Projektowanie bezpieczeństwa sieci i serwerów Konfiguracja zabezpieczeń stacji roboczej 1. Strefy bezpieczeństwa przeglądarki Internet Explorer. W programie Internet Explorer można skonfigurować ustawienia zabezpieczeń dla kilku wbudowanych stref zabezpieczeń. Wyróżniamy następujące strefy: - Internet jest to strefa, do której należą wszystkie witryny internetowe, które nie zostały umieszczone ani w strefie Zaufane witryny ani Witryny z ograniczeniami. - Lokalny intranet Przeznaczona jest dla stron znajdujących się w lokalnym intranecie. - Zaufane witryny Witryny tej strefy uznawane są za bezpieczne uznajemy, ze ich zawartość nie może zagrozić naszemu komputerowi. - Witryny z ograniczeniami Witryny z tej strefy mogą spowodować uszkodzenie systemu (złośliwe oprogramowanie, czy zagrożenie atakiem internetowym). W przypadku systemu Windows 2003 przeglądarka jest skonfigurowana domyślnie ze zwiększonymi zabezpieczeniami. Stery domyślnie mają wtedy następującą konfigurację: Strefa Internet - Wysoki poziom zabezpieczeń. Strefa Zaufane witryny - Średni poziom zabezpieczeń. Strefa Lokalny intranet - Średnio-niski poziom zabezpieczeń. Dzięki temu poświadczenia użytkownika (nazwa i hasło) mogą zostać automatycznie przesłane do witryn i aplikacji, które ich potrzebują. Strefa Witryny z ograniczeniami - Wysoki poziom zabezpieczeń. Domyślnie wszystkie witryny internetowe i intranetowe są przypisane do strefy Internet. Witryny intranetowe nie są częścią strefy Lokalny intranet, jeżeli nie zostaną specjalnie do niej dodane. Dostęp to stref uzyskać można następująco : Panel Sterowania->Opcje Internetowe->Zabezpieczenia Lub IE->Narzędzia->Opcje Internetowe->Zabezpieczenia mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 1
Wygląd okna zarządzania zabezpieczeniami IE. Każdą strefę można skonfigurować osobno, wybierając opcje Poziom niestandardowy. Zadanie 1: Skonfiguruj strefy w następujący sposób: - Internet Elementy ActiveX mają zostać całkowicie zablokowane, zablokowane zostać mają wszystkie skrypty prócz skryptów języka Java, zezwalany na pobieranie plików, bez monitowania oraz zezwalamy na pobieranie czcionek, włączamy także opcje trwałości danych użytkownika, nie blokujemy wyskakujących okienek. - Lokalny intranet - pozostawiamy bez zmian - Zaufane witryny - Elementy ActiveX mają zostać włączone, zezwalany na działanie skrytpów, zezwalany na pobieranie plików, bez monitowania oraz mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 2
zezwalamy na pobieranie czcionek, włączamy także opcje trwałości danych użytkownika, nie blokujemy wyskakujących okienek - Witryny z ograniczeniami Elementy ActiveX mają zostać całkowicie zablokowane, zablokowane zostać mają wszystkie skrypty, zezwalany na pobieranie plików, ale z monitowaniem oraz zezwalamy na pobieranie czcionek, wyłączamy także opcje trwałości danych użytkownika, blokujemy wyskakujące okienka.). Następnie Do każdej ze stref dodaj kolejno kilka witryn (wybranych tak, aby można było ustawienia, które wcześniej były modyfikowane np. witryna posiada wyskakujące okna, możliwość pobierania plików, czy skrypty Java/inne lub elementy typu ActiveX. 2 Zapobieganie wykonywaniu danych (DEP, Data Execution Prevention) Zapobieganie wykonywaniu danych (DEP, Data Execution Prevention) to funkcja zabezpieczeń, która pomaga zapobiegać uszkodzeniu komputera np. przez wirusy, albo inne, złośliwe oprogramowanie. Funkcja DEP ułatwia ochronę komputera przez monitorowanie programów w celu zagwarantowania, że korzystają z pamięci systemowej w bezpieczny sposób. Jeśli program próbuje uruchomić (wykonać) kod z pamięci w niepoprawny sposób, zostanie zamknięty przez funkcję DEP. Funkcje DEP, po jej włączeniu, można wyłączonych dla wybranych aplikacji. W Windows 2003 dostęp do usługi DEP realizowany jest następująco : Panel sterowania -> system -> zaawansowane -> wydajność -> Zapobieganie wykonywaniu danych mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 3
