3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

308 Параметры групповой политики

с помощью ключа реестра, их можно добавить в шаблон безопасности. Для этого добавьте их в секцию Значение реестра (Registry Values) шаблона.

К СВЕДЕНИЮ Добавление настраиваемых параметров реестра

В статье «How to Add Custom Registry Settings to Security Configuration Editor» no адресу http://support.microsoft.com/9kbid~214752 описано, как выполнять1ту задачу.

ПРИМЕЧАНИЕ Сохранение параметров

Для сохранения параметров в шаблоне безопасности щелкните шаблон правой кнопкой мыши и выполните команду Сохранить (Save).

При установке сервера или повышении его ранга до контроллера домена система Windows применяет шаблон безопасности по умолчанию. Этот шаблон находится в папке %SystemRoot%\Security\Templates. На контроллере домена этот шаблон имеет имя DC security.inf. Данный шаблон нельзя модифицировать напрямую, однако его можно скопировать по пути поиска шаблонов и модифицировать копию.

ПРИМЕЧАНИЕ Шаблоны безопасности в Windows Server 2008

ипредыдущих версиях Windows

Впредыдущих версиях Windows можно было модифицировать и применять к компьютеру множество шаблонов. Новая конфигурация Windows Server 2008 на основе ролей и улучшенный Диспетчер настройки безопасности (Security Configuration Manager) исключили необходимость в этих шаблонах.

Развертывание шаблонов безопасности с помощью объектов групповой политики

Создание и модификация шаблонов безопасности не способствуют повышению уровня безопасности, если эти шаблоны не применяются. Для того чтобы отконфигурировать множество компьютеров в одной операции, шаблон безопасности можно импортировать в объект групповой политики домена, сайта или подразделения в Active Directory. А чтобы импортировать шаблон безопасности в объект GPO, щелкните правой кнопкой мыши узел Параметры безопасности (Security Settings) и выполните команду Импорт политики (Import Policy). Если в диалоговом окне Импорт политики из (Import Policy From) установить флажок Очистить эту базу данных перед импортом (Clear This Database Before Importing), все параметры безопасности в этом объекте GPO будут удалены перед импортом параметров шаблона, в результате чего параметры безопасности GPO будут точно соответствовать параметрам шаблона. Если не устанавливать этот флажок, параметры политики GPO останутся

ибудут импортированы параметры шаблона. Все параметры, определенный

вGPO и в шаблоне, будут заменены параметрами шаблона.

Templates) этот отчет о т о б р а ж а е т к а ж д ы й параметр политики, определенный в базе д а н н ы х ( к о т о р а я б ы л а в ы в е д е н а из и м п о р т и р о в а н н ы х шаблонов), и текущий параметр п о л и т и к и . Д в а параметра сравниваются, а результат отображает-

и з м е н е н и я в к о н ф и г у р а ц и ю к о м п ь ю т е р а или базы данных. Дважды щелкните л ю б у ю политику, ч т о б ы о т о б р а з и т ь ее диалоговое окно Свойства (Properties)

При модификации значения параметра политики в оснастке Анализ и настройка безопасности (Security Configuration And Analysis) изменяются только значения в базе данных, а не реальные параметры компьютера. Чтобы изменения вступили в силу на компьютере, нужно применить параметры базы данных к компьютеру с помощью команды Настроить компьютер (Configure Computer Now) или экспортировать базу данных в новый шаблон и применить его к компьютеру с помощью объекта GPO

Security Police), м о д и ф и ц и р у я соответствующий объект групповой политики Или вручную м а н и п у л и р у я р а з р е ш е н и я м и файловой системы и реестра. После Того как вы внесете изменения, вновь откройте оснастку Анализ и настройка

безопасности (Security Configuration And Analysis) и выполните команду Анализировать компьютер (Analyze Computer Now), чтобы обновить сравнительный анализ параметров компьютера с настройками в базе данных.

Создание шаблона безопасности

Новый шаблон безопасности можно создать из базы данных, щелкнув правой кнопкой мыши узел Анализ и настройка безопасности (Security Configuration And Analysis) и выполнив команду Экспорт шаблона (Export Template), который будет содержать параметры базы данных, импортированные из одного или нескольких шаблонов безопасности и модифицированные в соответствии с текущими параметрами анализируемого компьютера.

