Konfiguracja ustawień i zabezpieczeń dla wdrażanych stacji klienckich Windows 7

Transkrypt

1 Konfiguracja ustawień i zabezpieczeń dla wdrażanych stacji klienckich Windows 7 PAWEŁ PŁAWIAK Training and Development Manager for Microsoft Technology Compendium - Centrum Edukacyjne pawel.plawiak@compendium.pl

2 Informacje techniczne Pomocy technicznej online przez cały czas trwania sesji udziela Krzysztof Jóźwiak >>> Krzysiek / Pomoc techniczna

3 Informacje techniczne W trakcie spotkania dyżur pełni autoryzowany administrator Prometric (Test Center Administrator Prometric) Anna Rubińska >>> Ania / TCAP

4 Informacje techniczne Jeżeli po podłączeniu do sesji Live Meeting 2007 pojawia się komunikat błędu, proszę go zamknąć i wybrać opcję Join Audio.

5 Informacje techniczne Plik z prezentacją jest do pobrania z poziomu klienta Live Meeting.

6 Informacje techniczne Odpowiedzi na najczęściej zadawane pytania znajdziecie na:

7 Informacje techniczne Pytania do prowadzącego oraz odpowiedzi na pytania konkursowe przekazujemy wyłącznie poprzez moduł Q&A.

8 A co w inne dni tygodnia?

9 Konkurs 1 1 lutego 2 8 lutego 7 szt lutego LOSOWANIE 4 22 lutego 5 29 lutego 7 szt. FINAŁOWE 6 7 marca 7 14 marca 7 szt.

10 Konkurs W trakcie każdego LM (od dziś) w pewnym momencie zostanie przedstawione na slajdzie pytanie. Trzy pierwsze osoby, które odpowiedzą prawidłowo wygrywają (do wyboru wg kolejności) jedną z nagród: Koszulka polo, Kubek, Akumulator AA ładowany z USB. Liczą się odpowiedzi udzielone wyłącznie przez moduł Q&A. Osoby, które w trakcie spotkania lub najpóźniej do godziny tego samego dnia prześlą na adres pawel.plawiak@compendium.pl poprawną odpowiedź oraz poprawne odpowiedzi (minimum z sześciu spotkań) w trakcie pozostałych spotkań (wg tych samych zasad) będą uczestniczyły w finałowym losowaniu nagród.

11 Nagrody finałowe 1 szt. 3 szt. 1 szt. 1 szt. Vouchery 100% na egzamin 5 szt. 20 szt. 3 szt. 1 szt. 1 szt.

12 Statystyki Maksymalna liczba osób na spotkaniu

13 Statystyki Poprawne odpowiedzi Błędne odpowiedzi 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 3 1 % 6 9 % 3 4 % 6 6 % 3 2 % 6 8 %

14 Tematyka spotkania Projektowanie strategii konfiguracji stacji klienckich wybór metody konfiguracji wykorzystanie Group Policy wykorzystanie skryptów Tworzenie bazowej konfiguracji stacji klienckich polityki kontroli przekierowanie folderów profile użytkowników Konfiguracja zabezpieczeń stacji klienckich szyfrowanie reguły zapory ogniowej określanie reguł dotyczących kont konfiguracja zasad User Account Control konfiguracja praw i zasad zabezpieczeń ustawienia w zakresie usług systemowych polityki urządzeń przenośnych Konfiguracja Internet Explorer Pakiet Internet Explorer Administration Kit ustawienia Gpo dla IE

15 Wybór metody konfiguracji GROUP POLICY STARTUP & SHUTDOWN SCRIPTS LOGON & LOGOFF SCRIPTS

16 Tworzenie GPOs Środowisko zdecentralizowne L GP ML GP Środowisko scentralizowane Default Domain Policy Default Domain Controllers Policy

17 Local Group Policy Editor

18 Group Policy Management Editor

19 Group Policy Management Console

20 Dostęp do GPMC Member server DCs GPMC domyślnie zainstalowane

21 Zarządzanie AD DS GPO z Windows 7 Remote Server Administration Tools Microsoft Download Center

22 GPO & CMDLETS Import-Module GroupPolicy

23 CC UC Computer Configuration User Configuration Software Installation Software Installation Security Settings Security Settings Administrative Templates Administrative Templates ADM ADMX Local Central Store

24 Policies Preferences GPO CC UC Policies Preferences Policies Preferences

25 Starter GPO

26 Starter GPO Specialized Security Limited Functionality (SSLF) duże ograniczenia Enterprise Client (EC) środowisko AD DS

27 Monolithic GPO Functional GPO MONOLITHIC GPO FUNCTIONAL GPO Computer Configuration Policies Computer Configuration Policies User Configuration Preferences User Configuration Preferences Administrative Templates Administrative Templates Functional GPO Większa złożoność Wydajność

