Служба каталога Active Directory (AD)

Модель эшелонированной обороны
ACL
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
EFS

Список контроля доступа

Получение доступа
Идентификация
Аутентификация
Авторизация

Три кита аутентификации
«Что ты знаешь» - пароль
«Что ты имеешь» - единственный ключ
«Что ты есть» - биометрия
Но всю эту информацию надо где-то хранить и как-то проверять…

Хранилище учётных данных
Учётные данные пользователя могут храниться
на локальном компьютере
Проблема: потребуется создать учётные записи на каждом компьютере, к которому подключается пользователь
Решение: централизованное хранилище учётных данных
Служба каталогов Active Directory

Отношение доверия
Доверие

Домен Windows NT
Требует наличия как минимум одного контроллера домена (PDC)
Граница репликации домена
Доверенный источник учётных данных: любой доменный контроллер (PDC и BDC) может провести аутентификацию в домене
user1
User1
user1
user1

Лес Active Directory
Состоит из одного и более доменов Active Directory
Первый домен в лесу становится корнем
Единая схема и конфигурация по всему лесу
Граница безопасности
Граница репликации

Домен Active Directory
Требует наличия как минимум одного контроллера домена
Граница репликации доменного раздела
Доверенный источник учётных данных: любой DC может провести аутентификацию в домене
Граница применения политик
Отношения доверия
user1
User1
user1
user1

Подразделения
Объекты
Пользователи
Компьютеры
Подразделения
Контейнеры для группировки объектов в домене
Подразделения создаются:
Для делегирования разрешений
Для назначения групповых политик

Доверительные отношения в лесу Active Directory

Хранилище учётных данных
Роль контроллера домена при аутентификации
Проверка учётных данных

Хранилище данных Active Directory
%systemroot%\NTDS\ntds.dit
Логические разделы
Домен
Схема
Конфигурация
Глобальный каталог
DNS
SYSVOL
%systemroot%\SYSVOL
Скрипты входа в систему
Политики

Сайты
Объекты Active Directory, представляющие сегменты сети с надёжным соединением
Ассоциируются с подсетями.
Внутрисайтовая и межсайтовая репликация
Репликация в пределах сайта очень быстрая (15–45 секунд)
Репликацией между сайтами можно управлять
Локализация служб
Вход в систему на ближайшем КД

Учётные записи пользователей
Учётная запись пользователя:
Позволяет проводить аутентификацию пользователя с помощью атрибутов, например logon name и password
Является участником безопасности с уникальным идентификатором (SID), который позволяет предоставлять пользователю доступ к ресурсам
Учётная запись пользователя может храниться:
В Active Directory, где позволяет осуществить вход в домен и получить доступ к любому ресурсу в домене
В локальной базе данных Security Account Manager, где позволяет осуществить локальный вход и получить доступ только к локальным ресурсам

Процесс входа пользователя в систему в домене
Логин + пароль
Логин + хэш пароля
Разрешение
на доступ
Проверка учётных данных
Проверка разрешений
1
2
3
4
5
Рабочая станция доверяет контроллеру домена

Пользователь обращается к ресурсу \\file1.study.example.com
Процесс доступа к сетевым ресурсам в домене
Запрос доступа
Разрешение на доступ
Доступ к ресурсу
1
2
3
4

Использование групп для контроля доступа на основе ролей
Пользователь
Группа роли
Группа доступа
Ресурсы
Иван Иванов
Пётр Петров
Василий Васильев
Sales
Auditors
ACL_Sales_read
SalesDocs
SalesShare

Диапазоны применения групп
U Пользователь DLG Локальная группа в домене
C Компьютер UG Универсальная группа
GG Глобальная группа

Вложение групп
Пользователь
Пользователь
Аудиторы (глобальная группа)
Маркетинг (глобальная группа)
ACL_Sales_Read (локальная в домене)
Identities (пользователи и компьютеры) входят в:
Global groups (глобальные группы – группы ролей) входят в:
Domain Local groups (локальные в домене группы)
предоставляют:
Access (доступ к ресурсам)
Мультидоменный лес: IGUDLA

