Belarc Advisor IV: Тестируем безопасность XP Pro
[url=http://virusinfo.info/showthread.php?t=19517][b]I[/b][/url] [url=http://virusinfo.info/showthread.php?t=19516][b]II[/b][/url] [url=http://virusinfo.info/showthread.php?t=19515][b]III[/b][/url] [url=http://virusinfo.info/showthread.php?t=19514][b][color=red]IV[/color][/b][/url] [url=http://virusinfo.info/showthread.php?t=19513][b]V[/b][/url] [url=http://virusinfo.info/showthread.php?t=19512][b]VI[/b][/url] [url=http://virusinfo.info/showthread.php?t=19511][b]VII[/b][/url]
[B]3.2.1.21 Domain Member[/B][B]: Digitally Encrypt Secure Channel Data (When Possible)[/B] – Член домена: шифрование данных безопасного канала, когда это возможно – [B]включено[/B]
См 3.2.1.18 выше. Если контроллер домена поддерживает шифрование всего трафика безопасного канала (Windows NT 4.0 с пакетом обновления Service Pack 6 или более поздним), весь трафик безопасного канала будет шифрованным. В противном случае будет выполняться шифрование только информации входа в систему, передаваемой по безопасному каналу.
[B]3.2.1.22 Domain Member: Digitally Sign Secure Channel Data (When Possible)[/B] – Член домена: цифровая подпись данных безопасного канала, когда это возможно – [B]Включено[/B]
См 3.2.1.18 выше. Если параметр включен, член домена будет запрашивать применение подписи для всего трафика безопасного канала. Если контроллер домена поддерживает использование подписи для всего трафика безопасного канала (Windows NT 4.0 с пакетом обновления Service Pack 6 или более поздним), весь трафик безопасного канала будет подписанным, что гарантирует его неизменность при передаче.
[B]3.2.1.23 Domain Member: Disable Machine Account Password Changes[/B] – Член домена: отключить изменение пароля учётных записей компьютера – [B]отключено[/B]
Этот параметр безопасности определяет, будут ли контроллеры доменов отклонять запросы от рядовых компьютеров на изменение паролей учётных записей компьютеров. Обратите внимание на фразировку: если политику включить, то тогда рабочая станция никогда не будет менять свой пароль.
[B]3.2.1.24 Domain Member: Maximum Machine Account Password Age[/B] – Член домена: максимальный срок действия пароля учётных записей компьютера – [B]30 дней[/B]
См. 3.2.1.21 выше. Этот параметр безопасности определяет, как часто член домена будет пытаться сменить пароль учетной записи компьютера. По умолчанию: 30 дней. Пароль машины на конечного пользователя не очень влияет.
[B]3.2.1.25 Domain Member: Require Strong (Windows 2000 or later) Session Key[/B] – Член домена: требует стойкого ключа сеанса (Windows 2000 или выше) – [B]Включено[/B]
Если этот параметр включен, безопасный канал не будет установлен при невозможности выполнения 128-битового шифрования. Только контроллеры домена Win 2000 SP2 или выше.
[B]3.2.1.26 InteractiveLogon: Do Not Display Last User Name[/B] – Интерактивный вход в систему: не отображать последнего имени пользователя – [B]включено[/B]
Любые подсказки о пользователе компьютера убираем.
[B]3.2.1.27 Interactive Logon: Do not require CTRL+ALT+DEL[/B] – Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL – [B]Отключено[/B]
Против чтения вашего пароля Троянами при входе в систему (CTRL+ALT+DEL перехватывает любые такие попытки).
[B]3.2.1.28 Interactive Logon: Message Text for Users Attempting to Log On[/B] – Интерактивный вход в систему: текст сообщения для пользователей при входе в систему – [B]Индивидуальный параметр[/B]
В сообщении включаются сведения юридического характера, например предупреждения о последствиях неправомерного использования корпоративных данных или о возможном аудите выполняемых пользователями действий. Например:
‘Вход только для авторизованных пользователей. Лица, осуществляющие попытки несанкционированного доступа, будут преследоваться по закону’.
[B]3.2.1.29 Interactive Logon: Message Title for Users Attempting to Log On[/B] – Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему – [B]Индивидуальный параметр[/B]
Понятно, что ‘Добро пожаловать’ не совсем уместно. Предлагается: ‘Предупреждение’.
[B]3.2.1.30 Interactive Logon: Number of Previous Logons to Cache[/B] – Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена) – [B]0[/B]
Данные об учётных записях домена можно кэшировать на локальной системе, чтобы при отсутствии доступа к контроллеру домена при последующих попытках входа в систему в неё все же можно было войти. Так как при этом рабочая станция не связывается с контроллером домена, пользователь может получить возможность войти в систему после отключения или удаления его учётной записи. Если присвоить ему значение 0, кэширование данных о входе в систему будет отключено.
[B]3.2.1.31 Interactive Logon: Prompt User to Change Password Before Expiration[/B] – Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее – 14[B] дней[/B]
Если пользователя заблаговременно предупредить, он успеет подготовить новый, достаточно надёжный пароль.
