Немного помощи администраторам Windows NT

Некоторые ошибки администрирования в Windows NT

  1. Пароли в Windows NT находятся в файле \\WINNT\SYSTEM32\CONFIG\SAM, базе данных безопасности системы. Данный файл является по умолчанию читаемым, но "запертым", т.к. используется прочими компонентами системы. Копия данного файла содержится в директории \\WINNT\REPAIR\ после создания администратором repair-диска и легко может быть скопирована оттуда. После инсталляции база данных безопасности системы содержит только бюджеты пользователей Administrator и Guest. Но сами пароли не содержатся в данном файле. В нем содержатся хэш-значения, полученные следующим образом. Пароль пользователя конвертируется в Unicode и с использованием MD4 превращается в 16-байтное значение. Это значение и является паролем Windows NT.

    2. Таким образом, для того, чтобы сломать пароль в Windows NT, злоумышленнику необходимо выделить из базы данных безопасности системы имя пользователя и соответствующее ему хэш-значение. Данная процедура может быть выполнена с использованием программы, разработанной Jeremy Allison PWDUMP. Использование данной программы требует привилегий Administrator (для того, чтобы иметь доступ по чтению к соответствующим значениям базы данных системы (registry)), но она может использоваться в том случае, если с атакуемой системы удалось получить копию базы данных безопасности системы.

    После выделения паролей и соответствующих им хэш-значений может быть использована одна из многих программ взлома пароля методом перебора или поиска по словарю. В Service Pack 3 хэш-значения зашифрованы в соответствии с алгоритмом DES, причем ключом является значение, легко выводимое из атрибута пользователя RID.

  2. Следует помнить:

  1. Один из популярных методов проникновения в систему - подбор пароля. Для борьбы с этим обычно устанавливают блокировку учетной записи пользователя после определенного числа неудачных попыток входа. "Приятным" исключением является учетная запись администратора. И если он имеет право доступа на вход через сеть, это открывает лазейку для спокойного угадывания пароля. Для защиты рекомендуется переименовать пользователя Administrator, установить блокировку учетных записей, запретить администратору вход в систему через сеть, запретить передачу SMB пакетов через TCP/IP (порты 137,138,139), установить протоколирование неудачных входов.

  2. Служба FTP позволяет устанавливать пассивные соединения на основе адреса порта, указанного клиентом. Это может быть использовано злоумышленником для выдачи опасных команд службе FTP. Реестр содержит ключ: <HKLM\System\CurrentControlSet\Services\MSFTPSVC\Parameters> со значением <EnablePortAttack: REG_DWORD:> Убедитесь, что значение установлено в '0', а не '1'.

  3. Если соединиться через telnet с портом 80, команда "GET ../.." <cr> приведет к краху IIS и сообщению "The application, exe\inetinfo.dbg, generated an application error The error occurred on date@ time The exception generated was c0000005 at address xxxxxxxx.

  4. Адрес 'http://www.domain.com/scripts..\..\scriptname" позволяет выполнить указанный скрипт. По умолчанию пользователь Guest или IUSR_WWW имеет права на чтение всех файлов во всех каталогах. Так что эти файлы могут быть просмотрены, скачаны и запущены.

  5. Директории \script\cgi-bin следует закрывать, т.к. из этих директорий можно запускать любые файлы прямо из окна browser'а.

  6. При запросе у IIS очень длинного URL (4 - 8KB) сервер повисает и не реагирует на дальнейшие запpосы. Проблема в том, что точный размер URL зависит от конкретного сервера, поэтому прогpаммы-убийцы начиная с некоторого базового размера запроса и постепенно увеличивая размер пытаются найти ту кpитическую точку, что подвесит сеpвеp-жеpтву.

  7. Пользователям Outlook Express 98 приходится считаться с тем, что этот мейлер позволяет обрабатывать, в том числе и на исполнение, Visual-Basic-скрипты, которые легко могут быть скрыты в письме. Подобный скрипт имеет полный доступ к файловой системе. Реальной защитой может стать лишь установка "уровня безопасности" в Outlook на "максимум".