Типы групп
Группы распространения
Группы безопасности
Используются приложениями электронной почты
Не имеют идентификатора безопасности
Имеют идентификатор безопасности, могут быть использованы для контроля доступа
Также могут использоваться приложениями электронной почты

Учётные записи компьютеров
Компьютер является участником безопасности как и пользователь
Учётная запись компьютера необходима для доверительных отношений

Доверительные отношения между лесами

Взаимодействие с Интернет.
Firewall
(брандмауэр, межсетевой экран)

Модель эшелонированной обороны
ACL
EFS
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC

Набор технологий
Proxy
VPN
Контентная фильтрация
Аутентификация
Трансляция сетевых адресов
Пакетные фильтры

Простые конфигурации

Демилиторизованная зона
(сеть периметра)

Windows Firewall?

Персональный брандмауэр

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Windows Firewall с расширенными возможностями

Конфиденциальность
EF
SK
F
PK
SK
OK
ESK
OK

Целостность и аутентификация
F
H
F
PK
OK
EH
OK
HF
H
H’
HF

Списки управления доступом
Горячев Александр Вадимович
Доцент кафедры ИБ
[email protected]

Модель эшелонированной обороны
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
Хранение
ACL
EFS
Bitlocker
Хранение
Backup
Mirror
RAID
SC

Список контроля доступа

Список контроля доступа (ACL)

Маркер доступа (AT)

Обеспечение доступности информации при хранении
Горячев Александр Вадимович
Доцент кафедры Информационной безопасности
[email protected]

Модель эшелонированной обороны
ACL
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
EFS

Резервное копирование. Настройка

Резервное копирование. Схемы
Полная копирование
Инкрементальное копирование
Дифференциальное копирование
Копирование на конкретную дату

Резервное копирование. Правила
ТРИ экземпляра копии, один – «OffSite»
Регулярная проверка целостности копии
Резервная копия – находка для злодея

Дисковые массивы. Зеркало

Дисковые массивы. RAID 5

Дисковые массивы. Hot Spare

Shadow Copy

Кластер надежности

Групповые политики службы каталога Active Directory
Горячев Александр Вадимович
Доцент кафедры Информационной безопасности
[email protected]

Модель эшелонированной обороны
ACL
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
EFS

Локальная политика безопасности

Шаблоны безопасности

Анализ и конфигурация безопасности

Домен Windows NT
Требует наличия как минимум одного контроллера домена (PDC)
Граница репликации домена
Доверенный источник учётных данных: любой доменный контроллер (PDC и BDC) может провести аутентификацию в домене
Security Account Manager
user1
User1
user1
user1

Подразделения (организационные единицы)
Объекты
Пользователи
Компьютеры
Подразделения
Контейнеры для группировки объектов в домене
Подразделения создаются:
Для делегирования разрешений
Для назначения групповых политик

Хранилище данных Active Directory
%systemroot%\NTDS\ntds.dit
Логические разделы
Домен
Схема
Конфигурация
Глобальный каталог
DNS
SYSVOL
%systemroot%\SYSVOL
Скрипты входа в систему
Политики

Учётные записи компьютеров
Компьютер является участником безопасности как и пользователь
Учётная запись компьютера необходима для доверительных отношений

Параметры групповой политики
Детальное определение изменений в конфигурации
Предотвратить доступ к реестру
Назначить установку приложения
Выполнить скрипт при включении
компьютера
Подразделяются на
Конфигурацию пользователя
Конфигурацию компьютера
Могут быть
Не настроены (Not configured)
Включены (Enabled)
Выключены (Disabled)

Объекты групповой политики
Контейнер для параметров групповой политики
Применяется на определённом уровне иерархии Active Directory

Административные шаблоны
Параметры политик из Административных Шаблонов производят изменения в реестре
HKCU\Software\Microsoft\
Windows\CurrentVersion\
Policies\System
DisableRegeditMode
1 – Отключить только UI
2 – Также отключить regedit /s

