Проблемы с клиентом, службой и программой могут возникнуть при изменении параметров безопасности и назначенных прав пользователей

Сводка

Параметры безопасности и назначения прав пользователей можно изменять в локальных и групповых политиках, чтобы усилить безопасность контроллеров домена и рядовых компьютеров. Однако обратной стороной повышения безопасности является введение несовместимости с клиентами, услугами и программами.

В этой статье описываются проблемы несовместимости, которые могут возникнуть на клиентских компьютерах под управлением Windows XP или более ранних версий Windows при изменении определенных параметров безопасности и назначенных прав пользователя в домене Windows Server 2003 или более раннем домене Windows Server.

Сведения о групповой политике для Windows 7, Windows Server 2008 R2 и Windows Server 2008 см. в следующих статьях:

• Для Windows 7 см. раздел "Управление групповой политикой для ИТ-специалистов"
• Для Windows 7 и Windows Server 2008 R2 см. раздел Новые возможности групповой политики

Примечание. Остальная часть этой статьи относится к Windows XP, Windows Server 2003 и более ранним версиям Windows.

Windows XP

Чтобы повысить осведомленность о неправильно настроенных параметрах безопасности, используйте редактор объектов групповой политики для изменения параметров безопасности. При использовании редактора объектов групповой политики назначения прав пользователей расширены в следующих операционных системах:

• Windows XP Professional с пакетом обновления 2 (SP2)
• Windows Server 2003 с пакетом обновления 1 (SP1)

Расширенная функция представляет собой диалоговое окно, содержащее ссылку на эту статью. Диалоговое окно появляется при изменении параметра безопасности или назначенных прав пользователя на параметр, который обеспечивает меньшую совместимость и является более строгим. Если изменить тот же параметр безопасности или назначение прав пользователя напрямую с помощью реестра или шаблонов безопасности, результат будет таким же, как при изменении параметра в редакторе объектов групповой политики. Однако диалоговое окно, содержащее ссылку на эту статью, не отображается.

Эта статья содержит примеры клиентов, программ и операций, на которые влияют определенные параметры безопасности или назначения прав пользователей. Однако примеры не являются достоверными для всех операционных систем Майкрософт, всех сторонних операционных систем или всех затронутых версий программ. Не все параметры безопасности и назначения прав пользователей включены в эту статью.

Рекомендуется проверить совместимость всех изменений конфигурации, связанных с безопасностью, в тестовом лесу, прежде чем внедрять их в производственную среду. Тестовый лес должен отображать зеркало рабочего леса следующими способами:

• Версии клиентских и серверных операционных систем, клиентские и серверные программы, версии пакетов обновления, исправления, изменения схемы, группы безопасности, членство в группах, разрешения на объекты в файловой системе, общие папки, реестр, служба каталогов Active Directory, параметры локальной и групповой политики, а также тип и расположение количества объектов

• Выполняемые задачи администрирования, используемые средства администрирования и операционные системы, используемые для выполнения задач администрирования

• Выполняемые операции, например:

  • Проверка подлинности входа компьютера и пользователя
  • Сброс пароля пользователями, компьютерами и администраторами
  • Просмотр веб-страниц
  • Настройка разрешений для файловой системы, для общих папок, для реестра и для ресурсов Active Directory с помощью редактора ACL во всех клиентских операционных системах во всех доменах учетных записей или ресурсов из всех клиентских операционных систем из всех доменов учетных записей и ресурсов
  • Печать из административных и неадминистративных учетных записей

Windows Server 2003 с пакетом обновления 1 (SP1)

Предупреждения в Gpedit.msc

Чтобы помочь клиентам узнать, что они редактируют право пользователя или параметр безопасности, который мог негативно повлиять на их сеть, в gpedit.msc были добавлены два механизма предупреждения. При изменении администратором права пользователя, которое может отрицательно повлиять на работу всего предприятия, появляется новый значок, напоминающий знак "Уступи дорогу". Они также получат предупреждающее сообщение со ссылкой на статью базы знаний Майкрософт 823659. Текст этого сообщения выглядит следующим образом:

Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Дополнительные сведения см. в разделе <Изменение> прав пользователя или параметров безопасности (Q823659) Если вы были направлены на эту статью базы знаний по ссылке в Gpedit.msc, убедитесь, что вы прочитали и поняли предоставленное объяснение и возможные последствия изменения этого параметра. Ниже перечислены права пользователей, которые содержат текст предупреждения:

• Доступ к этому компьютеру из сети
• Локальный вход
• Обход перекрестной проверки
• Включите компьютеры и пользователей для доверенного делегирования

Ниже перечислены параметры безопасности, которые содержат предупреждение и всплывающее сообщение:

• Член домена: всегда требуется цифровая подпись или шифрование данных безопасного канала
• Член домена: требовать стойкий сеансовый ключ (Windows 2000 или более поздней версии)
• Контроллер домена: требование цифровой подписи для LDAP-сервера
• Сервер сети Microsoft: использовать цифровую подпись (всегда)
• Сетевой доступ: разрешает трансляцию анонимного SID / имени
• Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями
• Сетевая безопасность: уровень проверки подлинности LAN Manager
• Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности.
• Сетевой доступ: требование цифровой подписи для LDAP-клиента

Дополнительные сведения

В следующих разделах описаны проблемы несовместимости, которые могут возникнуть при изменении определенных параметров в доменах Windows NT 4.0, Windows 2000 и Windows Server 2003.

Права пользователя

В следующем списке описывается право пользователя, определяются параметры конфигурации, которые могут вызвать проблемы, описывается, почему следует применять это право и почему может потребоваться удалить это право, а также приводятся примеры проблем совместимости, которые могут возникнуть при настройке права пользователя.

1. Доступ к этому компьютеру из сети

   1. Краткое описание ситуации

      Для возможности взаимодействия с удаленными компьютерами под управлением Windows необходимо право пользователя "Доступ к этому компьютеру из сети". Примеры таких сетевых операций включают следующее:

      • Репликация Active Directory между контроллерами домена в общем домене или лесу
      • Запросы проверки подлинности к контроллерам домена от пользователей и компьютеров
      • Доступ к общим папкам, принтерам и другим системным службам, расположенным на удаленных компьютерах в сети.

      Пользователи, компьютеры и учетные записи служб получают или теряют право пользователя "Доступ к этому компьютеру из сети" путем явного или неявного добавления или удаления из группы безопасности, которой было предоставлено это право пользователя. Например, учетная запись пользователя или учетная запись компьютера может быть явно добавлена администратором в настраиваемую группу безопасности или встроенную группу безопасности или может быть неявно добавлена операционной системой в вычисляемую группу безопасности, такую как "Пользователи домена", "Прошедшие проверку пользователи" или "Контроллеры домена предприятия".

      По умолчанию учетным записям пользователей и учетным записям компьютеров предоставляется право доступа к этому компьютеру из сети, если вычисляемые группы, такие как "Все" или, предпочтительно, "Прошедшие проверку пользователи" и, для контроллеров домена, группа "Контроллеры домена предприятия", определены в контроллерах домена по умолчанию групповая политика объекте (GPO).

   2. Рискованные конфигурации

      Ниже приведены опасные параметры конфигурации.

      • Удаление группы безопасности "Контроллеры домена предприятия" из этого права пользователя
      • Удаление группы «Прошедшие проверку пользователей» или явной группы, которая дает право пользователям, компьютерам и учетным записям служб подключаться к компьютерам по сети
      • Удаление всех пользователей и компьютеров из этого права пользователя

   3. Причины для предоставления этого права пользователя

      • Предоставление доступа этому компьютеру с права сетевого пользователя к группе "Контроллеры домена предприятия" удовлетворяет требованиям проверки подлинности, которые должна выполняться при репликации Active Directory для репликации между контроллерами домена в одном и том же лесу.
      • Это право пользователя предоставляет пользователям и компьютерам доступ к общим файлам, принтерам и системным службам, включая Active Directory.
      • Это право необходимо пользователям для доступа к почте с помощью ранних версий Microsoft Outlook Web Access (OWA).

   4. Причины для удаления этого права пользователя

      • Пользователи, которые могут подключить свои компьютеры к сети, могут получать доступ к ресурсам на удаленных компьютерах, на доступ к которым у них есть разрешения. Например, это право пользователя необходимо для подключения к общим принтерам и папкам. Если это право пользователя предоставлено группе "Все" и если некоторые общие папки имеют разрешения на общий доступ и файловую систему NTFS таким образом, что одна группа имеет доступ на чтение, любой пользователь может просматривать файлы в этих общих папках. Однако это маловероятная ситуация для новых установок Windows Server 2003, так как общий ресурс по умолчанию и разрешения NTFS в Windows Server 2003 не включают группу "Все". Для систем, обновленных с Microsoft Windows NT 4.0 или Windows 2000, эта уязвимость может иметь более высокий уровень риска, поскольку общий ресурс по умолчанию и разрешения файловой системы для этих операционных систем не такие строгие, как разрешения по умолчанию в Windows Server 2003.
      • Нет веских причин для удаления группы "Контроллеры домена предприятия" из этого права пользователя.
      • Группа "Все" обычно удаляется в пользу группы "Прошедшие проверку пользователи". Если группа "Все" удаляется, этой правой стороне необходимо предоставить группу "Прошедшие проверку пользователи".
      • Домены Windows NT 4.0, обновленные до Windows 2000, не предоставляют явным образом доступ к этому компьютеру с права пользователя сети к группе "Все", группе "Прошедшие проверку пользователи" или группе "Контроллеры домена предприятия". Поэтому при удалении группы "Все" из политики домена Windows NT 4.0 репликация Active Directory завершится сбоем с сообщением об ошибке "Отказано в доступе" после обновления до Windows 2000. Winnt32.exe в Windows Server 2003 позволяет избежать этой неправильной конфигурации, предоставляя группе "Контроллеры домена предприятия" это право пользователя при обновлении основных контроллеров домена (PDCs) Windows NT 4.0. Предоставьте группе контроллеров домена предприятия это право пользователя, если оно отсутствует в редакторе объектов групповой политики.

   5. Примеры проблем с совместимостью

      • Windows 2000 и Windows Server 2003: Репликация следующих разделов завершится сбоем с ошибками "Отказано в доступе", о которых сообщают средства мониторинга, такие как REPLMON и REPADMIN, или события репликации в журнале событий.

        • Раздел схемы Active Directory
        • Раздел конфигурации
        • Раздел домена
        • Раздел глобального каталога
        • Раздел приложений

      • Все операционные системы сети Майкрософт: Проверка подлинности учетных записей пользователей на клиентских компьютерах удаленных сетей завершится сбоем, если пользователю или группе безопасности, участником которой является пользователь, предоставлено это право пользователя.

      • Все операционные системы сети Майкрософт: Проверка подлинности учетной записи от удаленных сетевых клиентов завершится сбоем, если учетной записи или группе безопасности, участником которой является учетная запись, предоставлено это право пользователя. Этот сценарий применяется к учетным записям пользователей, учетным записям компьютеров и учетным записям служб.

      • Все операционные системы сети Майкрософт: Удаление всех учетных записей из этого права пользователя запретит всем учетным записям вход в домен или доступ к сетевым ресурсам. Если вычисляемые группы, такие как контроллеры домена предприятия, "Все" или "Прошедшие проверку пользователи", удаляются, необходимо явным образом предоставить этому пользователю право доступа к удаленным компьютерам или группам безопасности по сети. Этот сценарий применяется ко всем учетным записям пользователей, ко всем учетным записям компьютеров и ко всем учетным записям служб.

