Biztonság

Ez a témakör a Windows 2000 biztonságával foglalkozik: hogyan biztosíthatja az adat hozzáférését, tárolását és cseréjét biztonsági igényeinek megfelelően.

  • Mielőtt továbblépne, olvassa el a Feladatlista című témakört.
  • A megszokott feladatok végrehajtásának új módjaival kapcsolatos tudnivalók a Megszokott feladatok végrehajtásának új módjai című témakörben találhatók.
  • A rendszerbiztonság megvalósításával kapcsolatos javaslatok a Gyakorlati tanácsok című témakörben találhatók.
  • A konkrét feladatok megoldásáról az Útmutató című oldalon tájékozódhat.
  • Az általános tudnivalókat a Fogalmak című témakörben találja meg.
  • A problémák elhárításáról a Hibaelhárítás című témakörben olvashat.


Feladatlisták

A konkrét biztonsági felügyeleti feladatokkal kapcsolatban az alábbi feladatlisták nyújtanak segítséget:

  • Feladatlista: Biztonsági sablon megadása Csoportházirendhez
  • Feladatlista: Biztonsági sablon megadása helyi számítógéphez
  • Feladatlista: Biztonság elemzése
  • Feladatlista: Rendszerbiztonság konfigurálása
  • Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése intranethez
  • Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése az Internethez
  • Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel
  • Feladatlista: Intelligens kártyák üzembe helyezése Windows rendszerbe történő bejelentkezéshez
  • Biztonságkezeléssel kapcsolatos általános feladatok


Biztonságkezeléssel kapcsolatos általános feladatok

A Windows 2000 környezetben elvégzendő leggyakoribb biztonságkezelési feladatok:

Feladat | Hivatkozás
Többtartományos környezetben tartományok közötti meghatalmazotti kapcsolatok kezelése. | Meghatalmazás
Tartomány erőforrásai felügyeletének delegálása, beleértve az Active Directory objektumokat és megosztásokat. | Active Directory objektumok
Alapértelmezett csoportok kezelése és új csoportok létrehozása. | Csoportok
Biztonsági házirendek (például a felhasználói fiókok házirendjei és a naplórendek) testreszabása. | Biztonsági sablonok – áttekintés
Nyilvános kulcsok infrastruktúrájának beállítása. | Nyilvános kulcsok infrastruktúrája.


Megszokott feladatok végrehajtásának új módjai

Az alábbi táblázat a tartománybiztonság kezelésével kapcsolatos gyakori feladatokat sorolja fel. A legtöbb esetben a Windows 2000 felhasználói felülete különbözik a Windows NT 4.0-s verziójában megszokottól.

Cél | Windows NT 4.0 operációs rendszerben | Windows 2000 operációs rendszerben
A tartományi csoportok és felhasználók tartományvezérlőkre vonatkozó felhasználói engedélyeinek szerkesztése | Tartományok felhasználókezelője | Active Directory - felhasználók és számítógépek. További tudnivalók a Biztonsági sablon meghatározása című témakörben találhatók.
A tartományban lévő felhasználókat érintő fiókházirendek szerkesztése | Tartományok felhasználókezelője | Active Directory - felhasználók és számítógépek. További tudnivalók a Biztonsági sablon meghatározása című témakörben találhatók.
A tartományvezérlőkre vagy az egyes számítógépekre vonatkozó, a csoportokat és a felhasználókat érintő naplórendek szerkesztése | Tartományok felhasználókezelője | Active Directory - felhasználók és számítógépek. További tudnivalók a Naplórend létrehozása című témakörben találhatók.
Tartománymeghatalmazások létrehozása | Tartományok felhasználókezelője | Active Directory – tartományok és meghatalmazások. További tudnivalók az Explicit tartománymeghatalmazás létrehozása című témakörben található.
Tagkiszolgáló előléptetése tartományvezérlővé | Nem érhető el. | Active Directory telepítő varázsló
Engedélyek hozzárendelése fájlokhoz, mappákhoz és rendszerleíró kulcsokhoz | A megfelelő objektumkezelő és tulajdonságlap | A megfelelő objektumkezelő és tulajdonságlap. További tudnivalók az Objektumok hozzáférésének szabályozása című témakörben találhatók.
Biztonsági események naplózása | Tartományok felhasználókezelője | A megfelelő objektumkezelő és tulajdonságlap. További tudnivalók a Fájl vagy mappa naplózásának beállítása, megjelenítése, módosítása vagy megszüntetése című témakörben találhatók.
A biztonsági napló megtekintése | Eseménynapló | Eseménynapló. További tudnivalók A biztonsági napló megtekintése című témakörben találhatók.
Felhasználók és csoportok létrehozása | Tartományok felhasználókezelője | Active Directory - felhasználók és számítógépek. További tudnivalók a Felhasználói fiók hozzáadása és a Csoport hozzáadása című témakörökben találhatók.
Windows NT 4.0-s tartomány kezelése | Tartományok felhasználókezelője | Tartományok felhasználókezelője a Windows 2000 rendszerben


