22
локальной учетной записи пользователя определяются
Политикой парольной защиты ИВС администрации
встроенная учетная запись локального администратора
переименовывается, на нее назначается пароль в соответствии с
Политикой парольной защиты ИВС администрации, который
должен быть известен только администраторам рабочих станций;
встроенная гостевая учетная запись переименовывается и
отключается;
пользователь работает с правами «Пользователь» («User»);
повышенные полномочия (Администратора, Опытного
пользователя и т.д.) предоставляются по обоснованным заявкам,
согласованным с администратором информационной
безопасности;
установлено и используется только прикладное программное
обеспечение, разрешенное к использованию в ИВС
администрации, прошедшее предварительное тестирование.
Любое другое программное обеспечение устанавливать
запрещается;
установка или удаление программного обеспечения должно
осуществляться по заявке пользователя в диспетчерскую службу.
2.3 Базовые настройки АРМ, имеющие доступ к сети организации.
С помощью данной базовой настройки и будет произведена
разработка автоматизированной системы как базового универсального
элемента автоматизированной банковской системы
АРМ, имеющее доступ к сети ИВС администрации и к сети интернет,
должно удовлетворять следующим требованиям:
23
установлен пароль на изменение настроек BIOS. Параметры пароля
определяются Политикой парольной защиты ИВС администрации
отключена возможность загрузки с любых носителей, кроме жесткого
диска;
учетная запись компьютера должна быть зарегистрирована в службе
каталогов Microsoft Active Directory ИВС администрации
отключены службы ОС Windows («Служба обнаружения SSDP/SSDP
Discovery Service», «Служба беспроводной настройки/Wireless
Configuration»);
активирован паролированный хранитель экрана (интервал включения
не более 15 минут);
локальный брандмауэр настроен для корректной работы ОС и
прикладных программ;
отключена возможность использования каталогов с совместным
доступом к файловым ресурсам (Shared Folders);
до переключения в сеть ИВС администрации должны быть
установлены актуальные обновления ОС и САЗ альтернативным
способом (например, с сайта производителя);
служба автоматического обновления находится в работоспособном
состоянии и активирована;
служба автоматического обновления настроена на автоматическое
плановое получение и установку обновлений;
установлены и сконфигурированы САЗ актуальной (последней)
версии;
используется САЗ с централизованным управлением;
САЗ обеспечивают актуальное обновление антивирусных баз и
плановые антивирусные проверки;
24
присутствуют только встроенные учетные записи ОС, записи,
созданные автоматически при установке прикладного и служебного ПО
и локальные учетные пользователей, для которых регламентирована
работа на этих АРМ;
встроенная учетная запись локального администратора
переименовывается, на нее назначается пароль в соответствии с
Политикой парольной защиты ИВС администрации который должен
быть известен только администраторам рабочих станций;
встроенная гостевая учетная запись переименовывается и
отключается;
пользователь работает с правами «Пользователь» («User»);
повышенные полномочия (Администратора, Опытного пользователя и
т.д.) предоставляются по обоснованным заявкам, согласованным с
администратором информационной безопасности;
установлено и используется только прикладное программное
обеспечение, разрешенное к использованию в ИВС администрации
прошедшее предварительное тестирование. Любое другое программное
обеспечение устанавливать запрещается;
установка или удаление программного обеспечения должно
осуществляться по заявке пользователя в диспетчерскую службу.
Введения ПК в домен сети организации.
В организации используется доменная сеть. Доменная сеть или
доменное имя - это символьное имя, служащее для идентификации
областей. Каждая из таких областей называется доме
ном. Общее
пространство имён Интернета функционирует благодаря DNS — системе
доменных имён. Доменные имена дают возможность адресации интернет-
узлов и расположенных на них сетевых ресурсов (веб-сайтов, серверов
электронной почты, других служб) в удобной для человека форме. В
25
организации ПК в домен вносятся по его серийному номеру, как и было
сказано, для удобства работы.
Добавление рабочих станций в домен производится с помощью
программы Active Directory. Active Directory («Активный каталог», AD) —
LDAP-совместимая реализация службы каталогов корпорации Microsoft для
операционных систем семейства Windows NT. Active Directory позволяет
администраторам использовать групповые политики для обеспечения
единообразия настройки пользовательской рабочей среды, разворачивать
программное обеспечение на множестве компьютеров через групповые
политики или посредством System Center Configuration Manager (ранее
Microsoft Systems Management Server), устанавливать обновления
операционной системы, прикладного и серверного программного
обеспечения на всех компьютерах в сети, используя Службу обновления
Windows Server. Active Directory хранит данные и настройки среды в
централизованной базе данных. Сети Active Directory могут быть
различного размера: от нескольких десятков до нескольких миллионов
объектов.