28 Strategia projektowania GPO Layer based Wykorzystuje hierarchię AD DS Według przeznaczenia Functional GPO Type based Role based Model oparty o role

29 Aspekty wydajności GPO Link speed określa czas potrzebny do pobrania GPO ma związek z parametrem Slow Link Detection (SLD) do oceny SLD wykorzystywany jest protokół Network Location Awareness (NLA) Change frequency ma związek ze zmianami inicjującymi przetwarzanie np. członkostwo w grupach w przypadku częstych zmian preferowane są Functional GPO użycie Monolithic GPO wpływa na powtarzanie przetwarzania Client Side Extension (CSE) Foreground vs. background processing przetwarzanie Foreground processing odbywa się przy restarcie i logowaniu się użytkownika przetwarzania Background processing zachodzi w regularnych interwałach czasowych w przypadku SLD Background processing wyklucza przetwarzanie Software Installation oraz Folder Redirection Asynchronous vs. synchronous processing przetwarzanie Asynchronous wykorzytuje Background processing dzięki czemu dostęp do stacji jest szybki domyślnie realizowane jest przetwarzania Asynchronous zasady wymagające przetwarzania Foreground processing są oznaczane do takiego zastosowania przy kolejnym logowaniu

30 Aspekty wydajności GPO Włączenie przetwarzania synchronicznego zapewnia stosowanie zasad Foreground w jednym przetwarzaniu ale wydłuża proces logowania. Monitorowanie > Event Viewer

31 Wdrażanie GPO Site GPO można wiązać do różnych obiektów (site/domain/ou) Wdrażanie = wiązanie Do określonego obiektu (site/domain/ou) można wiązać wiele GPO OU Domain

32 Kolejność przetwarzania GPO Local GPOs Site GPOs Domain GPOs Organizational unit GPOs LocalGPOs Site GPOs Domain GPOs Grandparent OU GPOs Parent OU GPOs Local GPOs Administrators & Non- Administrators Users

33 Group Policy Inheritance OU1 GPO1 GPO2 OU2 GPO1 GPO2 BLOKOWANIE DZIEDZICZENIA OU3 X GPO1 GPO2 GPO3 GPO4 OU4 GPO3 GPO4

34 Enforcing GPO GPO w stanie Enforced przetwarzane jest jako ostatnie. W przypadku wielu GPO w stanie Enforced obowiązują standardowe zasady przetwarzania.

35 Security Filtering

36 WMI & GPO

37 Języki skryptowe Batch files *.bat / *.cmd zawiera zbiór poleceń wykonywanych sekwencyjnie Windows PowerShell *.ps1 oparty na technologii.net główny język skryptowy Windows VBS scripts *.vbs język uruchamiany w ramach Windows Script Host (WSH) wspierany od Windows 2000

38 Wdrażanie skryptów w kontekście Local system w kontekście użytkownika

39 Polityki kontroli

40 Polityki kontroli

41 Polityki kontroli

42 Przekierowanie folderów

43 Przekierowanie folderów

44 Profile użytkowników Rodzaje profili Local Roaming Mandatory Temporary Normal Super NTUSER.DAT v NTUSER.MAN NTUSER.DAT

45 Profile użytkowników & GPO Administrative Templates System User Profiles Computer Configuration User Configuration

46 Szyfrowanie ENCRYPTING FILE SYSTEM (EFS) FILE AND FOLDER ENCRYPTION FULL VOLUME ENCRYPTION BITLOCKER DRIVE ENCRYPTION (BDE) ULTIMATE ULTIMATE ENTERPRISE ENTERPRISE PROFESSIONAL

47 Szyfrowanie EFS CMD PS CIPHER.EXE.

48 Opcje odzyskiwania EFS Data Recovery Agent Computer Configuration Windows Settings Security Settings Public Key Policies Encrypting File System

49 Opcje startowe BitLocker TPM-only mode BitLocker without TPM TPM with startup key TPM with PIN and startup key TPM with PIN

50 Opcje startowe BitLocker Computer Configuration Administrative Templates Windows Components BitLocker Drive Encryption Operating System Drives CMD PS BDE-MANAGE.EXE-.