Gyakorlati tanácsok

Terméktámogatási tanácsok és a biztonságkezeléssel kapcsolatos tippek a következő témakörökben olvashatók:

  • Gyakorlati tanácsok a hozzáférés-szabályozáshoz
  • Gyakorlati tanácsok a naplózás használatához
  • Gyakorlati tanácsok a Bizonyítványszolgáltatások használatához
  • Gyakorlati tanácsok titkosított fájlrendszer használatához
  • Gyakorlati tanácsok biztonsági konfiguráció és analízis használatához
  • Gyakorlati tanácsok biztonsági sablonok kezeléséhez


Gyakorlati tanácsok a hozzáférés-szabályozáshoz

Az elosztott biztonsági rendszer nagymértékben egyszerűsíti a jogok és engedélyek megadását egy tárolófán keresztül, amely hierarchikus rendben tartalmazza a csoportokat, felhasználókat és az egyéb erőforrás-objektumokat. Ennek minél jobb kihasználása érdekében alkalmazza a következő alapelveket:

  • A felhasználói jogokat a csoportok alapján adja meg.
  • Építsen a csoportmeghatározásokból való öröklésre. Mivel a felhasználói fiókok közvetlen kezelése nem hatékony megoldás, a jogok felhasználónként való beállítása csak kivételes esetben indokolt.
  • Állítsa be a jogokat a fa lehető legmagasabb szintjén. Így a lehető legkisebb erőfeszítéssel a legnagyobb hatékonyságot éri el. A megadott jogok elégítsék ki a biztonsági alapelvek többségét.
  • Használja ki az öröklést a jogoknak a fán való továbbörökítésére. A fa magasabb szintjén való hozzáférés-szabályozás teszi lehetővé a beállítások hatásának széleskörűségét, az öröklés pedig a mélységét. Gyorsan és hatékonyan elvégezheti egy szülőobjektum összes gyermekobjektumának hozzáférés-szabályozási beállításait.
  • Adja át a tárolók felügyeletét azoknak a rendszergazdáknak, akik azokat a számítógépeket felügyelik, amelyeken az illető tárolók találhatók. A tárolóhoz rendelt jogok felügyeletének átadásával szétoszthatók a rendszergazdai tevékenységek és problémák. A felügyelet elosztása és közelebb vitele a munkahelyhez csökkenti a költségeket.

  • A Windows 2000 telepítésekor el kell határoznia, hogy mi legyen az Ön által használt alapértelmezett biztonsági szint. A leglényegesebb kérdés a már telepített alkalmazások köre, amelyek használatát a munkaállomásokon támogatni kell.

    A Windows 2000 három biztonsági szintet határoz meg frissen telepített rendszer esetén – Felhasználók, Kiemelt felhasználók és Rendszergazdák. Alapértelmezés szerint minden végfelhasználó a Felhasználók csoport tagja, amely megfelelő, ha előreláthatólag csak hitelesített Windows 2000 alkalmazásokat fognak futtatni. Ha azonban olyan alkalmazásokat kell használnia, amelyek nincsenek a Windows 2000-re hitelesítve, a következők valamelyikét kell tennie:

    • Állítson be minden végfelhasználót Kiemelt felhasználónak Felhasználó helyett.
    • Módosítsa az alapértelmezés szerinti biztonsági beállításokat, és adjon több jogot a Felhasználóknak.

    A fenti lépések alkalmazhatók egy átfogó biztonsági házirend részeként, vagy végrehajthatók az egyes számítógépeken a telepítési folyamat részeként. A Windows 2000 Server részét képezi egy biztonsági sablon, amely "megnyitja" a megfelelő biztonsági szinteket a Felhasználók számára. Ez a sablon a rendszergyökér\security\templates\compatws.inf fájl.

    További teendők abban az esetben, ha a számítógépet Windows NT-ről frissítettük Windows 2000 Serverre:

    1. A biztonsági beállítások nem módosulnak a frissítés során, így a nem Windows 2000 hitelesített alkalmazásoknak módosítások nélkül is futniuk kell a frissítés után.
    2. Ha a frissített számítógépet az új Windows 2000 alapértelmezett biztonsági beállításokkal szeretné használni, a beállításokat a rendszergyökér\security\templates\basicwk.inf fájlban találhatja meg.


Gyakorlati tanácsok a naplózás használatához

A biztonság növelése érdekében különböző naplózási lehetőségek állnak rendelkezésre. A következő táblázat a különböző naplózható eseményeket és a hozzájuk tartozó jellemző veszélytényezőket tartalmazza.