      • Все операционные системы сети Майкрософт: Учетная запись локального администратора использует "пустой" пароль. Сетевое подключение с пустыми паролями не разрешено для учетных записей администраторов в доменной среде. При такой конфигурации можно ожидать появления сообщения об ошибке "Отказано в доступе".

2. Локальный вход в систему

   1. Краткое описание ситуации

      Пользователи, которые пытаются войти в систему на консоли компьютера с Windows (используя сочетание клавиш CTRL+ALT+DELETE), и учетные записи, которые пытаются запустить службу, должны иметь привилегии локального входа на хост-компьютере. Примерами операций локального входа могут служить администраторы, которые входят в систему на консолях рядовых компьютеров или контроллерах домена на предприятии, а также пользователи домена, которые входят в систему на рядовых компьютерах для доступа к рабочим столам с помощью непривилегированных учетных записей. Пользователи, использующие подключение к удаленному рабочему столу или службы терминалов, должны иметь право локального входа в систему на целевых компьютерах под управлением Windows 2000 или Windows XP, поскольку эти режимы входа считаются локальными для хост-компьютера. Пользователи, которые входят в систему на сервере с включенным сервером терминалов и не имеют этого права, по-прежнему могут начать удаленный интерактивный сеанс в доменах Windows Server 2003, если у них есть право пользователя "Разрешить вход в систему через службы терминалов".

   2. Рискованные конфигурации

      Ниже приведены опасные параметры конфигурации.

      • Удаление административных групп безопасности, включая операторов учетных записей, операторов архива, операторов печати или серверов, а также встроенную группу "Администраторы" из политики контроллера домена по умолчанию.
      • Удаление учетных записей служб, которые используются компонентами и программами на рядовых компьютерах и на контроллерах домена в данном домене, из политики контроллера домена по умолчанию.
      • Удаление пользователей или групп безопасности, которые входят в консоль рядовых компьютеров в домене.
      • Удаление учетных записей служб, определенных в локальной базе данных диспетчера учетных записей безопасности (SAM) компьютеров-участников или компьютеров рабочих групп.
      • Удаление невстроенных административных учетных записей, которые проходят проверку подлинности через службы терминалов, работающие на контроллере домена.
      • Добавление всех учетных записей пользователей в домене, явным или неявным образом через группу "Все", в право локального входа "Запретить локальный вход". Такая конфигурация не позволит пользователям входить в систему на любом из рядовых компьютеров или любых контроллеров домена в домене.

   3. Причины для предоставления этого права пользователя

      • Для доступа к консоли или рабочему столу компьютера рабочей группы, рядового компьютера или контроллера домена пользователи должны иметь право локального пользователя "Разрешить вход в систему".
      • Пользователи должны иметь это право на вход в систему через сеанс служб терминалов, выполняемый на рядовом компьютере под управлением Windows 2000 или контроллере домена.

   4. Причины для удаления этого права пользователя

      • Если не ограничить доступ консоли к законным учетным записям пользователей, это может привести к тому, что неавторизованные пользователи будут скачивать и выполнять вредоносный код для изменения своих прав пользователей.
      • Удаление права локального пользователя "Разрешить вход в систему" предотвращает несанкционированный вход в систему на консолях компьютеров, таких как контроллеры домена или серверы приложений.
      • Удаление этого права входа запрещает учетным записям, не относящимся к домену, входить в систему на консоли рядовых компьютеров в домене.

   5. Примеры проблем с совместимостью

      • Серверы терминалов Windows 2000: право "Разрешить локальный вход" необходимо для входа пользователей в систему серверов терминалов Windows 2000.
      • Windows NT 4.0, Windows 2000, Windows XP или Windows Server 2003. Учетным записям пользователей должно быть предоставлено это право на вход в систему на консоли компьютеров с Windows NT 4.0, Windows 2000, Windows XP или Windows Server 2003.
      • Windows NT 4.0 и более поздние версии: На компьютерах с Windows NT 4.0 и более поздних версий, если вы добавите право локального пользователя "Разрешить вход в систему", но явно или неявно также предоставите право локального входа в систему, учетные записи не смогут войти в систему на консоли контроллеров домена.

3. Обход перекрестной проверки

   1. Краткое описание ситуации

      Право пользователя "Обход перекрестной проверки" позволяет пользователю просматривать папки в файловой системе NTFS или в реестре, не проверяя наличие специального разрешения на доступ к папке перекрестного хода. Право пользователя "Обход перекрестной проверки" не позволяет пользователю перечислять содержимое папки. Она позволяет пользователю просматривать только свои папки.

   2. Рискованные конфигурации

      Ниже приведены опасные параметры конфигурации.

      • Удаление неадминистративных учетных записей, которые входят в компьютеры на базе служб терминалов под управлением Windows 2000 или на компьютеры служб терминалов на основе Windows Server 2003, у которых нет разрешений на доступ к файлам и папкам в файловой системе.
      • Удаление группы "Все" из списка субъектов безопасности, имеющих это право пользователя по умолчанию. Операционные системы Windows, а также многие программы, разработаны с расчетом на то, что любой, кто может законно получить доступ к компьютеру, получит право пользователя на обход перекрестной проверки. Поэтому удаление группы "Все" из списка субъектов безопасности, имеющих это право пользователя по умолчанию, может привести к нестабильности операционной системы или сбою программы. Лучше оставить этот параметр по умолчанию.

   3. Причины для предоставления этого права пользователя

      Значение по умолчанию для права пользователя Обход перекрестной проверки позволяет любому пользователю обходить перекрестную проверку. Опытные системные администраторы Windows считают это ожидаемым поведением и соответствующим образом настраивают списки управления доступом к файловой системе (SACL). Единственный сценарий, в котором конфигурация по умолчанию может привести к сбою, заключается в том, что администратор, который настраивает разрешения, не понимает поведения пользователя и ожидает, что пользователи, у которых нет доступа к родительской папке, не смогут получить доступ к содержимому дочерних папок.

   4. Причины для удаления этого права пользователя

      Чтобы предотвратить доступ к файлам или папкам в файловой системе, организации, которые очень обеспокоены безопасностью, могут поддаться искушению удалить группу "Все" или даже группу "Пользователи" из списка групп, имеющих право пользователя "Обход проверки".

   5. Примеры проблем с совместимостью

      • Windows 2000, Windows Server 2003: если право пользователя на обход перекрестной проверки удалено или неправильно настроено на компьютерах с Windows 2000 или Windows Server 2003, параметры групповой политики в папке SYVOL не будут реплицироваться между контроллерами домена в домене.

      • Windows 2000, Windows XP Professional, Windows Server 2003: Компьютеры под управлением Windows 2000, Windows XP Professional или Windows Server 2003 будут регистрировать события 1000 и 1202 и не смогут применять политику компьютера и пользовательскую политику при удалении необходимых разрешений файловой системы из дерева SYSVOL, если право пользователя для обхода перекрестной проверки удалено или неправильно настроено.

         

      • Windows 2000, Windows Server 2003. На компьютерах с Windows 2000 или Windows Server 2003 вкладка "Квота" в обозревателе Windows исчезает при просмотре свойств тома.

      • Windows 2000: при входе на сервер терминалов Windows 2000 неадминистраторы могут получать следующее сообщение об ошибке:

        Примечание

        Userinit.exe ошибке приложения. Приложению не удалось правильно инициализироваться 0xc0000142 нажать кнопку "ОК", чтобы завершить работу приложения.

      • Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003: пользователи, компьютеры которых работают под управлением Windows NT 4.0, Windows 2000, Windows XP или Windows Server 2003, могут не иметь доступа к общим папкам или файлам в общих папках, и они могут получать сообщения об ошибке "Отказано в доступе", если им не предоставлена обходная проверка права пользователя.

         

      • Windows NT 4.0. На компьютерах под управлением Windows NT 4.0 удаление права пользователя "Обход перекрестной проверки" приведет к сбросу файловых потоков при копировании файла. Если удалить это право пользователя, при копировании файла из клиента Windows или из клиента Macintosh на контроллер домена Windows NT 4.0, на котором запущены службы Macintosh, конечный файловый поток теряется, и файл отображается как текстовый файл.

      • Microsoft Windows 95, Microsoft Windows 98: на клиентском компьютере под управлением Windows 95 или Windows 98 net use * /home завершится ошибкой с сообщением об ошибке "Отказано в доступе", если группе "Прошедшие проверку пользователи" не предоставлено право пользователя на обход перекрестной проверки.

      • Outlook Web Access: пользователи, не являющиеся администраторами, не смогут войти в Microsoft Outlook Web Access и получат сообщение об ошибке "Отказано в доступе", если им не предоставлено право пользователя на обход перекрестной проверки.

Параметры безопасности

В следующем списке определяется параметр безопасности, а вложенный список содержит описание параметра безопасности, определяет параметры конфигурации, которые могут вызвать проблемы, объясняет, почему следует применить параметр безопасности, а затем описывает причины, по которым может потребоваться удалить параметр безопасности. Вложенный список затем предоставляет символическое имя параметра безопасности и путь реестра параметра безопасности. В заключение приведены примеры проблем совместимости, которые могут возникнуть при настройке параметра безопасности.

1. Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности.

   1. Краткое описание ситуации

      • Параметр "Аудит: немедленное отключение системы, если невозможно зарегистрировать события безопасности" определяет, будет ли система завершена работу, если не удается зарегистрировать события безопасности. Этот параметр необходим для оценки C2 программы оценки безопасности доверенных компьютеров (TCSEC) и для общих критериев оценки безопасности информационных технологий, чтобы предотвратить подлежащие аудиту события, если система аудита не может зарегистрировать эти события. Если система аудита дает сбой, система завершает работу и появляется сообщение о STOP-ошибке.
      • Если компьютеру не удается записать события в журнал безопасности, критически важные доказательства или важная информация об устранении неполадок могут быть недоступны для просмотра после инцидента безопасности.

   2. Рискованная конфигурация

      Ниже приведен опасный параметр конфигурации. Включен параметр "Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности", а размер журнала событий безопасности ограничен параметрами "Не перезаписывать события (очистить журнал вручную)", "Перезаписывать события по мере необходимости" или "Перезаписывать события старше числовых дней" в Просмотре событий. Сведения о конкретных рисках для компьютеров под управлением исходной выпущенной версии Windows 2000, Windows 2000 с пакетом обновления 1 (SP1), Windows 2000 SP2 и Windows 2000 SP3 см. в разделе "Примеры проблем совместимости".

   3. Причины для включения этого параметра

      Если компьютеру не удается записать события в журнал безопасности, критически важные доказательства или важная информация об устранении неполадок могут быть недоступны для просмотра после инцидента безопасности.

   4. Причины для отключения этого параметра

      • Включение аудита: Немедленное отключение системы, если невозможно внести в журнал аудит безопасности. Параметр останавливает систему, если аудит безопасности не может быть зарегистрирован по какой-либо причине. Как правило, событие не может быть зарегистрировано, если журнал аудита безопасности заполнен и его указан метод хранения либо параметр "Не перезаписывать события (очистить журнал вручную)", либо параметр "Перезаписывать события старше числовых дней".
      • Административная нагрузка при включении функции "Аудит: немедленное завершение работы системы", если невозможно внести в журнал параметры аудита безопасности, может быть очень высокой, особенно если вы также включите параметр «Не перезаписывать события (очистить журнал вручную)» для журнала безопасности. Данная настройка предусматривает индивидуальную ответственность за действия оператора. Например, администратор может сбросить разрешения для всех пользователей, компьютеров и групп в подразделении (OU), где был включен аудит, используя встроенную учетную запись администратора или другую общую учетную запись, а затем отказать в сбросе этих разрешений. Тем не менее, включение этого параметра снижает надежность системы, так как сервер может быть вынужден завершить работу из-за перегрузки его событиями входа и другими событиями безопасности, записанными в журнал безопасности. Кроме того, так как завершение работы не происходит плавно, это может привести к непоправимому ущербу операционной системе, программам или данным. Хотя NTFS гарантирует, что целостность файловой системы сохраняется во время некорректного завершения работы системы, она не может гарантировать, что каждый файл данных для каждой программы будет оставаться в пригодном для использования виде при перезапуске системы.