3. Konfiguracja Firewalla systemowego. Wygląd okna dialogowego funkcji DEP. System Windows 2003 posiada wbudowany firewall, podstawowa konfiguracja firewalla może wyglądać następująco : Zapora systemu Windows (Windows Firewall) posiada trzy tryby pracy: Włącz (zalecane) - jest to domyślny tryb i zalecany podczas normalnej pracy, gdzie jest uwzględniona lista wyjątków. Włącz wraz z opcją "nie zezwalaj na wyjątki" - tryb przeznaczony w czasie różnych zagrożeń np. praca naszego komputera w obcej sieci. Nie jest tu uwzględniania lista wyjątków. Wyłącz (nie zalecane) - całkowicie wyłączenie zapory. Możemy tutaj zauważyć że domyślnie jest włączony wyjątek "Udostępnianie plików i drukarek. Domyślnie jest też włączony wyjątek "Pomoc zdalna", który się odnosi do danej aplikacji. 1. Uruchamiamy firewalla na połączeniu lokalnym. 2. Wybieramy zakładkę wyjątki. Tutaj dodać można tzn wyjątki, czyli porty wraz z protokołem (TCP/UDP), które chcemy, aby pozostały otwarte. M ożna uczynić to na dwa sposoby : - przypisywać konkretna aplikację wtedy firewall automatycznie zezwoli na transmisję na dowolnym porcie, którego zaradza aplikacja, jest to wygodne, gdy aplikacja pracuje na wielu portach lub wybiera je losowo (np. niektóre gry mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 4
komputerowe.) wybieramy wtedy opcje dodaj program, można także ustalić źródło, z którego pochodzić mogą pakiety : sieć LAN czy adres IP. - Otworzyć konkretny port - wybieramy wtedy opcję dodaj port. Do prawidłowego działania w otoczeniu sieciowym system musi mieć otwarte poniższe porty: port: 137, protokół: UDP, opis: NETBIOS Name Service (137 UDP) port: 138, protokół: UDP, opis: NETBIOS Datagram Service (138 UDP) port: 139, protokół: TCP, opis: NETBIOS session service (139 TCP) opcjonalnie (nie wymagane w wielu sieciach): port: 445, protokół: TCP, opis: Distributed File System (445 TCP) odpowiedzialny za DFS - Rozproszony system plików. Zatem skonfiguruj firewall tak,aby prawidłowo działał w otoczeniu sieciowym. Następnie można przejść do zakładki "Protokół ICMP" i włączyć "Zezwalaj na przychodzące żądania echa", dzięki czemu Windows odpowie na ping. Zakładka "Rejestrowanie zabezpieczeń", w której można włączyć opcje rejestrowania do pliku o odrzuconych i udanych połączeniach znajduje się powyżej zakładki "Protokół ICMP". Pozwala ona na zdefiniowanie pliku, w którym zapisywane maja zostać zdarzeń, jego wielkości maksymalnej oraz możemy zdecydować, czy zapisywane mają być połączenie odrzucone i/lub zakończone sukcesem. Zakładka Rejestrowanie zabezpieczeń. mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 5
Zaznacz opcje Rejestruj porzucone pakiety, zablokuj dostęp do wybranej usługi (lub po prostu danego portu), a następnie z innego komputera spokój nawiązać połączenie na tym porcie (np. za pomocą polecenia telnet), a następnie obedrzyj zawartość dziennika. To samo zrób dla opcji Rejestruj udane połączenia. Korzystając z zakładki wyjątki otwórz port 25 (protokół TCP, dla komputera z POZA sieci, adres może być fikcyjny), a następnie prób za pomocą polecenie telnet spróbuj nawiązać połączenie na tym porcie. Następnie sprawdź zawartość pliku z rejestrem połączeń. mgr inż. Łukasz Jopek, Katedra Informatyki Stosowanej PŁ 6