10 советов по обеспечению безопасности Windows Server 2003
Установите Service Pack 1
Первый пакет дополнений Windows Server 2003 Service Pack 1 содержит ряд ключевых расширений безопасности системы, включая значительные усовершенствования для Internet Explorer (очень полезные для серверов Terminal Services), новый брандмауэр, новый мастер конфигурации безопасности для помощи в защите сервера и службу применений последних установленных обновлений Post-Setup Security Update, которая отключает компьютер от сети во время процесса загрузки и установки обновлений Windows. Я рекомендую устанавливать SP1 на новые системы Windows Server 2003, благодаря этому пакету можно полностью оценить предусмотренные защитные возможности.
Всегда используйте NTFS
Файловая система NT, впервые представленная в ОС Windows NT более десяти лет назад, по-прежнему является одним из лучших средств по защите системы Windows. Ещё недавно необходимо было выбирать между FAT и NTFS в зависимости от видов приложений, поддерживаемых сервером. Сегодня уже трудно найти такую программу, которая не работала бы с NTFS, а некоторые и подавно могут запускаться только на этой файловой системе. NTFS предоставляет контроль над пользовательскими полномочиями и позволяет ограничивать права доступа к отдельным файлам и папкам. Если диски вашего сервера всё еще используют систему FAT, переконвертируйте их в NTFS при помощи соответствующей утилиты Windows.
Устанавливайте только то, что необходимо
Это самый простой, но в то же время самый ценный совет по безопасности системы, и я уверен, что вам уже не раз доводилось его слышать. Чем больше служб и программ установлено и запущенно на сервере, тем более широкий простор действий вы даёте злоумышленникам. В частности, не следует устанавливать IIS или службы файлов/принтеров на серверах, где они не будут необходимы. IIS, например, является любимой мишенью хакеров, и несмотря на то, что версия IIS 6.0 по умолчанию более безопасна, её уровень защиты уступает системам с отключённой службой IIS. Помимо этого используйте возможность распределения встроенных ролей Windows Server 2003, которые позволят вам рационально настроить конфигурацию сервера и его служб.
Изолируйте операционную систему
Ещё одним хорошим способом защиты сервера является размещение файлов операционной системы на одном диске (или разделе диска), а файлов компании или приложений на другом. В этом случае, если пользователю-злоумышленнику или хакеру удастся осуществить несанкционированный доступ через дыру в одном из несистемных процессов, то у него будет меньше шансов проникнуть в ядро ОС и разрушить его. Конечно, данный метод не сможет защитить от всех видов атак, однако он является ещё одной полезной мерой по обеспечению безопасности вашего сервера.
Используйте локальные учётные записи для запуска служб
В Windows Server 2003 занижена необходимость использования служебных "Учётных записей" (service accounts), тем не менее, они всё ещё нужны для некоторых служб Windows и приложений от сторонних производителей. Время от времени придётся создавать такие записи для того, чтобы подобные продукты и службы могли войти в систему. Если есть возможность, создавайте локальные служебные учётные записи на тех машинах, где будут работать эти приложения, вместо создания доменных записей. Взломав доменную запись, хакеры могут получить доступ к дополнительным серверам вашей организации. При использовании локальных учётных записей у вас есть больше шансов удержать злоумышленников на одном сервере.
Измените название учётной записи Administrator и имя системной папки
Учётная запись администратора (Administrator), а также директории C:\WINNT и C:\WINDOWS — любимые мишени неискушённых хакеров. Вредоносные коды, эксплуатирующие их уязвимости, можно без труда найти в интернете. Несмотря на то, что подобные методы получения незаконного доступа примитивны, они часто бывают эффективными. Чтобы избежать проблем, вызванных действиями таких кодов, измените название учетной записи Administrator и установите систему Windows Server 2003 в директорию с именем, отличным от C:\WINNT или C:\WINDOWS.
Установите антивирус на сервере
Даже если на почтовых серверах и всех компьютерах организации уже установлено антивирусное ПО, вам всё равно нужно иметь соответствующее приложение на серверах, в частности, на файловых серверах. Если одна из настольных систем не обновляет базу данных записей о вирусах на регулярной основе, вполне возможно, что в скором времени сервер будет переполнен вредоносными программами. Заражённые файлы могут долго «спать», но в один прекрасный день они проснутся и нарушат работу некоторых служб. Или, что ещё хуже, начнут размножаться.
Установите расписание загрузки новых защитных патчей и придерживайтесь его
Обычно Microsoft ежемесячно выпускает несколько защитных заплаток. Было бы не очень рационально устанавливать каждый новый патч независимо от того, нужен ли он вам или нет. Но те из них, которые способствуют усилению безопасности сети, следует немедленно проверить на тестовой системе и внедрить как можно быстрее. В наши дни новые вредоносные коды, эксплуатирующие главные уязвимости, появляются не ежемесячно, а ежечасно, поэтому жизненно важно своевременно обзаводиться новыми защитными заплатками.
Изучайте и используйте новые опции службы «Групповая политика» (Group Policy)
Первый Service Pack Windows Server 2003 даёт администраторам дюжину новых параметров "Групповой политики" для централизованного управления представленными в SP1 защитными функциями. Например, Windows Server 2003 SP1 содержит около трёх десятков опций "Групповой политики", предназначенных для управления одним только брандмауэром. Любой защитной функцией можно управлять при помощи "Групповой политики", это один из самых эффективных способов обеспечить безопасность среды. Для знакомства с полным списком параметров "Групповой политики" посетите раздел сайта Microsoft, посвящённый службе Group Policy системы Windows Server 2003 SP1.
Скачайте и прочитайте Руководство по безопасности Windows Server 2003
Это руководство, выложенное компанией Microsoft в открытый доступ, призвано помочь администраторам провести дополнительные меры по защите своих серверов Windows. От создания базовой политики рядовых серверов (MSBP) и механизмов укрепления безопасности контроллеров домена до проверки угроз и мер противодействия — данное руководство является важным и эффективным инструментом, который должен иметь в арсенале каждый администратор Windows.
Версия на английском: techrepublic.com.com Копирование статьи разрешается только в случае указания явной гиперссылки на веб-сайт winblog.ru, как на источник русскоязычной версии.
