chi tiết, rõ ràng
Trang 2BẢO MẬT TRONG WINDOW SERVER 2003(win2k3)
Lởi mở đầu
Như chúng ta đã biết khoa học máy vi tính ngày nay vô cùng phát triển, do nhu cầu trao đổi thông tin tăng lên không ngừng Ngày nay máy vi tính là một vật bấtkhả li thân của nhiều người, nó đi sâu vào đời sống và giúp lưu trữ, xử lý thông tin hết sức đơn giản Nhưng do yêu cầu công việc muốn trao đổi thông tin với nhau thì người ta cần đến một giao thức hết sức quan trọng đó là giao thức mạng máy tính Mạng vi tính giúp rút ngắn khoảng cách về địa lí dù bạn ở nơi đâu Điều đó đã kéo theo sự phát triển đến chóng mặt của các mạng máy vi tính như:mạng lan mạng wan, mạng internet…Để đáp ứng yêu cầu thời đại, Microsoft nhà cung cấp phần mềm hàng đầu trên thề giới đã tung ra nhiều hệ điều hành như: win server 2000, window server 2003… để điều hành ,quản lý mạng máy vi tính Cùng với nhu cầu trao đổi thông tin thì cũng yêu cầu khả năng bảo mật thông tin đó ngày càng tốt hơn Windowserver 2003 (win2k3)là một sự lựa chọn đúng đắn Win2k3 là phiên bản kế thừa và phát triển các hệ điều hành trước đó Nó đã tích hợp rất nhiều công cụ mạnh nhằm giúp người quản trị có thể thiết lập bảo mật , quản trị hệ thống tin trong mạng của mình trước các cuộc thâm nhập hệ thống trái phép.vì vậy việc tìm hiểu về chính sách
Trang 3bảo mật trong window server 2003 là một nhu cầu tất yếu.Tuy hiện giờ Microsoft đã tung ra phiên bản window server 2008 kế thừa và phát triển của win 2k3 nhưng win 2k3 vẫn là sử dụng phổ biến nhất
Đầu tiên để tìm hiểu về chính sách bảo mật trong win2k3 chúng ta cần hiểu khái niệm bảo mật trong window server 2003 là gì?và tại sao chúng ta lại đi tìm hiểu về chính sách bảo mật trong win2k3?
Sau đó chúng ta sẽ đi sâu vào tìm hiểu các chính sách bảo mật trong win 2k3 gồm những bộ phận nào và chức năng nhiệm vụ của từng bộ phận
Mục lục
Lởi mở đầu 1
Lời cảm ơn 2
Mục lục 2
Chuong 1 : Tìm hiểu hệ thống bảo mật mạng trong window server 2003 6
I,Khái niệm bảo mật trong win 2k3 6
1,Khái niệm bảo mật trong window server 2003 6
II, Các hệ thống bảo mật cơ bản trên win 2k3 7
1,Chính sách tài khoản người dùng 7
1.1,Giới thiệu 7
1.2, Tìm hiểu 7
1.2.1, Chính sách mật khẩu 8
1.2.2, Chính sách khóa tài khoản 9
1.2.3, Chính sách Kerberos(hình 4) 10
1.2.4, Giới thiệu về Kerberos 11
a, Nguyên tắc hoạt động 11
b, Nhược điểm 12
2,Chính sách cục bộ 12
2.1,Giới thiệu 12
2.2 Thiết lập chính sách kiểm toán 13
2.3 , Thiết lập quyền hệ thống cho người dùng 14
2.4 Thuộc tính bảo mật 17
3,Sự kiện dăng nhập` 20
4,Giới thiệu về IPsec 21
4.1,Định nghĩa 21
4.2,Cách sử dụng 21
4.3,Tác dụng 21
c, Cách kết hợp bộ lọc và tác động bảo mật 28
II,Những biện pháp bảo mật nâng cao 32
1,Tìm hiểu về EFS trên WorkGroup 32
1.1,Giới thiệu và mục đích 32
1.2,Chuẩn bị 32
Trang 41.3, Mã hóa thư mục 32
1.4 Admin tạo Recovery Agent 35
2,EFS trên Domain 42
1.1, Mục đích : 42
1.2, Chuẩn bị : 42
1.3,Thực hiện : 42
3.Bảo mật nhóm quản trị nội bộ trên các desktop 43
Nhiệm vụ 1: Remove tài khoản người dùng trong miền .43
Nhiệm vụ 2: Thêm Domain Admin và Local Administrator 45
Nhiệm vụ 3: Revome các tài khoản cụ thể .46
4,Bảo mật trên Server 2003 Domain Controllers 48
Bước 1: Bảo vệ vật lý các DCs 48