Naplózott esemény | Veszélytényező
Sikertelen be- és kijelentkezések | Betörési kísérlet véletlenszerűen kiválasztott jelszóval
Sikeres be- és kijelentkezések | Lopott jelszóval való betörés
Sikeres felhasználói jog-, felhasználó- és csoportkezelés, biztonsági házirendek megváltoztatása, újraindítás, leállítás és rendszeresemények | Jogosultságokkal való visszaélés
Sikeres és sikertelen fájlhozzáférés és objektum-hozzáférés. Gyanús felhasználók és csoportok sikeres és sikertelen olvasási és írási hozzáférései bizalmas fájlokhoz a Fájlkezelővel. | Helytelen hozzáférés bizalmas fájlokhoz
Sikeres és sikertelen fájlhozzáférés, nyomtató- és objektum-hozzáférés. Nyomtatásvezérlő sikeres és sikertelen nyomtatóelérése gyanús felhasználók, vagy csoportok által. | Helytelen hozzáférés a nyomtatókhoz
Programfájlok sikeres és sikertelen írási hozzáférései (.EXE és .DLL kiterjesztésű fájlok). Sikeres és sikertelen kísérletek folyamatok nyomon követésére. Gyanús programok futtatásakor használja, nézze át a biztonsági eseménynaplót váratlan programfájlokra irányuló módosítási próbálkozások, váratlan folyamatok után. Csak akkor futtasson, ha aktívan figyeli a rendszernaplót. | Vírustámadás


Gyakorlati tanácsok

A titkosított fájlokat és mappákat használó felhasználóknak érdemes szem előtt tartani az alábbi információkat és javaslatokat.

A titkosító fájlrendszerrel kapcsolatos fontos információk

Az alábbi információk fontosak lehetnek fájlok titkosításakor és visszafejtésekor.

  • Csak NTFS-köteteken lévő fájlok és mappák titkosíthatók.
  • A fájlt csak a titkosító felhasználó nyithatja meg.
  • Titkosított fájlok nem oszthatók meg.
  • A fájlok titkosítása megszűnhet, ha azokat FAT-kötetre másolják vagy helyezik át.
  • Fájlok titkosított mappába történő áthelyezését a titkosítás megőrzése végett másolással és beillesztéssel kell megoldani. Fájlok „fogd és vidd” módszerrel történő áthelyezésekor azok titkosítását az új mappában a rendszer nem végzi el automatikusan.
  • A rendszerfájlok és a tömörített fájlok nem titkosíthatók.
  • A titkosítás a fájlt vagy mappát a törléstől nem védi. Bárki, aki rendelkezik törlési engedéllyel, törölheti azt.
  • Az ideiglenes fájlok, melyeket egyes programok a dokumentumok szerkesztésekor hoznak létre, szintén titkosíthatók mindaddig, míg NTFS-köteten és titkosított mappában találhatók.
  • Lehetőség van olyan távoli számítógépen található fájlok és mappák titkosítására és visszafejtésére is, melyen a távoli titkosítás engedélyezve van.
  • Hálózaton keresztül átvitt adat az átvitel közben nem titkosítható. Adatok hálózaton keresztül történő titkosításához más (például SSL/PCT vagy IPSec) protokollokat kell használni.
  • A helyreállítási irányelv megvalósítása automatikusan megtörténik, ha egy fájlt vagy mappát első alkalommal titkosítanak. Ez biztosítja, hogy azok a felhasználók, akik elveszítik a fájl titkosításához használt bizonyítványukat vagy személyes kulcsukat, a helyreállítási megbízott segítségével visszafejthetik fájljaikat.

Fontos

  • Ha a titkosító fájlrendszer használatát Windows NT partíción kísérli meg, a Windows 2000 lemezellenőrzést hajt végre, mely Windows 2000 formátumúra frissíti a partíciót.

A titkosító fájlrendszerrel kapcsolatos javaslatok

A fájlok titkosítása és visszafejtése során a felhasználónak érdemes követnie az alábbi gyakorlati tanácsokat.

  • Titkosítsa a Dokumentumok mappát, ha ide menti a legtöbb dokumentumot. Ezzel személyes dokumentumai alapértelmezés szerint titkosítottak lesznek.
  • Titkosítsa a Temp mappát, így minden, a programok által létrehozott ideiglenes fájl titkosítása automatikusan megtörténik.
  • A fájlok helyett javasolt egész mappák titkosítása, így a programok által a szerkesztés során létrehozott ideiglenes fájlok automatikusan titkosítottak lesznek.
  • A kijelölt helyreállítási megbízott által exportált adathelyreállítási bizonyítványt helyezze el egy biztonságos helyen, majd törölje a rendszer merevlemezéről. Így az egyetlen személy, aki a rendszer adatait helyre tudja állítani, az lesz, akinek fizikai hozzáférése van az adathelyreállítási bizonyítványhoz.

