Tartalomjegyzék. 1. fejezet A Windows 2000 biztonsági szolgáltatásai. Röviden Azonnali megoldások... 11

Átírás

1 Tartalomjegyzék 1. fejezet A Windows 2000 biztonsági szolgáltatásai Röviden A Windows 2000 és az Active Directory Elosztott biztonsági rendszerek és biztonsági protokollok Intelligens kártyák használata Titkosítás IP biztonság Virtuális magánhálózatok Biztonsági beállító- és vizsgálóeszközök Azonnali megoldások Az Active Directory rendszer felépítése Biztonsági fiókok kezelése A tranzitív kétirányú bizalmi viszonyok használata Felügyeleti jogok átruházása A hozzáférési jogosultságok finomhangolása hozzáférésszabályozási listák segítségével A biztonsági protokollok használata A Security Support Provider felület használata A Kerberos 5 hitelesítési protokoll használata Kerberos jegyek A Kerberos együttmûködése a rendszerrel

2 Együttmûködés különbözõ rendszerek között A Kerberos nyilvános kulcsú hitelesítéssel kapcsolatos kiegészítései Nyilvános kulcsú hitelesítés használata az internetes kapcsolatok biztosítására Ügyfelek azonosítása SSL 3 segítségével Külsõ felhasználók azonosítása A Microsoft bizonyítványszolgáltatások A CryptoAPI Különbözõ cégek közti hozzáférés megvalósítása Vállalati méretû megoldások Az NTLM hitelesítések használata A Kerberos hitelesítések használata A személyes nyilvános kulcspárok és bizonyítványok használata. 43 Áttérés NTLM-rõl Kerberosra Az internetprotokollal kapcsolatos biztonsági rendszer használata. 44 Virtuális magánhálózatok használata A biztonsági beállításokkal kapcsolatos eszközök használata Áttérés Windows NT 4-rõl Windows 2000-re fejezet Az Active Directory és a hozzáférés-szabályozási listák Röviden A Windows 2000 Active Directory rendszere A címtár névtere Az Active Directory mint kiszolgáló A biztonság és az Active Directory Hozzáférés-szabályozási listák Azonnali megoldások Nyílt szabványok támogatása A DNS rendszer támogatása Az LDAP támogatása Szabványos névformátumok támogatása Programozási felületek használata Az Active Directory szolgáltatási felületei A Windows Messaging API Az LDAP C API A Windows Script Host használata Parancsfájlok futtatása a parancssorból xii

3 Parancsfájlok futtatása a Windowsból A méretezhetõség biztosítása Tartományfák és erdõk használata Az Active Directory tartományok és meghatalmazások segédprogram használata A szervezet felépítésének modellezése címtár-objektumokkal A felügyeleti rendszer finomhangolása A címtár-szolgáltatások kiterjesztése a kiegészíthetõ sémán keresztül Elosztott biztonsági rendszer használata Biztonsági beállítások megadása a csoportházirend-szerkesztõ segítségével A hozzáférés-szabályozási listák alapértelmezett beállításainak elemzése A felhasználókra vonatkozó alapértelmezett beállítások 86 A kiemelt felhasználókra vonatkozó alapértelmezett beállítások A tartományvezérlõkkel kapcsolatos csoportok A rendszergazdákra vonatkozó alapértelmezett beállítások A csoportok összetételének elemzése Váltás a különbözõ felhasználói környezetek között A biztonsági beállítások összehangolása az operációs rendszer frissítése után A Biztonsági sablonok program használata Készen kapott biztonsági sablonok Biztonsági szintek Az ACL-szerkesztõ használata fejezet Csoportházirendek Röviden A csoportházirendek tulajdonságai A csoportházirendek és az Active Directory Számítógépekre és felhasználókra vonatkozó beállítások Programok kezelése Biztonsági beállítások Parancsfájlok xiii