Bước 2: Bảo vệ các DCs khỏi việc tấn công từ xa 49
Bước 3: Bảo mật tài khoản Domain 49
Bước 4 Đặt lại đường dẫn cho AD Database 50
Kết luận 54
5, window firewall 54
5.1 giới thiệu 54
5.2, Hướng dẫn cài đặt 54
5.3, Chức năng 56
5.4, Hạn chế 56
III.Lời kết 57
IV.Những tài liệu tham khảo 57
Trang 5Chuong 1 : Tìm hiểu hệ thống bảo mật mạng trong window server 2003 I,Khái niệm bảo mật trong win 2k3
1,Khái niệm bảo mật trong window server 2003
Bảo mật trong win2k3 là tập hợp tất cả các chính sách công cụ trong win2k3 nhằm thiết lập bảo mật hệ thống Thiết lập chính sách bảo mật trên người dùng, nhóm, quyền hạn của người dùng nhằm tăng cường mức an toàn cho mạng của mình
II, Các hệ thống bảo mật cơ bản trên win 2k3
Trong win2k3 chúng ta có 2 phần dành cho bảo mật cơ bản đó
là :Domain controller security setting và Default domain security setting Hai phần này có những thành phần giống nhau nhưng tác dụng, ảnh hưởng của chúng thì khác nhau.Nếu chúng ta chỉnh trên phần Domain controller security setting thì sẽ có ảnh hưởng đến toàn bộ domain: các tài khoản truy nhập domain
từ các máy con và máy trạm
Do vậy trong đồ án này chúng tôi chỉ trình bày về Default domain security setting
1,Chính sách tài khoản người dùng
1.1,Giới thiệu
Chính sách tài khoản người dùng (Account Policy) được dùng để chỉ định các thông số về tài khoản người dùng mà nó được sử dụng khi tiến trình
Trang 6logon xảy ra Nó cho phép bạn cấu hình các thông số bảo mật máy tính : chính sách mật khẩu, khóa tài khoản và chứng thực Kerberos trong vùng Nếu trên Server thành viên thì bạn sẽ thấy hai mục Password Policy và Account Lockout Policy, trên máy Windows Server 2003 làm domain controller thì bạn sẽ thấy bathư mục Password Policy, Account Lockout Policy và Kerberos Policy Trong Windows Server 2003 cho phép bạn quản lý chính sách tài khoản tại hai cấp độ là: cục bộ và miền
1.2, Tìm hiểu
Muốn cấu hình các chính sách tài khoản người dùng ta vào:
Start /program/administrative tools/default domain security settings(hình 1)
Trang 7Hình 1
Trang 81.2.1, Chính sách mật khẩu
Hình 2Chính sách mật khẩu (Password Policies) nhằm đảm bảo an toàn cho mật khẩu của người dùng để tránh các trường hợp đăng nhập bất hợp pháp vào hệ thống Chính sách này cho phép bạn qui định :chiều dài ngắn nhất của mật khẩu, độ phứctạp của mật khẩu…
Trang 91.2.2, Chính sách khóa tài khoản
Hình 3 Chính sách khóa tài khoản (Account Lockout Policy) quy định cách thức
và thời điểm khóa tài khoản trong vùng hay trong hệ thống cục bộ Chính sách này giúp hạn chế tấn công thông qua hình thức logon từ xa
Trang 101.2.3, Chính sách Kerberos(hình 4)
Hình 4
1.2.4, Giới thiệu về Kerberos
Kerberos là một giao thức mật mã dùng để xác thực trong các mạng máy tính hoạt động trên những đường truyền không an toàn Giao thức Kerberos có khả năng chống lại việc nghe lén hay gửi lại các gói tin cũ và đảm bảo tính toàn vẹn của dữ liệu
Mục tiêu khi thiết kế giao thức này là nhằm vào mô hình máy chủ máy khách
Trang 11(client-server) và đảm bảo nhận thực cho cả hai chiều.Giao thức được xây dựng dựa trên mật
mã hóa khóa đối xứng và cần đến một bên thứ ba mà cả hai phía tham gia giao dịch tin tưởng
đó.
