3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

11.Перейдите иа вкладку Развертывание (Deployment).

12.Выберите тип развертывания Назначенный (Assigned).

13.Установите флажок Устанавливать это приложение при входе в систему (Install This Application At Logon).

14.Установите флажок Удалять это приложение, если его использование выходит за рамки, допустимые политикой управления (Uninstall This Application When It Falls Out Of The Scope Of Management).

15.Щелкните OK.

16.Закройте Редактор управления групповыми политиками ( G r o u p Policy Management Editor).

17.В консоли Управление групповой политикой (Group Policy Management) выберите в контейнере Объекты групповой политики (Group Policy Objects) объект XML Notepad.

18.Перейдите на вкладку Область (Scope).

19.В секции Фильтры безопасности (Security Filtering) выберите группу Про-

шедшие проверку (Authenticated Users) и щелкните Удалить (Remove),

а затем ОК, чтобы подтвердить выполняемое действие.

20.Щелкните Добавить (Add).

21.Введите имя группы, представляющей пользователей и компьютеры, для которых нужно развернуть приложение (например, имя группы APP_XML Notepad).

22.Щелкните ОК.

Теперь объект GPO отфильтрован для применения только к группе АРР_ XML Notepad. Однако параметры G P O не будут применены, пока вы не свяжете объект GPO с подразделением, сайтом или доменом.

23.Щелкните домен contoso.com правой кнопкой мыши и выполните команду

Связать существующий объект G P O (Link An Existing G P O ) .

24.В списке Объекты групповой политики (Group Policy Objects) выберите объект APP _ XML Notepad и щелкните О К .

При желании вы можете протестировать GPO, добавив в группу APP_XML Notepad учетную запись Администратор (Administrator). Выйдите и вновь войдите в систему. При входе должна установиться программа XML Notepad.

Упражнение 2. Обновление приложения

Эмулируйте развертывание обновленной версии X M L Notepad.

1.Войдите на машину SERVER01 как администратор.

2.Откройте консоль Управление групповой политикой (Group Policy Management).

3.В контейнере Объекты групповой политики (Group Policy Objects) щелкните правой кнопкой мыши объект XML Notepad и выполните команду Изменить (Edit).

4.Разверните узел Конфигурация пользователя\Политики\Конфигурация программ (User Configuration\Policies\Software Settings).

256 кбит/с .

Г.В объекте G P O , который применяется к компьютерам в филиале, в узле Конфигурация компьютера отконфигурировать политику обнаружения медленных подключений, установив скорость подключения 256 кбит/с.

Д. В объекте G P O , который применяется к компьютерам в филиале, от- к о н ф и г у р и р о в а т ь в узле Конфигурация компьютера политику обна- р у ж е н и я медленных подключений, установив скорость подключения 1000 кбит/с .

2. В вашем домене подразделение Служащие содержит учетные записи всех пользователей. К а ж д ы й сайт содержит подразделение, внутри которого дочернее подразделение Продажи содержит учетные записи компьютеров отдела продаж в этом узле. Вам нужно развернуть приложение, чтобы оно было доступно д л я всех пользователей в отделах продаж организации. Какие методы можно использовать для выполнения этой задачи? (Укажите все варианты.)

A.Создать объект G P O и привязать его к домену, а затем создать группу, содержащую всех пользователей отделов продаж. Отфильтровать объект G P O для применения только к этой группе. В секции Конфигурация пользователя (User Configuration) политики G P O создать программный пакет, назначающий развертывание приложения.

Б. Создать объект G P O , с в я з а н н ы й с подразделением Продажи в каждом узле, а в секции Конфигурация пользователя (User Configuration) политики G P O — п р о г р а м м н ы й пакет, назначающий развертывание приложения.

B.Создать объект G P O , связанный с доменом, а затем — группу, содержащую всех пользователей отделов продаж. Отфильтровать объект G P O для применения только к этой группе. В секции Конфигурация компьютера ( C o m p u t e r Configuration) политики G P O создать программный пакет, назначающий развертывание приложения.