Стандартная настройка политик безопасности.
Примечание! Группа поддержки СТП (Системно-техническая поддержка) не
администрирует Active-Directory. Добавлением политик и настройкой Active Directory
занимается группа поддержки СТИ (Системно-технической инфраструктурой). В связи
с этим я проведу анализ настройки с помощью регламента созданного для СТИ»
Как уже выяснили, чтобы не настраивать определенные политики и не
устанавливать ПО на каждом ПК, используется программа Active Directory.
С помощью этой программы будет создана определенная критерия политик.
Для того что бы присваивать какие-либо политики нужно сформировать
список ПК, которым будут принадлежать данные политики, в Добавление
26
новых идентификаторов устройств нам потребуется Symantec Endpoint
Protection Manager. Добавление новых идентификаторов устройств в
Symantec Endpoint Protection Manager
B консоли управления Symantec Endpoint Protection Manager (далее
по тексту SEPM) открыть вкладку «Политики», раскрыть группу
«Компоненты политики» и выбрать компонент «Устройства». В списке
задач выбрать «Добавить устройство...» (рисунок 6).
Рис. 7 Добавление устройств
27
В окне добавления устройства указать имя и идентификатор
устройства и включить устройства из обоих рекомендованных списков,
приведенных в таблице 4.1 и таблице 4.2. (рисунок 7).
Рис. 8 Добавление идентификаторов устройства
28
Создание политики «Управление приложениями и устройствами»
После формирования списка устройств, создать новую политику
«Управление приложениями и устройствами», по которой будет
выполняться блокировка и разрешение внешних устройств. В консоли
управления SEPM открыть вкладку «Политики». Выбрать группу политик
«Управление приложениями и устройствами». В списке задач выбрать
«Добавить политику управления приложениями и устройствами...»
(рисунок 8).
Рис. 9 Добавление политики управления приложениями и устройствами
29
Указать имя политики и отметить пункт «Включить политику» Рис 9
Рис. 10 Настройка политики управления приложениями и устройствами
30
Перейти на вкладку «Управление устройствами». В список
управления устройствами «Блокированные устройства» указать устройства,
доступ к которым запрещен. В список управления устройствами
«Разрешенные устройства» указать устройства, доступ к которым разрешен.
Для добавления устройств необходимо под соответствующим списком
нажать кнопку «Добавить», в открывшемся окне выбрать требуемое
устройство и нажать «ОК» После формирования списка управления
устройствами в окне создания политики управления приложениями и
устройствами нажать «ОК».
Рис. 11 Настройка управления устройствами
31
Назначение созданной политики группе компьютеров. Для применения
созданной политики «Управления приложениями и устройствами»
требуется: Создать новую группу. В консоли управления SEPM перейти на
вкладку «Клиенты», перейти в существующую группу, которая будет
являться родительской для вновь создаваемой. В списке задач нажать
«Добавить группу...». Указать имя новой группы и нажать «ОК». В
созданную группу перенести учетные записи АРМ пользователей. Перейти
на вкладку «Политики». Открыть группу политик «Управление
приложениями и устройствами». В списке существующих политик выбрать
созданную ранее политику. В списке задач нажать «Присвоить политику».
В открывшемся окне указать группу с АРМ 4. Рекомендованные списки
Рекомендованный список устройств, доступ к которым запрещен, приведен
в Таблице 6..
№
Имя устройства
Идентификатор
1
USB
Класс: 36fc9e60-c465-11cf-8056-444553540000
2
Floppy
Класс: 4d36e969-e325-11 ce-bfc1 -08002be10318
3
1394 FireWire Host Controller
Класс: 6bdd1 fc1 - 810f-11 d0-bec7-08002be2092f
4
Tape Drives
Класс: 6d807884-7d21 -11 cf-801 c-08002be10318
5
CD/DVD Drives
Класс: 4d36e965-e325-11 ce-bfc1 -08002be10318
6
PCMCIA
Класс: 4d36e977-e325-11ce-bfc1-08002be10318
7
Infrared Devices
Класс: 6bdd1fc5-810f-11d0-bec7-08002be2092f
8
Bluetooth Radios
Класс: e0cbf06c-cd8b-4647-bb8a-263b43f0f974
9
Modems
Класс: 4d36e96d-e325-11 ce-bfc1 -08002be10318