   5. Символьное имя:

      CrashOnAuditFail

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)

   7. Примеры проблем с совместимостью

      • Windows 2000: Из-за ошибки компьютеры, работающие под управлением исходной выпущенной версии Windows 2000, Windows 2000 SP1, Windows 2000 SP2 или Windows Server SP3, могут прекратить регистрацию событий до достижения размера, указанного в параметре Максимальный размер журнала для журнала событий безопасности. Эта ошибка исправлена в Windows 2000 с пакетом обновления 4 (SP4). Прежде чем включать этот параметр, убедитесь, что на контроллерах домена Windows 2000 установлен пакет обновления 4 (SP4) для Windows 2000.

         

      • Windows 2000, Windows Server 2003: компьютеры под управлением Windows 2000 или Windows Server 2003 могут перестать отвечать на запросы, а затем могут самопроизвольно перезагрузиться, если включен параметр "Аудит: немедленное завершение работы системы, если невозможно вести журнал аудитов безопасности, журнал безопасности заполнен и существующую запись журнала событий невозможно перезаписать. При перезапуске компьютера появляется следующее сообщение о STOP-ошибке:

        Примечание

        СТОП: C0000244 {Ошибка аудита}
        Ошибка при попытке создать аудит безопасности.

        Чтобы восстановить систему, администратор должен войти в систему, архивировать журнал безопасности (необязательно), очистить журнал безопасности, а затем сбросить этот параметр (необязательно, по мере необходимости).

      • Сетевой клиент Microsoft для MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003: Пользователи, не являющиеся администраторами, которые войдут в домен, получат следующее сообщение об ошибке:

        Примечание

        Ваша учетная запись настроена так, чтобы предотвратить использование этого компьютера. Попробуйте установить его на другом компьютере.

      • Windows 2000: на компьютерах под управлением Windows 2000 пользователи, не являющиеся администраторами, не смогут входить в систему серверов удаленного доступа и получат сообщение об ошибке примерно такого содержания:

        Примечание

        Неизвестный пользователь или неверный пароль

      • Windows 2000: на контроллерах домена Windows 2000 служба межсайтового обмена сообщениями (Ismserv.exe) останавливается, и ее невозможно перезапустить. DCDIAG сообщит об ошибке как «Failed Test Services ISMserv», и в журнале событий будет зарегистрирован идентификатор события 1083.

      • Windows 2000: на контроллерах домена Windows 2000 репликация Active Directory завершится ошибкой, и если журнал событий безопасности заполнен, появится сообщение "Отказано в доступе".

      • Microsoft Exchange 2000: серверы, работающие под управлением Exchange 2000, не смогут подключить базу данных банка информации, и событие 2102 будет зарегистрировано в журнале событий.

      • Outlook, Outlook Web Access: пользователи, не являющиеся администраторами, не смогут получить доступ к своей почте через Microsoft Outlook или через Microsoft Outlook Web Access. Они получат сообщение об ошибке 503.

2. Контроллер домена: требование цифровой подписи для LDAP-сервера

   1. Краткое описание ситуации

      Параметр безопасности "Контроллер домена: требования к подписи LDAP-сервера" определяет, требует ли сервер LDAP от клиентов LDAP согласования подписывания данных. Возможные значения для этого параметра политики:

      • Нет: подписывание данных не требуется для привязки к серверу. Если клиент запрашивает подписывание данных, сервер поддерживает его.
      • Требование подписи: параметр подписи данных LDAP должен быть согласован, если только не используется протокол TLS/SSL.
      • не определено: этот параметр не включен или отключен.

   2. Рискованные конфигурации

      Ниже приведены опасные параметры конфигурации.

      • Включение параметра "Требовать вход в средах", где клиенты не поддерживают подпись LDAP или где на клиенте не включена подпись LDAP
      • Применение шаблона безопасности Hisecdc.inf для Windows 2000 или Windows Server 2003 в средах, где клиенты не поддерживают подпись LDAP или где не включена подпись LDAP на стороне клиента
      • Применение шаблона безопасности Hisecws.inf в Windows 2000 или Windows Server 2003 в средах, где клиенты не поддерживают подписывание LDAP или где подпись LDAP на стороне клиента не включена

   3. Причины для включения этого параметра

      Неподписанный сетевой трафик подвержен атакам типа "злоумышленник в середине", при которых злоумышленник перехватывает пакеты между клиентом и сервером, изменяет пакеты, а затем пересылает их серверу. Если такое поведение происходит на сервере LDAP, злоумышленник может заставить сервер принимать решения на основе ложных запросов от клиента LDAP. Вы можете снизить этот риск в корпоративной сети, внедрив надежные физические меры безопасности для защиты сетевой инфраструктуры. Режим заголовка проверки подлинности по протоколу IPSec помогает предотвратить атаки типа "злоумышленник в середине". Режим заголовка проверки подлинности обеспечивает взаимную проверку подлинности и целостность пакетов для трафика IP.

   4. Причины для отключения этого параметра

      • Клиенты, не поддерживающие подписывание LDAP, не смогут выполнять запросы LDAP к контроллерам домена и глобальным каталогам, если согласована аутентификация NTLM и если на контроллерах домена Windows 2000 не установлены правильные пакеты обновления.
      • Сетевые трассировки трафика LDAP между клиентами и серверами будут зашифрованы. Это затрудняет изучение бесед LDAP.
      • Серверы на основе Windows 2000 должны иметь Windows 2000 с пакетом обновления 3 (SP3) или быть установлены, если они администрируются с помощью программ, поддерживающих подпись LDAP, которые запускаются с клиентских компьютеров под управлением Windows 2000 SP4, Windows XP или Windows Server 2003.

   5. Символьное имя:

      LDAPServerIntegrity

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)

   7. Примеры проблем с совместимостью

      • Простые привязки не удастся, и появится следующее сообщение об ошибке:

        Примечание

        Ldap_simple_bind_s() не пройдено: требуется строгая проверка подлинности.

      • Windows 2000 с пакетом обновления 4 (SP4), Windows XP, Windows Server 2003. На клиентах под управлением Windows 2000 SP4, Windows XP или Windows Server 2003 некоторые средства администрирования Active Directory будут работать неправильно против контроллеров домена, работающих под управлением версий Windows 2000, предшествующих SP3, когда согласована аутентификация NTLM.

         

      • Windows 2000 с пакетом обновления 4, Windows XP, Windows Server 2003. На клиентах под управлением Windows 2000 SP4, Windows XP или Windows Server 2003 некоторые средства администрирования Active Directory, предназначенные для контроллеров домена под управлением версий Windows 2000, предшествующих SP3, будут работать неправильно, если они используют IP-адреса (например, "dsa.msc /server=x.x.x.x", где
        x.x.x.x — IP-адрес).

         

      • Windows 2000 с пакетом обновления 4, Windows XP, Windows Server 2003. На клиентах под управлением Windows 2000 SP4, Windows XP или Windows Server 2003 некоторые средства администрирования Active Directory, предназначенные для контроллеров домена под управлением версий Windows 2000, предшествующих SP3, будут работать неправильно.

         

3. Член домена: требовать стойкий сеансовый ключ (Windows 2000 или выше)

   1. Краткое описание ситуации

      • Параметр "Член домена: требовать стойкий сеансовый ключ (Windows 2000 или выше) определяет, можно ли установить защищенный канал с помощью контроллера домена, который не может зашифровать трафик безопасного канала с помощью надежного 128-разрядного ключа сеанса. Включение этого параметра не позволяет создать защищенный канал с помощью любого контроллера домена, который не может зашифровать данные защищенного канала с помощью надежного ключа. Отключение этого параметра разрешает использовать 64-разрядные сессионные ключи.
      • Прежде чем вы сможете включить этот параметр на рабочей станции участника или на сервере, все контроллеры домена в домене, к которому принадлежит участник, должны иметь возможность шифрования данных безопасного канала с помощью надежного 128-битного ключа. Это означает, что все такие контроллеры домена должны работать под управлением Windows 2000 или более поздней версии.

   2. Рискованная конфигурация

      Включение параметра "Член домена: требовать стойкий сеансовый ключ (Windows 2000 или выше") является опасным параметром конфигурации.

   3. Причины для включения этого параметра

      • Сеансовые ключи, используемые для установления безопасного канала связи между рядовыми компьютерами и контроллерами домена, в Windows 2000 намного надежнее, чем в более ранних версиях операционных систем Майкрософт.
      • Когда это возможно, рекомендуется воспользоваться этими более надежными ключами сеанса, чтобы защитить связь в защищенном канале от прослушивания и сетевых атак с перехватом сеанса. Прослушивание — это форма вредоносной атаки, при которой сетевые данные считываются или изменяются во время передачи. Данные можно изменять, чтобы скрыть или изменить отправителя или перенаправить его.

      Важно! Компьютер с Windows Server 2008 R2 или Windows 7 поддерживает только надежные ключи при использовании безопасных каналов. Это ограничение предотвращает установление доверия между любым доменом на основе Windows NT 4.0 и любым доменом на основе Windows Server 2008 R2. Кроме того, это ограничение блокирует членство в домене на основе Windows NT 4.0 компьютеров под управлением Windows 7 или Windows Server 2008 R2, и наоборот.

   4. Причины для отключения этого параметра

      Домен содержит рядовые компьютеры, работающие под управлением операционных систем, отличных от Windows 2000, Windows XP или Windows Server 2003.

   5. Символьное имя:

      StrongKey

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)

   7. Примеры проблем с совместимостью

      Windows NT 4.0: на компьютерах с Windows NT 4.0 не удается сбросить безопасные каналы доверия между доменами Windows NT 4.0 и Windows 2000 с помощью NLTEST. Появляется сообщение об ошибке "Отказано в доступе":
      Не удалось установить доверительные отношения между основным и доверенным доменами.

      Windows 7 и Server 2008 R2: В Windows 7 и более поздних версиях, а также в Windows Server 2008 R2 и более поздних версиях этот параметр больше не учитывается, и всегда используется сильная клавиша. По этой причине отношения доверия с доменами Windows NT 4.0 больше не работают.