ВНИМАНИЕ! Экспорт базы данных в шаблон

При выполнении команды Экспорт шаблона (Export Template) создается новый шаблон на основе текущих параметров базы данных, а не текущих параметров компьютера.

Утилита Secedit.exe

Утилита командной строки Secedit.exe, как правило, выполняет те же функции, что и оснастка Анализ и настройка безопасности (Security Configuration And Analysis). Преимущество Secedit.exe состоит в том, что ее можно выполнить в сценариях и командных файлах, а это позволяет автоматизировать развертывание шаблонов безопасности. Кроме того, с помощью утилиты Secedit.exe к компьютеру можно применить только часть шаблона, чего нельзя сделать с помощью оснастки Анализ и настройка безопасности (Security Configuration And Analysis) или объектов групповой политики. Например, только данная утилита обеспечивает способ применения лишь разрешений файловой системы из шаблона без остальных параметров.

Утилита Secedit.exe запускается в окне командной строки с одним из шести основных параметров и с дополнительными параметрами для каждой функции.

•Configure Все параметры базы данных или какая-то их часть применяются

клокальному компьютеру. Программу также можно отконфигурировать для

импорта шаблона безопасности в указанную базу данных, а потом применить параметры базы данных к компьютеру.

1 Analyze Выполняется сравнение текущих параметров безопасности компьютера с параметрами в базе данных. Прежде чем произвести анализ, программу можно отконфигурировать так, чтобы обеспечить импорт шаблона безопасности в базу данных. Сохраненные в базе данных результаты анализа можно просмотреть с помощью оснастки Анализ и настройка безопасности (Security Configuration And Analysis).

•Import Весь шаблон безопасности или его часть импортируется в конкретную базу данных.

•Export Весь шаблон или часть параметров из базы данных экспортируется в новый шаблон безопасности.

Мастер настройки безопасности

М а с т е р н а с т р о й к и б е з о п а с н о с т и ( S e c u r i t y Configuration Wizard) повышает уровень б е з о п а с н о с т и сервера, п о с к о л ь к у закрывает порты и отключает службы, н е н у ж н ы е д л я р о л е й сервера . Его м о ж н о запустить из домашней страницы Диспетчера сервера (Server M a n a g e r ) в секции Сведения системы безопасности (Security I n f o r m a t i o n ) и л и из п а п к и Администрирование (Administrative Tools).

Мастер н а с т р о й к и б е з о п а с н о с т и (Security Configuration Wizard) — инстру-

безопасности в в и д е ф а й л а .xml, к о т о р а я конфигурирует службы и сетевую безопасность, в к л ю ч а я п р а в и л а брандмауэра, значения реестра, политику аудита и другие параметры на основе р о л е й сервера. Эту политику безопасности затем можно м о д и ф и ц и р о в а т ь , п р и м е н и т ь к еще одному серверу или преобразовать в объект G P O д л я р а з в е р т ы в а н и я во множестве систем.

Information) на домашней странице Диспетчера сервера (Server Manager) . Ф а й л справки мастера настройки безопасности м о ж н о о т к р ы т ь , щ е л к н у в с с ы л к у

новую политику безопасности (Create A N e w Security Policy), затем щ е л к н и т е Далее (Next) и введите и м я сервера д л я с к а н и р о в а н и я и анализа . П о л и т и к а безопасности будет основана на ролях, в ы п о л н я е м ы х у к а з а н н ы м сервером . Д л я того чтобы проанализировать роли сервера, н у ж н ы п р и в и л е г и и администрато - ра. Кроме того, прежде чем запустить мастер н а с т р о й к и безопасности, следует

бранного сервера. Он использует базы д а н н ы х к о н ф и г у р а ц и и безопасности, которая определяет службы и порты, н е о б х о д и м ы е д л я к а ж д о й р о л и сервера, поддерживаемой мастером настройки безопасности. База д а н н ы х к о н ф и г у р а ц и и безопасности представляет собой набор ф а й л о в .xml, у с т а н о в л е н н ы х в папке %SystemRoot%\Security\Msscw\Kbs .