Клиент групповой политики и
Client-side extensions
Клиент групповой политики получает список GPO с порядком применения
GPO загружаются и кэшируются
CSEs обрабатывают настройки для применения изменений
Отдельный CSE для каждой крупной категории параметров: Security, registry, script, software installation, mapped drive preferences.
Большинство CSEs применяют изменения только если GPO изменился
Security CSE применяет настройки каждые 16 часов
Применение GPO инициируется клиентом

Применение политик разными операционными системами
Минимальный поддерживаемый уровень
Client Side Extensions
Синхронное и асинхронное применение политик

Расширение функционала с помощью административных шаблонов
Административные шаблоны позволяют централизованно управлять программным обеспечением:
Microsoft Office, Google Chrome, etc
ADM
ADMX/ADML

Порядок применения GPO
OU
OU
GPO5
GPO1
Локальная группа

Блокирование наследования
OU
OU
GPO5
GPO1
Локальная группа

Фильтрация по безопасности

Фильтрация WMI

Область применения
Область применения
Определение объектов (пользователей и компьютеров) к которым применяется GPO
Связи GPO
GPO может быть привязан к нескольким доменам, сайтам, подразделениям (OU)
Связь GPO определяет максимальную область применения GPO
Фильтрация безопасности
Разрешает или запрещает применение GPO членами глобальной группы безопасности
Позволяет фильтровать применение GPO в рамках связи
WMI Фильтрация
Позволяет изменять область применения на основе WMI запроса

Обновление групповых политик
Когда применяются параметры GPO
Конфигурация компьютера
Включение
Каждые 90-120 минут
GPUpdate
Конфигурация пользователя
Вход в систему
Каждые 90-120 минут
GPUpdate

Предпочтения групповой политики
Предпочтения групповых политик расширяют диапазон настраиваемых параметров GPO и:
Способы применения предпочтений групповой политики:
Не блокируют настройки от изменения пользователем
Позволяют настраивать параметры операционной системы и ПО
иначе управляемые загрузочными скриптами (создавать ярлыки,
подключать сетевые диски и т.д.
Create: Создать новый объект на целевом компьютере
Delete: Удалить существующий объект с целевого компьютера
Replace: Удалить и создать заново объект на целевом компьютере
Update: Модифицировать объект на целевом компьютере

Нацеливание предпочтений групповой политики
Нацеливание на уровень элемента
В одном GPO может быть несколько настроек для разных пользователей и компьютеров
Доступно только для предпочтений
Множество готовых WMI фильтров

Loopback policy processing
При входе пользователя в систему применяются пользовательские параметры GPO нацеленные на компьютер
Позволяет обеспечить единообразную среду на компьютере, независимо от вошедшего в систему пользователя.
Подходит для переговорных, публичных компьютеров, VDI, RDS, и т.д.
Конфигурация компьютера\Политики\Административные шаблоны\Система\Групповая политика
Режим обработки замыкания пользовательской групповой политики
Режим замещения
Применяются только пользовательские настройки нацеленные на компьютер
Режим слияния
Сначала применяются пользовательские настройки нацеленные на пользователя, затем настройки нацеленные на компьютер.

Обработка групповых политик при медленном соединении
Клиент групповой политики определяет, находится ли контроллер домена, предоставляющий GPO за медленным соединением
По умолчанию медленным считается соединение менее 500 kbps
Каждый CSE использует определение медленного соединения
По умолчанию при медленном соединении не производится установка ПО
Можно изменить поведение каждого CSE при обнаружении медленного соединения
Computer Configuration\Policies\Administrative Templates\ System\Group Policy
Можно изменить пороговое значение медленного соединения
Computer [or User] Configuration\Policies\Administrative Templates\System\Group Policy

Подводя итог
Групповые политики АД – мощный инструмент управления конфигурацией компьютера
Применение требует тщательного проектирования и контроля

Шифрованная файловая система (EFS)
Горячев Александр Вадимович
Доцент кафедры Информационной безопасности
[email protected]

Модель эшелонированной обороны
EFS
ACL
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC

Список контроля доступа

Список контроля доступа

Список контроля доступа
ACL

Шифрование с симметричным ключом
T(a,x) = e
T-1(e,x) = a

Простейший вариант
F
EF
F
SK
?

