Установка и укрепление Windows 7

Windows 7 безопасна по своей природе. Во время установки ОС всегда рекомендуется выполнять свежую установку ОС на недавно приобретенное (или обновленное) совместимое аппаратное оборудование и затем укреплять ее. Укрепление системы представляет собой процесс повышения уровня безопасности на только что установленной базовой операционной системе путем настройки необходимых параметров безопасности, удаления ненужного ПО и настройки дополнительных параметров политики.

Примечание: Нужно проделать небольшую работу по планированию, когда речь идет о выборе аппаратного оборудования для Windows 7, поскольку если вы хотите использовать виртуализацию, Windows Trusted Platform Module (TPM) Management и другие функции, такие как BitLocker, вам нужно приобрести соответствующее аппаратное оборудование, чтобы эти функции работали.

После корректной установки ОС и ее базовой настройки происходит процесс ее укрепления. Следует ли всегда выполнять новую установку или можно укрепить уже работающую ОС Windows? Технически вы можете укрепить уже используемую систему, но прежде чем это сделать, вам сначала нужно ознакомиться с ней, проанализировать ее, осмотреть, и, конечно, провести аудит уровня безопасности, настроенного и используемого в этой системе. Нет смысла укреплять систему, которая уже взломана. Вы также не всегда знаете, как применение безопасности повлияет на производственную систему, независимо от того, используется она дома или в корпоративной среде. Иногда создаются дубликаты систем, чтобы можно было все тестировать, но на это требуется время и ресурсы, однако это того стоит, поскольку помогает найти и избежать проблем, которые могут возникнуть при построении и развертывании среды. Вы можете причинить больше вреда, чем пользы, если не знаете, как изменения настройки безопасности или шаблоны повлияют на сервисы в производственной системе. Например, вы можете применить модель безопасности к системе и посредством слишком строгих правил фильтрации на брандмауэре лишить определенное приложение возможности нормально функционировать ' например, приложение использует определенный порт, который закрыт брандмауэром, что заблокирует доступ приложения. Это может вызвать негативные последствия, если приложение использовать на предприятии и было необходимо для продуктивности, а для исправления проблемы может потребоваться некоторое время и силы. Вот почему проще установить новую Windows 7, а затем укрепить ее, поскольку это не займет много времени и позволит вам убедиться в том, что безопасность остается максимально высокой. Вы также можете ускорить процесс, особенно если используете виртуальную машину (VM) или VHD файл, который дает вам возможность использования нескольких экземпляров ваших компьютеров, работающих на виртуальной среде, а также позволяет быстро восстановиться, если не используется избыточность. Поскольку виртуализация упрощает процесс установки при создании образов клонов для процесса резервного копирования, вы можете восстанавливать свои компьютеры очень легко и быстро. Мо затронем процесс виртуализации позже в этой статье. Если обход отказа включен и настроен, пользователь компьютера может даже и не заметить сбой виртуальной машины.

Вы можете укрепить систему, а затем получить доступ к защищенным данным через хранилище с общим доступом, базы данных и репозитории на высокой скорости с использованием опций обхода отказа и избыточности, которые не только позволят содержать информацию в сохранности, но и отдельно от данных, к которым вы получаете доступ. Если вы все правильно распланируете, вы сможете создавать снимки полностью подготовленных, настроенных, защищенных и обновленных версий Windows и в случае катастрофы, восстанавливать образы системы обратно на свое аппаратное оборудование за 1/3 времени, которое требуется для этого без использования клонирования образов и виртуализации. Затем после восстановления базовой ОС, вы можете подключиться к хранилищу с общим доступом для получения необходимых данных.

Итак, каковы же действительные шаги по укреплению ОС после ее установки? И есть ли определенный порядок этих шагов? Если бы существовал четко определенный набор шагов по установке и укреплению, они бы шли в следующем базовом порядке: установка, удаление всего не используемого, обновление системы, применение базовой безопасности и затем резервное копирование для быстрого восстановления в случае необходимости, как показано в следующем списке:

· Шаг 1 - Установка базовой ОС с выбором необходимых опций для повышения безопасности во время установки и отключением ненужных сервисов, опций и программ.

· Шаг 2 - Установка всех рабочих комплектов администратора, инструментов безопасности и необходимых программ.

· Шаг 3 - Удаление ненужных сервисов, программ и приложений. Отключение или удаление неиспользуемых учетных записей пользователей и групп.

