Питер Нортон - Полное руководство по Microsoft Windows XP

Рисунок 22.1. Оснастка Локальные параметры безопасности дает возможность изменять и машинные, и сетевые настройки

Как видите, программа встроенной локальной защиты делит настройки на функциональные зоны. Комбинация параметров определяет вашу локальную политику безопасности. Windows XP также поддерживает групповую политику безопасности. Администратор осуществляет эту политику на контроллере домена (основном сервере). Параметры настройки групповой политики отменяют локальные, так что локальное изменение настройки не гарантирует изменения в сети.

Политики учетных записей

Папка Политики учетных записей(Account Policies) задает доступ в систему для каждого пользователя. Она состоит из вложенных папок Политика паролей(Password Policy) и Политика блокировки учетной записи(Account Lockout Policy) – см. рис. 22.1. Можно рассматривать первую папку как средство предоставления доступа, а вторую – как средство отказа в доступе. Из всех папок, которые вы можете изменять, эти наиболее важные. Помните: лучший способ предотвратить разрушение системы заключается в том, чтобы не впустить туда взломщиков.

Папка Политика паролейсодержит пункты, которые задают способ входа в систему для различных пользователей. Рис. 22.1 показывает настройки по умолчанию для этой папки. Как видите, средства, используемые по умолчанию, не очень многообещающие. Чтобы сделать условия доступа на компьютер более жесткими, включите опцию Требовать неповторяемости паролей(Password History), которая будет напоминать пользователям о периодической смене пароля. Я рекомендую задавать максимум 30 дней между заменами пароля. Однако, если вы работаете с секретными данными, не помешает даже еженедельная замена (можно, конечно, предложить и ежедневные замены, но они быстро измотают вас).

Одна настройка в папке Политика паролейособенно важна. Обратите внимание на опцию Пароль должен отвечать требованиям сложности(Password Must Meet Complexity Requirements). Включите ее, и пользователям придется выбрать уникальные пароли, содержащие три категории символов из четырех доступных: числа, прописные буквы, символы нижнего регистра и специальные символы. Когда вы добавляете это требование к минимальной длине пароля (по крайней мере, шесть символов), разгадать его станет еще труднее.

Windows XP обеспечивает три параметра блокировки учетной записи. Параметры блокировки запрещают доступ к системе после наступления некоторых событий. Значение порога блокировки – ключ к настройкам. Установка по умолчанию (0) предполагает, что пользователи могут вводить неправильный пароль целый день, и вы никогда не узнаете об этом. Установка значений 3 или 4 в графе Количество неправильных входов в систему(Incorrect Logins) обычно гарантирует, что система отследит проникновение, но даст взломщику небольшой шанс для вторжения. Остальные параметры устанавливают продолжительность блокировки и интервал времени, которые должны пройти между неправильными входами в систему до сброса счетчика блокировки. Значения по умолчанию (30 мин) на самом деле недостаточно, чтобы помешать злоумышленникам. Кроме того, это вынудит служащих ждать окончания блокировки. Я обычно устанавливаю оба счетчика минимум на 1440 мин, что составляет 24 ч.

Блокировка учетной записи происходит, когда пользователь несколько раз введет неверный пароль при входе в систему. В таком случае Windows XP выдает сообщение, что система заблокирована и нужно обратиться к сетевому администратору.

На рис. 22.2 показаны результаты блокировки. Включите учетную запись, сняв флажок Заблокировать учетную запись(Account Is Locked Out). Выключать ли опцию Потребовать смену пароля при следующем входе в систему(User Must Change Password at Next Login), зависит от причины блокировки. В большинстве случаев удобно, чтобы пользователь создал новый пароль для своей учетной записи.

Рисунок 22.2. Одно из последствий политики блокировки учетной записи: пользователь должен сменить пароль

Установка порога блокировки учетной записи – опция Пороговое значение блокировки(Account Lockout Threshold) – раскрывает другую грань консоли Локальные параметры безопасности. Всякий раз, когда вы изменяете параметр, влияющий на другой параметр, появляется диалоговое окно Предлагаемые изменения значений(Suggested Value Changes) – рис. 22.3. Это окно сообщает, какую настройку Microsoft считает соответствующей минимальным требованиям, однако вы можете установить другое значение параметра.

Рисунок 22.3. В диалоговом окне Предлагаемые изменения значений содержатся оптимальные значения для дополнительных параметров защиты

Локальные политики

Папка Локальные политики(Local Policies) содержит три основные вложенные папки: Политика аудита(Audit Policy), Назначение прав пользователя(User Rights Assignment) и Параметры безопасности(Security Options). Это основа локальной политики безопасности вашей системы: здесь имеются настройки, от которых зависит работа с Windows XP.

Папка Политика аудитавключает основные контрольные параметры для вашей системы. Windows XP не разрешает изменять данные списка из других зон. Например, если этот параметр политики определен, выполняется аудит (проверка и регистрация) событий входа в систему. Если дважды щелкнуть по одной из опций, появится диалоговое окно, в котором можно задать способ аудита при входе в систему: при отказах или успехах. Вы не можете изменить ни один из приведенных параметров.

Имя папки Назначение прав пользователязвучит слишком гордо для тех скромных возможностей, которые она предоставляет. Фактически она содержит параметры настройки, которые управляют доступом ко всем объектам в системе. На рис. 22.4 представлен пример записей в этом окне. Вы можете изменять параметры настройки и способ доступа для пользователей разных категорий, чтобы скорректировать перечень задач и объектов, с которыми они могут работать. Если дважды щелкнуть по любому из этих параметров, появится диалоговое окно со списком пользователей, чьи права можно изменить. Для управления настройками служат кнопки Добавить(Add) и Удалить(Remove).