4. Член домена: всегда требуется цифровая подпись или шифрование данных безопасного канала

   1. Краткое описание ситуации

      • Включение члена домена: всегда обеспечивать цифровое шифрование или подписывание данных безопасного канала не позволяет создать защищенный канал с помощью любого контроллера домена, который не может подписать или зашифровать все данные защищенного канала. Чтобы защитить трафик проверки подлинности от атак типа "злоумышленник в середине", атак с повторением воспроизведения и других видов сетевых атак, компьютеры под управлением Windows создают для проверки подлинности учетных записей компьютеров канал связи, называемый защищенным каналом, через службу Net Logon. Защищенные каналы также используются, когда пользователь в одном домене подключается к сетевому ресурсу в удаленном домене. Эта многодоменная проверка подлинности (или сквозная проверка подлинности) позволяет компьютеру под управлением Windows, присоединенному к домену, получить доступ к базе данных учетных записей пользователей в своем домене и в любом из доверенных доменов.
      • Чтобы включить параметр "Член домена: всегда (всегда шифровать или подписывать данные безопасного канала)" на рядовом компьютере все контроллеры домена в домене, к которому принадлежит участник, должны иметь возможность подписывать или шифровать все данные защищенного канала. Это означает, что все такие контроллеры домена должны работать под управлением Windows NT 4.0 с пакетом обновления 6a (SP6a) или более новым.
      • Включение параметра "Член домена: цифровое шифрование или подпись данных безопасного канала (всегда)" автоматически включает параметр "Член домена: шифрование или подписывание данных безопасного канала, когда это возможно)".

   2. Рискованная конфигурация

      Включение параметра "Член домена: цифровое шифрование или подпись данных безопасного канала (всегда)" в доменах, где не все контроллеры домена могут подписывать или шифровать данные безопасного канала, является опасным параметром конфигурации.

   3. Причины для включения этого параметра

      Неподписанный сетевой трафик подвержен атакам типа "злоумышленник в середине", при которых злоумышленник захватывает пакеты между сервером и клиентом, а затем изменяет их перед пересылкой клиенту. Когда такое поведение происходит на сервере LDAP, злоумышленник может заставить клиента принимать решения, основанные на ложных записях из каталога LDAP. Вы можете снизить риск такой атаки на корпоративную сеть, внедрив надежные меры физической безопасности для защиты сетевой инфраструктуры. Кроме того, реализация режима заголовка проверки подлинности IPSec помогает предотвратить атаки типа "злоумышленник в середине". Этот режим обеспечивает взаимную проверку подлинности и целостность пакетов для трафика IP.

   4. Причины для отключения этого параметра

      • Компьютеры в локальных и внешних доменах поддерживают зашифрованные защищенные каналы.
      • Не все контроллеры домена в домене имеют соответствующие уровни версий пакетов обновления для поддержки зашифрованных защищенных каналов.

   5. Символьное имя:

      StrongKey

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)

   7. Примеры проблем с совместимостью

      • Windows NT 4.0: компьютеры на базе Windows 2000 не смогут присоединяться к доменам Windows NT 4.0 и получат следующее сообщение об ошибке:

        Примечание

        Учетная запись не авторизована для входа с этой станции.

        Для просмотра статьи в базе знаний Майкрософт щелкните следующий номер статьи:
        281648 Сообщение об ошибке: Учетная запись не авторизована для входа с этой станции
         

      • Windows NT 4.0: домены Windows NT 4.0 не смогут установить низкий уровень доверия с доменом Windows 2000 и получат следующее сообщение об ошибке:

        Примечание

        Учетная запись не авторизована для входа с этой станции.

        Существующие отношения доверия нижнего уровня также могут не аутентифицировать пользователей из доверенного домена. У некоторых пользователей могут возникнуть проблемы со входом в домен, а также может появиться сообщение об ошибке с сообщением о том, что клиенту не удается найти домен.

      • Windows XP: клиенты Windows XP, присоединенные к доменам Windows NT 4.0, не смогут проверять подлинность при попытках входа в систему и могут получать следующее сообщение об ошибке либо в журнале событий могут быть зарегистрированы следующие события:

        Примечание

        Windows не может подключиться к домену, так как контроллер домена не работает или недоступен по другой причине либо учетная запись компьютера не найдена

      • Сеть Microsoft: клиенты сети Майкрософт получают одно из следующих сообщений об ошибке:

        Примечание

        Ошибка при входе: неизвестное имя пользователя или неверный пароль.

        Примечание

        Для указанного сеанса входа в систему не существует ключа сеанса пользователя.

5. Клиент сети Microsoft: использовать цифровую подпись (всегда)

   1. Краткое описание ситуации

      SMB — это протокол совместного использования ресурсов, который поддерживается многими операционными системами Майкрософт. Это основа сетевой базовой системы ввода-вывода (NetBIOS) и многих других протоколов. Подпись SMB проверяет подлинность как пользователя, так и сервера, на котором размещены данные. Если одна из сторон не проходит процесс аутентификации, передача данных не выполняется.

      Включение подписи SMB начинается во время согласования протокола SMB. Политики подписи SMB определяют, всегда ли компьютер имеет цифровую подпись клиентов.

      Протокол проверки подлинности Windows 2000 SMB поддерживает взаимную проверку подлинности. Взаимная проверка подлинности закрывает атаку типа "злоумышленник в середине". Протокол проверки подлинности Windows 2000 SMB также поддерживает проверку подлинности сообщений. Проверка подлинности сообщений помогает предотвратить активные атаки на сообщения. Чтобы обеспечить эту проверку подлинности, подпись SMB добавляет цифровую подпись в каждый компонент SMB. Цифровая подпись проверяется клиентом и сервером.

      Чтобы использовать подпись SMB, необходимо включить подпись SMB или требовать подписи SMB как на клиенте SMB, так и на сервере SMB. Если подпись SMB включена на сервере, клиенты, которые также поддерживают подписывание SMB, будут использовать протокол подписания пакетов во всех последующих сеансах. Если на сервере требуется подписывание SMB, клиент не сможет установить сеанс, если клиент не включен или не требуется для подписывания SMB.

      Включение цифрового входа в сетях с высоким уровнем защиты помогает предотвратить олицетворение клиентов и серверов. Этот вид олицетворения известен как перехват сеанса. Злоумышленник, имеющий доступ к той же сети, что и клиент или сервер, использует средства перехвата сеанса, чтобы прервать, прерывать или украсть запущенный сеанс. Злоумышленник может перехватывать и изменять неподписанные пакеты SMB, изменять трафик, а затем перенаправлять его так, чтобы сервер мог выполнить нежелательные действия. Или злоумышленник может выдать себя за сервер или клиента после законной проверки подлинности и получить несанкционированный доступ к данным.

      Протокол SMB, используемый для общего доступа к файлам и принтерам на компьютерах под управлением Windows 2000 Server, Windows 2000 Профессиональная, Windows XP Профессиональная или Windows Server 2003, поддерживает взаимную проверку подлинности. Взаимная проверка подлинности закрывает атаки с перехватом сеанса и поддерживает проверку подлинности сообщений. Таким образом, это предотвращает атаки типа "злоумышленник в середине". Подпись SMB обеспечивает эту проверку подлинности путем размещения цифровой подписи в каждом пакете SMB. Затем клиент и сервер проверяют подпись.

      Заметки

      • В качестве альтернативной меры противодействия можно включить цифровые подписи с помощью IPSec для защиты всего сетевого трафика. Существуют аппаратные ускорители для шифрования и подписывания IPSec, которые можно использовать для минимизации влияния ЦП сервера на производительность. Таких ускорителей, доступных для подписывания SMB, не существует.

        Дополнительные сведения см. в главе "Цифровые подписи на сервере " на веб-сайте Microsoft MSDN.

        Настройте подписывание SMB с помощью редактора объектов групповой политики, поскольку изменение значения локального реестра не имеет никакого эффекта при наличии переопределяющей политики домена.

      • Во втором издании Windows 95, Windows 98 и Windows 98 клиент служб каталогов использует подпись SMB при проверке подлинности на серверах Windows Server 2003 с использованием проверки подлинности NTLM. Однако эти клиенты не используют подписывание SMB при проверке подлинности на этих серверах с помощью проверки подлинности NTLMv2. Кроме того, серверы Windows 2000 не отвечают на запросы подписи SMB от этих клиентов. Для получения дополнительной информации см. пункт 10: «Сетевая безопасность: уровень аутентификации Lan Manager».

   2. Рискованная конфигурация

      Ниже приведен опасный параметр конфигурации. Оставляя как параметр "Использовать цифровую подпись (всегда)" для клиента сети Microsoft, так и параметр "Цифровая подпись (с согласия сервера)" с установленным значением "Не определено" или отключенным. Эти параметры позволяют перенаправителю отправлять пароли в формате обычного текста на сторонние серверы SMB, которые не поддерживают шифрование паролей во время проверки подлинности.

   3. Причины для включения этого параметра

      Включение сетевого клиента Microsoft: Использовать цифровую подпись (всегда) требует, чтобы клиенты подписывали трафик SMB при обращении к серверам, которые не требуют подписи SMB. Это делает клиентов менее уязвимыми к атакам с перехватом сеанса.

   4. Причины для отключения этого параметра

      • Включение клиента сети Microsoft: использовать цифровую подпись (всегда) предотвращает обмен данными клиентов с целевыми серверами, которые не поддерживают подписывание SMB.
      • Настройка компьютеров таким образом, чтобы игнорировать все неподписанные подключения SMB, предотвращает подключение предыдущих программ и операционных систем.

   5. Символьное имя:

      RequireSMBSignRdr

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature

   7. Примеры проблем с совместимостью

      • Windows NT 4.0: невозможно сбросить безопасный канал доверия между доменом Windows Server 2003 и доменом Windows NT 4.0 с помощью NLTEST или NETDOM. Появится сообщение об ошибке "Отказано в доступе".

      • Windows XP: копирование файлов с клиентов Windows XP на серверы на основе Windows 2000 и на серверы на основе Windows Server 2003 может занять больше времени.

      • Вы не сможете сопоставить сетевой диск с клиента с включенным параметром, и получите следующее сообщение об ошибке:

        Примечание

        Учетная запись не авторизована для входа с этой станции.

   8. Требования к перезагрузке

      Перезагрузите компьютер или перезапустите службу рабочей станции. Для этого введите следующие команды в командной строке. После ввода каждой команды нажимайте клавишу ВВОД.
      net stop workstation
      net start workstation

6. Сервер сети Microsoft: использовать цифровую подпись (всегда)

   1. Краткое описание ситуации

      • Server Messenger Block (SMB) — это протокол совместного использования ресурсов, который поддерживается многими операционными системами Майкрософт. Это основа сетевой базовой системы ввода-вывода (NetBIOS) и многих других протоколов. Подпись SMB проверяет подлинность как пользователя, так и сервера, на котором размещены данные. Если одна из сторон не проходит процесс аутентификации, передача данных не выполняется.

        Включение подписи SMB начинается во время согласования протокола SMB. Политики подписи SMB определяют, всегда ли компьютер имеет цифровую подпись клиентов.

        Протокол проверки подлинности Windows 2000 SMB поддерживает взаимную проверку подлинности. Взаимная проверка подлинности закрывает атаку типа "злоумышленник в середине". Протокол проверки подлинности Windows 2000 SMB также поддерживает проверку подлинности сообщений. Проверка подлинности сообщений помогает предотвратить активные атаки на сообщения. Чтобы обеспечить эту проверку подлинности, подпись SMB добавляет цифровую подпись в каждый компонент SMB. Цифровая подпись проверяется клиентом и сервером.

        Чтобы использовать подпись SMB, необходимо включить подпись SMB или требовать подписи SMB как на клиенте SMB, так и на сервере SMB. Если подпись SMB включена на сервере, клиенты, которые также поддерживают подписывание SMB, будут использовать протокол подписания пакетов во всех последующих сеансах. Если на сервере требуется подписывание SMB, клиент не сможет установить сеанс, если клиент не включен или не требуется для подписывания SMB.