b, Nhược điểm
Tồn tại một điểm yếu: Nếu máy chủ trung tâm ngừng hoạt động thì mọi hoạt động sẽ ngừng lại Điểm yếu này có thể được hạn chế bằng cách sử dụng nhiều máy chủ Kerberos
Giao thức đòi hỏi đồng hồ của tất cả những máy tính liên quan phải được đồng
bộ Nếu không đảm bảo điều này, cơ chế chứng thực dựa trên thời hạn sử dụng
sẽ không hoạt động Thiết lập mặc định đòi hỏi các đồng hồ không được sai lệchquá 10 phút
Cơ chế thay đổi mật khẩu không được tiêu chuẩn hóa
Trang 122,Chính sách cục bộ
2.1,Giới thiệu
Chính sách cục bộ (Local Policies) cho phép bạn thiết lập các chính sách giám sát các đối tượng trên mạng như người dùng và tài nguyên dùng chung Đồng thời dựa vào công cụ này bạn có thể cấp quyền hệ thống cho các người dùng và thiết lập các lựa chọn bảo mật
Hình 5
2.2 Thiết lập chính sách kiểm toán
Trang 13Chính sách kiểm toán (Audit Policies) giúp bạn có thể giám sát và ghi nhận các sự kiệnxảy ra trong hệ thống, trên các đối tượng cũng như đối với các người dùng Bạn có thể xem các ghi nhận này thông qua công cụ Event Viewer trong mục Security
2.3 , Thiết lập quyền hệ thống cho người dùng
Đối với hệ thống Windows Server 2003, bạn có hai cách cấp quyền hệ thống cho người dùng là: gia nhập tài khoản người dùng vào các nhóm tạo sẵn (built-in) để
kế thừa quyền hoặc bạn dùng công cụ User Rights Assignment để gán từng quyền rời rạc cho người dùng Trong hai công cụ đó bạn mở mục Local Policy\ User Rights Assignment để thêm ,bớt quyền hạn cho người dùng hoặc nhóm Ta chọn quyền cần cấp rồi ấn ADD hoặc REMOVE
+Access This Computer from the Network : cho phép truy cập đến máy tính này thông qua mạng
+Act as Part of the Operating System :cho phép các dịch vụ chứng thực ở mức thấp
Trang 14+Add Workstations to the Domain : cho phép thêm tài khoản vào vùng (domain)+Back Up Files and Directories : cho phép sao lưu dự phòng tập tin và thư mục+Bypass Traverse Checking :cho phép người dùng duyệt qua cấu trúc thư mục nếu không có quyền xem
+ Change the System Time :thay đổi giờ hệ thống
+ Create a Pagefile :tạo 1 trang tập tin
+ Create a Token Object :cho phép tạo thẻ bài nếu dùng NTCreate Token API
+ Create Permanent Shared Objects :tạo 1 đối tượng thư mục
+ Debug Programs : cho phép sử dụng chương trình DEBUG vào bất kì tiến trình nào+ Deny Access to This Computer from the Network :cho phép khóa tài khoản người dùng hoặc nhóm truy cập đến máy tính này từ mạng
+ Deny Logon as a Batch File :từ chối logon như 1 file batch+ Deny Logon as a Service :từ chối logon như 1 tác vụ (service)
+ Deny Logon Locally: từ chối người dùng hoặc nhóm đăng nhập đến máy cục bộ
Hình 6+ Enable Computer and User Accounts to Be Trusted by Delegation : cho phép tài khoản người dùng hoặc nhóm được ủy quyền cho người dùng hoặc máy tính
Trang 15+ Force Shutdown from a Remote System :cho phép tắt máy tính từ hệ thống điều khiển từ xa
+ Generate Security Audits : cho phép tao entry vào Security log
+ Increase Quotas :điều khiển hạn ngạch các tiến trình
+ Increase Scheduling Priority : Quy định một tiến trình có thể tăng hoặc giảm độ ưu tiên đã được gán cho tiến trình khác
+ Load and Unload Device Drivers :cho phép cài đặt hoặc gỡ bõ driver của thiết bị khác
+ Lock Pages in Memory :khóa trang trong vùng nhớ
+ Log On as a Batch Job : Cho phép một tiến trình logon vào hệ thống và thi hành
một tập tin chứa các lệnh hệ thống
+ Log On as a Service : Cho phép một dịch vụ logon và thi hành một dịch vụ riêng.
