3.6. Захист (Secure*.Inf)

У шаблоні Secure*.inf визначаються параметри підвищеної безпеки. Найменш ймовірно, що вони чинять вплив на сумісність. Наприклад, в шаблоні Secure*.inf визначаються параметри надійних паролів, блокування і аудиту.

Крім цього, шаблоном Secure*.inf обмежується використання LAN  Manager і протоколів перевірки автентичності NTLM шляхом налагодження клієнтів на відправку відповідей у форматі NTLMv2, а також налагодження серверів на відмову від відповідей в цьому форматі.

Зауваження

1. Щоб застосувати шаблон Securews.inf на комп'ютері, на всіх контролерах домена, що містить облікові записи всіх користувачів, що входять в систему клієнта, необхідно встановити Windows  NT  4.0 з пакетом оновлення Service Pacк  4 або пізнішої версії.

2. Якщо сервер налагоджений з використанням шаблона Securews.inf, клієнт з обліковим записом на цьому сервері не зможе підключитися до нього з комп'ютера клієнта, на якому встановлена операційна система LAN  Manager, що використовує локальний обліковий запис.

3. Якщо контролер домена налагоджений з використанням шаблона Securedc.inf,то користувач з обліковим записом на цьому домені не зможе підключитися до нього з комп'ютера клієнта, на якому встановлена операційна система LAN  Manager, що використовує обліковий запис домена.

4. Клієнти, на яких встановлена операційна система LAN  Manager, включають платформи Windows  для робочих груп, а також платформи Windows  9х, на яких не встановлений DS  Client Pacк. Якщо DS  Client Pacк встановлений у Windows  9х, клієнтом може бути використаний протокол NTLMv2. Операційна система Windows Millennium Edition підтримує NTLMv2 без необхідності вносити додаткові зміни.

Внутрішні процеси Windows звертаються до облікових записів по їх кодах безпеки, а не по іменах користувачів або груп.Код безпеки ‑  структура даних змінної довжини, що визначає облікові записи користувачів, груп і комп'ютерів. Код безпеки надається обліковому запису при його створенні.

Шаблони безпеки також визначають додаткові обмеження для анонімних користувачів. Анонімні користувачі (такі як користувачі доменів, з якими не встановлені довірчі відносини) не можуть виконувати такі дії.

• Введення імен облікових записів і загальних ресурсів.

• Виконання перекладу SID-ім'я.

Шаблони безпеки включають підписання пакетів SMB на сервері, якою за умовчанням відключено для робочих станцій і серверів. Оскільки підписання пакетів SMB на сервері включено за умовчанням, воно виконується, якщо робочі станції і сервери працюють на рівні безпеки.

3.7. Підвищений захист (Hisec*.Inf)

Група шаблонів підвищеного захисту Hisec*.inf включає шаблони, що накладають додаткові обмеження на рівні кодування і підпису, необхідні для перевірки автентичності і для даних, які передаються по безпечних каналах між клієнтами SMB і серверами. Наприклад, тоді як параметри шаблонів безпеки визначають відмову серверів від відповідей LAN  Manager, параметри шаблонів підвищеного захисту визначають відмову серверів як від відповідей LAN  Manager, так і від відповідей NTLM. Шаблон захисту включає підписання пакетів SMB на сервері, а для шаблона підвищеного захисту таке підписання є необхідним. Для шаблонів підвищеного захисту є необхідному надійне кодування і підпис для даних, які передаються по безпечному каналу між доменом і членом домена і між двома доменами, між якими встановлені довірчі відносини.

Щоб застосувати Hisecws.inf на комп'ютері, виконайте описані далі дії.

• На всіх контролерах домена, що містить облікові записи всіх користувачів, що входять в систему клієнта, необхідно встановити Windows  NT  4.0 з пакетом оновлення Service Pacк  4 або пізнішої версії.

• На всіх контролерах домена, членом якого є клієнт, повинна бути встановлена операційна система Windows  2000.

Щоб застосувати шаблон Hisecdc.inf на контролері домена, на всіх контролерах доменів, з якими встановлені відносини довір'я, повинна бути встановлена операційна система Windows  2000.

Якщо сервер налагоджений за допомогою шаблона Hisecws.inf, тоді користувач з локальним обліковим записом на цьому сервері не зможе підключитися до нього з клієнта, не підтримуючого NTLMv2.

Якщо сервер налагоджений за допомогою шаблона Hisecws.inf, на всіх клієнтах, що використовують протокол SMB для підключення до цього серверу, повинні включити підпис пакетів SMB на стороні клієнта. На всіх комп'ютерах, на яких встановлена операційна система Windows  2000 і Windows  XP Professional, за умовчанням включений підпис пакетів на стороні клієнта.

Якщо контролер домена налагоджений за допомогою шаблона Hisecws.inf, тоді користувач з локальним обліковим записом для цього домена не зможе підключитися до рядового серверу з клієнта, не підтримуючого NTLMv2.

Якщо контролер домена налагоджений за допомогою шаблона Hisecdc.inf, клієнти, що використовують протокол LDAP (Lightweight Directory Access Protocol) не зможуть підключитися до серверу Active Directory LDAP, поки не включений підпис даних. Запити на виконання підключення з використанням ldap_simple_bind або ldap_simple_bind_s відхиляються. За умовчанням для всіх клієнтів Microsoft LDAP, що поставляються разом з Windows  XP Professional, необхідний підпис даних, якщо ще не використовується протокол TLS\SSL. При використанні протоколу TLS\SSL підпис даних виконується.

Клієнти, що не підтримують протокол NTLMv2, включають клієнтів Windows для робочих груп, клієнтів Windows  NT старих версій (без пакета Service Pacк  4), а також платформи Windows  95 і Windows  98, на яких не встановлений пакет DS  Client Pacк.

Крім обмежень на використовування протоколів LAN Manager і вимог шифрування і підпису трафіку SMB і трафіку безпечного каналу шаблони підвищеного захисту також обмежують використання кешованих даних входу в систему, таких як дані, збережені за допомогою Winlogon і засобу Сохранение имен пользователей и паролей.

Крім цього, в шаблоні Hisecws параметри групи обмеженого доступу використовуються для виконання наступних дій.

• Видалення всіх членів групи Опытные пользователи.

• Перевірка того, що тільки адміністратори домена і локальні облікові записи адміністратора є членами локальної групи Администраторы.

Шаблоном Hisecws визначаються ці обмеження для груп при виконанні тільки сертифікованих для додатків Windows 2000. При роботі тільки з сертифікованими додатками ні небезпечні сумісні шаблони, ні небезпечна група Опытные пользователи не є необхідними. Користувачі можуть успішно працювати з сертифікованими додатками в безпечному контексті звичайного користувача, який визначається параметрами безпеки за умовчанням файлової системи і реєстру.