  8. Если в чате разрешен ввод тегов html, никто не помешает вставить в свое сообщение что-то типа <img src="http://www.mysite.com/cgi-bin/sniffer.cgi">. В итоге все присутствующие в чате (даже не зарегистрировавшиеся) будут, сами того не ведая, вызывать скрипт.

  9. Следует ограничивать доступ по IP-адресу из внешней сети (проверяйте IP-адреса источников вызова).

  10. Ограничить доступ к порту 25 только для некоторых пользователей.

Логи и их ведение, журнал безопасности Windows NT

Для всех логов задавать лучше по возможности один каталог (не будут разбросаны в десятках мест).

На сервере ставьте автоматическую перезагрузку после аварии с записью в лог (Control Panel\System\Startup\Shutdown). Отметьте на указанной вкладке все опции и укажите имя файла <каталог для логов\Memory.DUMP>.

Задавайте ведение лога взаимодействия между RasMan и его модемами (команды модемам и их ответы): HKLM\System\CurrentControlSet\Services\RasMan\Parameters. Значимый элемент Logging установите в "1" и перезагрузите компьютер. После перезагрузки в \%SystemRoot%\System32\RAS будет создан файл журнала Device.log.

Задавайте ведение лога транзакций PPP: HKLM\System\CurrentControlSet\Services\RasMan\PPP - DWORD Logging = 1 и перезагрузитесь. После перезагрузки в \%SystemRoot%\System32\RAS будет создан ppp.log, который будет содержать все ошибки и проблемы.

Реестр и работа с ним

Структура Реестра

HKEY_CLASSES_ROOT (HKCR). Содержит информацию о зарегистрированных типах и расширениях файлов, их параметрах, классификации и связях с исполняемыми приложениями (обычный запуск, DDE и ActiveX). HKCR является подразделом HKLC\Software.

HKEY_CURRENT_USER (HKCU). Данные, специфичные для текущего локального пользователя. Раздел включает в себя настройки рабочего стола и системы (разделы AppEvents, Console, Control Panel, Keyboard), переменные окружения (Environment), сетевые диски (Network), данные приложений (Software). HKCU является подразделом HKU.

HKEY_LOCAL_MACHINE (HKLM). Информация о железе (Hardware), установленном программном обеспечении (Software), настройках системы (System), учетных записях пользователей и доменов, параметрах безопасности (Security и SAM). SAM является подразделом Security. Администратор не имеет прав на просмотр раздела Security (чтобы читать этот раздел и вносить в него изменения, дайте администратору доступ "full access"; по окончании операции не забудьте вернуть "все как было" - "Special access: Write DAC & Read Control"). С этим подразделом Реестра следует обращаться крайне осторожно! Ни в коем случае не используйте метод Take Ownership для получения доступа!

HKEY_USERS (HKU). Пользовательские настройки "по умолчанию" (.Default), а также информация о текущем пользователе системы (выделена в отдельный ключ HKCU). Эти данные берутся из соответствующих профилей, используемых при входе в систему.

HKEY_CURRENT_CONFIG (HKCC). Данные о текущей конфигурации некоторых частей ОС, преимущественно видеодрайвера.

HKEY_DYN_DATA (HKDD). Временные ключи, сохраняемые ОС и приложениями. Все данные этого раздела хранятся в оперативной памяти и уничтожаются при перезагрузке.

В следующих заметках Вы найдете конкретные рекомендации по повышению защищенности ОС посредством редактирования ключей Реестра.

Логи

Задавайте ведение лога взаимодействия между RasMan и его модемами (команды модемам и их ответы): HKLM\System\CurrentControlSet\Services\RasMan\Parameters. Значимый элемент Logging установите в "1" и перезагрузите компьютер. После перезагрузки в \%SystemRoot%\System32\RAS будет создан файл журнала Device.log.

Задавайте ведение лога транзакций PPP: HKLM\System\CurrentControlSet\Services\RasMan\PPP - DWORD Logging = 1 и перезагрузитесь. После перезагрузки в \%SystemRoot%\System32\RAS будет создан ppp.log, который будет содержать все ошибки и проблемы.