Г. Создать объект G P O , связанный с подразделением Продажи в каждом узле, а в секции Конфигурация пользователя (User Configuration) политики G P O — программный пакет, назначающий развертывание приложения. Затем в секции Конфигурация компьютера (Computer Configuration) объекта G P O включить обработку замыкания политики

врежиме объединения.

3.Организация состоит из десяти филиалов. В Active Directory подразделение Служащие разбито на десять дочерних подразделений, содержащих учетные записи пользователей каждого филиала. Вам нужно развернуть

приложение для пользователей в четырех филиалах. Приложение должно быть полностью установлено, прежде чем пользователь впервые запустит его. Какие действия необходимо выполнить? (Укажите четыре действия. Каждый правильный ответ является частью полного решения.)

A.Создать объект GPO для.развертывания программы и связать его с подразделением Служащие.

Б.В политиках Конфигурация пользователя (User Configuration) создать пакет для публикации приложения.

B. Выбрать опцию развертывания Устанавливать это Приложение при входе в систему (Install This Application At Logon).

Г. Создать теневую группу, в которую включены пользователи четырех филиалов. Отфильтровать объект G P O развертывания программы для применения только к этой теневой группе.

Д.В политиках Конфигурация пользователя (User Configuration) создать пакет, назначающий установку приложения.

Е. Выбрать опцию Обязательное обновление для уже установленных приложений (Required Upgrade For Existing Packages).

Занятие 4. Аудит

Это важный компонент системы безопасности. В процессе аудита информация об указанной активности на предприятии заносится в журнал Безопасность Windows (Windows Security), который впоследствии можно анализировать. Аудит может вести запись успешной деятельности, документируя все изменения, а также фиксировать неудачные и потенциально вредоносные попытки получить доступ к ресурсам предприятия. В процессе аудита используются три средства управления: политика аудита, параметры аудита в объектах и журнал Безопасность (Security). На этом занятии мы рассмотрим, как конфигурировать аудит в нескольких распространенных сценариях.

Изучив материал этого занятия, вы сможете:

/Реализовывать новый аудит Изменения службы каталогов (Directory Service Changes) в Windows Server 2008.

SС помощью оснастки Просмотр событий (Event Viewer) выполнять анализ журнала Безопасность (Security).

Продолжительность занятия — около 45 мин.

Политика аудита

Политика аудита конфигурирует в системе аудит категорий активности. Если она не включена, сервер не будет выполнять аудит этой активности. На рис. 7-U показан узел Политика аудита (Audit Policy), развернутый в объекте групповой политики.

Итак, контроллеры домена выполняют аудит большинства успешно выполненных важных событий Active Directory. Поэтому ведется запись всех событий создания пользователя, изменения пароля пользователя, входа в домен и извлечения сценариев входа пользователя.

Но поскольку по умолчанию проверяются не все события отказа, может потребоваться провести дополнительный аудит отказов на основе политик безопасности и требований организации. Например, аудит неудачных попыток входа выявляет попытки несанкционированного доступа к домену путем многократного входа с помощью учетной записи пользователя домена без данных о пароле. События управления отказами доступа учетных записей могут помочь определить попытки манипулирования членством в группе с уязвимой безопасностью.

Одной из самых важных задач является соблюдение баланса и соответствия политики аудита корпоративным политикам и реалиям жизни. Скажем, корпоративная политика может требовать выполнение аудита всех неудачных попыток входа, а также успешных изменений пользователей и групп Active Directory. Эту задачу легко выполнить в Active Directory. Но как именно использовать эту информацию? Подробные журналы аудита бесполезны, если не знать способов или не располагать средствами управления ими. Необходимы бизнес-требования аудита, четко отконфигурированная политика и инструменты управления событиями аудита.

