Лабораторна робота № 4 Дослідження захисту операційної системи windows 2k.

Мета роботи: розглянути побудову захисту операційної системи WINDOWS 2k та виявити уразливості файлу облікових записів.

Кількість годин на виконання — 4

Години на самостійну роботу — 2

Вимоги до лабораторної бази та перелік необхідного програмного забезпечення

Для проведення лабораторних досліджень необхідна ПЕОМ класу IBM PC з наступної мінімальної конфігурації:

• процесор – 300 МГц;

• ОЗП – 64 МБ;

• HDD – 10 ГБ;

• Відео карта – 16 МБ.

На комп'ютері має бути встановлена операційна система (ОС) WINDOWS NT/XP/2000/2003, але можливо виконання вправ в середовищі ОС WINDOWS 95/98/Millenium з умови надання примірників SAM-файлів, які заздалегідь повинні бути отримані у середовищі WINDOWS NT/XP/2000/2003.

Додаткове прикладне програмне забезпечення:

• "NTFSDOS Professional 4.03" – програма для створення двох дискет з файлами NTFSPRO.EXE та NTFSCHK.EXE відповідно, з допомогою яких ми можемо отримати доступ до тих розділів "вінчестера", де використовується файлова система NTFS. Ця програма потребує інсталяції у середовищі будь-якої ОС Windows2k, а для створення з її допомогою вищезгаданих дискет треба мати права адміністратора на даному комп`ютері. Але можна просто скопіювати зміст обох дискет без інсталяції програми "NTFSDOS Professional";

• Програма L0phtCrack версії 4.0 фірми @stake.Inc, що дозволяє аналізувати зміст та досліджувати облікові записи у файлі облікових записів SAM.

• Програма LC+4 версії 4.02 (rus), яка виконує оті ж самі функції, але не потребує інсталяції та має російськомовний інтерфейс.

• Програма Saminside версії 2.0, яка теж дозволяє аналізувати зміст файлів SAM та не потребує інсталяції (ця DEMO-версія програми має дещо скорочені можливості щодо вибору переліку символів для пошуку паролів).

• Программа для створення завантажувального диску OS Linux з утилітою Offline NT Password & Registry Editor (автор Petter Nordahl-Hagen) та образ цього диску.

• "Hiew.exe" – програма - viewer, що дозволяє продивіться зміст окремого файлу з можливістю пошуку за контекстом або адресом.

• "Завантажувальна" дискета операційної системи MS-DOS або Windows9x.

Теоретичні відомості

К операционным системам (ОС) данной группы относятся следующие: Windows NT/2000/2003 и XP Professional. Все эти ОС разрабатывались много позже, чем ОС группы Windows 9x, что дало возможность разработчикам учесть все недостатки и недочеты систем безопасности их предшественников. Характерной чертой ОС группы Windows 2k является наличие функций администрирования, когда права каждого пользователя назначаются не им самим, а предоставляются ему администратором. Каждый пользователь также должен быть включен в одну из рабочих групп, членов которых объединяют одинаковые права доступа к ресурсам локального компьютера и сети.

Основу системы защиты Windows 2k составляет система хранения файлов NTFS (New Technology File System). Основное отличие файловой системы NTFS от других (FAT, VFAT, HTPS) состоит в том, что только она одна удовлетворяет стандарту безопасности С2, в частности, NTFS обеспечивает защиту файлов и каталогов не только при удаленном, но при локальном к ним доступе.

Каждый файл в NTFS-разделе представлен записью в специальном файле, называемом главной файловой таблицей (MFA - master file table). NTFS резервирует первые 16 записей таблицы для специальной информации. Первая запись этой таблицы описывает непосредственно главную файловую таблицу, за ней следует зеркальная запись (mirror record) MFT. Если первая запись MFT разрушена, то NTFS читает вторую запись для отыскания зеркального файла MFT, первая запись которого идентична первой записи MFT. Местоположения сегментов данных MFT и зеркального файла MFT записаны в секторе начальной загрузки. Дубликат сектора начальной загрузки находится в логическом центре диска.

Далее в файле MFA следуют другие служебные записи, например, третья запись MFT - файл регистрации (log file) используется для восстановления файлов. Семнадцатая и последующие записи главной файловой таблицы используются собственно файлами и каталогами.

В MFA для каждой записи файла отводится определенный объем пространства. Небольшие файлы и каталоги (до 1500 байт) могут полностью размещаться внутри записи в MFA. Для файлов большего объема указывается их местонахождение подобно тому, как это делается в FAT.

В самом общем виде, для каждого файла или папки хранится набор атрибутов, основным среди которых с позиции безопасности является Security Descriptor (дескриптор безопасности). Именно в нем размещается информация о том, кто является владельцем файла, и какие права по доступу к нему имеют другие пользователи – ACL (Access Control List). Указанные права задаются с помощью маски доступа (access mask). Разрешения для доступа (permissions) подразделяются на:

1. индивидуальные — набор прав, позволяющий предоставлять пользователю различные виды доступа к файлам или каталогам:

   1. Read – право чтения файла или каталога и просмотр их атрибутов;

   2. Write – право изменения содержимого и атрибутов файла или папки;

   3. Execute – право запуска программ;

   4. Delete – право удаления файла или папки;

   5. Change Permission – возможность изменения прав доступа к файлу или папки;

   6. Take Ownership – право изменения владельца файла.

2. стандартные — наборы индивидуальных прав работы с файлами или папками:

   1. No Access – запрещение доступа к файлу или каталогу;

   2. Read – включает индивидуальные права Read и Execute;

   3. Change – включает индивидуальные права Read, Write, Execute и Delete;

   4. Full Control – включает полный набор индивидуальных прав.

3. специальные — комбинация индивидуальных разрешений, не совпадающие ни с одним стандартным набором.

Теперь рассмотрим, каким образом происходит идентификация пользователя с предоставлением ему определенного набора прав. Во-первых, как и в других аналогичных операционных системах, существует «суперпользователь» - Администратор, который изначально обладает неограниченными правами, в том числе и по назначению или ограничению прав доступа для других пользователей. Таким образом, только Администратор или другой пользователь, принадлежащий к группе администраторов, может изменять содержимое дескриптора безопасности в MFA.

Для каждого пользователя создается специальная учетная запись, в которой в зашифрованном виде хранится вся информация об его пароле доступа. Все учетные записи хранятся в специальном файле SAM (Security Account Management Database).