4 Azonnali megoldások A csoportházirendek beillesztése az Active Directory rendszerébe A csoportházirendet kezelõ beépülõ modul beállítása Saját konzol készítése Hozzáférés tartományra vagy szervezeti egységre vonatkozó csoportházirendhez Csoportházirend objektum létrehozása Csoportházirend objektumok szerkesztése Helyi bejelentkezés engedélyezése a felhasználóknak a tartományvezérlõn Csoportházirendek kezelése Csoportházirend objektumok hozzáadása és tallózása Az öröklõdéssel és felülbírálattal kapcsolatos beállítások A házirendek öröklõdésének tiltása A csoportházirend objektumok egyes részeinek kiiktatása Egyetlen csoportházirend objektum hozzárendelése több telephelyhez, tartományhoz vagy szervezeti egységhez A rendszerleíró adatbázison alapuló szabályok kezelése Felügyeleti sablonok létrehozása A rendszerleíró adatbázison alapuló szabályok felülbírálata felügyeleti sablonok segítségével Windows NT és 9x ügyfelek támogatása Parancsfájlok létrehozása Kijelenkezési, illetve be- és kikapcsolási parancsfájlok üzembe helyezése Szûrés biztonsági csoportokkal Visszacsatolt feldolgozás használata adott számítógéphez kapcsolódó házirendek létrehozásához Naplózási házirend létrehozása fejezet Biztonsági protokollok Röviden Protokollok Az NTLM és a Kerberos rendszerek összehasonlítása Azonnali megoldások Elosztott biztonsági protokoll üzembe helyezése Kulcskiosztó központ használata xiv

5 Kapcsolati jegyek használata Jegymegadó jegyek használata A Kerberos alprotokolljai AS forgalom TGS forgalom CS forgalom A bejelentkezések hitelesítése Bejelentkezés intelligens kártyával Tartományi határokon átnyúló hitelesítés A Kerberos jegyek vizsgálata A jegyek tartalma A jegyek élettartamának korlátozása Megújítható Kerberos jegyek A hitelesítés átruházása Köztes jegyek Továbbított jegyek A tartományi Kerberos házirend beállítása Kerberos Security Support Provider (SSP) A Security Support Provider felület használata A biztonsági csomagok képességei fejezet A titkosító fájlrendszer Röviden Miért van szükség az adatok titkosítására? A titkosító fájlrendszer Kapcsolat a felhasználóval Az adatok visszaállítása Fájlok titkosítása Fájlok és könyvtárak visszafejtése Visszaállítási mûveletek Kriptográfia Az EFS felépítése Azonnali megoldások A Cipher parancssori segédprogram használata Fájlok és könyvtárak titkosítása Fájlok és könyvtárak titkosítása a Windows Intézõ segítségével Fájlok és könyvtárak titkosítása a Cipher segédprogrammal Fájlok és könyvtárak visszafejtése xv

6 Fájlok és könyvtárak visszafejtése a Windows Intézõ segítségével Fájlok és könyvtárak visszafejtése a Cipher segédprogrammal Titkosított fájlok és könyvtárak másolása, áthelyezése és átnevezése Titkosított fájlok és könyvtárak törlése Titkosított fájlok és könyvtárak mentése Titkosított fájlok, könyvtárak vagy meghajtók mentése a Backup program segítségével Titkosított fájlok és könyvtárak visszaállítása Titkosított fájlok, könyvtárak vagy meghajtók visszaállítása a Backup program segítségével Mentett titkos fájlok visszamásolása másik számítógépre A titkosítási bizonyítvány és a személyes kulcs mentése A titkosítási bizonyítvány és a személyes kulcs visszaállítása másik rendszeren Alapértelmezett visszaállítási kulcs biztosítása önálló számítógépen Alapértelmezett visszaállítási kulcs biztosítása tartományban. 228 Helyreállítási megbízottak kinevezése Vállalati hitelesítési központ üzembe helyezése Fájl visszaállítására vonatkozó hitelesítés kérése Hitelesítés másolása CER fájlba Hitelesítés áthelyezése biztonságos PFX fájlba Tartományra vonatkozó adatvisszaállítási házirend létrehozása Szervezeti egységre vonatkozó adatvisszaállítási házirend létrehozása Fájl vagy könyvtár visszaállítása Az EFS használatának letiltása számítógépek egy csoportján fejezet Nyilvános kulcsok xvi Röviden Nyilvános kulcsokon alapuló titkosítás Digitális aláírások Személyazonosítás Titkos kulcsú megállapodás nyilvános kulcsok segítségével Nagy mennyiségû adat titkosítása megosztott titok nélkül

