Дополнительные параметры безопасности

SeAuditPrivilege. Данный параметр разрешает службе или учетной записи указывать параметры аудита доступа к объектам для отдельных ресурсов (файлов, объектов Active Directory, разделов реестра). То есть создавать записи в стандартном журнале безопасности системы (eventvwr. msc) при помощи API-функции ReportEvent.Еще данное право разрешает очищать журнал безопасности оснастки eventvwr. msc.

По умолчанию данное право предоставлено группе " Администраторы ". Вы же можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого надо войти в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики" и включить политику "Управлять аудитом и журналом безопасности".

SeCreatePermanentPrivilege. Данный параметр позволяет службе или учетной записи создавать постоянные объекты, которые будут не удаляемыми при отсутствии ссылок на них. Например, создавать объекты каталога с помощью диспетчера объектов.

По умолчанию данное право никому не предоставлено, но вы можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого надо войти в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики" и использовать политику "Создание постоянных общих объектов раздела".

SeCreateTokenPrivilege. Данный параметр разрешает службе или учетной записи создавать первичные маркеры. То есть: учетная запись может создать маркер, содержащий любые SID и привилегии, и запустить с его помощью процесс.

SeEnableDelegationPrivilege. Данный параметр используется в Active Directory для делегирования учетных записей и определяет, может ли данная учетная запись устанавливать параметр "Делегирование разрешено" для пользовательского или компьютерного объекта.

Этот параметр можно устанавливать только для тех учетных записей пользователей или компьютеров, для которых снят флажок " Учетная запись не может быть делегирована ". По умолчанию в Windows 7 данное право никому не предоставлено. А на контроллере домена данное право по умолчанию предоставлено группе " Администраторы ".

Вы можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого надо войти в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики" и использовать политику "Разрешить доверия к учетным записям компьютеров и пользователей при делегировании".

SeLockMemoryPrivilege. Данное право разрешает службе или учетной записи выполнять блокировку физических страниц памяти. Блокировка физических страниц памяти запрещает сброс блокированных страниц в файл подкачки на диск. То есть они всегда будут находиться в оперативной памяти.

В Windows 7 данное право по умолчанию никому не предоставлено.

Вы можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого войдите в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики" и используйте политику " Блокировка страниц в памяти ".

SeMachineAccountPrivilege. Данное право необходимо, чтобы диспетчер учетных данных безопасности SAM разрешил добавление компьютера к домену. Если пользователь обладает данным правом, он может добавить до десяти компьютеров в домен.

По умолчанию данное право предоставлено пользователям, прошедшим проверку подлинности на контроллере домена.

Вы можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого войдите в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики" и используйте политику " Добавление рабочих станций к домен ".

SeSyncAgentPrivilege. Данное право позволяет пользователям выполнять синхронизацию Active Directory. Оно позволяет читать объекты и свойства каталога Active Directory, даже если их атрибуты защиты это запрещают.

В Windows 7 данное право по умолчанию никому не предоставлено.

Вы можете самостоятельно выбрать пользователей и группы, которым будет предоставлено данное право. Для этого войдите в раздел Конфигурация компьютера ► Конфигурация Windows ► Параметры безопасности ► Локальные политики ► Параметры безопасности оснастки "Редактор локальной групповой политики и используйте политику " Синхронизировать данные службы каталогов ".

В некоторых случаях доступ к редактированию реестра может получить не только администратор или непосредственный владелец компьютера, но и простые пользователи. Подобные ситуации потенциально опасны тем, что лица, не обладающие достаточным опытом, при изменении каких-либо настроек случайно выведут реестр из строя, что отрицательно скажется на работоспособности системы. Именно по этой причине в Microsoft Windows XP имеется возможность ограничить доступ к отдельным разделам и подразделам реестра для отдельных пользователей и групп пользователей.

Задание:

1. Выделите в Панели разделов ключ или подраздел, для которого вы хотите настроить параметры безопасности;

2. Выполните последовательность команд Правка►Разрешения (Edit-►Permissions). На экране появится окно настройки параметров безопасности для выбранного раздела реестра;

3. В списке Группы или пользователи (Group or user names) выберите обозначение пользователя или группы пользователей, для которых устанавливаются разрешения. Чтобы удалить из списка пользователя или группу пользователей, нажмите на кнопку Удалить (Remove).