        Включение цифрового входа в сетях с высоким уровнем защиты помогает предотвратить олицетворение клиентов и серверов. Этот вид олицетворения известен как перехват сеанса. Злоумышленник, имеющий доступ к той же сети, что и клиент или сервер, использует средства перехвата сеанса, чтобы прервать, прерывать или украсть запущенный сеанс. Злоумышленник может перехватывать и изменять неподписанные пакеты диспетчера пропускной способности подсети (SBM), изменять трафик, а затем перенаправлять его, чтобы сервер мог выполнить нежелательные действия. Или злоумышленник может выдать себя за сервер или клиента после законной проверки подлинности и получить несанкционированный доступ к данным.

        Протокол SMB, используемый для общего доступа к файлам и принтерам на компьютерах под управлением Windows 2000 Server, Windows 2000 Профессиональная, Windows XP Профессиональная или Windows Server 2003, поддерживает взаимную проверку подлинности. Взаимная проверка подлинности закрывает атаки с перехватом сеанса и поддерживает проверку подлинности сообщений. Таким образом, это предотвращает атаки типа "злоумышленник в середине". Подпись SMB обеспечивает эту проверку подлинности путем размещения цифровой подписи в каждом пакете SMB. Затем клиент и сервер проверяют подпись.

      • В качестве альтернативной меры противодействия можно включить цифровые подписи с помощью IPSec для защиты всего сетевого трафика. Существуют аппаратные ускорители для шифрования и подписывания IPSec, которые можно использовать для минимизации влияния ЦП сервера на производительность. Таких ускорителей, доступных для подписывания SMB, не существует.

      • Во втором издании Windows 95, Windows 98 и Windows 98 клиент служб каталогов использует подпись SMB при проверке подлинности на серверах Windows Server 2003 с использованием проверки подлинности NTLM. Однако эти клиенты не используют подписывание SMB при проверке подлинности на этих серверах с помощью проверки подлинности NTLMv2. Кроме того, серверы Windows 2000 не отвечают на запросы подписи SMB от этих клиентов. Для получения дополнительной информации см. пункт 10: «Сетевая безопасность: уровень аутентификации Lan Manager».

   2. Рискованная конфигурация

      Опасный параметр конфигурации представляет следующие действия. Включение сервера сети Microsoft: параметр "Использовать цифровую подпись (всегда)" на серверах и контроллерах домена, к которым обращаются несовместимые компьютеры с Windows и клиентские компьютеры сторонних операционных систем в локальном или внешнем доменах.

   3. Причины для включения этого параметра

      • Все клиентские компьютеры, на которых этот параметр включен непосредственно через реестр или с помощью параметра групповой политики, поддерживают подписывание SMB. Другими словами, все клиентские компьютеры, на которых включен этот параметр, работают под управлением Windows 95 с установленным клиентом DS, Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professional или Windows Server 2003.
      • Если сервер сети Microsoft: цифровая подпись (всегда) отключена, подпись SMB полностью отключена. Полное отключение подписи SMB делает компьютеры более уязвимыми к атакам с перехватом сеансов.

   4. Причины для отключения этого параметра

      • Включение этого параметра может замедлить копирование файлов и замедлить производительность сети на клиентских компьютерах.
      • Включение этого параметра запретит клиентам, которые не могут вести переговоры о подписи SMB, связь с серверами и контроллерами домена. Это приводит к сбою таких операций, как присоединение к домену, проверка подлинности пользователей и компьютеров или доступ программ к сети.

   5. Символьное имя:

      RequireSMBSignServer

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)

   7. Примеры проблем с совместимостью

      • Windows 95: клиенты Windows 95, на которых не установлен клиент служб каталогов (DS), не проходят проверку подлинности при входе в систему и получают следующее сообщение об ошибке:

        Примечание

        Указанный вами пароль домена неверен, или вам отказано в доступе к серверу входа.

      • Windows NT 4.0: клиентские компьютеры с версиями Windows NT 4.0, предшествующими пакету обновления 3 (SP3), не пройдут проверку подлинности при входе в систему и получат следующее сообщение об ошибке:

        Примечание

        Системе не удалось войти в систему. Убедитесь в правильности имени пользователя и домена, а затем введите пароль еще раз.

        Некоторые сторонние серверы SMB поддерживают только незашифрованный обмен паролями во время аутентификации. (Эти обмены также известны как обмен «простым текстом».) В Windows NT 4.0 с пакетом обновления 3 (SP3) и более поздних версиях перенаправитель SMB не отправляет незашифрованный пароль во время проверки подлинности на сервер SMB, если не добавить определенную запись реестра.
        Чтобы включить незашифрованные пароли для клиента SMB на Windows NT 4.0 SP 3 и более новых системах, измените реестр следующим образом: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters

        Имя значения: EnablePlainTextPassword

        Тип данных: REG_DWORD

        Данные: 1

         

      • Windows Server 2003: по умолчанию параметры безопасности на контроллерах домена, работающих под управлением Windows Server 2003, настроены таким образом, чтобы предотвратить перехват или вмешательство злоумышленников в обмен данными контроллера домена. Чтобы пользователи могли успешно взаимодействовать с контроллером домена, на котором работает Windows Server 2003, клиентские компьютеры должны использовать как подпись и шифрование SMB, так и подписание трафика безопасного канала. По умолчанию на клиентах под управлением Windows NT 4.0 с установленным пакетом обновления 2 (SP2) или более ранним пакетом, а также на клиентах под управлением Windows 95 подписывание пакетов SMB не включено. Поэтому эти клиенты могут не проходить проверку подлинности на контроллере домена на основе Windows Server 2003.

      • Параметры политик Windows 2000 и Windows Server 2003: В зависимости от конкретных потребностей установки и конфигурации рекомендуется установить следующие параметры политики в самом низком объекте необходимой области в иерархии оснастки редактора групповой политики:

        • Конфигурация компьютера\Параметры безопасности Windows\Параметры безопасности
        • Отправлять незашифрованный пароль для подключения к сторонним SMB-серверам (этот параметр предназначен для Windows 2000)
        • Клиент сети Microsoft: отправлять незашифрованный пароль сторонним SMB-серверам (этот параметр предназначен для Windows Server 2003)

        Примечание. На некоторых сторонних серверах CIFS, таких как старые версии Samba, нельзя использовать зашифрованные пароли.

      • Следующие клиенты несовместимы с сервером сети Майкрософт: Параметр "Использовать цифровую подпись (всегда)":

        • Apple Computer, Inc., клиенты Mac OS X
        • Сетевые клиенты Microsoft MS-DOS (например, Microsoft LAN Manager)
        • Клиенты Microsoft Windows для рабочих групп
        • Клиенты Microsoft Windows 95 без установленного клиента DS
        • Компьютеры с Microsoft Windows NT 4.0 без установленного пакета обновления 3 (SP3) или более поздней версии
        • Клиенты Novell Netware 6 CIFS
        • Клиенты SMBA, которые не поддерживают подписывание SMB

   8. Требования к перезагрузке

      Перезагрузите компьютер или перезапустите службу сервера. Для этого введите следующие команды в командной строке. После ввода каждой команды нажимайте клавишу ВВОД.
      net stop server
      net start server

7. Сетевой доступ: разрешить трансляцию анонимного SID в имя

   1. Краткое описание ситуации

      Сетевой доступ: параметр безопасности "Разрешить трансляцию анонимного SID в имя" определяет, может ли анонимный пользователь запрашивать атрибуты идентификатора безопасности (SID) для другого пользователя.

   2. Рискованная конфигурация

      Включение сетевого доступа: параметр "Разрешить трансляцию анонимного SID в имя" является опасным параметром конфигурации.

   3. Причины для включения этого параметра

      Если параметр "Сетевой доступ: разрешить трансляцию анонимных SID/Name" отключен, более ранние операционные системы или приложения могут не иметь возможности взаимодействовать с доменами Windows Server 2003. Например, могут не работать следующие операционные системы, службы или приложения:

      • Серверы службы удаленного доступа на базе Windows NT 4.0
      • Microsoft SQL Server, работающий на компьютерах под управлением Windows NT 3.x или Windows NT 4.0
      • Служба удаленного доступа, работающая на компьютерах под управлением Windows 2000, расположенных в доменах Windows NT 3.x или Windows NT 4.0
      • SQL Server, работающий на компьютерах под управлением Windows 2000, расположенных в доменах Windows NT 3.x или Windows NT 4.0
      • Пользователи в домене ресурсов Windows NT 4.0, которым необходимо предоставить разрешения на доступ к файлам, общим папкам и объектам реестра учетным записям из доменов учетных записей, содержащих контроллеры домена Windows Server 2003

   4. Причины для отключения этого параметра

      Если этот параметр включен, злоумышленник может использовать известный идентификатор безопасности администратора для получения реального имени встроенной учетной записи администратора, даже если учетная запись была переименована. Затем этот человек может использовать имя учетной записи для начала атаки с целью подбора пароля.

   5. Символьное имя: Н/Д

   6. Путь реестра: отсутствует. Путь указывается в коде пользовательского интерфейса.

   7. Примеры проблем с совместимостью

      Windows NT 4.0: Компьютеры в доменах ресурсов Windows NT 4.0 будут отображать сообщение об ошибке "Учетная запись неизвестна" в редакторе ACL, если ресурсы, включая общие папки, общие файлы и объекты реестра, защищены с помощью субъектов безопасности, которые находятся в доменах учетных записей, содержащих контроллеры домена Windows Server 2003.

8. Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями

   1. Краткое описание ситуации

      • Параметр «Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями» определяет, какие дополнительные разрешения будут предоставлены для анонимных подключений к компьютеру. Windows позволяет анонимным пользователям выполнять определенные операции, такие как перечисление имен учетных записей диспетчера учетных записей безопасности рабочих станций и серверов (SAM) и сетевых ресурсов. Например, администратор может использовать это для предоставления доступа пользователям в доверенном домене, который не поддерживает взаимное доверие. После создания сеанса анонимный пользователь может иметь тот же доступ, что и к группе "Все", на основе параметра в сетевом доступе: "Применить разрешения "Все" к параметру анонимных пользователей или к списку управления доступом на выбору (DACL) объекта.

        Как правило, анонимные подключения запрашиваются более ранними версиями клиентов (клиентами нижнего уровня) во время настройки сеанса SMB. В этих случаях трассировка сети показывает, что идентификатор процесса SMB (PID) является перенаправителем клиента, например 0xFEFF в Windows 2000 или 0xCAFE в Windows NT. RPC также может пытаться установить анонимные подключения.

      • Важно! Этот параметр не влияет на контроллеры домена. На контроллерах домена это поведение контролируется наличием параметра "NT AUTHORITY\ANONYMOUS LOGON" в поле "Доступ, совместимый с системами до Windows 2000".

      • В Windows 2000 аналогичный параметр под названием "Дополнительные ограничения для анонимных соединений" управляет значением реестра RestrictAnonymous . Расположение этого значения равно
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA

   2. Рискованные конфигурации

      Включение сетевого доступа: параметр "Не разрешать перечисление учетных записей SAM анонимными пользователями является опасным параметром конфигурации с точки зрения совместимости". Отключение этого параметра опасно с точки зрения безопасности.

   3. Причины для включения этого параметра

      Неавторизованный пользователь может анонимно указать имена учетных записей, а затем использовать эти сведения для попытки угадать пароль или выполнить атаки социальной инженерии. Социальная инженерия — это жаргон, который означает обман людей, чтобы они раскрыли свои пароли или какую-либо форму секретной информации.