Что следует помнить при работе с реестром

  1. Прежде чем внести в реестр какое-либо изменение выполните его резервное копирование.

  2. Не вносите более одного изменения за раз.

  3. Никогда не нарушайте первый пункт.

Установка ограничений пользователя на доступ к системе и реестру

Ограничивайте доступ к папке printers для избежания случайного переконфигурирования или удаления одного из принтеров.

Для использования нижеописанного метода следует зарегистрироваться от имени пользователя, которому требуется ограничить доступ и выполнить следующие действия:

  1. Все требуемые ключи добавляйте в ветвь HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer.

  2. Элементы должны иметь тип DWORD.

  3. Если Вы хотите разрешить действие введенного элемента, то установите его значение в "1", иначе "0".

Имена ключей:

Примечание: если Вы желаете запрещать доступ к сетевым дискам, то обязательно внесите ключ NoFind.

Удаление значка Network Neighborhood с рабочего стола:

Добавьте в ключ HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer элемент REG_DWORD с именем NoNetHood и установите его в "1".

Удаление значков из папки Network Neighborhood:

  1. Чтобы установить ограничения, можно добавить в состав подключа KCU\Software\Microsoft\Windows перечисленные ниже элементы и установить их в "1":

  2. NoEntireNetwork - исключает из папки Network Neighborhood значок Entire Network. Т.о., пользователь будет ограничен в возможностях доступа только собственной рабочей группой или доменом.

  3. NoWorkgroupContents - исключает значки, отображающие компьютеры, которые принадлежат к локальной рабочей группе.

Примечание: если стоят какие-либо ограничения на Network Neighborhood, то это не мешает пользователям работать через команду net. Также Следует помнить, что если воспользоваться командой Run и указать имя UNC для любого компьютера или разделяемого ресурса, то он будет открыт, несмотря на состояние папки Network Neighborhood.

Запрет на внесение изменений пользователями: создав стандартную конфигурацию рабочего стола, необходимо запретить сохранение сделанных пользователем изменений. Это ограничение устанавливается добавлением в ветвь HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ключа NoSaveSettings типа DWORD и установка его значения в "1".

Ограничение доступа к системным возможностям:

чтобы создать эти ограничения нужно добавить новый ключ с именем System и с типом DWORD в ветвь HKCU\Software\Microsoft\Windows\CurrentVersion\Policies.

В состав нового подключа добавляйте новые элементы с типом DWORD и устанавливайте их значения в "1".

Для установки дополнительных ограничений следует добавить ключи типа DWORD в HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer и установить их в "1":

Права доступа:

Для защиты реестра следует ограничить доступ для группы Everyone. Рекомендуется установить права Query Value, Enumerate Subkeys, Read Control на следующие ключи:

Дополнительные ключи реестра, ограничивающие доступ

AutoAdminLogon REG_SZ "1"
DefaultPassword REG_SZ " . . . "

DefaultDomainName REG_SZ " . . . "

Для пользователя DefaultUserName д. б. установлен пароль с неограниченным сроком действия. При установке AutoLogon нужно регистрироваться от имени DefaultUserName.

Еще некоторые ключи, влияющие на защиту

  1. Потенциальные места расположения троянских программ: 

    2. HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit (REG_SZ)


HKLM\Software\Microsoft\Windows\CurrentVersion\Run\... (REG_SZ)
HKLM\Software\Microsoft\Windows\CurrentVersion\Load\... (REG_SZ)

    Также проверяйте файл win.ini, который остался от 3.1, на наличие в нем "самозапускающихся приложений". Если Вы хотите запускать приложение через load или run, то ссылка на это приложение должно быть как в реестре, так и в win.ini.

    
HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\System (REG_SZ)

    В первом и втором случае указанные в ключах приложения запускаются в контексте текущего пользователя, в третьем - от имени системы (System). Имеет смысл регулярно проверять эти разделы Реестра на наличие троянцев.