51 Opcje odzyskiwania dla BitLocker Data Recovery Agent Computer Configuration Windows Settings Security Settings Public Key Policies BitLocker Drive Encryption key

52 Opcje odzyskiwania dla BitLocker Choose How BitLocker-Protected Operating System Drives Can Be Recovered Choose How BitLocker-Protected Fixed Drives Can Be Recovered

53 BitLocker To Go WRITE WINDOWS 7 ENTERPRISE / WINDOWS 7 ULTIMATE READ WINDOWS 7 / WINDOWS VISTA / WINDOWS XP FAT32 NTFS

54 BitLocker To Go BITLOCKERTOGO.EXE

55 BitLocker To Go & GPO Computer Configuration Control Use Of BitLocker On Removable Drives Administrative Templates BitLocker Drive Encryption Deny Write Access To Removable Drives Not Protected By BitLocker Allow Access To BitLocker-Protected Removable Data Drives From Earlier Versions Of Windows Configure Use Of Passwords For Removable Data Drives Removable Data Drives Choose How BitLocker-Protected Removable Drives Can Be Recovered

56 EFS <> BitLocker Dane zaszyfrowane EFS pozostają zaszyfrowane, kiedy są kopiowane na inny wolumin NTFS. Dane zaszyfrowane BitLocker pozostają zaszyfrowane, kiedy są kopiowane na inny wolumin zaszyfrowany technologią BitLocker. Dane zaszyfrowane EFS są automatycznie deszyfrowane, kiedy użytkownik posiadający dostęp do danych zaszyfrowanych skopiuje je na wolumin nie wspierający EFS, np. system plików FAT32. EFS można wykorzystywać dla i między określonymi użytkownikami. BitLocker oraz BitLocker To Go pracuje na poziomie całego woluminu, więc ograniczenia dla określonych użytkowników muszą być realizowane na poziomie uprawnień NTFS (lub EFS). EFS nie umożliwia tworzenia reguł w oparciu o grupy. Transfer danych chronionych EFS na inny komputer wymusza import powiązanego certyfikatu, który był wykorzystany do szyfrowania.

57 Zapory ogniowe w Windows 7 Windows Firewall reguły względem programów lub usług Windows Firewall with Advanced Security (WFwAS) reguły w oparciu o porty, protokoły, adresy, użytkowników, komputery

58 Windows Firewall with Advanced Security Inbound/Outbound Rules Connection Security Rules

59 Tworzenie reguł WFwAS Computer Configuration Windows Settings Security Settings Konfiguracja reguł opartych na określonym protokole i porcie. Ograniczenie reguł do określonych adresów (źródłowych /docelowych). Konfiguracja reguł względem określonych aplikacji lub usług. Konfiguracja reguł wchodzących i wychodzących do grup komputerów.

60 Connection Security Rules Umożliwiają tworzenie reguł odpowiadających za uwierzytelnianie i szyfrowanie połączeń. Działąją w oparciu o IPSec. Zastępują reguły IPSec z poprzednich wersji Windows. Computer Configuration Windows Settings Security Settings

61 Tworzenie reguł CSR Custom Tunnel Isolation Authentication exemption Server-toserver

62 Account Policies

63 Zmiana i resetowanie haseł

64 UAC Policies Computer Configuration Windows Settings Security Settings Local Policies Security Options Szczegóły dotyczące zasad UAC Egzamin "Windows 7, Configuration"

65 User Rights Computer Configuration Windows Settings Security Settings Local Policies User Rights Assignment

66 Locking Down Policies Usługi nie wymagane przez standardową instalację Windows 7 nie są ustawiane na start typu Automatic. Automatic (Delayed Start) Automatic Manual Disabled

67 AppLocker Windows 7 Enterprise Windows 7 Ultimate Reguły dokładniejsze nadpisują reguły ogólniejsze AppLocker można stosować dla określonego użytkownika lub grupy użytkowników Za AppLocker odpowiada usługa systemowa Application Identity AppLocker standardowo nie tworzy reguł domyślnych

68 AppLocker kategoria i reguły Executable Rules *.exe *.com) Kategorie ograniczeń AppLocker Windows Installer Rules Script Rules *.msi *.msp *.ps1 *.bat *.cmd *.vbs *.js ) Reguły AppLocker Publisher Rules Hash Rules Path Rules DLL Rules *.dll *.ocx

69 AppLocker właściwości i zdarzenia

70 Removable Drive Policies Computer Configuration All removable storage classes CD and DVD Floppy drives Administrative Templates System Custom classes DENY Execute DENY Read DENY Write Removable Storage Access WPD devices (media players and smart phones) Tape drives Removable disks

71 IE & GPO Computer Configuration User Configuration User Configuration Administrative Templates Security Zones Cache Settings Windows Settings Administrative Templates Windows Components Browsing History Proxy Server Connections InPrivate Browsing InPrivate Filtering Internet Explorer Maintenance Windows Components Internet Explorer Privacy Settings Add-ons Accelerators Internet Explorer

72 Internet Explorer Administration Kit Centralna dystrybucja i zarządzanie instalacją Windows Internet Explorer. Konfiguracja profili połączeń dla komputerów Windows 7. Dostosowywanie ustawień Windows Internet Explorer.

73 Konfiguracja ustawień i zabezpieczeń dla wdrażanych stacji klienckich Windows 7. PYTANIA