· Шаг 4 - Установка Service Pack, исправлений и обновлений. Обновление всех установленных программ.

· Шаг 5 - Запуск аудита безопасности (сканер, шаблоны, MBSA, и т.д.) для получения информации о текущем уровне безопасности

· Шаг 6 - Запуск восстановления системы (System Restore) и создание точки восстановления. Приложения резервного копирования и восстановления для восстановления после крушений системы.

· Шаг 7 - Резервное копирование системы с возможностью ее быстрого восстановления после краха.

Этот список весьма прост. Вы можете добавлять дополнительные шаги и расширять его. Этот список не оконченный, но является хорошим началом в получении представления о том, с чего начинать при применении безопасности в Windows 7 после базовой установки. Если выполнена новая установка Windows 7, то следующим шагом будет удаление нежелательного ПО, служб, протоколов и программ, которые вам не нужны. Это можно сделать с помощью панели управления.

Затем вы можете перейти в панель управления и указать, кому будет разрешено использовать компьютер, с помощью приложения User Accounts. Здесь нужно удалить все учетные записи, которые вам не нужны, или просто отключить их. Конечно нужно быть осторожным со стандартными пользователями и группами, поскольку некоторые из них связаны со службами, работающими в ОС, они также могут влиять на то, как осуществляется доступ к данным в вашей системе и т.д. Вы также можете с легкостью отключать учетные записи, если не уверены, что их можно удалять. Еще одним приемом, используемым большинством специалистов ИТ-безопасности является ситуация, когда вы оставляете учетную запись локального администратора на месте и выполняете ее аудит на предмет попыток воспользоваться этой учетной записью, или учетной записью администратора домена, которую нужно защищать еще надежнее и проводить ее полный аудит. В качестве общепринятой методики специалисты не используют встроенные учетные записи при управлении масштабными сетями систем Microsoft и создают новые учетные записи администраторов, активность которых при необходимости можно легко отследить. Проводя аудит этих учетных записей и используя новые учетные записи с правами администраторов, вы повышаете уровень безопасности вдвое. Во-первых, вы имеете возможность узнать, если кто-то пытается зайти в вашу систему от имени стандартных учетных записей, хотя этого не должно происходить. При аудите вы можете отслеживать такие попытки в случае их возникновения. Такое применение безопасности к учетным записям известно под термином приманки (honeypot) и полезно при поиске возможных попыток несанкционированного доступа к системе. Во-вторых, вы удаляете половину уравнения, когда кто-то пытается взломать учетную запись через базовые учетные данные, такие как имя пользователя и пароль. Если вы устраните простые для взлома учетные данные, то вам лишь останется настроить сложный и надежный пароль, которые будет трудно взломать. Если вы настроите встроенные учетные записи в качестве приманки, вы сможете создать очень сложный для взлома пароль и ограничить эту учетную запись настолько, что в случае ее взлома злоумышленник ничего не сможет сделать в вашей системе. Вам также нужно сменить все пароли встроенных учетных записей на более сложные. Используйте лучшие методики подбора безопасных паролей для защиты этих учетных записей и их полного аудита. Вам также следует настроить политику, которая заставит конечных пользователей, желающих изменить пароль, пройти через процесс, где им будет разрешено использовать только тот пароль, который достаточно сложен и надежен. Это лишь один совет по укреплению, который обеспечивает такие преимущества, как возможность поиска взломщиков через логи и аудит.

Подсказка: В Windows Server 2008 можно устанавливать функциональность «ядра» ('core'), что является процессом укрепления, применяемым к системе во время ее установки. После установки сервер будет работать только с минимальным набором функций по вашему выбору, что снижает риск подверженности средствам атак. Windows 7 можно укрепить, но она не имеет такой опции установки как 2008, которая просто ограничивает систему во время установки. Чтобы укрепить Windows 7, нужно применять политики, шаблоны и вручную настраивать параметры безопасности должным образом.

Учитывая все вышесказанное, как использовать функцию ограничения и защиты Windows 7? Самым простым способом начать процесс ограничения системы является использование меню Пуск для поиска всего, что связано с безопасностью, хранящееся в системе и индексируемое. Для этого просто нажимаете кнопку Пуск, чтобы открыть меню. Затем вводите ключевое слово 'безопасность (security)' в поле «Поиск программ и файлов». На рисунке 3 показаны опции меню Пуск, выданные в результате поиска по ключевому слову 'Security'.

