėje:

811834 Negalima aplankyti SSL svetainių po to, kai įgalinate FIPS kriptografijos funkciją
papildomai, kai įgalinsite šį parametrą serveryje, kuris naudoja terminalų tarnybas, Klientai yra priversti naudoti KPP kliento 5,2 arba vėlesnes versijas, kurias reikia prijungti.

Jei reikia daugiau informacijos, spustelėkite toliau esantį straipsnio numerį ir peržiūrėkite straipsnį "Microsoft" žinių bazėje:

811833 "Sistemos kriptografijos įgalinimas: naudoti FIPS suderinamas algoritmus šifravimui, maiša ir pasirašymas" saugos parametras "Windows XP" ir naujesnėse "Windows" versijose

Išjungta Automatinio naujinimo tarnyba arba fono intelektualiojo perdavimo tarnyba (BITS)

Vienas iš pagrindinių "Microsoft" saugos strategijos ramsčių – užtikrinti, kad sistemos būtų nuolat atnaujinamos. Pagrindinis šios strategijos komponentas yra automatinių naujinimų tarnyba. "Windows Update" ir programinės įrangos naujinimo tarnybos naudoja automatinių naujinimų tarnybą. Automatinių naujinimų tarnyba priklauso nuo fono intelektualiojo perdavimo tarnybos (BITS). Jei šios tarnybos išjungtos, kompiuteriai nebegalės gauti naujinimų iš "Windows Update" per automatinius naujinimus, programinės įrangos naujinimo tarnybas (SUS) arba iš kai kurių "Microsoft Systems" valdymo serverio (SMS) diegimų. Šios tarnybos turi būti išjungtos tik sistemose, kuriose yra efektyvi naujinimo platinimo sistema, kuri nesiremia BITAIS.

Išjungta "tinklo registravimo tarnyba"

Jei išjungsite tinklo registravimo tarnybą, darbo vieta nebeveikia patikimai kaip domeno narys. Šis parametras gali būti tinkamas kai kuriems kompiuteriams, kurie nedalyvauja domenuose. Tačiau jis turi būti atidžiai įvertintas prieš įdiegtį.

"Nonamerelease" paklausa

Šis parametras neleidžia serveriui atsisakyti jo NetBIOS vardo, jei jis prieštarauja kitam tinklo kompiuteriui. Šis parametras yra gera prevencinė priemonė, skirta aptarnavimo atakoms apsisaugoti nuo vardų serverių ir kitų labai svarbių serverio vaidmenų.

Kai įgalinate šį parametrą darbo vietoje, darbo vieta atsisako atsisakyti jo NetBIOS vardo, net jei pavadinimas prieštarauja svarbesnės sistemos, pvz., domeno valdiklio, pavadinimui. Šis scenarijus gali išjungti svarbius domenų funkcijas. "Microsoft" tvirtai palaiko pramonės pastangas pateikti saugumo gaires, skirtas dislokavimui aukštoje saugumo srityje. Tačiau šios rekomendacijos turi būti nuodugniai išbandytos paskirties aplinkoje. Primygtinai rekomenduojame, kad sistemos administratoriai, kuriems reikia papildomų saugos parametrų už numatytųjų parametrų ribų, naudotų "Microsoft" išleistas gaires kaip savo organizacijos reikalavimų atskaitos tašką. Norėdami gauti pagalbos arba klausimų apie trečiųjų šalių vadovus, susisiekite su rekomendaciją išdavusią organizaciją.