1 Цель работы

Приобретение навыков работы с реестром. Изучение назначения ульев SAM и SECURITY реестра.

2 Порядок выполнения работы

1. Прочитать ЗАДАНИЯ К РАБОТЕ

2. Выполнить на VM резервное копирование реестра

3. Изучить назначение ульев SAM И SECURITY реестра и выполнить предложенные изменения в ключах.

4. Лишить пользователей права на перезагрузку компьютера

5. Ограничить анонимный доступ к компьютеру с помощью оснастки ММС Local Security Policy или с помощью редактирования реестра.

6. Защитить каталог \repair

7. Защитить помимо каталогов \repair и \config информацию, относящаяся к SAM, которая может быть записана в следующие файлы: pagefile.sys, memory.dmp или user.dmp.

8. Восстановите реестр

9. Оформите отчет по самостоятельной работе, который должен содержать:

• титульный лист (см. приложение);

• порядок выполняемых действий

• вывод

3 Задание к работе

1. Создание нового пользователя на VM

Зайти Панель управления – Управление учетными записями – Управление другой учетной записью – Создание учетной записи

Задать имя и предоставить обычный доступ.

2. Запрет на чтение реестра пользователям

Зайти в редактор реестра (regedit в командной строке) в следующий раздел:

HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion

Нажать правой кнопкой мыши на название раздела CurrentVersion, выбрать пункт «Разрешения». Сверху выбрать группу «Пользователи», внизу отметить пункт «Полный доступ» в колонке «Запретить».

Те же операции произвести с ключом HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows NT\CurrentVersion

3. Резервное копирование реестра

Открыть редактор реестра – Файл – Экспорт. Сохранить reg-файл в отдельную папку.

4. Изучить назначение ульев SAM И SECURITY реестра

HKEYY_LOCAL_MACHINE\SAM

Содержит информацию SAM (Security Access Manager), хранящуюся в файлах SAM, SAM.LOG, SAM.SAV в папке \%Systemroot%\System32\Config.

HKEY_LOCAL_MACHINE\SECURITY

Содержит информацию безопасности в файлах SECURITY, SECURITY.LOG, SECURITY.SAV в папке \%Systemroot%\System32\Config.

Защитить каталог \repair, используя программу Windows Explorer (Проводник); сделать следующее:

- Откройте Windows Explorer (Проводник).

- Перейдите в каталог repair (обычно это C:\winnt\repair), нажмите правую клавишу мыши и выберите в открывшемся меню Properties (Свойства).

- Выберите закладку Security (Безопасность).

- Выберите Permissions (Разрешения).

- Отметьте Replace Permissions on Subdirectories (Переносить разрешения на поддиректории) и Replace Permissions on Existing Files (Переносить разрешения на файлы).

- Удалите из списка всех пользователей, кроме Administrators (Администраторы) и SYSTEM (Система).

- Убедитесь, что и Administrators (Администраторы), и SYSTEM (Система) имеют права Full Control (Полный контроль).

- Нажмите OK.

Теперь вы назначили пользователям Administrators (Администраторы) и SYSTEM (Система) права Full Control (Полный контроль) на данный каталог и все файлы, которые в нем содержатся. Поскольку режим редактирования ACL выбран не был, права всех остальных пользователей удалены системой.

. Защитить помимо каталогов \repair и \config информацию, относящаяся к SAM, которая может быть записана в следующие файлы: pagefile.sys, memory.dmp или user.dmp.

Чтобы уменьшить опасность, связанную с использованием файлов user.dmp и memory.dmp, необходимо предпринять одно из следующих действий:

- установить права для этих файлов так, что только администраторы смогут иметь доступ к ним;

- установить в реестре ключ, указывающий на необходимость удаления системного файла pagefile при завершении работы операционной системы;

Чтобы отключить в параметрах настройки создание файла memory.dmp, запустите в Панели Управления (Control Panel) раздел Система (System) и выберите закладку Загрузка/восстановление (Startup/Shutdown). Затем отключите параметр Запись отладочной информации (Write debugging information to). Если вам все же необходимо иметь образы памяти на момент аварийного завершения работы, постарайтесь настроить параметры ОС таким образом, чтобы файлы, содержащие образ памяти, помещались в защищенный каталог, доступный только администраторам.

Что касается файла pagefile.sys, то его открывает и защищает от попыток непосредственного доступа со стороны взломщиков только операционная система. Можно сконфигурировать Windows так, чтобы pagefile удалялся при нормальном завершении работы системы. В ситуациях, когда условия эксплуатации системы требуют установки и использования нескольких копий ОС, удаление файла pagefile при нормальном завершении работы можно считать достаточной мерой безопасности.

* Для удаления файла pagefile.sys необходимо сделать следующее: Пуск-> Панель управления-> Администрирование-> Локальные политики безопасности-> Локальные политики-> Параметры безопасности-> Очистка страничного файла виртуальной памяти при завершении работы включить.

* Чтобы отключить кэширование, установите в 0 значение параметра реестра CachedLogonsCount (типа REG_DWORD) в ключе HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon.

Кроме того, следует ограничить права группы Everyone на доступ к ключам HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanSeiver \Shares и HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPS только правами типа Query Value, Enumerate Subkeys, Notify и Read Control. Установка этих ограничений помешает несанкционированному использова­нию разделяемых ресурсов системы и применению параметра Image Path в составе ключа UPS для запуска нежелательного программного обеспечения. Доступ типа Full Control к этим ключам должны иметь только операционная система (System) и члены группы Administrators.

Наконец, обратите внимание на такие ключи реестра, как Run, RunOnce и RunOnceEx в составе ключа реестра HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion. В частности, система выполняет все программы, перечисленные параметрами в составе ключа RunOnceEx, а затем удаляет параметры, задающие запуск этих программ, что позволяет пользователям исполнять на компьютере любые нежелательные программы. Права группы уровня Full Control на эти ключи должны иметь только операционная система (System) и члены группы Administrators.

Рекомендация для домашней отработки темы

Следует упомянуть еще один ключ реестра, весьма важный для обеспечения безопасности. При работе с сервисом удаленного доступа система выводит диалоговые окна, в которых пользователи должны ввести регистрационную информацию — входное имя и пароль. В этих диалоговых окнах имеются флажки, установка которых позволяет запомнить пароль (Save This Password или Remember This Password). Хотя сохранение паролей очень удобно для конечного пользователя, эта практика представляет собой потенциальный риск, поскольку пароли хранятся так, чтобы система могла быстро их извлечь. Таким образом, извлечь этот пароль несложно и взломщику. Это особенно ак­туально для владельцев портативных компьютеров, поскольку в случае утраты такого компьютера тот, в чьи руки он попал, получит также и беспрепятствен­ный доступ к вашим сетям.

Простейший способ застраховать себя от этой опасности заключается в блокировке функциональной возможности сохранения паролей RAS на компьютере, являющемся клиентом RAS. Для этого раскройте ключ реестра HKEY_LOCAL__MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters, и добавьте в него параметр DisableSavePassword с типом данных REG_DWORD. Теперь система никогда не будет предлагать пользователю сохранить введен­ный пароль для доступа к серверу RAS.