Шифрование с асимметричным ключом (открытым и закрытым ключами)
G->(o,p)
T(a,o) = e
T-1(e,p) = a
G->(o,p)
T(a,p) = e
T-1(e,o) = a

А можно так?
F
EF
F
PK
OK
?
?

Уже правильнее

EFS
RK
OK
ESK
ESK
SK

Формирование сертификата
ОК
Кто?
Зачем?
?
Заявка на сертификат
СА
СА
Инфо
S

Сертификат

Сертификат

Интерфейс управления EFS

Взаимодействие внутри корпоративной сети.
IPsecurity. SSL.

Модель эшелонированной обороны
ACL
EFS
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
Firewall
RMS
IPSec
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
SSL

Конфиденциальность
EF
SK
F
PK
SK
OK
ESK
OK

Целостность и аутентификация
F
H
F
PK
OK
EH
OK
HF
H
H’
HF

Настройка IP Security

Настройка политики IP Security

Настройка правил IP Security

Настройка правил IP Security

Настройка аутентификации IP Security

Мониторинг IPSecurity

Secure Socket Layers (SSL)
EF
SK
F
PK
SK
OK
ESK
OK
Клиент
Сервер

Установка соединения SSL

Суртификаты SSL

Сертификаты SSL

Работа с SSL

VPN
Горячев Александр Вадимович
Доцент кафедры ИБ
[email protected]

Модель эшелонированной обороны
ACL
EFS
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
Firewall
RMS
IPSec
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
SSL

Технологии выхода в Интернет из корпоративной сети
Маршрутизация
Статическая трансляция адресов (публикация ресурсов)
Динамическая трансляция адресов
Прокси (Proxy)

Маршрутизация
195.131.5.235
131.13.15.35
131.15.98.1
131.15.98.34

Статическая трансляция адресов (статический NAT)
195.131.5.235
131.13.15.35
131.13.15.36
192.168.2.1
192.168.2.15
192.168.2.37
Статический
NAT

Статический NAT – как выглядит снаружи
195.131.5.235
131.13.15.1
131.13.15.35
131.13.15.35

Динамическая трансляция адресов (динамический NAT)
195.131.5.23
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
Динамический
NAT
198.13.44.12
Пакет прямой:
Отправитель:131.13.15.35:34555
Получатель: 198.13.44.12:80
Пакет ответный:
Отправитель: 198.13.44.12:80
Получатель: 131.13.15.35:34555

Прокси (Proxy)
195.131.5.235
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
Proxy Server
HTTPS
HTTP

Технологии доступа из Интернет к ресурсам корпоративной сети
Статическая трансляция адресов (публикация)
Обратный прокси (Application Proxy)
VPN (Виртуальные частные сети)
Терминальный доступ

Web Application Proxy (Обратный прокси)
195.131.5.235
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
Web Application Proxy
HTTPS
HTTP

Виртуальные частные сети (VPN)
195.131.5.235
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
13.3.44.2
VPN сервер
10.0.0.134
10.0.0.1

Виртуальные частные сети (VPN)
195.131.5.235
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
Сервер доступа
13.3.44.2
VPN сервер

Настройка VPN в RRAS

Настройка параметров подключения

Терминальный доступ
195.131.5.235
131.13.15.35
192.168.2.1
192.168.2.15
192.168.2.37
Сервер Терминального
Доступа
RDP

Терминальный доступ

Терминальный доступ

Терминальный доступ

Терминальный доступ

Спасибо за внимание!