7 A titkosító kulcsok védelme és hitele Bizonyítványok Hitelesítõ központok Bizalom és hitelesítés A Windows 2000 nyilvános kulcsú rendszerének elemei Bejelentkezés intelligens kártya segítségével Az IPSec biztonsági rendszer Azonnali megoldások Tartományi ügyfelek beléptetése Visszaállító kulcsok Bizonyítványok kiadása Bizonyítványok megújítása A kulcsok és bizonyítványok használata Nyilvános kulcspárok és hitelesítések visszaállítása. 256 Azonos nyilvános kulcson alapuló programok használata különbözõ gépeken A bizonyítványok hitelessége A Windows 2000 nyilvános kulcsokon alapuló biztonsági rendszerének használata Bejelentkezés intelligens kártyával A Világhálóval kapcsolatos biztonsági beállítások A Microsoft Outlook beállítása az SSL használatára Nyilvános kulcsokon alapuló hitelesítés használata az Internet Explorerben Nyilvános kulcsokon alapuló biztonságos levelezõrendszer felállítása Digitálisan aláírt tartalom Az Outlook Express beállítása nyilvános kulcsokon alapuló biztonsági rendszer használatához Digitálisan aláírt levél küldése Digitálisan titkosított levél küldése A címzett nyilvános kulcsának lekérdezése kereskedelmi hitelesítõ központtól Az Outlook beállítása nyilvános kulcsokon alapuló biztonsági rendszer használatához Az Üzenet digitális aláírása és az Üzenet titkosítása ikonok felvétele az eszköztárba Egyes üzenetek digitális aláírása és titkosítása A más rendszerekkel való együttmûködés lehetõségének biztosítása Az internetes szabványok használata xvii

8 7. fejezet Bizonyítványszolgáltatások Röviden Bizonyítványok Hitelesítõ központok Hitelesítési rendszerek Vállalati hitelesítõ központ használata Többközpontú hitelesítési rendszerek A bizonyítványok visszavonása Azonnali megoldások Hitelesítõ központ felállítása A Bizonyítványszolgáltatások weblapjainak használata A weblapokon megadott beállítások visszaigazolása. 303 A hitelesítõ központtól kapott bizonyítványok telepítése A gyökérbizonyítvány letöltése Bizonyítvány kérése Várakozó bizonyítványkérelmek teljesítése A kiadott bizonyítvány ellenõrzése Különleges bizonyítvány kérése Bizonyítvány bejegyzése PKCS#10 fájl segítségével Bizalmi viszony beállítása tartomány és külsõ hitelesítõ központ között Automatikus bizonyítványkérés beállítása A bizonyítványszolgáltatások indítása és leállítása A hitelesítõ szervezet adatainak mentése és visszaállítása A hitelesítõ szervezet adatainak mentése A hitelesítõ szervezet adatainak visszaállítása A hitelesítõ szervezet naplójának és adatbázisának megjelenítése A kiadott bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele Bizonyítványok visszavonása Lista készítése a visszavont bizonyítványokról A visszavont bizonyítványok listájának megjelenítése. 325 A Hitelesítõ szervezet program házirendi és kilépési összetevõinek beállítása xviii

9 8. fejezet Bizonyítványok hozzárendelése felhasználói fiókokhoz Röviden Miért van szükség a bizonyítványok hozzárendelésére? A hozzárendelés típusai A felhasználó egyszerû neve szerinti hozzárendelés 335 Egy az egyhez típusú hozzárendelés Több az egyhez típusú hozzárendelés Hol történik a hozzárendelés? IIS Active Directory Azonnali megoldások Felhasználói bizonyítvány telepítése Bizonyítvány beszerzése Microsoft bizonyítványkiszolgálótól Bizonyítvány telepítése kereskedelmi szolgáltatótól 340 Bizonyítványok kivitele Hitelesítõ központ bizonyítványának telepítése Az Active Directory beállítása az egyszerû felhasználónév alapján történõ hozzárendeléshez Webkiszolgáló bizonyítványának telepítése A Secure Sockets Layer beállítása Az Active Directory beállítása egy az egyhez típusú hozzárendelés használatához Az IIS beállítása egy az egyhez típusú hozzárendelés használatához Az Active Directory beállítása több az egyhez típusú hozzárendelés használatához Az IIS beállítása több az egyhez típusú hozzárendelés használatához A hozzárendelés ellenõrzése Korlátozott elérésû fájl létrehozása A hitelesítés kikapcsolása Kapcsolódás weblaphoz xix