Рисунок 3: Поиск и просмотр опций безопасности, найденных с помощью меню Пуск

Здесь показано, что Программы, приложения (или действия) Панели управления, Документы и Файлы выбраны и организованны для удобного просмотра и доступа. Говоря кратко, Локальная политика безопасности (Local Security Policy) (если ее выбрать) является редактором политики, позволяющим вам просматривать и настраивать политики безопасности вашей системы. Редактор Local Security Policy показан на рисунке 4. Здесь вы можете внести необходимые изменения в любую политику на основе настроек ОС.

Рисунок 4: Просмотр и настройка безопасности в Local Security Policy

Совет ' для полного контроля над политиками нужно использовать Windows 7 с такими продуктами Windows Server, как Windows Server 2008 R2. В этом случае вы сможете воспользоваться Active Directory (AD) и Group Policy.

Если вы хотите локально настроить аудит определенного события (например, вход и выход из системы), то вы можете указать это действие в консоли Local Security Policy (рисунок 4). В панели управления вы можете перейти в приложение инструментов администрирования (Administrative Tools), чтобы найти редактор Local Security Policy, или просто выполнить поиск в меню Пуск. Когда Windows 7 используется с Active Directory, можно использовать групповую политику (Group Policy), которая представляет собой надежную службу, позволяющую вам настраивать, управлять и разворачивать параметры и настройки, а также программные приложения, но вам нужно будет подключить Windows 7 к действующему домену и управлять ей соответственно, чтобы воспользоваться всеми этими возможностями.

Если вам нужно настроить безопасности на основе политик, это самый простой способ. Можно найти множество инструментов, которые необходимы для настройки, в Панели управления и/или в пользовательской консоли MMC, которую вы настроите и установите. Центр безопасности Microsoft Security Center (Windows Vista, XP) использовался для централизации большинства функций безопасности в прошлом. Он был заменен центром действий (Action Center), и теперь действия безопасности очень просто найти, просмотреть и выполнить, имея определенные разрешения. Например, как показано в меню Пуск (рисунок 3), действие «Проверять состояние безопасности» ('Check security status'), если оно выбрано, предоставляет список настроек безопасности, которые Windows 7 рекомендует выполнить, например, обновление системы, или таких программ, как антивирус (AV). Если вы выбрали действие, система отправит вас в центр действий для исправления имеющихся проблем.

Рисунок 5: Настройка действий безопасности и опций приложений панели управления

Совет: На рисунке 5 показаны действия безопасности, находящиеся в панели управления, которые можно выполнить. Если вы перейдете в меню Пуск, введете «Безопасность» (security) и нажмете на строку панели управления, вам будет предоставлен список действий и настроек безопасности, которые можно сразу же настроить в доступном и понятном списке.

В центре действий (или при просмотре списков действий) вы можете просто перейти вниз по списку и настроить каждый элемент соответствующим образом. Это краткий обзор опций безопасности, которые можно настроить в списке центра действий:

· Центр действий (Action Center) ' центр действий пришел на замену центру безопасности. В центре действий вы можете указывать действия, которые ОС будет выполнять. С вашего разрешения действия могут выполняться. Здесь вам будет сказано, если ваша антивирусная программа не обновлена. Вы можете заходить в центр действий для выполнения действий, связанных с безопасностью.

· Опции интернета (Internet Options) ' веб просмотр любого типа открывает двери для потенциальных рисков, связанных с интернетом. Если вы используете прокси-сервер, пользуетесь веб фильтрацией (и мониторингом) и постоянно обновляете свою ОС самыми последними обновлениями, вы можете оказаться в ситуации, где безопасность может быть скомпрометирована. В приложении опций интернета в панели управления (Internet Options Control Panel) вы можете указывать зоны безопасности, разрешать доступ только к определенным URL адресам, разворачивать расширенные параметры безопасности в закладке Дополнительно (Advanced) и многое другое. Сам браузер оснащен фильтром фишинга, который предотвращает атаки фишинга (Phishing), а также имеет другие настраиваемые опции, такие как InPrivate Browsing, которая не позволяет хранить вашу личную информацию, что особенно полезно при использовании компьютера в публичных интернет-кафе.