   4. Причины для отключения этого параметра

      Если этот параметр включен, невозможно установить отношения доверия с доменами Windows NT 4.0. Этот параметр также вызывает проблемы с клиентами нижнего уровня (например, клиентами Windows NT 3.51 и Windows 95), которые пытаются использовать ресурсы сервера.

   5. Символьное имя:

      RestrictAnonymousSAM

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)

   7. Примеры проблем с совместимостью

   • SMS Network Discovery не сможет получить сведения об операционной системе и будет записывать значение "Неизвестно" в свойство OperatingSystemNameandVersion.
   • Windows 95, Windows 98: клиенты Windows 95 и Windows 98 больше не смогут менять свои пароли.
   • Windows NT 4.0: Компьютеры, использующие Windows NT 4.0, не смогут проходить проверку подлинности.
   • Windows 95, Windows 98: компьютеры на базе Windows 95 и Windows 98 не смогут проходить проверку подлинности контроллерами домена Майкрософт.
   • Windows 95, Windows 98: пользователи компьютеров на базе Windows 95 и Windows 98 не смогут изменять пароли для своих учетных записей.

9. Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями

   1. Краткое описание ситуации

      • Параметр сетевого доступа: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями (также известный как RestrictAnonymous) определяет, разрешено ли перечисление анонимных учетных записей и общих ресурсов диспетчера учетных записей учетных записей безопасности (SAM). Windows позволяет анонимным пользователям выполнять определенные операции, такие как перечисление имен учетных записей домена (пользователей, компьютеров и групп) и сетевых ресурсов. Это удобно, например, когда администратор хочет предоставить доступ пользователям в доверенном домене, который не поддерживает взаимное доверие. Если вы не хотите разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями, включите этот параметр.
      • В Windows 2000 аналогичный параметр под названием "Дополнительные ограничения для анонимных соединений" управляет значением реестра RestrictAnonymous . Расположение этого значения следующее:
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA

   2. Рискованная конфигурация

      Включение сетевого доступа: параметр "Не разрешать перечисление учетных записей SAM и общих ресурсов" является потенциально опасным параметром конфигурации.

   3. Причины для включения этого параметра

      • Включение сетевого доступа: параметр "Не разрешать перечисление учетных записей SAM и общих ресурсов" анонимными пользователями и компьютерами, использующими анонимные учетные записи.

   4. Причины для отключения этого параметра

      • Если этот параметр включен, неавторизованный пользователь может анонимно вносить имена учетных записей, а затем использовать эти сведения для попытки угадать пароль или выполнить атаки социальной инженерии. Социальная инженерия — это жаргон, который означает обман людей, чтобы они раскрыли свой пароль или какую-либо форму секретной информации.
      • Если этот параметр включен, будет невозможно установить отношения доверия с доменами Windows NT 4.0. Этот параметр также вызовет проблемы с клиентами нижнего уровня, такими как клиенты Windows NT 3.51 и Windows 95, которые пытаются использовать ресурсы сервера.
      • Будет невозможно предоставить доступ пользователям доменов ресурсов, так как администраторы в доверяющем домене не смогут перечислять списки учетных записей в другом домене. Пользователи, анонимно обращающиеся к файловым серверам и серверам печати, не смогут составить список общих сетевых ресурсов на этих серверах. Пользователи должны пройти проверку подлинности, прежде чем они смогут просматривать списки общих папок и принтеров.

   5. Символьное имя:

      RestrictAnonymous

   6. Путь реестра:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous

   7. Примеры проблем с совместимостью

      • Windows NT 4.0: пользователи не смогут изменять свои пароли на рабочих станциях Windows NT 4.0, если на контроллерах домена в домене пользователей включен параметр RestrictAnonymous.

      • Windows NT 4.0: добавление пользователей или глобальных групп из доверенных доменов Windows 2000 в локальные группы Windows NT 4.0 в диспетчере пользователей завершится сбоем, и появится следующее сообщение об ошибке:

        Примечание

        В настоящее время отсутствуют серверы входа для обработки запроса на вход в систему.

      • Windows NT 4.0. Компьютеры на базе Windows NT 4.0 не смогут присоединяться к доменам во время настройки или с помощью пользовательского интерфейса присоединения к домену.

      • Windows NT 4.0: установление базового уровня доверия с доменами ресурсов Windows NT 4.0 завершится сбоем. Если в доверенном домене включен параметр RestrictAnonymous, появится следующее сообщение об ошибке:

        Примечание

        Не удалось найти контроллер домена для этого домена.

      • Windows NT 4.0: пользователи, которые входят в систему компьютеров на базе сервера терминалов Windows NT 4.0, будут соблюдать домашний каталог по умолчанию, а не домашний каталог, определенный в диспетчере пользователей для доменов.

      • Windows NT 4.0. Резервные контроллеры домена (BDCs) Windows NT 4.0 не смогут запустить службу входа в систему по сети, получить список резервных браузеров или синхронизировать базу данных SAM из Windows 2000 или из контроллеров домена Windows Server 2003 в том же домене.

      • Windows 2000: Компьютеры на базе Windows 2000 в доменах Windows NT 4.0 не смогут просматривать принтеры во внешних доменах, если в локальной политике безопасности клиентского компьютера включен параметр "Нет доступа без явно анонимных разрешений".

      • Windows 2000: пользователи домена Windows 2000 не смогут добавлять сетевые принтеры из Active Directory; Однако они смогут добавлять принтеры после того, как выберут их в представлении в виде дерева.

      • Windows 2000: на компьютерах под управлением Windows 2000 Редактор ACL не сможет добавлять пользователей или глобальные группы из доверенных доменов Windows NT 4.0.

      • ADMT версии 2: перенос паролей для учетных записей пользователей, перенесенных между лесами с помощью средства миграции Active Directory (ADMT) версии 2, завершится сбоем.

        Для просмотра статьи в базе знаний Майкрософт щелкните следующий номер статьи:
        322981 Устранение неполадок переноса паролей между лесами с помощью ADMTv2

      • Клиенты Outlook: глобальный список адресов будет отображаться пустым для клиентов Outlook Microsoft Exchange.

      • SMS: средство сетевого обнаружения Microsoft Systems Management Server (SMS) не сможет получить сведения об операционной системе. Поэтому она запишет значение "Неизвестно" в свойстве OperatingSystemNameandVersion свойства SMS DDR записи данных обнаружения (DDR).

      • SMS: при использовании мастера управления SMS для поиска пользователей и групп, ни пользователи, ни группы не отображаются в списке. Кроме того, клиенты уровня "Дополнительно" не могут взаимодействовать с точкой управления. В точке управления требуется анонимный доступ.

      • SMS: при использовании функции сетевого обнаружения в SMS 2.0 и при установке удаленного клиента с включенным параметром сетевого обнаружения топологий, клиентов и клиентских операционных систем компьютеры могут быть обнаружены, но не установлены.

10. Сетевая безопасность: уровень проверки подлинности Lan Manager

    1. Краткое описание ситуации

       Проверка подлинности диспетчера локальной сети (LM) — это протокол, который используется для проверки подлинности клиентов Windows в сетевых операциях, включая присоединение к домену, доступ к сетевым ресурсам, проверку подлинности пользователей или компьютеров. Уровень проверки подлинности LM определяет, какой протокол проверки подлинности запроса/ответа согласован между клиентским и серверным компьютерами. В частности, уровень проверки подлинности LM определяет, какие протоколы проверки подлинности клиент попытается согласовать или которые примет сервер. Значение, установленное для LmCompatibilityLevel, определяет, какой протокол проверки подлинности запроса/ответа используется для входов в сеть. Это значение влияет на уровень протокола проверки подлинности, используемый клиентами, уровень безопасности сеанса и уровень проверки подлинности, принимаемый серверами.

       Возможные параметры включают следующее.

       Value (Значение)	Параметр	Описание
       0	Отправлять ответы LM & NTLM	Клиенты используют проверку подлинности LM и NTLM и никогда не используют безопасность сеансов NTLMv2. Контроллеры домена принимают проверку подлинности LM, NTLM и NTLMv2.
       1	Send LM & NTLM — используйте безопасность сеанса NTLMv2 при согласовании	Клиенты используют проверку подлинности LM и NTLM, а также безопасность сеансов NTLMv2, если сервер поддерживает ее. Контроллеры домена принимают проверку подлинности LM, NTLM и NTLMv2.
       2	Отправлять только ответ NTLM	Клиенты используют только проверку подлинности NTLM и применяют безопасность сеансов NTLMv2, если сервер поддерживает ее. Контроллеры домена принимают проверку подлинности LM, NTLM и NTLMv2.
       3	Отправлять только ответ NTLMv2	Клиенты используют только проверку подлинности NTLMv2 и применяют безопасность сеансов NTLMv2, если сервер поддерживает ее. Контроллеры домена принимают проверку подлинности LM, NTLM и NTLMv2.
       4	Отправлять только ответ NTLMv2/отклонять LM	Клиенты используют только проверку подлинности NTLMv2 и применяют безопасность сеансов NTLMv2, если сервер поддерживает ее. Контроллеры домена отклоняют LM и принимают только проверку подлинности NTLM и NTLMv2.
       5	Отправлять только ответ NTLMv2/отклонять LM & NTLM	Клиенты используют только проверку подлинности NTLMv2 и применяют безопасность сеансов NTLMv2, если сервер поддерживает ее. Контроллеры домена отвергают LM и NTLM и принимают только проверку подлинности NTLMv2.

       Примечание В Windows 95, Windows 98 и Windows 98 второго издания клиент служб каталогов использует подпись SMB при проверке подлинности на серверах Windows Server 2003 с использованием проверки подлинности NTLM. Однако эти клиенты не используют подписывание SMB при проверке подлинности на этих серверах с помощью проверки подлинности NTLMv2. Кроме того, серверы Windows 2000 не отвечают на запросы подписи SMB от этих клиентов.

       Проверьте уровень проверки подлинности LM: необходимо изменить политику на сервере, чтобы разрешить NTLM, или настроить клиентский компьютер для поддержки NTLMv2.

       Если для политики задано значение (5) Отправлять только ответ NTLMv2/отклонять LM & NTLM на целевом компьютере, к которому требуется подключиться, необходимо либо понизить параметр безопасности на этом компьютере, либо установить тот же уровень безопасности, что и на исходном компьютере, с которого выполняется подключение.

       Найдите правильное расположение, где можно изменить уровень проверки подлинности диспетчера локальной сети, чтобы установить клиент и сервер на один уровень. После того как вы найдете политику, которая устанавливает уровень проверки подлинности диспетчера локальной сети, если вы хотите подключаться к компьютерам под управлением более ранних версий Windows и с них, уменьшите значение как минимум до (1) Send LM & NTLM — use NTLM version 2 session security, если это согласовано. Одним из последствий несовместимых параметров является то, что если серверу требуется NTLMv2 (значение 5), но клиент настроен на использование только LM и NTLMv1 (значение 0), у пользователя, который пытается выполнить проверку подлинности, возникает ошибка входа с неправильным паролем, что увеличивает количество неправильных паролей. Если настроена блокировка учетной записи, пользователь может быть заблокирован.

       Например, может потребоваться изучить политики контроллера домена или контроллера домена.

       Посмотрите на контроллер домена

       Примечание. Может потребоваться повторить следующую процедуру для всех контроллеров домена.

       1. Нажмите кнопку "Пуск", наведите указатель мыши на пункт "Программы", а затем выберите пункт "Администрирование".
       2. В разделе "Параметры локальной безопасности" разверните пункт "Локальные политики".
       3. Щелкните "Параметры безопасности".
       4. Дважды щелкните Сетевая безопасность: уровень проверки подлинности диспетчера локальной сети, а затем выберите значение в списке.