Ha adatok helyreállítására van szükség, a helyreállítási megbízott a biztonságos tárolási helyről igényelheti az adathelyreállítási bizonyítványt, és azt a rendszerbe importálhatja. Ha az adathelyreállítási bizonyítvány a rendszeren van, a helyreállítási megbízott vissza tudja állítani a felhasználó titkosított fájljában található adatokat. Az adat helyreállítását követően a helyreállítási megbízottnak az adathelyreállítási bizonyítványt ismét törölnie kell a rendszerből. (A bizonyítványt nem kell újra exportálnia, az megmarad és újra importálható.)


Útmutató

  • Tartományvezérlőre történő bejeletkezés engedélyezése nem rendszergazdáknak
  • A Futtatás mint parancs használata program indításához rendszergazdaként
  • Hitelesítés intelligens kártyák segítségével
  • Objektumok hozzáférésének szabályozása
  • Események naplózása
  • Lemezen lévő adat titkosításának kezelése
  • Bizonyítványok kezelése
  • Bizonyítványszolgáltatások kezelése
  • Biztonsági sablonok kezelése
  • A Biztonsági konfiguráció és analízis használata
  • A biztonsági konfigurációval kapcsolatos feladatok automatizálása


Tartományvezérlőre történő bejeletkezés engedélyezése nem rendszergazdáknak

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Felhasználói engedélyek elemére.

    3. Helye:

    • Csoportházirend
    • Windows-beállítások
    • Biztonsági beállítások
    • Helyi házirend
    • Felhasználói engedélyek
  3. Adja meg a felhasználónevet.

Megjegyzések

  • Az Active Directory - felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  • A felhasználói engedélyekre vonatkozó házirendet csak akkor tudja módosítani, ha a Csoportházirend beépülő modul telepítve van a számítógépén.


Hitelesítés intelligens kártyák segítségével

  • Intelligenskártya-olvasó telepítése a számítógépre
  • Bejelentkezés számítógépre intelligens kártya használatával
  • Intelligens kártyák felügyelete


Objektumok hozzáférésének szabályozása

  • Fájlok és mappák engedélyeinek beállítása, megjelenítése, módosítása vagy megszüntetése
  • Megosztott mappák vagy meghajtók engedélyeinek beállítása, megjelenítése, módosítása vagy megszüntetése
  • Fájl vagy mappa saját tulajdonba vétele
  • Vezérlés delegálása gyermektartományhoz vagy szervezeti egységhez


Vezérlés delegálása gyermektartományhoz vagy szervezeti egységhez

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Bontsa ki a konzolfán a tartományobjektumot a gyermektartományok és szervezeti egységek megjelenítéséhez.
  3. Kattintson az egér jobb gombjával arra a gyermektartományra vagy szervezeti egységre, amelyhez a felügyeletet delegálni kívánja, majd kattintson a Vezérlés delegálása menüpontra.
  4. Kövesse a Vezérlés delegálása varázsló utasításait.

Megjegyzés

  • Az Active Directory – felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.

Kapcsolódó témakörök


Események naplózása

  • Naplórend létrehozása
  • Fájl vagy mappa naplózásának beállítása, megjelenítése, módosítása vagy megszüntetése
  • A biztonsági napló megtekintése


Naplórend létrehozása

  1. Nyissa meg a Számítógép-kezelés ablakot.
  2. Kattintson a konzolfa Naplórend elemére.

    Helye:

    • Rendszereszközök
    • Csoportházirend
    • Számítógép konfigurációja
    • Windows-beállítások
    • Biztonsági beállítások
    • Helyi házirend
    • Naplórend
  3. A jobb oldali ablaktáblában válassza ki a naplózandó események kategóriáit.

Megjegyzés


A biztonsági napló megtekintése

  1. Nyissa meg a Számítógép-kezelés ablakot.
  2. Kattintson a konzolfa Eseménynapló elemére.

    Helye:

    • Rendszereszközök
    • Csoportházirend
    • Számítógép konfigurációja
    • Eseménynapló
  3. Kattintson duplán a Biztonsági napló .
  4. A jobb oldali ablaktáblában tekintse meg a naplózott események listáját.