  2. Очистка файла подкачки при перезагрузке: 

    3. HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown

    Файл подкачки, в который потенциально могут попасть незашифрованные аккаунты и пароли, будет очищаться при каждой перезагрузке, если параметру присвоено значение 1 (REG_DWORD).

  3. Устранение ошибки прав доступа в списке системных DLL 

    4. HKLM\System\CurrentControlSet\Control\Session Manager\Protection Mode

    Устраняется возможность атаки с применением троянских DLL, и, как следствие, получения прав администратора. Требуется установить параметр в 1 (REG_DWORD).

  4. Запрет перезагрузки и выключения компьютера без локального входа в систему: 

    5. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ShutdownWithoutLogon

    Установка ключа в 0 (REG_SZ) позволяет запретить завершение работы системы (кнопка "Shutdown" в окне Logon становится недоступной и окрашивается серым цветом).

  5. Ограничение доступа на просмотр журналов событий пользователям группы Guest: 

    6. HKLM\System\CurrentControlSet\Services\EventLog\System\RestrictGuessAccess
HKLM\System\CurrentControlSet\Services\EventLog\Security\RestrictGuessAccess
HKLM\System\CurrentControlSet\Services\EventLog\Application\RestrictGuessAccess

    Создание ключей со значением 1 (REG_DWORD) ограничивает доступ к Журналу событий (EventLog).

  6. Изменение местонахождения файлов Журнала событий на жестком диске: 

    7. HKLM\System\CurrentControlSet\Services\EventLog\System\File
HKLM\System\CurrentControlSet\Services\EventLog\Security\File
HKLM\System\CurrentControlSet\Services\EventLog\Application\File

    Перевод log-файлов в другой каталог на диске с помощью ключа File (REG_SZ) может затруднить взломщику их умышленную модификацию.

  7. "Сокрытие" сервера в списках сетевого окружения (Network Neightborhood): 

    8. HKLM\System\CurentControlSet\Services\Lanman Server\Parameters\Hidden

    Присвоение ключу значения 1 (REG_DWORD) скрывает имя сервера. Компьютер перестает отображаться в списках, формируемых основными обозревателями домена, хотя его ресурсы по-прежнему доступны всем, кто знает их непосредственный адрес.

  8. Почему невозможно отправить через Интернет большое письмо или большой приаттаченный файл?

    9. Если не произвести данные изменения, то по и-нетовской электронной почте большие письма уходить не будут. Не все провайдеры сообщат (точнее не все _знают_), что по умолчанию большие письма и приаттаченные файлы по интернет почте передаваться не будут. Что бы это исправить необходимо исправить следующие ключи реестра: Для Windows NT:

    HKLM\System\CurrentControlSet\Services\tcpip\parameters

    "MTU" = 576 (REG_DWORD)

    "EnablePMTUDiscovery" = 1 (REG_DWORD)

    "EnablePMTUBHDetect" = 1 (REG_DWORD)

  9. У меня на машине появились непонятные ресурсы общего доступа: C$, D$, Admin$. Что это?

    10. Эти ресурсы служат для удаленного администрирования сервера или рабочей станции, соответственно подключиться к ним может только член группы Администраторов. Если Вас раздражает их наличие, то вы можете отменить их создание, для этого, воспользовавшись редактором реестра необходимо подправить следующие значения HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

    Отключение это опции для сервера

    AutoShareServer REG_DWORD 0

    Отключение это опции для WS

    AutoShareWks REG_DWORD 0

    Может потребоваться ручное заведение этих ключей

  10. Как запретить RAS разрывать коннекцию при Log-off пользователя?

    11. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\KeepRasConnections="1"

  11. Запрет Автолоада

    12. HKLM\System\CurrentControlSet\Services\CDROM\AutoRun - измените "1" на "0".

  12. Кэш

    13. "NT не оптимизиpyет опеpации чтения/записи больших объемов данных с диска для yвеличенного до 512Кб кэша втоpого ypовня." Если HKLM\System\CurrentControlSet\Control\Session Manager\MemoryManagement\SecondLevelDataCache установить 512 (200h) или больше (если кэш больше), то пpоизводительность yвеличивается на 8-20% в зависимости от типа камней (PPro/PII) и их количества.

