4.2 Антивирусная защита

Программные средства антивирусной защиты для защиты от вредоносных программ. На предприятии используется ПО Kaspersky AntiVirus Personal Pro 5.0, специально разработанный для борьбы с вирусами всех типов в корпоративных сетях среднего и малого масштаба. Программный комплекс включает инструменты централизованной установки и администрирования [8].

В состав AVP входит следующие компоненты:

1. Kaspersky AntiVirus Scanner, занимается проверкой носителей информации и отловом вирусов.

2. Monitor, исполняет роль резидентного сторожа, контролируя все обращения к данным и засекая вирусоподобные действия.

3. Inspector, отслеживает изменения содержимого файлов и папок.

4. Mail Checker отвечает за проверку почтовой корреспонденции на предмет вирусов.

5. Rescue Disk служит для создания загрузочных дискет аварийного восстановления и резервной записи вирусных баз.

6. Script Checker предназначен для обнаружения и ликвидации потенциально опасных скриптов и "червей".

4.3 СЗИ Windows 2000

ЛВС отдела построена как домен Windows 2000. Файловый сервер является первичным контроллером домена (PDC). Также имеется резервный контроллер домена, на который копируется БД PDC. База данных PDC содержит информацию обо всех пользователях и группах в системе. Каждый пользователь, получающий доступ к компьютеру, должен быть распознан системой. При входе в систему средствами Windows 2000 обеспечивается следующее.[9],[10]

1. Идентификация и аутентификация пользователя или группы. Это выполняется с помощью диспетчера учетных записей защиты (SAM – Security Account Manager). SAM поддерживает базу данных учетных записей защиты (security account datebase), которая обычно называется базой данных SAM и содержит данные обо всех учетных записях пользователей и групп. SAM генерирует идентификаторы защиты (SID), которые уникальным образом обозначают каждую учетную запись пользователя или группы. SAM используется LSA для опознавания пользователей в процессе входа в систему путем сравнения имени пользователя и пароля, введенных пользователем, с соответствующей его записью в базе данных SAM. База данных учетных записей хранится на сервере БД в отдельном файле в папке /System32 системы. Копия файла %SystemRoot%\SYSTEM32\CONFIG\SAM содержится в директории %SystemRoot%\REPAIR\ после создания администратором восстановительного (repair) диска и легко может быть скопирована оттуда (что может быть использовано злоумышленниками). Однако сами пароли в открытом виде не содержатся в данном файле. Пароль пользователя (в кодировке UNICODE) с использованием хэш-алгоритма MD4 превращается в 16-байтное значение, которое и находится в файле SAM. Необходимо также отметить, что большинство пользователи имеют пароли, известные не только администратору сети но и другим сотрудникам, т.е. не смотря на то, что пароли содержат буквенные и цифровые символы. Они имеют длину менее 10 символов. Таким образом, пароль не представляет серьезного препятствия для злоумышленника.

2. Разграничение доступа. Каждый ресурс компьютера связан со списком пользователей (называемым списком управления доступом – access control list). Пользователи из этого списка могут получить доступ к объекту и операциям, разрешеным каждому пользователю. Информация, связанная с контролем доступа к объектам, располагается в дескрипторе безопасности.

3. Аудит. Регистрируются следующие события: локальная и удаленная регистрация пользователей в сети и окончание сеанса их работы; доступ к файлам и объектам; управление пользователями и группами; изменение политики безопасности, изменение прав пользователей или политики аудита; включение или перезагрузка системы на локальной рабочей станции; слежение за процессами запуска и завершения процессов, а также непосредственного доступа к объектам. События записываются в трех разных журналах аудита: системный журнал System Log – в файле sysevent.evt; журнал приложений Application log – в файле аррevent.evt; журнал безопасности Security log – в файле sесevent.evt. Все журналы располагаются в каталоге system32 / config. Кроме того, в сети предприятия с помощью утилиты REGEDT32 был включен аудит для контроля доступа к ключу "HKEY_LOCAL_MACHINE\Security", что показывает удаленный доступ к системному реестру.

Идентификация и аутентификация, разграничение доступа и аудит связаны со следующими компонентами подсистемы защиты Windows 2000: аутентификацией локальной защиты (LSA – Local Security Authority), на которую возложены следующие обязанности: аутентификация пользователей в процессе входа в систему, генерирование признаков доступа (access token) в процессе входа в систему, управление политикой защиты, управление политикой аудита; регистрация сообщений аудита в журнале событий; и эталонным монитором защиты (SRM – Security Reference Monitor), который усиливает проверку правильности доступа и политику аудита, которые устанавливают LSA. Все попытки доступа к ресурсам должны пройти через SRM, проверяющий правильность доступа к объектам (файлам, каталогам и т. д.), наличие разрешений в учетных записях пользователей и генерирующий контрольные сообщения. У SRM имеется в системе лишь одна копия кода проверки правильности учетной записи, что гарантирует единообразную защиту объектов повсюду в Windows 2000. Когда приложение пытается получить доступ к объекту, SRM исследует список управления доступом к этому объекту (ACL - access control list) и проверяет элементы управления доступом (ACE - access control entries) в этом списке, чтобы определить, имеются ли у пользователя необходимые разрешения для выполнения требуемой операции. При этом SRM либо предоставит доступ, либо откажет в нем на основании данных в ACL.

Кроме того, на предприятии предусмотрено, что пользователи, не имеющие прав администратора, не имеют доступ к системным файлам, реестру и т.д. (так, например, файл MSV_0.dll, отвечающий за проверку подлинности пароля при локальном входе в систему, может быть скопирован и изменен таким образом, что любой пароль для любого пользователя будет считаться верным).

Необходимо также отметить, что в компьютерах ЛВС отдела с Windows 2000 используется только файловая система NTFS, которая повышает производительность, надежность и защищенность сети. NTFS допускает задание прав доступа для каждого файла/директории и проведения для них аудита. NTFS компенсирует ошибки дисков с помощью функции быстрого исправления, которая автоматически переносит данные из дефектных секторов в другие сектора. NTFS также имеет встроенную защиту, ее нельзя обойти путем простой загрузки операционной системы MS-DOS. Но существует утилита NTFSDOS, которая распознает длинные имена файлов NTFS и может считывать сжатые файлы. Таким образом, для доступа к файловой системе NTFS может использоваться загрузочная дискета MS-DOS, на которую записана утилита NTFSDOS.