Megjegyzés


Lemezen lévő adat titkosításának kezelése

  • Távoli kiszolgáló kijelölése fájl titkosításához
  • Fájlok titkosítása és visszafejtése
  • Fájlok és mappák másolása, áthelyezése és átnevezése
  • Fájlok és mappák helyreállítása


Távoli kiszolgáló kijelölése fájl titkosításához

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Keresse meg a távoli kiszolgáló nevét.
  3. Kattintson a jobb oldali egérgombbal a távoli kiszolgáló nevére, majd a Tulajdonságok parancsra.
  4. Jelölje be a Számítógép meghatalmazása delegáláshoz jelölőnégyzetet.

Megjegyzés

  • Az Active Directory – felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.


Fájlok titkosítása és visszafejtése

  • Fájl vagy mappa titkosítása
  • Fájl vagy mappa visszafejtése
  • Fájl vagy mappa titkosítása távoli számítógépen


Titkosított fájlok és mappák másolása, áthelyezése és átnevezése

  • Titkosított fájl vagy mappa másolása
  • Titkosított fájl vagy mappa áthelyezése
  • Titkosított fájl vagy mappa áthelyezése másik számítógépre vagy visszaállítása másik számítógépen
  • Titkosított fájl vagy mappa nevének megváltoztatása


Fájlok és mappák helyreállítása

  • Titkosított fájl és mappa helyreállítása kijelölt helyreállítási megbízottként
  • Titkosított fájl vagy mappa helyreállítása, ha a titkosításhoz használt bizonyítvány nem elérhető
  • Biztonsági másolat készítése az alapértelmezett helyreállítási kulcsokról hajlékonylemezre
  • Helyreállítási megbízott hozzáadása tartományhoz
  • Tartomány helyreállítási irányelvének módosítása


Helyreállítási megbízott hozzáadása tartományhoz

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson az egér jobb gombjával arra a tartományra, melynek helyreállítási irányelvét módosítani kívánja, majd kattintson a Tulajdonságok parancsra.
  3. Kattintson a módosítani kívánt helyreállítási irányelvre, majd a Szerkesztés gombra.
  4. Kattintson a konzolfa Titkosított adatokat helyreállító megbízott elemére.

    5. Helye:

    • Számítógép konfigurációja
    • Windows-beállítások
    • Nyilvános kulcs irányelvei
    • Titkosított adatokat helyreállító megbízott
  5. Kattintson az egér jobb gombjával a jobb oldali ablaktáblába, kattintson a Hozzáadás gombra, majd kövesse az utasításokat.

Megjegyzések

  • Helyreállítási megbízott hozzáadásához rendszergazdaként kell bejelentkeznie.
  • Az Active Directory - felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  • Ha a helyreállítási megbízottat fájlból adja hozzá, a felhasználó azonosítója USER_UNKNOWN lesz.
  • Helyreállítási megbízott hozzáadása vagy létrehozása előtt a Csoportházirend beépülő modulnak és a nyilvános kulcs irányelvekre vonatkozó bővítéseinek telepítve kell lenniük a számítógépen. Az Csoportházirend használatáról további információt a Kapcsolódó témakörök hivatkozásra kattintva kaphat.

Kapcsolódó témakörök


Tartomány helyreállítási irányelvének módosítása

  1. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  2. Kattintson az egér jobb gombjával arra a tartományra, melynek helyreállítási irányelvét módosítani kívánja, majd kattintson a Tulajdonságok gombra.
  3. Kattintson a módosítani kívánt helyreállítási irányelvre, majd a Szerkesztés gombra.
  4. Kattintson a konzolfa Titkosított adatokat helyreállító megbízott elemére.

    5. Helye:

    • Számítógép konfigurációja
    • Windows-beállítások
    • Nyilvános kulcs irányelvei
    • Titkosított adatokat helyreállító megbízott
  5. Kattintson az egér jobb gombjával a jobb oldali ablaktáblába, majd kattintson a végrehajtandó műveletre.

Megjegyzések

  • A helyreállítási irányelv módosításához rendszergazdaként kell bejelentkeznie.
  • Az Active Directory - felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
    • Ha az egér jobb oldali gombjával kattint a Titkosított adatokat helyreállító megbízott elemre, megjelenítheti a lehetséges módosításokat.
  • A számítógép egy alapértelmezett, saját magával aláírt bizonyítványt bocsát ki, mely a helyi rendszergazdát jelöli meg helyreállítási megbízottként. Ha ezt a bizonyítványt törli és nem ad meg másikat, a számítógép helyreállítási irányelve üres lesz. Az üres helyreállítási irányelv azt jelenti, hogy nincsen helyreállítási megbízott. Ez az titkosító fájlrendszert kikapcsolja, így a felhasználók nem titkosíthatják fájljaikat.
  • A helyreállítási irányelv bármilyen változtatása előtt helyezze biztonságba a helyreállítási kulcsokat.
  • Egy tartomány alapértelmezett helyreállítási irányelve az első tartományvezérlő telepítésekor lép életbe. A számítógép által kibocsátott, saját magával aláírt bizonyítvány a tartomány rendszergazdáját jelöli meg helyreállítási megbízottként. Egy tartomány alapértelmezett helyreállítási irányelvének módosításához az első tartományvezérlőre rendszergazdaként jelentkezzen be.