  13. Shortcut

    14. Очень частый вопрос "Как убрать стрелочку с Shorcut'а. Открываем REgedit HKLR\lnkfile\ находим строковый параметр lsShortcut и удаляем его. Тоже самое можно проделать для piffile HKCR\piffile\ И не забудьте перезагрузиться! Интересно следующее, после такой процедуры несколько ускорилась загрузка системы (у меня куча иконок на столе, видимо, раз не надо выводить стрелки, то стол быстрее грузится, по крайней мере, визуально).

  14. Как изменить имя файла свопа

    15. Запускаеш RegEdit (редактор реестра) находиш в нем \HKLM\system\CurrentControlSet\Control\session

    manager\memory management\PagingFiles

  15. Логин хpанится в HKCU\RemoteAcces\ProFile\имя соединения\User. И еще он есть в

HKLM\System\CurrentControlSet\Services\VxD\MSTCP\HostName. И еще он есть в HKUS\Default\RemoteAcces\ProFile\имя соединения\User.

Журнал безопасности и его параметры

Настройки службы регистрации событий хранятся в реестре. Подключ HKLM\System\CurrentControlSet\Services\<имя типа журнала> для этой службы содержит подключи для указания месторасположения журналов регистрации событий и указания сведений о поддерживаемых ими типах регистрируемых событий и указания сведений о поддерживаемых ими типах регистрируемых событий.

Эти ключи имеют названия, аналогичные типам поддерживаемых журналов:

Для каждого журнала указывается:

Используйте SPE!

Установка глобальных системных правил с помощью SPE происходит в 4 этапа:

  1. создание необходимого набора правил;

  2. применение правил к конкретной группе или к домену целиком;

  3. созданный набор правил необходимо сохранить в виде файла на PDC или BDC в разделяемом каталоге (%SystemRoot%\System32\Repl\Import\Scripts) под именем NTConfig.pol;

  4. правила, сохраненные таким образом, будут входить в силу на компьютерах Windows NT по мере их регистрации в сети.

Создание системных правил в пределах целого домена:

Default Computer - средство, позволяющее создавать правила, которые устанавливают ограничения, записываемые в реестр в ключ HKLM.

Default User - средство, устанавливающее ограничения, записываемые в ключ реестра HKCU.

Если хотите увеличить скорость доступа к файлам, то активизируйте опцию File System\Do not update last access time.

Если требуется запретить доступ пользователей к реестру, выберите опцию Disable Registry editing tools.

P.S. SPE не может редактировать элементы реестра, которые содержат двоичные данные.

Скрипты, сервисы и их запуск через скрипты и др.

Если Вы пользуетесь регистрационными скриптами, может потребоваться отсрочить загрузку пользовательской оболочки до тех пор, пока не будут выполнены все скрипты. Иногда регистрационные скрипты вызывают проблемы, а в некоторых случаях могут привести к полному останову операционной системы, если выполняются одновременно с загрузкой пользовательской оболочки. Чтобы активизировать опцию отсрочки загрузки оболочки до завершения работы регистрационных скриптов, установите флажок Default Computer\Windows NT System\Logon\run logon scripts synchronously в SPE.

По-умолчанию все скрипты должны храниться в NETLOGON. Если Вы хотите изменить путь запуска, то новый каталог, содержащий скрипт д.б. подкаталогом в NETLOGON, а путь к скрипту следует указывать относительно NETLOGON. Не забывайте оставлять для пользователя только право на выполнения скрипта.

Для сервисов NetDDE (необходим для работы Chat), AT (необходим для работы службы расписания), RAS, Messenger (прием сообщений), Exchange, SQL Server (и если PC сервер печати - Spooler) - следует ставить тип запуска тип запуска Manual, а сам запуск осуществлять через скрипт. Если же работа с этими сервисами не является необходимой, то их лучше запретить!

Сервис Directory replicator должен быть запущен только для тех PC, которые должны участвовать в репликации.