10 9. fejezet Intelligens kártyák Röviden Mik azok az intelligens kártyák? Az intelligens kártyák összeegyeztethetõsége A PC/SC munkacsoport Az OpenCard keretrendszer Java kártyák A Microsoft rendszere Támogatott intelligens kártyák Támogatott kártyaolvasók Azonnali megoldások Kártyaolvasó telepítése A kártyaolvasó csatlakoztatása A kártyaolvasó illesztõprogramjának telepítése Intelligens kártyákat bejegyzõ állomás felállítása Beiktató ügynöki bizonyítvány beszerzése Intelligens kártyák kibocsátása Intelligens kártyával kapcsolatos bizonyítvány bejegyzése a felhasználó nevében Bejelentkezés intelligens kártyával Interaktív bejelentkezés Bejelentkezés ügyfélazonosítással Távoli bejelentkezés Az intelligens kártyák képességeinek kihasználása Az intelligens kártyával rendelkezõ felhasználók csoportjának kiválasztása Az intelligens kártyákkal kapcsolatos házirendi szabályok Az intelligens kártyákkal kapcsolatos problémák megoldása A felhasználó otthon felejtette a kártyáját A felhasználó elfelejtette a PIN kódját A felhasználó odaadta a PIN kódját valaki másnak. 398 A felhasználó kivette a kártyát az olvasóból, mielõtt a mûvelet befejezõdhetett volna A PIN kódokkal kapcsolatos problémák Intelligens kártyák kiadása Az intelligens kártyákat bejegyzõ állomás biztosítása Alkalmazások elhelyezése intelligens kártyákon A Smart Card Software Development Kit használata xx

11 IbyteBuffer ISCard ISCardAuth ISCardCmd ISCardDatabase ISCardFileAccess ISCardISO ISCardLocate ISCardManage ISCardTypeConv ISCardVerify A Microsoft API-k használata CryptoAPI Scard COM Win A Java Card API 2.1. használata Az OpenCard Framework használata fejezet Az IP Security rendszer Röviden Az IP Security által nyújtott védelem Az IPSec szolgáltatásai A rendszer által támogatott szabványok Biztonsági protokollok Biztonsági társulások A kulcskicserélési szakasz Az adatvédelmi szakasz A társulások élettartama Azonnali megoldások Az IPSec mûveletek vizsgálata Az IPSec beállításai Az IPSec beállítása egyes gépekre Az IPSec beállítások ellenõrzése Az IPSec házirendek törlése Az IPSec rendszer beállítása tartományra Az IPSec tartományi házirend mûködésének ellenõrzése A védelmi eljárások módosítása Az IPSec beállítása szervezeti egység számára Az IPSec házirendekre vonatkozó szabályok xxi

12 11. fejezet Virtuális magánhálózatok Röviden Virtuális magánhálózatok használata Védett csatornák Hitelesítés A PPTP és L2TP protokollok összehasonlítása Remote Authentication Dial-in User Service (RADIUS) Azonnali megoldások A virtuális magánhálózat megtervezése VPN kiszolgáló felállítása A VPN kiszolgáló beállítása A VPN ügyfél beállítása A távoli hozzáféréssel rendelkezõ felhasználók fiókjainak szervezése Távoli hozzáférési házirend létrehozása útválasztó-útválasztó VPN kapcsolatok kezeléséhez Kölcsönös hitelesítés lehetõvé tétele Számítógép bizonyítványának automatikus lekérése L2TP és PPTP kapuk létrehozása fejezet Biztonsági beállító- és vizsgáló eszközök Röviden Beállítóeszközök A biztonsági sablonok beállításai Fiókházirend Helyi házirend Eseménynapló Korlátozott csoportok Rendszerszolgáltatások Rendszerleíró adatbázis Fájlrendszer Készen kapott biztonsági sablonok Alap Kompatibilis Biztonságos Kiemelten biztonságos Dedikált tartományvezérlõ xxii

13 Azonnali megoldások Biztonsági beállítások megadása és elemzése Biztonsági sablon módosítása Biztonsági beállítások kivitele A biztonsági sablonok szerkesztése Készen kapott sablonok szerkesztése Saját sablon készítése másolás és beszúrás használatával A Secedit parancs használata A rendszer biztonságának elemzése A rendszer biztonságának beállítása Biztonsági beállítófájl érvényességének ellenõrzése 502 A biztonsági beállítások frissítése A biztonsági beállítások kivitele fejezet Gyakran használt kifejezések és rövidítések Gyakran használt kifejetések és rövidítések Tárgymutató xxiii