Kapcsolódó témakörök


Bizonyítványok kezelése

  • A Bizonyítványkezelő beépülő modul hozzáadása az MMC kezelőpulthoz
  • A Bizonyítványkezelő beépülő modul megjelenítési beállításai
  • Bizonyítvány igénylése
  • Egyedi bizonyítvány kezelése
  • Bizonyítvány importálása és exportálása
  • Bizonyítványszolgáltatások weblapjainak használata


Bizonyítványszolgáltatások kezelése

  • Hitelesítő szervezet beállítása
  • Hitelesítő szervezet felügyelete
  • Csoportházirend-objektumok nyilvánoskulcs-irányelveinek létrehozása


Csoportházirend-objektumok nyilvánoskulcs-irányelveinek létrehozása

  • Megbízható legfelső szintű hitelesítő szervezet hozzáadása Csoportházirend-objektumhoz
  • Megbízható legfelső szintű hitelesítő szervezet törlése Csoportházirend-objektumból
  • Automatikus bizonyítványkérelmek létrehozása számítógépekhez Csoportházirend-objektumban
  • Számítógépek automatikus bizonyítványkérelmeinek törlése Csoportházirend-objektumból
  • Megbízható bizonyítványok listájának létrehozása Csoportházirend-objektumhoz
  • Csoportházirend-objektumhoz tartozó megbízható bizonyítványok listájának szerkesztése
  • Csoportházirend-objektumhoz tartozó megbízható bizonyítványok listájának törlése
  • Titkosított adatokat helyreállító megbízott hozzáadása helyi számítógéphez
  • Titkosított adatokat helyreállító megbízott hozzáadása Csoportházirend-objektumhoz
  • Helyi számítógép titkosított adatok helyreállítását szabályzó irányelvének módosítása


Biztonsági sablonok kezelése

  • Biztonsági sablonok indítása
  • Előre beállított biztonsági sablon testreszabása
  • Biztonsági sablon meghatározása
  • Biztonsági sablon törlése
  • A biztonsági sablonok listájának frissítése
  • Leírás beállítása biztonsági sablonhoz
  • Biztonsági sablon alkalmazása helyi számítógépre
  • Biztonsági sablon importálása a Csoportházirendbe
  • Az érvényben lévő biztonsági beállítások megtekintése


A Biztonsági konfiguráció és analízis használata

  • A biztonsági konfiguráció és analízis indítása
  • A használandó adatbázis beállítása
  • Biztonsági sablon importálása
  • Rendszerbiztonság analizálása
  • A biztonságelemzés eredményeinek áttekintése
  • Rendszerbiztonság konfigurálása
  • A biztonsági alapkonfiguráció szerkesztése
  • Az érvényben lévő biztonsági beállítások megtekintése
  • Biztonsági sablon exportálása


Fogalmak

Ez a rész a szervezet és a helyi számítógép adatvédelmével kapcsolatos tudnivalókat tartalmazza.

  • Adatvédelem – áttekintés
  • Az adatvédelem ismertetése
  • Az adatvédelem használata
  • Forrásmunkák


Adatvédelem – áttekintés

A számítógépes környezet biztonsági rendszerének megtervezése és kialakítása előtt érdemes megismerni néhány alapvető fogalmat a Windows 2000 adatvédelmével kapcsolatban. Ezek a következők:

  • Új biztonsági szolgáltatások
  • Biztonsági modell
  • Tartományarchitektúra
  • Hitelesítés
  • Engedélyezés
  • Naplózás
  • Biztonsági házirendek
  • Meghatalmazás
  • Adatvédelem
  • A nyilvános kulcsok infrastruktúrája

További tudnivalók a Microsoft Security Advisor webhelyen találhatók. (http://www.microsoft.com/)


Új biztonsági szolgáltatások

A Windows 2000 rendszer biztonságának beállítása és kezelése előtt tanácsos megismerni a számítógépes környezet biztonságossá tételéből fakadó előnyöket, valamint azokat az új szolgáltatásokat, amelyeket a Windows 2000 nyújt a felhasználóknak és a rendszergazdáknak.

A biztonság előnyei

A számítógépes környezet biztonságának megvalósítása számos fontos előnnyel jár.

Először: a jó biztonsági rendszer ellenőrzi azon személyek kilétét, akik a számítógépes környezetben lévő erőforrásokhoz megkísérelnek hozzáférni. Ezzel megelőzhető, hogy illetéktelenek férjenek hozzá a rendszer erőforrásaihoz, például bizalmas adatokhoz vagy a működés szempontjából létfontosságú programokhoz, illetve ellopják vagy megrongálják azokat.