4. Для того чтобы добавить в список локального или сетевого пользователя, либо группу пользователей, щелкните мышью на кнопке Добавить (Add). На экране появится окно Выбор: Пользователи или Группы (Select users or groups). Чтобы изменить тип добавляемого объекта, нажмите на кнопку Типы объектов (Object types) и выберите из предлагаемого списка требуемый вариант: Встроенные участники безопасности (Built-in security principals), Группы (Groups) и Пользователи (Users). В том же окне вы можете установить компьютер, для которого настраиваются параметры безопасности, щелкнув мышью на кнопке Размещение (Locations). По умолчанию предлагается локальный компьютер. Сами имена добавляемых в список объектов можно ввести через точку с запятой в поле Введите имена выбираемых объектов (Enter the object names to select). Допускается использование следующих форматов имен:

· выводимое имя, например, имя и фамилия пользователя;

· имя объекта, например, сетевое имя компьютера;

· имя пользователя, в том виде, в котором оно зарегистрировано на целевом компьютере;

· имя_объекта@имя_домена - напр., сетевое имя компьютера в зарегистрированном домене локальной сети;

· имя_домена\имя_объекта - напр., имя зарегистрированного пользователя в одном из доменов локальной сети.

5. В нижней части окна настройки параметров безопасности установите флажки для тех типов действий, которые разрешены или запрещены выбранным пользователям или группам пользователей на данном компьютере. Предлагаются варианты Полный доступ (Full control), Чтение (Read) и Особые разрешения (Special permissions) (см. ниже). Следует понимать, что эти разрешения и запреты настраиваются не для всего реестра в целом, а только для ветви, ключа или подраздела, который вы первоначально указали в Панели разделов программы Редактор реестра.Под особыми разрешениями в терминологии системы безопасности реестра Windows XP понимаются такие настройки доступа к элементам реестра, которые управляются правилами владения объекта, наследования и аудита. Владелец объекта в Windows XP - это пользователь операционной системы, который создал данный объект, либо наделен полномочиями администратора для управления этим объектом, включая возможности его полной настройки и удаления. Применительно к реестру Windows XP владелец объекта может управлять всеми разрешениями для данного объекта вне зависимости от разрешений, установленных для объекта по умолчанию. Владельцем всех элементов реестра в Windows XP автоматически считается администратор компьютера.

Правило наследования разрешений подразумевает, что разрешения и запреты, установленные для родительского элемента реестра Windows, наследуются его дочерними элементами. Например, разрешения, настроенные для ветви реестра HKLM автоматически наследуются всеми ключами и подразделами данной ветви. При указании особых разрешений администратор компьютера может изменить этот принцип, задав для некоторых дочерних ключей и подразделов реестра иные разрешения, нежели для всей ветви в целом.

Аудит событий безопасности позволяет фиксировать и записывать в специальный журнал безопасности Microsoft Windows XP Professional все системные события, относящиеся к вопросам общей безопасности системы. В частности, к таким действиям относятся обращения пользователей компьютера к реестру Windows, защищенным файлам и папкам, попытки пользователей выполнить запрещенные администратором компьютера или политикой безопасности действия. При этом в журнале фиксируются объект аудита, действия, подвергаемые аудиту, точные типы действий для аудита, имя пользователя, выполнявшего подвергаемые аудиту действия или пытавшегося выполнить какие-либо запрещенные процедуры. Впоследствии журнал безопасности может быть проанализирован администратором компьютера с целью выявления недостатков системы безопасности и брешей в защите Windows от несанкционированных действий пользователей.

Разрешения, действующие для реестра Windows XP, жестко привязываются к пользователям и группам пользователей, с одной стороны, и к фактическим объектам, для которых они назначены, с другой. Наиболее эффективными с точки зрения безопасности считаются разрешения, заданные для пользователя, группы пользователей или компьютера в целом на основе членства в группах, либо явно указанные администратором. К разрешениям, которые могут быть настроены для пользователя, группы пользователей или компьютера, относятся следующие:

· чтение установленных для объекта разрешений;

· смена владельца объекта;

· создание или удаление связи между объектами;

· запись избирательной таблицы в реестре;

· просмотр подразделов текущего раздела реестра;

· просмотр и изменение значений параметров;

· создание и удаление подразделов в текущем разделе;

· полный доступ к разделу реестра.

Настройка особых разрешений для какого-либо раздела или подраздела реестра осуществляется в окне Дополнительные параметры безопасности, которое открывается по щелчку мышью на кнопке Дополнительно в окне настройки параметров безопасности для выбранного раздела реестра. Ниже будут подробно описаны основные возможности при настройке особых разрешений для какого-либо раздела реестра.

6. Запротоколируйте свои действия.