4.1.2 Режими роботи

Окремий комп’ютер. У найпростішому випадку MBSA сканує окремий комп’ютер. При виборі комп’ютера для сканування (опція «сканування окремого комп’ютера») ви можете ввести ім’я або IP-адресу машини, яка сканується. За умовчанням вибирається комп’ютер, з якого виконується MBSA («самосканування»).

Кілька комп’ютерів. Для того щоб просканувати більше одного комп’ютера, потрібно вибрати опцію «сканування декількох комп’ютерів». При цьому ви отримуєте можливість переглянути весь домен, вказавши доменне ім’я або, вказавши блок IP-адреси, протестувавши всі комп’ютери з ОС Windows, що мають адреса в зазначеному блоці.

Необхідність в адміністраторському доступі. Для того щоб просканувати комп’ютер необхідно мати права адміністратора. У випадку «самосканування», користувач, який запустив MBSA, повинен володіти правами адміністратора даного комп’ютера або входити до групи адміністраторів системи. У разі сканування декількох комп’ютерів, ви повинні мати права адміністратора на кожній з систем або правами адміністратора домену.

Перегляд звіту безпеки. Кожен раз при скануванні комп’ютера або групи комп’ютерів, для кожної машини генерується звіт з безпеки, який зберігається на комп’ютері, з якого був запущений MBSA. Звіти зберігаються у форматі XML-файлів в особистому каталозі користувача, їх місце знаходження вказується у верхній частині робочого екрану програми.

Ви можете сортувати звіти за іменем комп’ютера, датою сканування, ip-адресою чи рівнем безпеки, що дозволяє спростити порівняння перевірок, зроблених системою за вибраний період часу.

4.1.3 Опис перевірок уразливості системи.

Члени групи адміністраторів. Ця перевірка визначає і виводить на екран список користувачів, які належать до групи адміністраторів комп’ютера. У разі якщо виявляється більше двох індивідуальних користувачів, що входять в цю групу, програма вказує їх і відзначає даний факт як потенційну вразливість в системі захисту. Взагалі, рекомендується звести кількість користувачів із правами адміністратора системи до мінімуму, так як адміністратор за замовчуванням має повний контроль над комп’ютером.

Аудит. Цей тест визначає, чи запущено на комп’ютері, який сканується система аудиту. ОС Microsoft Windows володіє можливістю аудиту, яка дозволяє відстежувати і записувати ключові події, що відбуваються з комп’ютером, такі як вдалі/невдалі спроби входу в систему. Моніторинг журналу подій системи допоможе виявлення потенційних вразливостей і спроб проникнення.

Автоматичний вхід у систему. Ця перевірка визначає, чи включений на комп’ютері режим автоматичного входу в систему і чи зберігається при цьому пароль доступу в незашифрованому вигляді або ж він зашифрований в реєстрі. У разі, якщо режим автоматичного входу в систему включений і пароль збережений в незашифрованому вигляді, цей факт відображається у звіті з безпеки як вкрай висока вразливість системи захисту. Якщо режим автоматичного входу в систему включений і пароль зашифровано в реєстрі, звіт з безпеки зазначає це як потенційну прогалину в захисті. Режим автоматичного входу в систему зберігає ім’я користувача і пароль у реєстрі і дозволяє вам автоматично входити в операційну систему Windows 2000 або Windows NT, не вводячи імені та пароля. Однак режим автоматичного входу в систему дає іншим користувачам можливість доступу до ваших файлів і здійснення зловмисних дій з системою (наприклад, будь-хто, хто має фізичний доступ до комп’ютера може перезавантажити його і автоматично увійти в систему). Тому, якщо у вас включений даний режим і ви не хочете від нього відмовлятися, переконайтеся, що на комп’ютері немає ніякої інформації. Так як будь-хто, хто має можливість фізичного доступу до вашого комп’ютера, може скористатися функцією автоматичного входу у систему. Бажано використовувати цю функцію винятково в надійному та безпечному середовищі. Ви можете зберігати пароль, який використовується для автоматичного входу в систему в реєстрі в незашифрованому вигляді або ж зашифрувати його за допомогою LSA (Local Security Authority).

