Питер Нортон - Полное руководство по Microsoft Windows XP

Необходимо тщательно наблюдать за добавлением пользователей в этой папке, потому что изменения могут свидетельствовать об активности взломщика. Например, если группа Все(Everyone) внезапно получит власть изменять локальные входы в систему, значит, кто-то вмешался в настройки. Вам может потребоваться изменить несколько стандартных параметров. Например, если вы отключаете учетную запись Гость(Guest), параметр Локальный вход в систему(Log On Locally) все еще продолжает содержать Гостякак одного из тех, кто может войти. Удаление Гостяиз списка повысит уровень защиты системы.

Папка Параметры безопасности(рис. 22.5), содержит параметры, которые затрагивают системные процессы. Например, допустимо ограничить доступ к дисководу для компакт-дисков на вашей машине пользователям с правами локального входа. Неважно, что вы делаете в программе Проводник, – этот параметр остается без изменений (если вы не модифицируете его глобальную или локальную политику).

Некоторые более важные настройки защиты постоянно находятся в папке Параметры безопасности.Например, здесь можно найти настройки Интерактивный вход в систему: [контекст входа](Interactive Logon). Применение необязательного сочетания клавиш Ctrl+Alt+Delопределяет, заходят ли пользователи в систему непосредственно с входного экрана при запуске машины. Другие параметры изменяют сообщение и заголовок при входе в систему. С помощью настройки интерактивного входа в систему допустимо также удалить имя последнего зарегистрированного при входе пользователя.

Обратите внимание, что эта папка включает даже большее количество опций для настройки параметров аудита. Важно только понять, что следует контролировать. Windows XP обеспечивает средства, чтобы выполнять аудит почти всех видов действий операционной системы.

Политики открытого ключа

Папка Политики открытого ключа (Public Key Policies) обычно содержит только одну вложенную папку, Файловая система EFS(Encrypting File System), где находятся все сертификаты системы (см. раздел «Цифровой сертификат» данной главы). Она предоставляет следующую информацию:

• кто владеет сертификатом;

• кто выпустил сертификат;

• когда истекает срок действия сертификата;

• как система использует сертификат;

• дружественное имя сертификата;

• статус сертификата;

• шаблон, используемый для создания сертификата.

Обычно нет необходимости что-либо делать с сертификатами на этой странице. Вы можете их удалять, экспортировать и открывать. Поскольку Windows XP обычно сохраняет сертификаты даже в случае, когда они устарели, вам придется лишь удалять ненужные. Открытие сертификата дает возможность ознакомиться с его содержимым. Полезную информацию о владельце сертификата можно найти на вкладке Дополнительно(Details) диалогового окна свойств сертификата (Certificate Properties).

Экспортировать сертификат требуется при отправке его кому-то еще или перемещении пользователя на другую машину. Щелкните правой кнопкой мыши по сертификату и выберите Все задачи→ Экспортировать(All Tasks → Export) из контекстного меню. Появится окно Мастера экспорта сертификата (Certificate Export Wizard). Ниже показано, как экспортировать сертификат:

1. Щелкните по кнопке Далее.Появится диалоговое окно Экспортировать закрытый ключ(Export Private Key). Всегда экспортируйте закрытый ключ, если перемещаете сертификат на другую машину или создаете резервную копию, но не делаете этого, если собираетесь использовать сертификат совместно с кем-то еще.

2. Выделите опцию закрытого ключа и нажмите Далее.Появится диалоговое окно Формат экспортируемого файла(Export File Format). Параметры, которые вы увидите здесь, отличаются от параметров вашего локального компьютера и сети. Если вы экспортируете сертификат, чтобы применять его совместно с другим пользователем, выберите формат файла, который подходит к его машинной настройке.

3. Укажите формат экспортируемого файла и нажмите Далее.Появится диалоговое окно для экспорта файла (File to Export).

4. Введите или выберите имя файла и нажмите Далее.Появится завершающее диалоговое окно, где представлены все настройки для экспорта файла.

5. Проверьте параметры вывода сертификата и нажмите Далее.Мастер экспорта сертификата создаст файл за вас.

Политики безопасности IP

Windows XP обеспечивает средства для создания безопасной компьютерной среды. Папка Политики безопасности IP на Локальный компьютер(IP Security Policies on Local Computer) на локальном компьютере содержит следующие три пункта:

• Клиент(Client). Описывает реакцию клиента на запросы сервера и тип информации, которую клиент передает на сервер. Стандартные настройки позволяют клиенту связываться в открытом режиме (незашифрованный текст). Если сервер запрашивает безопасное подключение, клиент реализует тип используемой защиты;

• Сервер безопасности(Secure Server). Определяет параметры для безопасного серверного окружения. Настройка по умолчанию требует безопасной связи с клиентом, предпочтительно на основе протокола безопасности Kerberos. Сервер не разрешает любую форму незащищенной связи;

• Сервер(Server). Задает настройки для нормального серверного окружения. Стандартная настройка предлагает клиенту применять протокол Kerberos для обеспечения безопасности среды. Если клиент не отвечает, Windows XP будет передавать открытый (незашифрованный) текст.

Если дважды щелкнуть по любому из этих пунктов, появится диалоговое окно Cвойства: [имя политики](Policy Properties). Вкладка Общие(General) содержит имя политики и ее описание, а также параметр, который определяет, как часто Windows XP проверяет данную политику на предмет изменения. Нажмите Дополнительно(Advanced), если хотите модифицировать основные настройки.

Вкладка Правила(Rules) включает руководства, используемые для управления параметром. Если вы хотите добавить новое правило, нажмите Добавить(Add). Допустимо редактировать и удалять ненужное правило посредством соответствующих кнопок. Всякий раз, когда вы добавляете новое правило, у вас есть выбор: обратиться к диалоговому окну Свойства: Новое правило(New Rule Properties) или Мастеру правил безопасности (Security Rule Wizard). Оба метода дают одинаковые результаты, но большинство пользователей предпочитают Мастер, поскольку с его помощью легче работать. Следующие шаги показывают, как создать новое правило обеспечения защиты, применяя Мастер правил безопасности: