Счетчики производительности. Аудит.
В консоль MMC добавьте оснастку «Оповещения и журналы производительности». Затем найдите и добавьте оснастку ActiveX. В появившемся списке найдите системный монитор. Сформированную таким образом оснастку можно использовать для получения значений различных счетчиков производительности.
Мы уже наблюдали за счетчиками, помогающими анализировать работу сети. Просмотрите теперь другие разделы счетчиков.
Измените (в контекстном меню) период, через который снимаются показания. Сохраните результат в файлы разных типов и просмотрите их.
Теперь попытайтесь сохранить значения счетчиков в журнал. Для этого в консоли выберите оснастку «Журналы счетчиков». Затем в контекстном меню выберите пункт «Новые параметры …». Укажите два-четыре счетчика, задайте интервал снятия показаний и другие параметры, укажите, что журнал будет запускаться вручную. Если вы все сделали, то в правом окошке появится журнал с новым именем. В контекстном меню выберите «Запуск», а через некоторое время – «Останов».
Сохраните данные в журналы разных типов. Затем попытайтесь просмотреть полученные журналы (журналы в текстовом формате можно просмотреть в блокноте, а в особом формате – только в системном мониторе). Попытайтесь также показать счетчики из журнала (в контекстном меню Свойства – Источник – Обзор).
Журналы трассировки позволяют следить за некоторыми системными событиями. Образец журнала уже задан в панели администрирования. Можно настроить другие параметры. Затем следует активизировать журнал, провести некоторые действия, остановить журнал и просмотреть его.
Вопросы:
Справочники реестра. Структура реестра. Возможности редактора реестра regedit.
Возможности редактора реестра regedt32. Слежение за производительностью: счетчики, журналы счетчиков, журналы трассировки.
Учетные записи. Группы. Политики безопасности. Профили (2 часа) Задание:
Задать в локальной политике ограничения на минимальную длину пароля, на сложность.
Создать три-четыре локальных пользователя, задав различные правила на пароли.
Проанализировать профили пользователей. Проверить работу локального и перемещаемого профиля.
Сформировать две-три группы пользователей с различными правами доступа. В каждой группе должно быть не менее двух пользователей.
Пояснения.
Учетные записи можно создавать, вызвав с рабочего стола «Мой компьютер – Управление – Локальные пользователи и группы». Можно построить соответствующую консоль, включив в нее только оснастку «Локальные пользователи и группы».
Добавьте нового пользователя, выбрав в контекстном меню правой части окна «Новый пользователь». Введите имя пользователя (это то, что он будет указывать при входе), полное имя и описание нужны вам в качестве некого пояснения. Обратите внимание на то, что вы можете задать обязательную смену пароля при первом входе. Сделайте так для одного пользователя! Запретите другому пользователю изменять пароль. Поставьте для третьего пользователя «пароль не устаревает».
Попробуйте войти от имени вновь созданных пользователей. Особенно важно это проделать для того пользователя, у которого поставлено требование смены пароля при первом входе.
Запустите процесс от имени вновь созданного пользователя. Это выполняется следующим образом: «Пуск – программы – в контекстном меню Запуск от имени (Run as)». Вспомните, что дочерние процессы имеют те же полномочия, что и родительский. Чтобы воспользоваться этим, запустите сначала систему управления файлами (Проводник или Total Commander), а затем из него можно открыть любой файл. Подготовьте несколько систем управления файлами от имени разных пользователей, чтобы можно было в дальнейшем проверять их права и полномочия, профили и т.п.
Профиль пользователя запоминается в специальной папке с именем пользователя, расположенной в папке Profile или Documents and Settings. Обратите внимание на папку, соответствующую умалчиваемому пользователю (C:\Documents and Settings\Default User), папку, в которой записано нечто, относящееся ко всем пользователям компьютера (C:\Documents and Settings\All Users). При создании нового пользователя создается его профиль путем копирования содержимого из папки Default User. Это легко проверить. Внесите изменения, например, в папку C:\Documents and Settings\Default User\Главное меню, то есть добавьте в нее некоторую папку, а в нее положите ярлык от какого-нибудь файла. После этого создайте нового пользователя и войдите от его имени, а затем нажмите на кнопку «Пуск». Убедитесь в том, что для ранее заведенных пользователей новый пункт меню не показывается.
Еще немного о специальных папках. Папка SendTo содержит пункты контекстного меню, появляющегося при выборе пункта «Отправить (SendTo)» в различных приложениях (например, в MS Word). Папку «Мои документы» тоже достаточно удобно использовать для переадресации документов. Положите в нее ярлыки на ваши часто используемые папки. Тогда во всех приложениях при вызове сохранения документа выбирайте «Мои документы – нужная вам папка».
Теперь изучите шаблоны безопасности, предлагаемые в оснастке «Шаблоны», а потом попробуйте составить и опробовать свои настройки политик.
С помощью оснастки «Шаблон безопасности» Windows 2000 предоставляет способ централизованного управления безопасностью. Используя эту единственную оснастку, можно просматривать, изменять и применять к локальному компьютеру или импортировать в объект групповой политики самые разнообразные параметры безопасности системы. Оснастка «Шаблон безопасности» не предоставляет новых параметров безопасности, а просто упорядочивает и предоставляет удобный доступ ко всем имеющимся атрибутам безопасности для упрощения администрирования. Шаблоны безопасности также можно использовать в качестве основной конфигурации для анализа безопасности при использовании оснастки «Анализ и настройка безопасности».
Политики безопасности:
Политики учетных записей: безопасность паролей, блокировка учетных записей и политики Kerberos
Локальные политики: права пользователей и ведение журнала событий безопасности
Группы с ограниченным доступом: администрирование членов локальных групп
Реестр: безопасность разделов локального реестра
Файловая система: безопасность локальной файловой системы
Системные службы: безопасность и режимы запуска локальных служб
Шаблон безопасности можно импортировать в объект групповой политики. Все учетные записи компьютеров и пользователей узла, домена или подразделения организации, к которому применяется объект групповой политики, будут изменены в соответствии с настройками шаблона безопасности. Локальная групповая политика является специальным объектом объекта групповой политики. Она не может заменять политику домена, а настройки шаблона безопасности влияют только на локальные политики и политики учетных записей.
Все шаблоны хранятся в текстовых файлах с расширением .inf. Это позволяет копировать, вставлять, импортировать и экспортировать любые атрибуты шаблона. В шаблоне безопасности могут храниться все атрибуты безопасности, за исключением политик безопасности IP и политик открытого ключа.
Исходный шаблон, применяемый к компьютеру, называется политикой локального компьютера. Политику локального компьютера можно экспортировать в файл шаблона безопасности, чтобы сохранить исходные настройки безопасности системы. Это позволяет позже восстановить исходный шаблон безопасности в любое время. Единственным исключением из этого правила являются устаревшие системы, обновляемые до Windows 2000.
Проверьте работу блокировки учетной записи операционной системой после нескольких (определенных политикой безопасностью) неудачных попыток входа. Разблокируйте такую учетную запись, войдя от имени администратора.
От имени администратора временно заблокируйте некоторую учетную запись (считайте, что пользователь ушел в отпуск). Проверьте работу.
Теперь создайте несколько групп. Причем сделайте так, чтобы один и тот же пользователь входил в несколько групп (для одного – двух пользователей). Попробуйте теперь ваших пользователей разнести по группам. Обратите внимание на то, что вы можете выбирать и локальных и доменных пользователей.
Локальный пользователь или группа - это учетная запись, которой могут быть предоставлены разрешения и права на вашем компьютере. Домен или глобальные пользователи и группы управляются сетевым администратором. Имеется возможность добавить локальных пользователей, глобальных пользователей и глобальные группы в локальные группы. Однако невозможно добавить локальных пользователей и локальные группы в глобальные группы.
Вопросы:
Учетная запись. Локальные и доменные учетные записи. Вход от имени локальной и от имени доменной учетной записи. Блокировка учетных записей. Группы. Профили. Изменение профилей. Политики безопасности.
Разделяемые ресурсы. управление доступом. (2 часа)
Задание:
Создать несколько разделяемых ресурсов.
В оснастке «Разделяемые ресурсы» изучить уровни «Ресурсы», «Сеансы», «Открытые файлы».
Получить доступ к удаленному компьютеру через специальные ресурсы.
Проверить работу накопительного правила вычисления прав («запреты сначала, затем разрешения по максимуму»).
Пояснения.
Вызовите MMC, добавьте оснастку «Разделяемые (общие) папки».
Консоль «Общие папки» позволяет создавать, просматривать общие файлы и папки, а также задавать разрешения для доступа к ним. С ее помощью можно также увидеть, какой пользователь, с какого компьютера открыл в настоящий момент файл на локальном компьютере.
Компонент «Общие папки» содержит три списка. Ресурсы — список всех общих файлов и папок на локальном компьютере. Сеансы — список всех пользователей, подключенных к локальному компьютеру. Открытые файлы — список всех файлов локального компьютера, открытых другими пользователями.
Можно получить практически эти же данные, вызвав из панели управления «Управление компьютером».
Рассмотрим некоторые общие ресурсы. В зависимости от конфигурации компьютера, некоторые или все из перечисленных ниже особых общих папок автоматически создаются в Windows 2000 для обеспечения работы системы или целей администрирования. Данные общие папки не отображаются в папке «Мой компьютер», но могут просматриваться с помощью оснастки «Общие папки». В большинстве случаев особые общие папки не должны удаляться или изменяться.
Попытайтесь получить доступ к указанным специальным ресурсам: Имя_диска$, ADMIN$. Наберите в поле адреса Internet Explorer или проводника адрес компьютера и имя специального ресурса, например, file:\\192.168.102.101\c$. Если вы зашли под учетной записью, не дающей вам права удаленного администрирования, то система запросит у вас имя и пароль.
Создайте новый разделяемый ресурс двумя способами: 1) в свойствах папки найдите «Доступ (Shared)», 2) из консоли «Общие ресурсы» из списка «Ресурсы».
В первом случае в контекстном меню отыщите слово «Доступ». Если этого слова нет, скорее всего, в настройках TCP\IP (см. подключение по локальной сети в панели управления в пункте «Сеть и удаленный доступ к сети») отключена служба «Служба доступа к файлам и принтерам сетей Microsoft». В появившемся окне в закладке «Доступ» задайте сетевое имя (оно может и не совпадать с именем папки!), задайте максимальное количество пользователей.
Обратите внимание на то, что если некоторая папка объявлена в общий доступ, то для подпапки в контекстном меню пункт «Доступ» все равно есть, так как хотя по умолчанию она уже находится в общем доступе, определенном для вышестоящей папки, но дается возможность объявить этот ресурс со своим особым именем и правами доступа.
Чтобы увидеть результат, выйдите на свой компьютер через сеть (вся сеть – ims – имя компьютера), вы увидите все заданные вами имена. Убедитесь в том, что на вложенную папку вы можете выйти двумя способами, причем вы входите либо через имя сетевого ресурса, соответствующего данной папке, либо через сетевой ресурс, соответствующий родительской папке, в которой вы видите имя вложенной папки.
Выделение вложенной папки в отдельный ресурс может потребоваться, например, в том случае, если вы хотите дать доступ к этой папке, но не давать никакого доступа к промежуточным, даже не давать возможности их видеть и проходить через них даже локальным пользователям. Это вы разберете чуть позже в этой лабораторной работе.
А пока изучите оснастки «Сеансы», «Открытые файлы». Попросите соседей открыть на вашем компьютере пару файлов разных типов. А одного из соседей – открыть несколько файлов. Посмотрите теперь на результат. Что вы видите в открытых оснастках. А что вы можете сделать? Предположите, что один из внешних пользователей является злоумышленником, и попытайтесь закрыть открытые им файлы и сеансы связи. В это же время сосед должен просматривать и изменять ваш файл.
Теперь следует изучить методы ограничения доступа.
Доступ к различным системным ресурсам регулируется набором разрешений. К каждому объекту приписан список таких разрешений. Каждое разрешение относится либо к отдельному пользователю, либо к группе пользователей и разрешает или запрещает (allow – deny) им определенные действия с ресурсом. На томе NTFS вы можете задавать разрешения и для локальных и для доменных пользователей. На томе FAT (в связи с тем, что файловая система не располагает возможностью ограничивать доступ пользователей) можно задавать ограничения только для сетевых пользователей, так как эти ограничения реализует контроллер домена.
Сначала вам следует хорошо разобраться с теми ограничениями, которые реализует контроллер домена, а затем разобраться с теми, которые реализует файловая система сервера разделяемого ресурса. Контроллер домена обращается к так называемым «Разрешениям общего доступа». Их немного, всего три: разрешение читать, изменять и полный доступ. Эти разрешения выполняются для сетевых пользователей. Поэтому возможны отличия в правах для сетевого и локального пользователя. На томе FAT, очевидно, для локального пользователя все доступно. Поэтому необходимо указывать максимальные ограничения для сетевых пользователей. Напротив, на томе NTFS, имеющем функцию проверки прав доступа, лучше указать для сетевых пользователей полный доступ и, дополнительно, на компьютере – сервере разделяемого ресурса – указать подробнее список пользователей и групп с разрешениями.
Попытайтесь проверить этот факт следующим образом. Сначала выделите в общий доступ том с файловой системой FAT, например, гибкий диск (А). Сетевое имя задайте следующим образом: «А_имя компьютера». Таким образом, вы все сможете получить доступ по сети к дисководам на соседних компьютерах (и на свой собственный тоже). Обратите внимание на то, что закладки «Безопасность» для этого общего ресурса просто нет! Задайте для разных дисководов разные права и проверьте, что вы можете сделать с таким сетевым ресурсом. Список возможных действий приведен ниже (не все можно выполнить на томе NTFS).
Действия, выполняемые с папками и файлами:
чтение папки, файла,
изменение папки: добавление, удаление, переименование файлов,
изменение файла,
просмотр атрибутов,
изменение атрибутов,
запуск выполняемого файла,
смена разрешений,
смена владельца.
Далее следует подробно рассмотреть, какие возможности по ограничению доступа дает файловая система NTFS.
Разрешение (или запрет) может относиться:
- к одному объекту в иерархии (к папке);
- к подпапкам,
- к файлам из папки,
- к произвольной комбинации первых трех.
Чтобы управлять доступом к целому дереву объектов используется понятие наследования разрешений. Для управления наследованием используются три флага:
allow inheritable permissions to propagate... (разрешить переносить на данный объект наследуемые разрешения от вышележащих). Если данный флаг установлен, то описываемый объект имеет только те разрешения, которые получены им от вышележащих, если нет - то собственные, индивидуально установленные. В момент сброса флага система спрашивает, какие установить индивидуальные разрешения: копию унаследованных или никакие.
reset permissions on all child objects ... (сброс особо установленных разрешений для дочерних объектов, то есть установить для всех нижележащих объектов указанные в настоящий момент разрешения флаг №1). Это действие выполняется только 1 раз при установке флага, после чего флаг всегда сбрасывается.
apply this permissions to objects... (применять это разрешение ко всем нижележащим объектам) - делает описываемое разрешение наследуемым, т.е. тем, которое относится и к нижележащим объектам. Флаг №2 переносит вниз только разрешения, помеченные флагом №3.
Вернемся, наконец, к задаче, сформулированной выше (о сложном доступе к папкам). Попробуйте устроить следующую архитектуру каталогов: на верхнем уровне расположена папка Р11. Под ней расположены папки Р21, Р22, Р23. Под папкой Р21 расположены папки Р31, Р32, Р33. Под папкой Р31 расположены папки Р41, Р42, Р43. А теперь сделайте так, чтобы к папке Р11 доступ был, вход в папки Р21, Р22, Р23 был запрещен, то есть папки Р31, Р32, Р33 и Р42, Р43 вообще не видимы. А к папке Р41 был полный доступ. Это достаточно легко реализовать через механизм общих папок.