       Если эффективная настройка и локальная настройка совпадают, политика была изменена на этом уровне. Если настройки отличаются, необходимо выполнить проверку политики контроллера домена, чтобы определить, определен ли там параметр уровня проверки подлинности менеджера Network Security: LAN. Если она не определена, проверьте политики контроллера домена.

       Проверка политик контроллера домена

       1. Нажмите кнопку "Пуск", наведите указатель мыши на пункт "Программы", а затем выберите пункт "Администрирование".
       2. В политике безопасности контроллера домена разверните Параметры безопасности, а затем — Локальные политики.
       3. Щелкните "Параметры безопасности".
       4. Дважды щелкните Сетевая безопасность: уровень проверки подлинности диспетчера локальной сети, а затем выберите значение в списке.

       Примечание

       • Кроме того, может потребоваться выполнить проверку политик, связанных на уровне сайта, домена или подразделения (OU), чтобы определить, где необходимо настроить уровень проверки подлинности диспетчера локальной сети.
       • Если параметр групповой политики реализован в качестве политики домена по умолчанию, эта политика применяется ко всем компьютерам в домене.
       • Если параметр групповой политики реализован в качестве политики контроллера домена по умолчанию, политика применяется только к серверам в подразделении контроллера домена.
       • Рекомендуется установить уровень проверки подлинности диспетчера локальной сети в самом низком объекте необходимой области в иерархии приложения политики.

       В Windows Server 2003 по умолчанию используется только NTLMv2. По умолчанию на контроллерах домена на базе Windows Server 2003 и Windows 2000 Server с пакетом обновления 3 (SP3) включена политика "Сервер сети Microsoft: цифровая подпись (всегда)". Этот параметр требует, чтобы сервер SMB подписывал пакеты SMB. Изменения в Windows Server 2003 были внесены потому, что контроллеры домена, файловые серверы, серверы сетевой инфраструктуры и веб-серверы в любой организации требуют различных параметров для обеспечения максимальной безопасности.

       Если вы хотите реализовать проверку подлинности NTLMv2 в сети, убедитесь, что все компьютеры в домене настроены на использование этого уровня проверки подлинности. При применении клиентских расширений Active Directory для Windows 95, Windows 98 и Windows NT 4.0 в клиентских расширениях используются улучшенные функции проверки подлинности, доступные в NTLMv2. Так как клиентские компьютеры под управлением любой из следующих операционных систем не подвержены влиянию объектов групповой политики Windows 2000, может потребоваться настроить эти клиенты вручную:

       • Microsoft Windows NT 4.0
       • Microsoft Windows Millennium Edition
       • Microsoft Windows 98
       • Microsoft Windows 95

       Примечание Если включить сетевую безопасность: не хранить хэш-значения диспетчера локальной сети при следующей политике смены пароля или установить раздел реестра NoLMHash , клиенты на базе Windows 95 и Windows 98, на которых не установлен клиент служб каталогов, не смогут войти в домен после смены пароля.

       Многие сторонние серверы CIFS, такие как Novell Netware 6, не знают NTLMv2 и используют только NTLM. Поэтому уровни больше 2 не позволяют подключиться. Существуют также сторонние клиенты SMB, которые не используют расширенную безопасность сеансов. В этих случаях LmCompatiblityLevel сервера ресурсов не учитывается. Затем сервер упаковывает этот устаревший запрос и отправляет его контроллеру домена пользователя. Затем параметры контроллера домена определяют, какие хэши используются для проверки запроса и соответствуют ли они требованиям безопасности контроллера домена.

        
       299656 Как запретить Windows хранить хэш вашего пароля диспетчера локальных сетей в Active Directory и локальных базах данных SAM
        
       Событие аудита 2701704 показывает пакет проверки подлинности как NTLMv1 вместо NTLMv2 Дополнительные сведения об уровнях проверки подлинности LM см. в следующей статье базы знаний Майкрософт:
       239869 Включение проверки подлинности NTLM 2
        

    2. Рискованные конфигурации

       Ниже приведены опасные параметры конфигурации.

       • Неограничивающие параметры, которые отправляют пароли открытым текстом и запрещают согласование NTLMv2

       • Ограничительные параметры, которые не позволяют несовместимым клиентам или контроллерам домена согласовывать общий протокол проверки подлинности

       • Требование проверки подлинности NTLMv2 на рядовых компьютерах и контроллерах домена под управлением версий Windows NT 4.0, предшествующих пакету обновления 4 (SP4)

       • Требование проверки подлинности NTLMv2 на клиентах Windows 95 или на клиентах Windows 98, на которых не установлен клиент служб каталогов Windows.

       • Если установить флажок "Требовать проверку безопасности сеанса NTLMv2" в оснастке "Редактор групповой политики" консоли управления (MMC) на компьютере с Windows Server 2003 или Windows 2000 с пакетом обновления 3 (SP3) и понизить уровень проверки подлинности диспетчера локальной сети до 0, эти два параметра конфликтуют, и в файле Secpol.msc может появиться следующее сообщение об ошибке или файл GPEdit.msc:

         Примечание

         Windows не удается открыть локальную базу данных политик. При попытке открыть базу данных произошла неизвестная ошибка.

         Дополнительные сведения о средстве настройки и анализа системы безопасности см. в файлах справки для Windows 2000 или Windows Server 2003.

    3. Причины для изменения этого параметра

       • Вы хотите увеличить самый низкий общий протокол проверки подлинности, поддерживаемый клиентами и контроллерами домена в вашей организации.
       • Если безопасная проверка подлинности является бизнес-требованием, следует запретить согласование протоколов LM и NTLM.

    4. Причины для отключения этого параметра

       Требования к проверке подлинности клиента или сервера (или и то, и другое) были повышены до такой степени, что проверка подлинности по общему протоколу невозможна.

    5. Символьное имя:

       LmCompatibilityLevel

    6. Путь реестра:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel

    7. Примеры проблем с совместимостью

       • Windows Server 2003: по умолчанию параметр отправки ответов NTLM в Windows Server 2003 NTLMv2 включен. Поэтому Windows Server 2003 получает сообщение об ошибке «Отказано в доступе» после первоначальной установки при попытке подключения к кластеру на основе Windows NT 4.0 или к серверам на основе LanManager V2.1, таким как OS/2 Lanserver. Эта проблема также возникает, если вы пытаетесь подключиться с клиента более ранней версии к серверу на основе Windows Server 2003.

       • Вы устанавливаете накопительный пакет безопасности 1 (SRP1) для Windows 2000. SRP1 принудительно использует NTLM версии 2 (NTLMv2). Этот накопительный пакет был выпущен после выпуска Windows 2000 с пакетом обновления 2 (SP2).
          

       • Windows 7 и Windows Server 2008 R2: Многие сторонние серверы CIFS, такие как серверы Novell Netware 6 или Samba на базе Linux, не знают NTLMv2 и используют только NTLM. Поэтому уровни больше "2" не позволяют подключиться. Теперь в этой версии операционной системы значение по умолчанию для LmCompatibilityLevel было изменено на "3". Поэтому при обновлении Windows эти сторонние регистраторы могут перестать работать.

       • Клиентам Microsoft Outlook может быть предложено ввести учетные данные, даже если они уже вошли в домен. Когда пользователи вводят свои учетные данные, они получают следующее сообщение об ошибке: Windows 7 и Windows Server 2008 R2

         Примечание

         Предоставленные учетные данные для входа указаны неверно. Убедитесь в правильности имени пользователя и домена, а затем введите пароль еще раз.

         При запуске Outlook может запрашиваться ввод учетных данных, даже если для параметра сетевой безопасности входа задано значение "Сквозная служба" или "Проверка пароля". После ввода правильных учетных данных может появиться следующее сообщение об ошибке:

         Примечание

         Предоставленные учетные данные для входа указаны неверно.

         Трассировка сетевого монитора может показать, что глобальный каталог выдал ошибку удаленного вызова процедур (RPC) со статусом 0x5. Состояние 0x5 означает "Отказано в доступе".

       • Windows 2000: Записи сетевого монитора могут отображать следующие ошибки в сеансе NetBIOS через SMB через TCP/IP (NetBT):

         Примечание

         Ошибка Dos поиска SMB R Directory, (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) Недопустимый идентификатор пользователя

       • Windows 2000: если домен Windows 2000 с NTLMv2 уровня 2 или более поздней является доверенным для домена Windows NT 4.0, на компьютерах, входящих в состав Windows 2000 в домене ресурсов, могут возникать ошибки проверки подлинности.

       • Windows 2000 и Windows XP: По умолчанию Windows 2000 и Windows XP устанавливают параметр «Локальная политика безопасности» уровня проверки подлинности LAN Manager равным 0. Значение 0 означает "Отправлять ответы LM и NTLM".

         Примечание. Кластеры на основе Windows NT 4.0 должны использовать LM для администрирования.

       • Windows 2000: кластеризация Windows 2000 не проверяет подлинность присоединяемого узла, если оба узла являются частью домена Windows NT 4.0 с пакетом обновления 6a (SP6a).

       • Средство блокировки IIS (HiSecWeb) задает значение LMCompatibilityLevel равным 5, а значение RestrictAnonymous — 2.

       • Службы для Macintosh

         Модуль проверки подлинности пользователей (UAM): Microsoft UAM (модуль проверки подлинности пользователей) предоставляет метод шифрования паролей, которые вы используете для входа в систему серверов Windows AFP (AppleTalk Filing Protocol). Модуль проверки подлинности пользователей Apple (UAM) обеспечивает минимальное шифрование или вообще не обеспечивает его. Поэтому ваш пароль может быть легко перехвачен в локальной сети или в интернете. Хотя UAM не требуется, он обеспечивает зашифрованную аутентификацию серверов Windows 2000, на которых запущены службы Mac Guard. Эта версия включает поддержку 128-битной зашифрованной проверки подлинности NTLMv2 и выпуск, совместимый с MacOS X 10.1.

         По умолчанию сервер служб Windows Server 2003 для Macintosh разрешает только проверку подлинности Майкрософт.
          

       • Windows Server 2008, Windows Server 2003, Windows XP и Windows 2000: Если LMCompatibilityLevel имеет значение 0 или 1, а затем NoLMHash 1, приложениям и компонентам может быть отказано в доступе через NTLM. Эта проблема возникает из-за того, что компьютер настроен на включение LM, но не на использование паролей, сохраненных в LM.

         Если для параметра NoLMHash задано значение 1, необходимо настроить значение LMCompatibilityLevel равным 2 или выше.

11. Сетевая безопасность: требование цифровой подписи для LDAP-клиента

    1. Краткое описание ситуации

       Параметр "Сетевая безопасность: требования к подписыванию клиентов LDAP" определяет уровень подписывания данных, запрашиваемого от имени клиентов, отправляющих запросы BIND по протоколу LDAP, следующим образом:

       • None: запрос LDAP BIND выдается с параметрами, указанными вызывающей стороной.
       • Согласование подписывания: если протокол SSL/TLS не запущен, запрос LDAP BIND инициируется с параметром подписывания данных LDAP в дополнение к параметрам, указанным вызывающей стороной. Если был запущен протокол SSL/TLS, запрос LDAP BIND инициируется с параметрами, указанными вызывающей стороной.
       • Требование подписания: Это то же самое, что и согласование подписывания. Однако если промежуточный ответ saslBindInProgress сервера LDAP не указывает на необходимость подписывания трафика LDAP, вызывающей стороне сообщают о сбое запроса команды LDAP BIND.