Права доступа к системным файлам и к системному каталогу Windows

Для системы с высокой степенью защиты имеет смысл установить следующие права:

Для критичных для работы системных файлов, которые находятся в корневом каталоге системного раздела диска в системах с высокой степенью защиты устанавливаются права:

Пользовательские аккаунты и профили

Измените login администратора (никогда не оставляйте логин администратора по умолчанию) и запретите использование аккаунтов по умолчанию, которые использоваться не будут.

Создавайте обязательные профили для избежания внесения пользователем изменений в настройки Desktop (но следует помнить, что такие профили увеличивают траффик сети):

Чтобы запретить пользователям менять тип профиля необходимо лишить их доступа к апплету System из Control Panel. Нужно запретить право на чтение на файл \%SystemRoot%\System32\Sysdm.cpl. При этом пользователи не увидят апплета System. Соответствующим образом можно запретить доступ и к другим апплетам Control Panel. Запретить доступ к Control Panel можно и установкой ключа NoSetFolders в реестре.

Настройка параметров WS и Server

В малых локальных сетях, имеющих доступ в Internet имеет смысл ставить протокол NetBEUI, т.к. он не поддерживает маршрутизацию.

Уберите на рабочих станциях загрузку MS-DOS.

Если пользователь не вошел в систему, но на WS запущен Server Service, пользователи могут обращаться к ресурсам системы через сеть.

На рабочих станциях лучше включить ускорение приложений переднего плана. На сервере наоборот - включать "ускорение приложений переднего плана" не следует. Данные настройки находятся в Control Panel\System.

Ставьте Network\Services\Server - ускорение для сетевых приложений на сервере, если работаете с ними.

Kак заставить RAS брать трубку после определенного количества гудков

HKLM\System\CurrentControlSet\Services\RasMan\Parameters вставляешь DWORD Key "NumberOfRings" =... сколько нужно pингов.

Как настроить Windows NT на работу по выделенной линии

Итак, провайдер предоставил вам выделенныю линию на которой с вашей стороны висит модем (telebit, motorola или любой другой, который может работать на выделенной линии), при включении модема он сразу подключается к провайдеру и никакими обычными средствами nt его неудается увидеть. Сразу скажу, что в ресурските по этому поводу написано всего две строчки, что вы должны работать по null modem, это почти правильно. Hа самом деле вы имитируете x25. Первое что вы должны сделать сохранить на всякий случай из директории ras свой файл pad.inf и вместо него положить новый я взял из NT3.51 файл modem.inf и отредактировал его (только в нем! в NT4 нет подходящего описание null modem) выбросил из него описания всех модемов оставил только некоторую общую информацию и отредактированное под необходимую нам ситуацию описание нулмодема, привожу эту чать полностью

[Null Modem 33600]

CALLBACK_TIME=10

DEFAULTOFF=

MAXCARRIERBPS=33600

MAXCONNECTBPS=33600

COMMAND=

CONNECT=

после этого включаем настройку ras в Remote Access Setup нажимаем кнопку Add в появившемся меню выбираем Install X25 Pad где в предлагаемом меню естественно выбираем Null Modem, далее подтверждаем все, что можно не забыв сказать, что данное устройство работает только на dial out и по продотоколу tcp/ip :) настраивая dialup в части посвященной х25 у вас несколько строк в первой с помощью стрелки вниз выбираете ваш нуль-модем в остальных пишите любую ерунду (я написал имя провайдера). Все можете спокойно работать. Только не забудьте в описании порта указать туже скорость, что и описании нульмодема.

Периодически выполняемые администратором меры

Ежедневные меры

  1. Проверяйте системный журнал, логи.

  2. Проверяйте стол справок электронной почты.

  3. Проверяйте наличие свободного пространства на томах.

  4. Ежедневно создавайте резервные копии (с верификацией).

Еженедельные меры

  1. Удаляйте временные файлы.

  2. Сохраняйте копии реестра в каталоге резервных копий.

  3. Проверяйте готовности к устранению аварий.

Ежемесячные меры

  1. Проверяйте физическую безопасность компьютеров в сети.

  2. Создавайте RMD, прогоняйте NDD, SpeeDisk.

 

На главную страницу...