Перевірка непотрібних сервісів. Цей тест перевіряє наявність на комп’ютері запущених сервісних програм зі списку services.txt. У файлі services.txt міститься список програм, які не повинні бути запущені на комп’ютері, який сканується. Файл services.txt інсталюється MBSA і зберігається в інсталяційній папці програми. Користувач програми може самостійно додати в список services.txt додаткові програми для сканування. За замовчуванням файл містить наступні сервісні програми: MSFTPSVC (FTP), TlntSvr (Telnet), RasMan (Remote Access Service Manager), W3SVC (WWW), SMTPSVC (SMTP).

У Microsoft Windows XP, Windows 2000 і Windows NT 4.0 сервісною програмою називається програма, яка виконується на комп’ютері з працюючою операційною системою без необхідності запуску її користувачем (у ряді випадків користувачеві навіть немає необхідності входити в систему). Ці програми необхідні для виконання незалежних від користувача програм, наприклад, програми прийому факсів, що знаходиться в режимі очікування вхідних повідомлень.

Файлова система. Цей тест перевіряє файлову систему, встановлену на кожному жорсткому диску, щоб упевнитися, що на комп’ютері використовується система NTFS. Файлова система NTFS володіє високим рівнем безпеки, який дозволяє вам контролювати і обмежувати доступ до файлів і каталогів. Наприклад, зробивши необхідні записи в аркушах контролю доступу (Access Control Lists, ACLs) ви можете дозволити своїм колегам бачити файли на вашому комп’ютері, але не змінювати їх.

Гостьовий доступ. Цей тест визначає, чи включений на комп’ютері режим гостьового доступу. Гостьовий доступ в операційних системах Windows 2000 або Windows NT служить для входу користувача в систему у випадку, якщо користувач не має власного профайлу на комп’ютері, домені або в домени, з яких дозволений доступ до цього комп’ютера. На комп’ютерах, що працюють під керуванням Windows XP і використовують простий спільний доступ до файлів, всі підключення користувачів через локальну мережу відображаються в гостьовому доступі згідно своєї моделі безпеки. Якщо гостьовий доступ включений на комп’ютерах з Windows NT, Windows 2000 і Windows XP не використовує простий спільний доступ до файлів, він буде відзначений як прогалина в захисті. Якщо гостьовий доступ є на комп’ютерах з Windows XP, які використовують функцію простого загального доступу до файлів, він не буде відзначений як уразливість.

Паролі локальних облікових записів. Ця перевірка визначає облікові записи користувачів, які використовують порожні або прості паролі. Цей тест не проводиться на комп’ютерах, які виступають в ролі контролерів домену. Обов’язковим заходом безпеки, операційні системи Windows XP, Windows 2000 і Windows NT вимагають від користувачів авторизації шляхом введення паролів. Проте безпека будь-якої системи залежить не тільки від технології, але і від способу, яким керується і настроюється система. Цей тест сканує всі облікові записи користувачів цього комп’ютера і перевіряє їх на предмет використання наступних паролів:

• Пароль порожній;

• Пароль збігається з ім’ям облікового запису користувача;

• Пароль збігається з ім’ям комп’ютера;

• Паролем є слово «password»;

• Паролем служать слова «admin» або «administrator».

Крім того, тест виводить повідомлення про заблоковані облікові записи і про тих користувачів, яким надалі закритий доступ в систему.

Користувачі, які мають ролі Sysadmin. Цей тест визначає і відображає у звіті з безпеки число користувачів, що мають ролі Sysadmin. У продукті Microsoft SQL Server поняття «роль» використовуються для групи логінов (logins), які мають однакові права на виконання дій. Фіксована роль Sysadmin дає права системного адміністратора всім членам цієї групи.

Режим авторизації ОС Windows (Windows Authentication Mode). У даному режимі безпеки SQL Server, також як і будь-який інший додаток, довіряє авторизацію користувачів безпосередньо Windows. З’єднання, що проходять з сервером у даному режимі, називаються «надійними з’єднаннями» (trusted connections). У разі використання режиму авторизації операційною системою, адміністратор бази даних надає користувачам право входу на комп’ютер з працюючим SQL Server. Авторизовані користувачі відстежуються операційною системою за допомогою кодів безпеки Windows (SIDs). Використовуючи коди безпеки Windows, адміністратор бази даних може надавати доступ до сервера безпосередньо користувачам або групам користувачів Windows.