Másodszor: a jó biztonsági rendszerrel megakadályozható, hogy a felhasználók bizonyos erőforrásokhoz illetéktelenül hozzáférjenek. Így például biztosítható, hogy a fizetésre vonatkozó adatokhoz kizárólag a vállalat vezetősége férjen hozzá.

Harmadszor: a jó biztonsági rendszer segítségével egyszerűen és hatékonyan beállítható és karbantartható a környezet biztonsága. Beállíthatók például jelszóházirendek, amelyek a környezeten belüli összes felhasználóra alkalmazhatók.

A konkrét üzleti igényekre szabott biztonsági rendszer megfelelő megvalósításával olyan számítógépes környezet alakítható ki, amely lehetővé teszi, hogy a felhasználók a sikeres munkához szükséges minden információhoz és erőforráshoz hozzáférjenek, ugyanakkor megakadályozza ezen információk és erőforrások megrongálását és illetéktelen elérését.

Biztonsági szolgáltatások

E célok elérését a Windows 2000 számos új biztonsági szolgáltatása segíti. Ezek a következők:

  • A biztonsági házirend és a fiókinformációk központi tárolása
  • Az összes biztonsági házirend és fiókinformáció automatikus frissítése és szinkronizálása a tartományvezérlők között
  • Tulajdonságonkénti hozzáférés-szabályozás az objektumokhoz
  • Tartományok közötti tranzitív meghatalmazotti kapcsolatok
  • Több hitelesítési mechanizmus belső és külső felhasználók hitelesítésére, ideértve a Windows NT 4.0-s verziójának felhasználóit is
  • A hozzáférés-szabályozás és a fiókinformációk kezelését szolgáló általános felügyeleti eszközök
  • Az intelligens kártyák támogatása a felhasználói azonosító adatok biztonságos tárolása érdekében
  • A hálózaton továbbított vagy lemezen tárolt adatok titkosítása


Biztonsági modell

A Windows 2000 biztonsági modelljének elsődleges szolgáltatásai a felhasználói hitelesítés és a hozzáférés-szabályozás. Azt, hogy a rendszergazdák e szolgáltatásokat könnyen és hatékonyan kezelhessék, a Windows 2000 az Active Directory használatával éri el. A következő részek a biztonsági modell e szolgáltatásait mutatják be.

Felhasználói hitelesítés

A Windows 2000 biztonsági modellje magába foglalja a felhasználói hitelesítést, amely lehetővé teszi, hogy a felhasználók a rendszerre bejelentkezve hálózati erőforrásokhoz férjenek hozzá. A hitelesítési modellen belül a biztonsági rendszer a következő két hitelesítési típust biztosítja:

  • Interaktív bejelentkezés – ilyenkor a rendszer a felhasználó azonosítását annak helyi számítógépe vagy Active Directorybeli fiókja alapján végzi.

  • Hálózati hitelesítés – ilyenkor a rendszer a felhasználó azonosítását a felhasználó által elérni kívánt hálózati erőforrás szerint végzi. Az ilyen típusú hitelesítéshez a Windows 2000 biztonsági rendszere három különböző hitelesítési mechanizmust vesz igénybe, melyek a következők: a Kerberos V5, a nyilvános kulcsú bizonyítványok és – a Windows NT 4.0 rendszerrel való kompatibilitás érdekében – az NTML.

További tudnivalók a Hitelesítés című témakörben találhatók.

Objektum alapú hozzáférés-szabályozás

A felhasználói hitelesítés mellett a Windows 2000 lehetővé teszi azt is, hogy a rendszergazda szabályozza az erőforrásokhoz (objektumokhoz) történő hozzáférést a hálózaton. A Windows 2000 azáltal valósítja meg a hozzáférés-szabályozást, hogy lehetővé teszi a rendszergazdáknak biztonsági leírók hozzárendelését az Active Directoryban tárolt objektumokhoz. A biztonsági leíró felsorolja az adott objektumhoz hozzáférési engedéllyel rendelkező felhasználókat és csoportokat, valamint a hozzájuk rendelt konkrét engedélyeket. Meghatározza továbbá az objektumhoz történő hozzáféréssel kapcsolatos különböző naplózandó eseményeket is. Objektumok például a fájlok, a nyomtatók és a szolgáltatások. Az objektumok tulajdonságainak kezelésével a rendszergazda beállíthatja az engedélyeket, elvégezheti tulajdonos hozzárendelését és figyelheti a felhasználói hozzáférést.

