2.4. Защита реестра от несанкционированного удаленного доступа

Опция доступа к реестру удаленного компьютера представляет собой очень удобный метод, позволяющий администратору эффективно выполнять свои задачи по поддержке пользователей непосредственно с собственного рабо­чего места. Однако в ряде случаев эта возможность может быть источником проблем, поскольку удаленный доступ к реестру локального компьютера должен быть санкционированным.

Когда пользователь пытается установить соединение с реестром удаленного компьютера, работающего под управлением Windows NT/2000, действующий на этом компьютере сервис Server в первую очередь выполняет провер­ку существования ключа HKEY_LOCAL_MACHINE

\System\CurrentControlSet \Control\SecurePipeServers\Winreg. Возможность получения уда­ленным пользователем доступа к реестру защищаемого компьютера опреде­ляется следующими факторами:

– Если ключ \Winreg не существует, то доступ к реестру сможет получить любой удаленный пользователь. Этот пользователь сможет выполнять над реестром манипуляции в пределах, допускаемых списком контроля дос­тупа (ACL).

– Если ключ \Winreg существует в реестре, то список контроля доступа, установленный для этого подключа, и будет определять, какие пользова­тели могут получать доступ к реестру с удаленного компьютера.

Это означает, что для обеспечения безопасности удаленного доступа к рее­стру локального компьютера Windows NT/2000 требуется сконфигурировать список контроля доступа для ключа HKEY_LOCAL_MACHINE\System \CurrentControlSet\Control\SecurePipeServers\Winreg.

Если список контроля доступа (ACL) ключа Winreg предоставляет удален­ному пользователю доступ с правом чтения или записи (явно или как члену одной из групп), этот пользователь может подключиться к реестру Win­dows NT/2000. После установления такого соединения действия пользовате­ля, манипулирующего реестром, будут ограничены только правами доступа к отдельным его ключам. Таким образом, даже если пользователь имеет только право на чтение ключа Winreg, он сможет модифицировать другие ключи реестра, если их ACL это позволяют.

Создавать подключ \Winreg требуется только на компьютерах Windows NT 4.0 Workstation. На компьютерах Windows NT 4.0 Server, а также Windows 2000 Professional и Server, этот подключ создается по умолчанию, и администраторы получают к нему доступ типа Full Control.

2.5. Защита ульев sam и Security

Информация безопасности Windows NT/2000 хранится в ульях реестра SAM (Security Accounts Manager) и Security. Улей SAM содержит пользовательские пароли в виде таблицы хэш-кодов, а улей Security — информацию о безо­пасности локального компьютера, в том числе — права пользователей, по­литику в отношении паролей, членство пользователей в локальных группах.

2.5.1. Как защитить улей sam

Microsoft официально утверждает, что лучший способ защиты Win­dows NT/2000 — это защита административных паролей, но этого явно не­достаточно. Доступ к ульям SAM и Security получают многие пользовате­ли, например, пользователи из группы Backup Operators, в обязанности которых входит резервное копирование реестра.

По умолчанию ни один пользователь (даже администратор) не имеет необ­ходимых прав доступа, которые позволили бы ему получить доступ или хотя бы просмотреть базу данных SAM Windows NT/2000 с помощью редак­тора реестра. Но, тем не менее, ульи SAM и Security хранятся на диске точно так же, как и другие файлы, и единственное, что требуется для взлома – это раздобыть копии этих ульев. Обычным копированием этого не сделать, при попытке копирования реестра работающей системы Windows NT/2000 вы получите сообщение об ошибке.

Однако в составе некоторых программных продуктов имеются утилиты, при помощи которых пользователи, принадлежащие к группам администраторов или операторов резервного копирования, могут получать копии реестра ра­ботающей системы.