+ Log On Locally : Cho phép người dùng logon tại máy tính Server
+ Manage Auditing and Security Log : Cho phép người dùng quản lý Security log.+ Modify Firmware Environment Variables : Cho phép người dùng hoặc một tiến trình hiệu chỉnh các biến môi trường hệ thống
Trang 16+ Profile System Performance : Cho phép người dùng giám sát các tiến trình hệ thốngthông qua công cụ Performance Logs and Alerts.
+ Remove Computer from Docking Station : Cho phép người dùng gỡ bỏ một Laptopthông qua giao diện người dùng của Windows 2003
+ Replace a Process Level Token : Cho phép một tiến trình thay thế một token mặc định mà được tạo bởi một tiến trình con
+ Restore Files and Directories : cho phép phục hồi tập tin và thư mục
+ Shut Down the System :cho phép tắt hệ thống
+ Synchronize Directory Service Data : Cho phép người dùng đồng bộ dữ liệu với một dịch vụ thư mục
+ Take Ownership of Files or Other Objects : Cho người dùng tước quyền sở hữu củamột đối tượng hệ thống
Hình 6.2
Trang 172.4 Thuộc tính bảo mật
Các lựa chọn bảo mật (Security Options) cho phép người quản trị Server khai báo thêm các thông số nhằm tăng tính bảo mật cho hệ thống như: không cho phép hiển thị người dùng đã logon trước đó hay đổi tên tài khoản người dùng tạo sẵn
(administrator, guest) Trong hệ thống Windows Server 2003 hỗ trợ cho chúng ta rất nhiều lựa chọn bảo mật, nhưng trong giới hạn đồ án này chúng ta chỉ khảo sát các lựa chọn thông dụng
Trang 19+ Network security: force logoff when logon hours expires : Tự động logoff khỏi hệ thống khi người dùng hết thời gian sử dụng hoặc tài khoản hết hạn.
+ Interactive logon: do not require CTRL+ALT+DEL : Không yêu cầu ấn ba phím
CTRL+ALT+DEL khi logon.
