2.3.2. Права доступа по умолчанию к объектам файловой системы и реестра Windows 2000

Как уже говорилось, пользователи из группы Administrators имеют не­огра­ниченный доступ ко всем объектам файловой системы и реестра. Что ка­са­ется пользователей, принадлежащих к группам Users и Power Users, то они имеют более ограниченный набор прав доступа к объектам файловой систе­мы и реестра. В табл. 8.1 перечислены права доступа к объектам файловой системы, присваиваемые по умолчанию группам Power Users и Users.

Принятые обозначения: %SystemDir% — каталог %System­Root%\System32, RX — Read and Execute (право чтения и запуска на исполне­ние), *.* — файлы, содер­жащиеся в каталоге (но не другие вложенные ката­логи).

Таблица 8.1 – Права доступа по умолчанию, назначаемые объектам файловой системы Windows 2000

Объект файловой системы	Права доступа по умолчанию для группы Power Users	Права доступа по умолчанию для группы Users
c:\boot.ini	RX	Отсутствуют
c:\ntdetect.com	RX	Отсутствуют
c:\ntldr	RX	Отсутствуют
c:\ntbootdd.sys	RX	Отсутствуют
c:\autoexec.bat	Modify	RX
c:\config.sys	Modify	RX
\ProgramFiles	Modify	RX

Устанавливаются также права доступа к объектам реестра Windows 2000, присваиваемые по умолча­нию пользователям из групп Users и Power Users. При этом права доступа к конкретному объекту реестра, как правило, наследуются также всеми дочерними объектами этого объекта.

2.3.3. Наиболее важные ключи реестра Windows nt/2000, нуждающиеся в защите

Microsoft официально рекомендует администраторам ограничивать доступ пользователей к целому ряду вложенных ключей, входящих в состав ключа HKEY_LOCAL_MACHINE\SOFTWARE. Основная цель этой операции за­ключается в предотвращении доступа неквалифицированных пользователей к параметрам настройки установленного в системе программного обеспе­чения.

Microsoft официально рекомендует администраторам ограничить права доступа пользователей к следующим ключам реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion.

Для группы Everyone вполне достаточно иметь права доступа Query Value, Enumerate Subkeys, Notify и Read Control к ключу реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion и следующим вло­женным подключам, имеющимся в его составе: AeDebug, Compatibility, Drivers, Embedding, Font Drivers, FontCache, FontMapper, Fonts, FontSubstitutes, GRE_ Initialize, MCI, MCI Extensions, Ports (и всем вложенным ключам в составе ключа Ports), Type I Installer, Windows 3.1 MigrationStatus (и всем вложенным ключам в составе этого ключа), WOW (и всем вложенным ключам в составе ключа WOW).

Точно такой же набор прав доступа (Query Value, Enumerate Subkeys, Notify и Read Control) следует предоставить группе Everyone к ключам Uninstall, Run, и RunOnce в составе ключа реестра HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion.

Помимо этого, Microsoft также рекомендует ограничить доступ пользовате­лей к ключу реестра, управлющему данными о производительности систе­мы – это ключ

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT \CurrentVersion\Perflib.

В Windows NT 4.0 группа Everyone по умолчанию имеет к этому ключу доступ с правом чтения. Просмотрите список контроля доступа для этого ключа, и если группа Everyone имеет к ключу Perflib дос­туп с правом чтения, то ее рекомендуется удалить из списка контроля дос­тупа. Доступ к этому ключу должны иметь только операционная система (System), создатель ключа (Creator owner), члены группы админист­раторов (Administrators) и пользователи, зарегистрировавшиеся в системе интерактивно (Interactive).

Группа Everyone должна иметь ограниченные права доступа (только права типа Query Value, Enumerate Subkeys, Notify и Read Control) и к некоторым другим ключам реестра. В первую очередь такую защиту необходимо обес­печить для улья HKEY_CLASSES_ROOT и всех его вложенных ключей, а также для ключа HKEY_USERS\.DEFAULT. Защищая эти ключи, вы за­щищаете систему от изменения ряда системных параметров и параметров настройки рабочего стола (в частности, это помешает пользователям произ­вольно изменять типы приложений, с помощью которых раскрываются файлы с конкретными расширениями, а также не позволит им изменять установленные вами параметры безопасности Internet Explorer).

Кроме того, следует ограничить права группы Everyone на доступ к ключам HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lariman

Server\Shares и HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPS только правами типа Query Value, Enumerate Subkeys, Notify и Read Control. Установка этих ограничений помешает несанкционированному использова­нию разделяемых ресурсов системы и применению параметра ImagePath в составе ключа UPS для запуска нежелательного программного обеспечения. Доступ типа Full Control к этим ключам должны иметь только операционная система (System) и члены группы Administrators.

Наконец, обратите внимание на такие ключи реестра, как Run, RunOnce и RunOnceEx в составе ключа реестра HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion. В частности, система выполняет все про­граммы, перечисленные параметрами в составе ключа RunOnceEx, а затем удаляет параметры, задающие запуск этих программ, что позволяет пользо­вателям исполнять на компьютере любые нежелательные программы. Права группы уровня Full Control на эти ключи должны иметь только операцион­ная система (System) и члены группы Administrators.

Следует упомянуть еще один ключ реестра, весьма важный для обеспечения безопасности. При работе с сервисом удаленного доступа система выводит диалоговые окна, в которых пользователи должны ввести регистрационную информацию — входное имя и пароль. В этих диалоговых окнах имеются флажки, установка которых позволяет запомнить пароль (Save This Password или Remember This Password). Хотя сохранение паролей очень удобно для конечного пользователя, эта практика представляет собой потенциальный риск, поскольку пароли хранятся так, чтобы система могла быстро их извлечь. Таким образом, извлечь этот пароль несложно и взломщику. Это особенно ак­туально для владельцев портативных компьютеров, поскольку в случае утраты такого компьютера тот, в чьи руки он попал, получит также и беспрепятствен­ный доступ к вашим сетям.

Простейший способ застраховать себя от этой опасности заключается в блоки­ровке функциональной возможности сохранения паролей RAS на компьютере, являющемся клиентом RAS. Для этого раскройте ключ реестра HKEY_LOCAL_ MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\

Parameters и до­бавьте в него параметр DisableSavePassword с типом данных REGDWORD. Теперь система никогда не будет предлагать пользователю сохранить введен­ный пароль для доступа к серверу RAS.