Режим змішаної авторизації (Mixed Mode). У даному режимі SQL Server покладається на авторизацію користувача операційною системою лише у випадку, коли клієнт і сервер використовують протоколи авторизації NTML або Kerberos. Якщо якась зі сторін не підтримує жоден з цих протоколів, SQL Server вимагає введення імені користувача і пароля і порівнює отриману інформацію, що зберігається в його системних таблицях. З’єднання, які залежать від введення імені користувача і пароля, називаються «ненадійними з’єднаннями» (non-trusted connections). Режим змішаної авторизації доданий до SQL Server з двох причин: 1) для зворотної сумісності з попередніми версіями SQL Server; 2) для забезпечення нормальної роботи в разі, коли SQL Server працює на комп’ютерах з операційними системами Windows 95 або Windows 98 («надійні з’єднання» не підтримуються серверами, що працюють під управлінням цих операційних систем).

SQL Server BUILTIN\Administrators в ролі бази даних Sysadmin. Цей тест перевіряє наявність вбудованої групи адміністраторів, які мають роль бази даних Sysadmin. В SQL Server роллю бази даних називається захищена обліковий запис, що представляє собою набір інших облікових записів. Ця обліковий запис розглядається як окрема одиниця для встановлення дозволів. Роль може містити в собі набір дозволів на вхід в SQL Server, набір інших ролей, а також облікові записи користувачів Windows (як груп, так і окремих користувачів). Область дії ролей, заведених сервером за замовчуванням, поширюється на весь сервер і виходить за рамки окремої бази даних. Кожен член подібної групи може додати будь-який інший обліковий запис до своєї ролі. Всі члени групи Windows BUILTIN\ Administrators (локальної групи адміністраторів комп’ютера за замовчуванням входять до ролі sysadmin, що дає їм повний доступ до всіх баз даних, що зберігаються на сервері.

Незахищеність пароля облікового запису системного адміністратора SQL Server. В рамках даної перевірки виявляється зберігання пароля облікового запису системного адміністратора SQL Server 7.0 і SQL Server 2000 у вигляді незашифрованого тексту в файлах % temp%\sqlstp.log та % temp%\setup.iss.

У разі якщо для установки пакетів оновлень SQL Server 7.0 використовується режим SQL Server Authentication, під назвою Security Standard, пароль системного адміністратора зберігається у вигляді незашифрованого тексту в файлах Setup.iss директорії %winnt% і Sqlstp.log тимчасової директорії.

Гостьова обліковий запис SQL Server. Цей тест визначає, до яких баз даних (виключаючи головну базу даних, а також бази даних tempdb і msdb) мають доступ користувачі з обліковим записом Гость (Guest). У звіті з безпеки перераховуються всі бази даних, до яких мають доступ користувачі з подібним обліковим записом.

В SQL Server обліковий запис користувача повинен бути авторизований для доступу до бази даних і до об’єктів, що містяться в ній, одним з наступних способів:

• Обліковий запис для входу в систему може бути заданий як користувач бази даних.

• Обліковий запис для входу в систему може використовувати гостьовий вхід в базу даних.

• Група користувачів Windows може відповідати ролі в базі даних. В такому разі облікові записи цієї групи можуть зв’язуватися з базою даних.

Члени ролей бази даних db_owner і db_accessadmin, а також члени ролі Sysadmin створюють ролі облікових записів користувачів бази даних. Обліковий запис може включати в себе такі параметри, як: ідентифікатор входу в SQL Server, ім’я користувача бази даних, до одного імені ролі. Ім’я користувача бази даних не обов’язково збігається з вхідним ідентифікатором (logon ID користувача) - збіг відбувається тільки у випадку, якщо ім’я користувача бази даних не надається з самого початку. Після створення користувача бази даних, йому може бути присвоєно стільки ролей, скільки необхідно. Якщо ім’я ролі не надається, користувач бази даних є виключно членом загальної ролі бази даних.

Крім того, члени ролей бази даних db_owner і db_acce-ssadmin, а також члени ролі Sysadmin можуть створювати гостьові облікові записи. Гостьовий доступ дозволяє будь-якому працюючому обліковому запису SQL Server здійснити доступ до бази даних, навіть не маючи облікового запису користувача бази даних. Хоча за замовчуванням гостьовий обліковий запис успадковує права доступу загальної ролі бази даних, права доступу гостьових записів можуть відрізнятися в ту або іншу сторону від прав загальної ролі.