Интернет защита

Любой, кто прочитал все сказанное выше, вполне может решить, что было бы правильно совсем отказаться от использования встроенных Internet-клиентов от компании Microsoft, поскольку многие, если не все описанные уязвимые места возникают из-за ошибок в этих программах. В самом деле, для многих проблем с безопасностью лучшим решением было бы использование клиентов производства других компаний, в частности это касается Web-браузера Internet Explorer. Настоящим параноикам стоит серьезно подумать над этой идеей. Однако для всех остальных можно привести несколько веских аргументов против.

Читать полностью

В основе приведенных ниже рекомендаций лежит наш многолетний опыт работы в области обеспечения безопасности самых разных сетей, систем и программных продуктов. Мы не пре¬тендуем на оригинальность этих принципов, они просто являются консистенцией нашего прак¬тического опыта. Некоторые из них вполне соответствуют представленным в этой книге реко¬мендациям, а другие — нет. Иногда мы можем нарушить некоторые из этих принципов, чтобы доказать единственное утверждение: поступайте так, как мы советуем, а не так, как мы поступа¬ем! Помните, что безопасность — это не чисто техническое решение, а скорее комбинация тех¬нических мер и процессов, которые уникальным образом связаны с конкретной ситуацией

До настоящего времени мы говорили об элементах системы безопасности, пользуясь их "общими" названиям, такими как администратор или группа администраторов домена Domain Admins. Но внутри систем семейства Windows NT каждый из этих объектов представлен гло¬бально уникальным 48-разрядным числом, которое называется идентификатором системы за¬щиты или SID (Security Identifier). Такой подход позволяет системе различать, например, ло¬кальную учетную запись Administrator компьютера А и одноименную локальную учетную запись Administrator компьютера В.

Читать полностью

Мы начнем изучение темы физических атак с рассмотрения простой, но потенциально опас¬ной хитрости — копирования командного интерпретатора (%systemroot%\system32\cmd. ехе) поверх хранителя экрана (%systemroot%\system32\logon.scr). Это можно проделать даже без загрузки операционной системы, используя средство загрузки, которое позволяет смонтиро¬вать раздел системы (например NTFSDOS от Wintemals Software, ссылки содержатся в разделе "Дополнительная литература и ссылки" в конце этой главы).

Читать полностью

Наши читатели, вероятно, отметили, что мы разделяем понятия локальных учетных запи¬сей и групп, глобальных и универсальных учетных записей. В системах Windows NT члены ло¬кальных групп имеют возможность доступа к ресурсам в области видимости локальной маши¬ны, тогда как члены глобальных групп могут получить доступ к ресурсам домена. Локальные группы могут содержать глобальные группы, но не наоборот, потому что локальные группы не имеют значения в контексте домена. Таким образом, типичной стратегией определения прав доступа к локальным ресурсам является добавление пользователей домена (собранных в глобальные группы для упрощения администрирования) в локальную группу. Например, когда компьютер добавляется в домен, глобальная группа Domain Admins автоматически до¬бавляется в группу Local Administrators, и члены группы Domain Admins получают возмож¬ность идентификации и доступа ко всем ресурсам данного компьютера.

Читать полностью