Аудит доступа к файлам и папкам

Многие организации проверяют доступ к системным файлам, чтобы следить за использованием ресурсов и выявлять потенциальные проблемы безопасности. В Windows Server 2008 поддерживается гранулированный аудит на основе учетных записей пользователей и групп, а также конкретных действий, выполняемых этими учетными записями. Для того чтобы настроить аудит, необходимо указать параметры и включить его политику, а также оценить события в журнале безопасности.

Настройка параметров аудита доступа к файлам и папкам

Вы можете выполнять аудит доступа к файлу или папке, добавив записи аудита в список SACL файла или папки. Чтобы получить доступ к списку SACL и его записям аудита, откройте диалоговое окно Свойства (Properties), перейдите на вкладку Безопасность (Security), щелкните кнопку Дополнительно (Advanced) и перейдите на вкладку Аудит (Auditing). Откроется диалоговое окно Дополнительные параметры безопасности (Advanced Security Settings), показанное на рис. 7-15.

Для того чтобы добавить запись, щелкните кнопку Изменить (Edit). Откроется вкладка Аудит (Auditing) в режиме редактирования. Щелкните кнопку Добавить (Add) и выберите пользователя, группу или компьютер для аудита. Затем в диалоговом окне Элемент аудита (Auditing Entry), показанном на рис. 7-16, укажите тип аудита доступа к объекту.

жете выполнять аудит успеха, отказа или обоих с о б ы т и й доступа при попыт-

или компьютера) задается соответствующее разрешение. В примере на рис. 7-15 показан аудит н е у д а ч н ы х п о п ы т о к получить пользователями в группе Консультанты д о с т у п к д а н н ы м в п а п к е к о н ф и д е н ц и а л ь н ы х данных на любом уровне. Д л я р а з р е ш е н и я аудита к о н ф и г у р и р у е т с я запись аудита с разрешением Полный доступ ( F u l l C o n t r o l ) , к о т о р ы й в к л ю ч а е т все отдельные уровни доступа, так что эта з а п и с ь о х в а т ы в а е т все т и п ы доступа. Неудачная попытка члена группы К о н с у л ь т а н т ы п о л у ч и т ь д о с т у п к а к о г о - л и б о типа записывается в журнал.

Как правило, з а п и с и аудита о т р а ж а ю т элементы разрешений объекта. Другими словами, вы н а с т р а и в а е т е д л я п а п к и Конфиденциальные данные разрешения, не п о з в о л я ю щ и е ч л е н а м г р у п п ы Консультанты получить доступ к ее содержимому. З а т е м а у д и т и с п о л ь з у е т с я д л я мониторинга членов группы Консультанты, п о - п р е ж н е м у п ы т а ю щ и х с я получить доступ к этой папке. Помните, что член г р у п п ы К о н с у л ь т а н т ы т а к ж е может принадлежать к еще одной группе с р а з р е ш е н и я м и доступа к этой папке. Этот доступ будет успешным, так что события не будут р е г и с т р и р о в а т ь с я в журнале. И если вам действительно нужно запретить д о с т у п п о л ь з о в а т е л е й к папке, то, отслеживая неудачные попытки получить доступ, не з а б ы в а й т е отслеживать успешный доступ, чтобы выявить ситуации, когда п о л ь з о в а т е л ь получает доступ к папке на основе потенциально

Журналы аудита довольно быстро увеличиваются в размерах, поэтому аудит нужно отконфигурировать для получения минимальной информации, необходимой для решения бизнес-задачи. При назначении аудита успехов и отказов доступа к активно используемой папке данных для группы Все (Everyone) с полным набором разрешений Полный доступ (Full Control) в журнале аудита будет генерироваться очень много записей, что повлияет на производительность сервера и значительно усложнит локализацию конкретных событий аудита.

В к л ю ч е н и е п о л и т и к и а у д и т а

Настройка элементов аудита в дескрипторе безопасности файла или папки сама по себе не включает аудит — необходимо определить параметр Аудит доступа к объектам ( A u d i t Object Access), показанный на рис. 7-17. После включения аудита подсистема безопасности начнет использовать параметры аудита и регистрировать п о п ы т к и доступа в соответствии с ними.