+ Interactive logon: do not display last user name : Không hiển thị tên người dùng đã logon trên hộp thoại Logon
+ Account: rename administrator account : Cho phép đổi tên tài khoản Administrator
thành tên mới
+ Account: rename guest account : Cho phép đổi tên tài khoản Guest thành tên mới
+Account: Administrator account status :tài khoản admin
Hình 7.2+account:guest account status :tài khoản guest
+account:limit local account use of blank passwords to console logon only : giới hạn tài khoản cục bộ sử dụng mật khẩu trắng khi logon
+Audit:audit the user of backup and restore privilege :cho phép người dùng tạo lưu trữ
và phục hồi đặc quyền
Trang 20+Audit: Shut down system immediately if unable to log security audits :tắt hệ thống ngay lập tức nếu bảo mật cho phép
+DCOM:machine access restrictions in security
+shutdown:clear vitual memory pagefile :xoa pagefile bộ nhớ ảo
Hình 7.3
3,Sự kiện dăng nhập
Giúp người dùng sử dụng dễ dàng hơn, hệ thống ,quản lý thông tin của người dùng khi đăng nhập, các lựa chọn thiết lập, lưu trữ thông tin người dùng khi đăng nhập
Trang 21
Hình 7.4
4,Giới thiệu về IPsec
4.1,Định nghĩa
-Ipsec(IP scurity) là 1 giao thức hỗ trợ bảo mật dựa trên địa chỉ IP
-Giao thức hoạt động ở tầng thứ 3 network trong mô hình OSI nên nó an toàn và tiện lợi hơn tầng APPLICATION
+Block transmissions: có chức năng chặn những gói dữ liệu được truyền
+Encryp transmissions:mã hóa dữ liệu được truyền
+Sign transmissions: ký tên vào các gói dữ liệu được truyền nhằm tránh giã mạo+Permit transmissions:cho dữ liệu truyền thông qua dựa vào các qui tắc (rule)
Trang 224.4,Tìm hiểu
Cách vào IPsec:
StartProgramsadministrative toolsdefault domain controller security
settingsIP security policies on local machine
Trang 23
Hình 9 Rồi chọn mirrored … Để cho qui tắc có tác dụng qua lại giữa 2 máy
Hình 10
Trang 24Đến điền địa chỉ nguồn
Trang 25Chọn kiểu kết nối
Hình 14FINISH ok
b,Thiết lập tác động lọc
Chọn tab manage filter actions
Trang 27
Hình 17
Chọn tác động
Hình 18
Trang 28Bảo mật IP
Hình 19
c, Cách kết hợp bộ lọc và tác động bảo mật
Nhấp phải chuột IP security on active directorygreate ip security policyadd
để thêm IP mớiđiền tên(hình 20)
Trang 29
Hình 20 chọn điểm kết thúc của kênh tunnel
Hình 21 chọn kiểu kết nối mạng
Trang 30
Hình 22 chọn bộ lọc IP
Hình 23 chọn tác động lọc
Hình 24
Trang 31-Secure Server:bắt buộc sử dụng IPSEC trong mọi cuộc trao đổi dữ liệu trong server
e,Kết luận
Trang 32IPSEC là 1 phần hỗ trợ giúp việc trao đổi dữ liệu được nâng cao và an toàn hơn
II,Những biện pháp bảo mật nâng cao
1,Tìm hiểu về EFS trên WorkGroup
-1 máy chạy window xp
-Tạo 1 user và logon bằng user Vừa tạo ở đây đặt tên là nguyen van dai
-Tao 1 thư mục test ,ở đây là trên ổ c tên là test
1.3, Mã hóa thư mục
a Logon U1 Start Run mmc OK
b Chọn menu File Add/Remove Snap-in … Certificates Add Close
OK.
Hiện tại trong Personal chưa có gì cả !!!(hình 26)
Trang 33Hình 26
Chọn menu File Save Desktop Đặt tên file là Certificate_u1
c Mở Windows Explorer tạo thư mục C:\Test
Click nút phải chuột trên thư mục Test Properties
Trang 34Hình 27
d Trong màn hình TestEFS Properties Advanced.(hinh 28)
Hình 28
Trong màn hình Advanced Attributes đánh dấu chọn ô Encrypt contents to secure
data OK Apply OK(hình 29)
Hình 29
Trang 35e Trong thư mục Test, tạo 1 file tên u1.txt với nội dung là “Day la file cua u1”
f Double click biểu tượng Certificate_u1 trên desktop Lúc này, trong Certificates của Personal có 1 certificate của U1,đây là certificate “self singing” của u1
Hình 30Logon Administrator, mở file C:\TestEFS\u1.txt không mở được
Hình 31
1.4 Admin tạo Recovery Agent
a Logon Administrator Vào Start menu Run cmd
b Tại màn hình Command Prompt, gõ các lệnh sau:
- CD \