Сертификаты.
Инфраструктура шифрования с открытым ключом (PKI)
Горячев Александр Вадимович
Доцент кафедры ИБ
[email protected]

Хранение
Модель эшелонированной обороны
ACL
Bitlocker
Хранение
Backup
Mirror
RAID
Хранение
Обработка
APPs
OS/.NET
редача
Передача
Intranet
Internet
Antivirus
Updates
Antispyware
Autentification
HIDS-HIPS
Routing
IPSec
RMS
Firewall
VPN
NAP
Физический доступ
Политики, процедуры, осведомленность
NIDS-NIPS
PKI
AD
SC
EFS

Список контроля доступа

Список контроля доступа

Список контроля доступа
ACL

Шифрование с симметричным ключом
T(a,x) = e
T-1(e,x) = a

Простейший вариант
F
EF
F
SK
?

Шифрование с асимметричным ключом (открытым и закрытым ключами)
G->(o,p)
T(a,o) = e
T-1(e,p) = a
G->(o,p)
T(a,p) = e
T-1(e,o) = a

А можно так?
F
EF
F
PK
OK
?
?

Уже правильнее

Передача - Конфиденциальность
EF
SK
F
PK
SK
OK
ESK
OK

Целостность и аутентификация
F
H
F
PK
OK
EH
OK
HF
H
H’
HF

Формирование сертификата
ОК
PК
Кто?
Зачем?
?
Заявка на сертификат
СА
СА
Инфо
S

Сертификат

Сертификат

Типы СА

Имя и сертификат

Консоль центра сертификатов

Выданные сертификаты

Шаблоны сертификатов

Заголовок файла

Отзыв сертификата

Отзыв сертификата - причина

Отмена отзыва сертификата

Запрос сертификата через Web

Детали запроса

Установка готового сертификата

Личные сертификаты

Полученный сертификат

Доверенные сертификаты

Защита компьютерной информации.
Защита информации на уровне кода
Горячев Александр Вадимович
Доцент кафедры Информационной безопасности
[email protected]

Хранение
Модель эшелонированной обороны
Хранение
Хранение
Обработка
Приложения
OS/.NET
редача
Передача
Intranet
Internet
Физический доступ
Политики, процедуры, осведомленность
PKI
AD
Хранилища
Обновления
Обновления
Аутентификация
Антивирус
Контроль доступа

Обновления – какие проблемы?
Ошибки изначального кода
Уязвимости
Как бороться?
«Заплатки» (Patch)
Замена кода
Start
Bad code
Finish
Good code

Все ли изменения нужны?
Security – ДА!!!
…
Feature-pack – Нет!

Центр обновлений Windows

Типы атак

Phishing
Получение паролей, PIN-кодов и пр.
Пассивное наблюдение
Спровоцировать передачу неавторизованному участнику
Проникновение с кражей

USB-флэш атака
Из 30 разбросанных по территории предприятия флэшек 20 «откликнулись» в течении часа

Вирус
Репликатор
Маскировщик (полиморфизм)
Тело вируса
Файлы
Система
Загрузочная зона
Макровирусы
Программа-акцептор
Программа-донор

Черви
Средство проникновения
Инсталлятор
Средство поиска
Сканнер
Тело червя
Червь
Тело
Поиск
Интрудер
Инст

Троян
Контейнер – полезная программа
Тело трояна
Программа-контейнер
Вирус
Тело
Логическая бомба

Root Kit
Встраивается на уровне драйверов операционной системы
Очень сложно обнаружить

Методы обнаружения угроз ПО
Обнаружение по маске – сканирование
Анализ логов
Обнаружение по маске при запуске ПО
Поведенческий анализ «на лету»
Принцип минимальных привилегий

Защита от вирусов и…

Контроль доступа (UAC)

Обеспечение качества кода
в ходе разработки

Модель угроз STRIDE

Анатомия атаки
Замести следы
Анализ и планирование
Проникновение
Выполнить задачу
Повышение привилегий
1
2
3
4
5

Борьба…