[B]3.2.1.32 Interactive Logon: Require Domain Controller authentication to unlock workstation[/B] – Интерактивный вход в систему: требовать проверки на контроллере домена для отмены блокировки компьютера – [B]не определено[/B]
Для снятия блокировки с компьютера необходимо предоставить сведения, используемые при входе в систему. Для учетных записей домена данный параметр безопасности определяет, нужно ли для снятия блокировки обращаться на контроллер домена. Если этот параметр отключён, пользователь может разблокировать компьютер, используя учетные данные из кэша. Если параметр включён, контроллер домена должен проверить подлинность учетной записи домена, используемой для снятия блокировки с компьютера. Консенсус говорит, что лучше оставить этот параметр по умолчанию для того, чтобы минимизировать трафик контроллера домена. Рекомендуется прочитать статьи из Базы Знаний Майкрософта 188700, ‘Screensaver Password Works Even If Account Is Locked Out’ и 281250, ‘Information About Unlocking a Workstation’.
[B]3.2.1.33 Interactive Logon: Smart Card Removal Behavior[/B] – Интерактивный вход в систему: поведение при извлечении смарт-карты – [B]Блокировать рабочую станцию[/B]
Это, конечно же, только если вы пользуетесь смарт-картой. Хотя Майкрософт говорит, что настройка не влияет, если у вас такой карты нет, Windows всё равно блокирует доступ к компьютеру. Есть простой обход – грузиться в Безопасный Режим.
[B]3.2.1.34 Microsoft Network Client: Digitally sign communications (always)[/b] – Клиент сети Microsoft: использовать цифровую подпись (всегда) – [B]включено[/B]
Чтобы предотвратить атаки злоумышленников, искажающие SMB-пакеты при передаче, протокол SMB поддерживает использование цифровой подписи для SMB-пакетов. Если этот параметр включён, то тогда клиент сети Microsoft не установит связь с сервером сети Microsoft при его отказе от использования подписи SMB-пакетов.
[B]3.2.1.35 Microsoft Network Client: Digitally sign communications (if server agrees)[/B] – Клиент сети Microsoft: использовать цифровую подпись (с согласия сервера) – [B]Включено[/B]
Если этот параметр включён, то тогда клиент сети Microsoft будет во время открытия сеанса запрашивать у сервера использование подписи для SMB-пакетов. Применение подписи для пакетов будет согласовано, если эта операция разрешена на сервере.
[B]3.2.1.36 Microsoft Network Client: Send Unencrypted Password to Connect to Third-Party SMB Server[/B] – Клиент сети Microsoft: посылать незашифрованный пароль сторонним SMB-серверам – [B]Отключено[/B]
Если этот параметр политики включён, то тогда разрешается отправлять пароли открытым текстом SMB-серверам сторонних производителей, которые не поддерживают шифрование паролей во время проверки подлинности.
[B]3.2.1.37 Microsoft Network Server: Amount of Idle Time Required Before Disconnecting Session[/B] – Сервер сети Microsoft: Длительность простоя перед отключением сеанса – [B]15 минут[/B]
С помощью этой политики администраторы могут определять, когда компьютер должен остановить сеанс SMB, на котором не наблюдается никакой активности. Если клиент возобновит работу, сеанс автоматически восстановится. На компьютеры, где нет ‘шаров’ – эта политика не распространяется.
[B]3.2.1.38 Microsoft Network Server: Digitally sign communications (always)[/B] – Сервер сети Microsoft: Использовать цифровую подпись (всегда) – [B]Включено[/B]
Если этот параметр включён, то тогда сервер сети Microsoft не установит связь с клиентом сети Microsoft при его отказе от использования подписи SMB-пакетов. (предотвращение атаки злоумышленников, искажающие SMB-пакеты при передаче)
[B]3.2.1.39 Microsoft Network Server: Digitally sign communication (if client agrees)[/B] – Сервер сети Microsoft: использовать цифровую подпись (с согласия клиента) – [B]Включено[/B]
Если этот параметр включён, то тогда сервер сети Microsoft при поступлении запроса от клиента будет договариваться с ним об использовании подписи для SMB-пакета. То есть, если применение подписи для пакетов разрешено у клиента, будут вестись соответствующие переговоры.
[B]3.2.1.40 Microsoft Network Server: Disconnect clients when logon hours expire[/B] – Сервер сети Microsoft: отключать клиентов по истечении разрешённых часов входа – [B]Включено[/B]
Если эта политика включена, то клиентские сеансы с участием службы SMB будут принудительно прекращаться по истечении периода времени, отведенного клиенту для работы в системе. Только для рабочих станций в домене.
[url=http://virusinfo.info/showthread.php?t=19517][b]I[/b][/url] [url=http://virusinfo.info/showthread.php?t=19516][b]II[/b][/url] [url=http://virusinfo.info/showthread.php?t=19515][b]III[/b][/url] [url=http://virusinfo.info/showthread.php?t=19514][b][color=red]IV[/color][/b][/url] [url=http://virusinfo.info/showthread.php?t=19513][b]V[/b][/url] [url=http://virusinfo.info/showthread.php?t=19512][b]VI[/b][/url] [url=http://virusinfo.info/showthread.php?t=19511][b]VII[/b][/url]