ПРИМЕЧАНИЕ Централизация базы данных конфигурации безопасности

В среде предприятия следует централизовать базу данных конфигурации безопасности, чтобы администраторы использовали одну базу данных при запуске мастера настройки безопасности. Скопируйте файлы из папки %SystemRoot%\Security\ Msscw\Kbs в сетевую папку, запустите мастер настройки безопасности с помощью команды Scw.exe, используя синтаксис scw.exe /кЬ Расположение_базы_данных. Например, команда scw.exe /kb \\seroer01\scwkb запускает мастер настройки безопасности с помощью базы данных конфигурации безопасности в общей папке scwkb на машине SERVER01.

Мастер настройки безопасности (Security Configuration W i z a r d ) использует базу данных конфигурации безопасности д л я с к а н и р о в а н и я сервера и иденти - фикации следующих элементов:

•роли, установленные на сервере;

•роли, вероятно выполняемые сервером;

•службы, установленные на сервере, но не о п р е д е л е н н ы е в базе д а н н ы х конфигурации безопасности;

•IP-адреса и подсети, отконфигурированные д л я сервера.

Обнаруженная информация о сервере сохраняется в ф а й л е сервера Main. xml. Этот файл называется базой данных конфигурации, к о т о р у ю н е л ь з я путать с базой данных конфигурации безопасности, используемой мастером настройки безопасности для выполнения анализа. Д л я того чтобы отобразить файл, следует щелкнуть кнопку Просмотр базы д а н н ы х (View Configuration Database) на странице Обработка базы данных настройки безопасности (Processing Security Configuration). Начальные параметры в базе данных к о н ф и г у р а ц и и называются

базовыми параметрами.

к серверу и л и д р у г и м серверам, в ы п о л н я ю щ и м аналогичные роли. Мастер настройки безопасности ( S e c u r i t y Configuration Wizard) представляет каждую из

»\ чтобы отменить любае1Ьи>елеречл:/)е««>да• ми-exMv. eetxrreosк npuwayu^ei crpare«aari -твив. перечислен*«яе в стоп5ие \toxarfe:»

и юиечите et»<w**>»e дейе Подробнее ъ тадтоей-»пси*? iq

< Надад ] ДД-У* > [ Отисн* )

Рис. 7-9. Страница подтверждения изменений для служб мастера настройки безопасности

Сервер (см. рис. 7 - 9 ) я в л я е т с я контроллером домена. На рисунке указано, что д л я д о м е н н ы х с л у ж б Active Directory ( A D D S ) отконфигурирован автоматический запуск .

На странице П о д т в е р ж д е н и е и з м е н е н и й д л я служб (Confirm Service Chang-

уэром Windows в режиме повышенной безопасности ( W i n d o w s Firewall with Advanced Security). Аналогично секции Н а с т р о й к а с л у ж б на о с н о в е р о л е й (Role-Based Service Configuration) секция Сетевая безопасность отображает

показано правило, разрешающее в х о д я щ и е з а п р о с ы p i n g к о н т р о л л е р а домена. Вы можете редактировать существующие правила, а т а к ж е д о б а в л я т ь и удалять настраиваемые правила.

*1

Прайма сетевой безопасности На этой стра»** перечклегы грааила 6рэндкау»рв, иеобхсд*** для аыбрвх-шх

ролей и йруг*х параметров. Выбранные правила еклсмемы, не выбрамш отключены.

Коитроллоэ £<ие»та Actr.e Directory - SAMA-SA р*>-ТОЧп) Контроллер гочеиа АсЬ.е Directory - SAM/ISA p*>4X»*-In)

9>Кситроплер дочепа AcO.t Qredory - YV32Tane <NT?-UCP-tp)

От ш ж Г^ааило входящего трафдеа дл* служба «итролпера дэче»и> AcUve Carertery, раэоеииюшее мпрось гроверк» CBSJH.

Используете*: Коитрэлпер допела (Active Directory) Действие Paipeuwrb все подключения Направление Входящие Протоми КМРу4

йопотлнлгьл жльмя о поосивп* И fMCit-rtl ГИММГУ.-

< Намд Далее > 1 От»&« |

Рис. 7-10. Страница сетевой безопасности мастера настройки безопасности

Брандмауэр Windows в режиме повышенной безопасности ( W i n d o w s Firewall with Advanced Security) комбинирует безопасность п р о т о к о л а Интер - нета (IPsec) и межсетевого экрана с динамически и з м е н я ю щ и м и с я пара-