32
управления устройствам.
Таблица 6 Список блокированных устройств
Таблица 7. Список разрешенных устройств.
Для создания требуемых политик необходимо в консоли «Active
Directory Users and Computers» создать новый список, в которое поместить
все компьютеры пользователей (рисунок 11).
10
Карты памяти
Класс: 4d36e970-e325-11 ce-bfc1 -08002be10318
№
Имя устройства
Идентификатор
1
Human interface Devices
Класс: 745a17a0-74d3-11d0-b6fe-
00a0c90f57da
2
Printing Devices
Класс: 4d36e979-e325-11 ce-bfc1 -
08002be10318
3
Imaging Devices
Класс: 6bdd1fc6-810f-11d0-bec7-
08002be2092f
4
Smart Card Readers
Класс: 50dd5230-ba8a-11d1-bf5d-
0000f805f530
5
Network Adapters
Класс: 4d36e972-e325-11 ce-bfc1 -
08002be10318
Рис. 12 Параметры политик
33
Для настройки параметров аудита и журналов безопасности
необходимо в созданной ранее политике в разделах
1.«Computer Configuration/Policies/Windows Settings/Security Settings/Local
Poucies/Audit Policy» задать следующие параметры (рисунок 13):
- Audit account logon events: Success, Failure;
- Audit account management: Success, Failure,
- Audit directory service access: Success, Failure;
- Audit logon events: Success, Failure;
- Audit object access: Success, Failure;
- Audit policy change: Success, Failure;
- Audit privilege use: Success, Failure;
Далее в оснастке «Group Policy Management» необходимо создать две
новых групповых политики, привязав их к созданному ранее «списке»
(рисунок 12).
Риc. 13 Параметры политик.
34
- Audit process tracking: Success, Failure; Audit system events: Success,
Failure.
2. Computer Configuration/Policies/Windows Settings/Security Settings/ Event
Logs
Задать следующие параметры (рисунок 13):
Maximum security log size: 128000 kilobytes Retention method for security log:
As needed
Для настройки параметров блокировки экрана необходимо в
созданной ранее политики в разделах:
1.User Configuration/Policies/Administrative Templates/Control
Panel/Personalization задать следующие параметры (рисунок 14):
- Enable screen saver: EnaDled;;
- Force specific screen saver: Enabled;
- Screen saver executable name: scrnsave.scr;
- Password protect the screen saver: Enabled
- Screen saver timeout: Enabled.
Рис. 14 Параметры политик.
35
Number of seconds to wait to enable the screen saver: Seconds: 60C.
2. Computer Configuration/Policies/Administrative Templates/ System/ Group
Policy задать следующие параметры (рисунок 14):
- User Group Policy loopback processing mode: Enabled;
Рис. 15 Параметры политик.
36
В последствии как специалисты СТИ произведут настройку Symantec Endpoint
Protection, специалисты СТП начнут добавление рабочих станций на сервер Active
Directory.
Рис. 16 Интерфейс ПО Active Directory
Добавление производится следующим образом:
1. Специалист открывает вкладку действие и нажимает кнопку «Создать
ПК», после этого создает объекты, нажав на клавишу «Изменить»
37
Рис. 17 Добавление рабочей станции в домен
После этого производится поиск по домен, все рабочие станции
организации находятся в группе «acc», после этого нажимаем на
клавишу «ОК»
Рис. 18 Введение ПК в группу
Затем выбирается группа. Для ввода в домен в организации ООО
«Газпром Информ» используется первая группа.
38
Рис. 19 Выбор группы для рабочей станции.
Как показано на изображении, в строчке «Имя пользователя или
группы» были внесены изменения. После этого в поле «Имя компьютера»
вводится серийный номер рабочей станции. Каждая рабочая станция
должна быть промаркирована индивидуальным серийным номером.
Рис. 19 Инвентаризационная наклейка рабочей станции.
и нажимается кнопка «ОК»
39
Рис. 20 Добавление ПК в домен
Установка и настройка защищенной рабочей станции.
Установка и настройка производится по специальному регламенту.
ДО НАЧАЛА РАБОТ
1.Рабочая станция настраивается в соответствии в соответствие с
документом "Комплексная система защиты информации в ИВС
администрации
Подсистема защиты серверов Windows и рабочих мест пользователей.
Для выполнения работ необходимо :
- получить в диспетчерской заявку на перевод рабочей станции в
защищенный сегмент и согласовать с пользователем время работы.
- сгенерировать заявку для перевода розетки в VLAN, перевода учетной
записи компьютера в защищенный контейнер и ввод пользователя в состав
группы
защищенных пользователей.
У ПОЛЬЗОВАТЕЛЯ
Специалист входит под учетной записью локального
администратора и устанавливает временный пароль, известный только
специалистам
На защищенной рабочей станции все разделы жесткого диска должны
быть отформатированы с использованием файловой системы NTFS.
40
Наличие разделов с другой файловой системой не допускается. При
наличии на жестком диске защищенной рабочей станции разделов с
файловой системой, отличной от NTFS, необходимо произвести
конвертирование файловой системы всех таких разделов. Для этого в
командной строке выполняется команда: convert <имя раздела> /fs:ntfs 3.
Проверка наличия других версий ОС. Разрешенными системами являются
Windows XP Professional или Windows 7 Необходимо обеспечить, чтобы
защищенная ОС была единственной ОС, установленной на защищенной
рабочей станции. При наличии других установленных ОС, они удаляются с
жесткого диска защищенной рабочей станции. 4.Скачивание
программного обеспечения проверяется версия операционной системы с
помощью команды winver. Необходимое программное обеспечение
скачивается с сервера. 5. Рабочая станция переводится в защищенный
сегмент VLAN. Для этого необходимо сообщить сетевым администраторам
MAC адрес компьютера и номер розетки. 6. Компьютер переименовывается
(при необходимости). Имя компьютера должно совпадать с его серийным
номером. Компьютер вводится в состав домена adm.gazprom.ru. При вводе
компьютера в состав домена используется учетная запись специалиста СТП.
Применение локальных шаблонов безопасности. Для обеспечения
требуемого уровня защиты ОС осуществляется настройка определенного
набора параметров операционной системы. Отключается Брандмауэр
Windows. Специалист правой кнопкой мыши нажимай на иконку «Мой
компьютер», после этого переходит во вкладку «управление» и во вкладке
«Службы» выбирает «Брандмауэр»
41
Рис. 21 Настройка защиты на ОС.
После этого полностью отключаем все брандмауэр.
Рис. 22 Отключение Брандмауэра Windows
Позже устанавливается драйвер Крипто-про. Специалист заходит в
панель управление, где выбирает приложение Крипто Про-csp