· Брандмауэр Windows ' как и любой другой программный или аппаратный межсетевой экран, брандмауэр Windows Firewall может предотвращать базовые атаки по умолчанию, и его можно настраивать многогранно для высокого уровня контроля над тем, что может входить и исходить с системы вашего компьютера, когда он подключен к публичной или частной сети. Перейдя в панель управления и выбрав брандмауэр Windows, вы получите доступ к большинству параметров конфигурации брандмауэра. Вы можете нажать на кнопку дополнительных параметров (Advanced) в диалоге для доступа к дополнительным параметрам и опциям конфигурации. В Windows 7 вы можете разворачивать несколько политик брандмауэра одновременно и использовать обозначение домена (Domain designation) для более простой настройки и управления брандмауэром Windows.

· Персонализация (Personalization) ' опции персонализации представляют собой то место, где можно изменять внешний вид Windows, но здесь же вы можете настраивать пароли своей экранной заставки. Если Windows 7 используется на предприятии, пользователей необходимо научить тому, как запирать свои рабочие станции всякий раз, когда они покидают свое рабочее место, или создать параметры политики, которые бы делали это автоматически после определенного периода бездействия системы; экранная заставка, если настроить ее на запрос повторного входа после такого периода, может быть очень полезной. Дома это может стать вашей лучшей линией защиты, если вы покидаете компьютер и забываете его запереть.

· Обновления Windows Update ' все версии программного обеспечения требуют определенный уровень исправлений. Можно подготавливать, тестировать и пытаться разработать идеальный продукт, но невозможно учесть все. Также обновления и новые выпуски программ требуются для обновления вашей системы в течение ее использования. Поскольку в системе имеются усовершенствования, требования, необходимые для других технологий разработки, новые уязвимости безопасности и обновления драйверов для более хорошей производительности и функциональности, всегда будет необходимость в использовании Windows Update. Windows (и Microsoft) Upd ate или производственные версии управления исправлениями (например, WSUS) используются для централизованного управления и установки обновлений. Эти инструменты используются для контроля, отслеживания и мониторинга ваших текущих и будущих потребностей в обновлениях. Настройте автоматическое обновление, или возьмите за правило делать это вручную, поскольку это просто необходимо делать. Если вы не будете обновлять свою систему, как рекомендуется (а иногда требуется), вы подвергаете себя риску атаки.

· Программы и функции (Programs and Features) ' помимо обновлений Windows Updates вам также нужно часто проверять, что установлено у вас в системе, особенно если вы работаете в интернете и/или загружаете программные продукты с интернет серверов. Например, установка простого обновления Java, если вы не внимательно прочитали информацию по нему во время установки, может также установить панель инструментов в вашей системе, которая интегрируется в ваш веб браузер. Сейчас это контролируется более жестко, но в любом случае, вам следует время от времени проверять, что установлено у вас в системе.

· Windows Defender ' шпионские программы – это приложения, которые изначально использовались для незаконной торговой деятельности, и которые выполняют такие вещи, как повышение нагрузки, перенаправление вашего обозревателя и отправка информации о ваших действиях. Хотя антивирусные программы блокируют некоторые из таких приложений, Windows Defender (или другое ПО для удаления шпионских программ) нужно использовать для отчистки оставшихся шпионских программ. Куки (Cookies), хотя и безвредные по своей природе, могут иногда подвергаться манипуляциям для незаконных целей. Убедитесь, что Windows Defender часто обновляется новыми файлами дефиниций и исправлениями, чтобы быть уверенным в том, что он способен обнаружить самые свежие шпионские программы. SpyNet – это сообщество, к которому обращаются специалисты Microsoft для наблюдения, изучения и устранения ущерба от шпионских программ.

· Пользовательские учетные записи (User Accounts) ' управление учетными записями пользователей является основой защиты доступа к вашему компьютеру, равно как и ко всему, что работает под его управлением. Например, если вы создадите новую учетную запись пользователя и включите ее в группу администраторов, у вас будет полный доступ к системе компьютера. Если вы настроите учетную запись в качестве обычного пользователя, то ее разрешения будут очень ограниченными и позволят выполнять лишь ряд базовых функций пользователя. Вы также можете настроить пароли, которые при создании в соответствие с требованиями политики паролей, заставляют пользователей создавать сложные для взлома пароли, что предотвращает большинство базовых атак. Если установлен Windows Server 2008 и Active Directory, вы можете получать доступ к домену, который (если вы являетесь его участником) позволит вам более гибко настраивать разрешения файловой системы NTFS для папок и файлов, а также прочих ресурсов с общим доступом, таких как принтеры.