    2. Рискованная конфигурация

       Включение параметра "Сетевая безопасность: требование цифровой подписи для LDAP-клиента" является потенциально опасным параметром конфигурации. Если вы задаете сервер для использования подписей LDAP, необходимо также настроить эту функцию на клиенте. Если клиент не настроен на использование подписей LDAP, обмен данными с сервером будет затруднен. Это приводит к сбою проверки подлинности пользователей, параметров групповой политики, сценариев входа и других функций.

    3. Причины для изменения этого параметра

       Неподписанный сетевой трафик подвержен атакам типа "злоумышленник в середине", когда злоумышленник захватывает пакеты между клиентом и серверами, изменяет их, а затем пересылает на сервер. Если это происходит на сервере LDAP, злоумышленник может заставить сервер ответить на основе ложных запросов от клиента LDAP. Вы можете снизить этот риск в корпоративной сети, внедрив надежные физические меры безопасности для защиты сетевой инфраструктуры. Кроме того, можно предотвратить все виды атак типа "злоумышленник в середине", требуя цифровые подписи для всех сетевых пакетов с помощью заголовков проверки подлинности IPSec.

    4. Символьное имя:

       LDAPClientIntegrity

    5. Путь реестра:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity

12. Журнал событий: максимальный размер журнала безопасности

    1. Краткое описание ситуации

       Параметр безопасности Журнал событий: максимальный размер журнала безопасности определяет максимальный размер журнала событий безопасности. Максимальный размер этого журнала — 4 ГБ. Чтобы найти этот параметр, разверните
       "Параметры Windows", а затем разверните "Параметры безопасности".

    2. Рискованные конфигурации

       Ниже приведены опасные параметры конфигурации.

       • Ограничение размера журнала безопасности и метода хранения журнала безопасности при включении параметра "Аудит: немедленное завершение работы системы, если невозможно вести журнал аудита безопасности". Дополнительные сведения см. в разделе "Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности" этой статьи.
       • Ограничение размера журнала безопасности, приводящее к перезаписи важных событий безопасности.

    3. Причины для увеличения этого параметра

       Бизнес и требования безопасности могут потребовать увеличения размера журнала безопасности для обработки дополнительных сведений журнала безопасности или для хранения журналов безопасности в течение более длительного периода времени.

    4. Причины для уменьшения этого параметра

       Журналы просмотра событий представляют собой файлы, сопоставленные в памяти. Максимальный размер журнала событий ограничен объемом физической памяти на локальном компьютере и виртуальной памятью, доступной для процесса журнала событий. Увеличение размера журнала за пределы объема виртуальной памяти, доступного для просмотра событий, не приводит к увеличению числа сохраняемых записей журнала.

    5. Примеры проблем с совместимостью

       Windows 2000: Компьютеры с версиями Windows 2000, предшествующими пакетом обновления 4 (SP4), могут перестать регистрировать события в журнале событий до достижения размера, указанного в параметре "Максимальный размер журнала" в просмотре событий, если включен параметр "Не перезаписывать события (очистить журнал вручную)".

        

13. Журнал событий: хранение журнала безопасности

    1. Краткое описание ситуации

       Параметр безопасности Event Log: Retain security log определяет метод «wrapping» для журнала безопасности. Чтобы найти этот параметр, разверните "Параметры Windows", а затем " Параметры безопасности".

    2. Рискованные конфигурации

       Ниже приведены опасные параметры конфигурации.

       • Неспособность сохранить все зарегистрированные события безопасности до их перезаписи
       • Слишком маленький размер максимального размера журнала безопасности, чтобы события безопасности перезаписывались
       • Ограничение размера журнала безопасности и метода хранения при включенном параметре безопасности Audit: немедленно отключать систему, если невозможно вести журнал аудитов безопасности

    3. Причины для включения этого параметра

       Этот параметр включается только в том случае, если выбран метод хранения "Перезаписывать события по дням ". Если вы используете систему корреляции событий, которая опрашивает события, количество дней как минимум в три раза превышает частоту опроса. Сделайте это, чтобы разрешить неудачные циклы опросов.

14. Сетевой доступ: разрешать применение разрешений «Для всех» к анонимным пользователям

    1. Краткое описание ситуации

       По умолчанию в Windows Server 2003 для параметра сетевого доступа: разрешать всем применять разрешения к анонимным пользователям установлено значение "Не определено". По умолчанию Windows Server 2003 не включает маркер анонимного доступа в группу "Все".

    2. Пример проблем с совместимостью

       Следующее значение
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous [REG_DWORD]=0x0 нарушает создание доверия в период с Windows Server 2003 по Windows NT 4.0, когда домен Windows Server 2003 является доменом учетной записи, а домен Windows NT 4.0 — доменом ресурса. Это означает, что домен учетной записи является доверенным на стороне Windows NT 4.0, а домен ресурсов является доверительным на стороне Windows Server 2003. Это поведение происходит из-за того, что процесс запуска доверия после первоначального анонимного подключения ACL с маркером Everyone, который включает анонимный SID в Windows NT 4.0.

    3. Причины для изменения этого параметра

       Необходимо задать значение 0x1 или с помощью объекта групповой политики в подразделении контроллера домена: Сетевой доступ: разрешать применение разрешений "Для всех" к анонимным пользователям - включено для создания доверия.

       Примечание. Большинство других параметров безопасности увеличиваются в цене, а не снижаются до 0x0 в наиболее защищенном состоянии. Более безопасной практикой было бы изменение реестра на эмуляторе основного контроллера домена, а не на всех контроллерах домена. Если роль эмулятора основного контроллера домена по какой-либо причине перемещается, реестр необходимо обновить на новом сервере.

       После установки этого значения требуется перезагрузка.

    4. Путь реестра
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous

15. Проверка подлинности NTLMv2

    1. Безопасность сеанса

       Безопасность сеанса определяет минимальные стандарты безопасности для клиентских и серверных сеансов. Рекомендуется проверить следующие параметры политики безопасности в оснастке "Групповая политика редактора консоли управления Майкрософт":

       • Параметры компьютера\Параметры Windows\Параметры безопасности\Локальные политики\Параметры безопасности
       • Сетевая безопасность: минимальная сеансовая безопасность для серверов на базе NTLMSSP (включая безопасный RPC)
       • Сетевая безопасность: минимальная сеансовая безопасность для клиентов на базе NTLMSSP (включая безопасный RPC)

       Доступны следующие варианты этих параметров:

       • Требовать целостности сообщений
       • Требовать конфиденциальности сообщения
       • Требовать безопасности сеанса NTLM версии 2
       • Требуется 128-битное шифрование

       До Windows 7 по умолчанию было установлено значение "Нет требований". Начиная с Windows 7, значение по умолчанию изменилось на "Требовать 128-битное шифрование для повышения безопасности". При этом по умолчанию устаревшие устройства, не поддерживающие 128-битное шифрование, не смогут подключиться.

       Эти политики определяют минимальные стандарты безопасности для сеанса связи между приложениями на сервере для клиента.

       Обратите внимание, что, хотя флаги, требующие целостности и конфиденциальности сообщения, описываются как допустимые, они не используются при определении безопасности сеанса NTLM.

       Исторически Windows NT поддерживала следующие два варианта проверки подлинности запроса / ответа при входе в сеть:

       • Запрос или ответ LM
       • NTLM версии 1 — запрос или ответ

       LM обеспечивает взаимодействие с установленной базой клиентов и серверов. NTLM обеспечивает повышенную безопасность подключений между клиентами и серверами.

       Ниже перечислены соответствующие разделы реестра.
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec"
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec"

    2. Рискованные конфигурации

       Этот параметр определяет, как будут обрабатываться сетевые сеансы, защищенные с помощью NTLM. Это затрагивает, например, сеансы на основе RPC, аутентифицированные с помощью NTLM. При этом существуют следующие риски:

       • Использование более старых методов аутентификации, чем NTLMv2, упрощает атаку связи за счет более простых методов хэширования.
       • Использование ключей шифрования ниже 128-разрядной версии позволяет злоумышленникам взломать обмен данными методом подбора.

Синхронизация времени

Сбой синхронизации времени. Время на затронутом компьютере отличается более чем на 30 минут. Убедитесь, что часы клиентского компьютера синхронизированы с часами контроллера домена.

Временное решение для подписывания SMB

Рекомендуется устанавливать пакет обновления 6a (SP6a) на клиентах Windows NT 4.0, которые взаимодействуют в домене на основе Windows Server 2003. Клиенты на основе Windows 98 Second Edition, Windows 98 и Windows 95 должны запускать клиент служб каталогов для выполнения NTLMv2. Если на клиентах на основе Windows NT 4.0 не установлена Windows NT 4.0 SP6 или на клиентах на основе Windows 95, Windows 98 и Windows 98SE не установлен клиент служб каталогов, отключите вход SMB в параметре политики контроллера домена по умолчанию в подразделении контроллера домена, а затем свяжите эту политику со всеми подразделениями, в которых размещены контроллеры домена.

Клиент служб каталогов для Windows 98 второго выпуска, Windows 98 и Windows 95 будет выполнять подписывание SMB с серверами Windows 2003 при проверке подлинности NTLM, но не при проверке подлинности NTLMv2. Кроме того, серверы Windows 2000 не отвечают на запросы подписи SMB от этих клиентов.

Хотя это не рекомендуется, можно предотвратить обязательное прохождение подписи SMB на всех контроллерах домена, на которых работает Windows Server 2003 в домене. Чтобы настроить этот параметр безопасности, выполните следующие действия:

1. Откройте политику контроллера домена по умолчанию.
2. Откройте папку Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options.
3. Найдите и выберите параметр политики "Использовать цифровую подпись (всегда)" сервера сети Майкрософт и нажмите кнопку "Отключено".

Внимание! В этом разделе метод или задача содержит шаги по изменению реестра. Однако ошибки при изменении реестра могут привести к серьезным проблемам. Поэтому будьте внимательны, выполняя описанные действия. В качестве дополнительной меры предосторожности перед внесением изменений создайте резервную копию реестра. Тогда в случае возникновения проблемы вы сможете восстановить реестр. Дополнительные сведения о создании резервной копии и восстановлении реестра см. в следующей статье базы знаний Майкрософт:

322756 Резервное копирование и восстановление реестра Windows Кроме того, можно отключить вход SMB на сервере, изменив реестр. Для этого выполните указанные ниже действия.

1. Нажмите кнопку Пуск, нажмите кнопку Выполнить, введите команду regedit и нажмите кнопку ОК.
2. Найдите и щелкните следующий подраздел:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
3. Щелкните запись enablesecuritysignature .
4. В меню Правка выберите команду Изменить.
5. В поле "Значение" введите 0 и нажмите кнопку "ОК".
6. Закройте редактор реестра.
7. Перезагрузите компьютер или остановите и перезапустите службу сервера. Для этого введите следующие команды в командной строке и нажимайте клавишу ВВОД после каждой команды:
   net stop server
   net start server

Примечание. Соответствующий раздел на клиентском компьютере находится в следующем подразделе реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters Ниже перечислены переведенные номера кодов ошибок в коды состояний и дословные сообщения об ошибках, упомянутые ранее.

Чтобы просмотреть статьи в базе знаний Майкрософт, щелкните следующие номера статей:

324802 Настройка групповых политик для установки безопасности системных служб в Windows Server 2003

816585 Применение стандартных шаблонов безопасности в Windows Server 2003