Если Windows NT/2000 установлена на томе FAT, то потенциальную опас­ность представляют любые пользователи, обладающие правом на выполне­ние перезагрузки системы и получившие физический доступ к компьютеру. В этом случае требуется лишь перезагрузить компьютер под управлением DOS или Windows 95/98 и скопировать ульи SAM и Security из каталога %SystemRoot%\System32\Config.

Подводя итоги, скажем, что для обеспечения должной защиты файлов SAM и Security от незаконного копирования следует установить защищаемые компьютеры в охраняемом помещении, а также лишить пользователей права на перезагрузку компьютера.

Чтобы отредактировать права пользователей в Windows 2000, зарегистрируй­тесь в системе от имени пользователя с правами администратора, раскройте окно Control Panel, выполните двойной щелчок мышью на значке Admi­nistrative Tools, и выберите опцию Local Security Policy. Разверните дерево консоли ММС и выберите опцию User Rights Assignment. В правой части окна появится список пользовательских прав, доступных для редактирова­ния.

Можно ли теперь сказать, что реестр Windows NT/2000 теперь защищен? Нет, нельзя, потому что еще остаются резервные копии реестра. В системах Windows NT 4.0 сразу же после успешной установки операционной системы или в любое время при запуске утилиты Rdisk с ключом /s создаются ре­зервные копии ульев реестра, которые сохраняются в каталоге %SystemRoot% \Repair. Резервные копии реестра Windows 2000 создаются при каждом ре­зервном копировании системных конфигурационных данных (System State Data), и эта информация сохраняется в каталоге %SystemRoot%\Repair\Regback. Данные файлы не открыты системой, и поэтому, если пользователь зареги­стрировался локально (или если каталог с резервной копией является разде­ляемым), эти файлы могут быть беспрепятственно скопированы. В системах Windows NT 4.0 права доступа к объектам файловой системы NTFS никак не защищают каталог %SystemRoot%\Repair, все пользователи имеют к этому каталогу доступ с правом чтения, и этого достаточно для копирования фай­лов. В Windows 2000 группа Users по умолчанию имеет только право про­смотра (List) этого каталога, что не дает возможности копирования файлов. Тем не менее, как уже говорилось в этой главе, если вы выполняли обнов­ление предыдущей версии Windows NT до Windows 2000, то права доступа к объектам реестра и файловой системы наследуются от предыдущей версии Windows NT.

Подводя итоги, скажем, что для предотвращения доступа рядовых пользова­телей домена к файлам SAM и Security следует:

– лишить конечных пользователей права локальной регистрации на серверах;

– использовать файловую систему NTFS;

– обеспечить надлежащую физическую защиту для серверов;

– в системах Windows NT 4.0 и тех системах Windows 2000, где операционная система устанавливалась как обновление предыдущей версии Windows NT, следует ужесточить права доступа к каталогу %SystemRoot%\Repair;

– обеспечить безопасные условия хранения резервных копий и дисков ава­рийного восстановления (Windows NT 4.0), а также копий данных из на­бора System State Data (Windows 2000).

Для взлома похищенных ульев SAM и Security больших усилий не требуется. Имея эти файлы в своем распоряжении, пользователь может в свободное время провести на них такое количество словарных атак, какое требуется для взлома паролей.

Таким образом, чтобы защитить систему, следует запретить пользователям использовать пустые пароли и задать системную политику в отношении па­ролей. Минимальная длина паролей в любом случае не должна быть меньше 8 символов. Помимо этого в качестве пароля рекомендуется использовать произвольные комбинации букв и цифр, а также задать политику в отноше­нии минимально допустимой сложности паролей.

Попробуйте представить себя на месте злоумышленника, и взломайте свой собственный улей SAM (при этом учтите, что ваши задачи существенно проще, чем задачи, стоящие перед этим человеком — вам ведь не надо проводить удаленную атаку с целью похищения ульев SAM и Security). С пользователями, пароли которых будут вскрыты автоматически, следует провести разъясни­тельную работу. Помимо этого рекомендуется установить правила периодиче­ской смены паролей.