· Опции питания (Power Options) ' приложение Power Options Control Panel является тем местом, где вы настраиваете стандартное поведение операционной системы, когда она отключена, закрыта или находится в спящем режиме. Для большей степени безопасности рекомендуется устанавливать параметр на запрос пароля при выходе машины из спящего режима. Всякий раз, когда появляется возможность включения контроля доступа пользователей, следует ее использовать.

Итак, если вам нужно применить меры безопасности в Windows 7, меню Пуск может сослужить хорошую службу в качестве отправной точки для укрепления системы и открывает дверь ко многим доступным инструментам. Есть много опций, которые можно использовать для укрепления вашей системы Windows 7, особенно панель управления. Использование меню Пуск также является простым способом обеспечить основную линию защиты вашей системы после изначальной установки. Рекомендуется создавать основную линию безопасности после первичной установки и конфигурации вашей системы, что потребует от вас настройки всех параметров безопасности, приложений и загрузки исправлений и обновлений с последующим созданием резервной копии всей системы с помощью утилиты System Restore. Так у вас будет снимок системы в свежем состоянии на тот случай, если вам нужно будет вернуть систему в такое состояние. Можно создать точку восстановления, которая может использоваться, если система была взломана, и это позволит вам вернуть базовое состояние системы с примененными параметрами безопасности. Мы рассмотрим опции System Restore в разделе Disaster Recovery этой статьи.

Примечание: Меню пуск также может предоставить информацию о документации по безопасности вашей системы. Это очень полезно при поиске таких документов, как политики безопасности или перечень и шаблоны укрепления системы.

Вы можете быстро упрочить свою систему Windows, загрузив инструменты и документацию непосредственно с сайта компании Microsoft и пройти по списку рекомендаций. Например, если вам нужно настроить базовый уровень безопасности Windows 7, вы можете с легкостью загрузить базовый шаблон безопасности, выполнить его, что применит максимально защищенные параметры автоматически. На рисунке 6 показан шаблон Windows 7 Security Baseline Se ttings с прописанной таблицей для аудита пользовательских учетных записей, BitLocker и т.д. Перейдите в раздел дополнительных ссылок этой статьи, чтобы получить доступ к этим ресурсам.

Рисунок 6: Настройка базовой безопасности с помощью шаблона от Microsoft

Обратите внимание на опцию 'Security Warning' в верхней панели инструментов Microsoft Office Excel 2007, которая не позволяет вам использовать шаблон, путем отключения макроса, пока вы не посетите Security Warning, как показано на рисунке 6. Здесь макросы безопасности (Security Macros) были отключены и необходимы для применения этого шаблона. Это отличный пример «безопасность vs. гибкость». Чтобы получить гибкость в этом примере, вам нужно отключить или ограничить уровень безопасности, применяемой для защиты. Выбрав опцию вручную, или отключив защиту, выполните макрос и затем снова увеличьте уровень безопасности, после чего шаблон будет установлен.

Теперь, когда ваша система готова к запуску и вы настроили базовые функции безопасности, вам нужно узнать, как управлять ею, осуществлять мониторинг вторжений, вредоносного ПО и других проблем, которые регистрируются в журналы.

Примечание: следует также обратить внимание, что Windows 7 имеет опцию под названием XP-mode, которая используется для устранения проблем с совместимостью более старых приложений, написанных под XP. Как мы уже говорили о виртуализации, при использовании режима XP-mode вы, по сути, устанавливаете виртуальный ПК (Virtual PC) на Windows 7 и запускаете виртуальную машину XP с платформы Virtual PC. Если вы используете XP-mode, не забудьте упрочить безопасность виртуальных машин, работающих под Virtual PC, таким же образом, как и основную ОС. Сюда входит антивирусная защита, блокирование с помощью политик, Пакет обновлений и обновления приложений, не говоря об остальном. Вы можете обеспечить уровень безопасности через виртуализацию, но он будет неполным, поэтому вам все же придется принять меры даже в случае виртуализации.

Внимание! Если вы работаете в корпоративной или другой производственной среде, не вносите изменений в настройки рабочих компьютеров. Обязательно проработайте публичный план (или политику) безопасности, рекомендации, принципы и руководства, применяемые в вашей компании. Если вы не знакомы с темами безопасности и продукции Microsoft, прочитайте документацию о продуктах, прежде чем вносить какие-либо изменения в систему.

Дата добавления: 2015-10-26