A rendszergazda nem csak egy adott objektum elérését, hanem az objektum egyes attribútumainak elérését is szabályozhatja. Egy objektum biztonsági leírójának helyes konfigurálásával a felhasználónak hozzáférés biztosítható az információk egy részhalmazához, például az alkalmazottak nevéhez és telefonszámához, de lakáscíméhez nem.

További tudnivalók az Engedélyezés című témakörben találhatók.

Az Active Directory és a biztonság

Az Active Directory az objektumok hozzáférés-szabályozása és a felhasználói azonosító adatok segítségével lehetővé teszi a csoportokkal és a felhasználói fiókokkal kapcsolatos adatok védett tárolását. Mivel az Active Directory nem csak a felhasználói azonosító adatokat tárolja, hanem a hozzáférés-szabályozásra vonatkozó adatokat is, a hálózatra bejelentkező felhasználók egyszerre nyernek hitelesítést és kapnak engedélyeket a rendszer erőforrásaihoz történő hozzáférésre.

Ha például a felhasználó bejelentkezik a hálózatra, hitelesítését a Windows 2000 biztonsági rendszere az Active Directoryban tárolt információ alapján végzi. Ezt követően, mikor a felhasználó a hálózaton egy szolgáltatáshoz kísérel meg hozzáférni, a rendszer ellenőrzi a szolgáltatáshoz tartozó tulajdonosi hozzáférés-szabályozási listában definiált tulajdonságokat.

Mivel az Active Directory lehetővé teszi, hogy a rendszergazda csoportfiókokat hozzon létre, a biztonsági rendszer kezelése sokkal hatékonyabb. Egy fájl tulajdonságainak beállításával például egy adott csoportban lévő minden felhasználónak engedélyezhető a fájl olvasása. Ily módon az Active Directoryban lévő objektumokhoz történő hozzáférés a csoporttagságon alapul.

Egyéb biztonsági tényezők

A hitelesítés és a hozzáférés-szabályozás mellett a Windows 2000 biztonsági modellje további fontos elemekkel rendelkezik. További tudnivalók a Biztonsági házirendek, a Naplózás, az Adatvédelem, a Meghatalmazás és A nyilvános kulcsok infrastruktúrája című témakörökben találhatók.


Tartományarchitektúra

A tartományok használatának megértése nagyon megkönnyíti a biztonsági felügyeleti munkát. Ez a rész alapszintű tudnivalókat tartalmaz a tartományok alkalmazásáról.

Tartományok és adatvédelem

A tartomány hálózati objektumok, például felhasználók, csoportok és számítógépek csoportosítása. A tartomány összes objektuma az Active Directoryban van tárolva. Az Active Directory lehet egy vagy több tartományvezérlőn egy tartományon belül.

Minden tartomány egy biztonsági határ, ami azt jelenti, hogy a biztonsági házirendek és beállítások (például a rendszergazdai jogok és a hozzáférés-szabályozási listák) nem kerülnek át egyik tartományból a másikba. A tartomány rendszergazdájának csak az adott tartományon belül van joga a házirendek állítására.

Mivel a tartomány biztonsági határ, a szervezeten belül más rendszergazdák más tartományokat kezelhetnek és hozhatnak létre.

Néhány fontos tudnivaló a tartományokkal kapcsolatban:
  • A biztonsági házirendek tartományokon keresztül alkalmazhatók.
  • Az Active Directory, amely a biztonsági információkat tartalmazza, szabályos időközönként replikálódik a tartomány minden egyes tartományvezérlőjén, így az adatbázisok szinkronizálása mindig megtörténik.
  • Az Active Directoryban az objektumok a szervezeti egységek szintjén szervezhetők és kezelhetők.
  • Átmeneti meghatalmazotti kapcsolatok létesíthetők a tartományfán lévő tartományok között.

A tartományokról bővebb tájékoztatást kaphat a Tartományok ismertetése című részben.

Egy- és többtartományos környezetek összehasonlítása

A Windows NT 4.0 korlátozta az egy címtárban tárolható felhasználói fiókok számát. Így a nagyszámú számítógépet tartalmazó környezetek esetén a szervezetek szükségesnek találták több tartomány létrehozását, amelyek mindegyike saját felhasználói fiókokat tartalmazó címtárral rendelkezett. A tartományokat általában két kategóriába szervezték: főtartományokba (ezek a felhasználói és csoportfiókokat tárolták) és erőforrás-tartományokba (amelyek fájlokat, nyomtatókat, alkalmazás-szolgáltatásokat stb. tartalmaztak).

Ez a többtartományos számítógépes környezet több főtartományos modellként volt ismert. A több főtartományos tartománymodell azt jelentette, hogy az erőforrás-tartományoknak többszörös meghatalmazotti kapcsolatban kellett állniuk minden főtartománnyal. Ezek a meghatalmazotti kapcsolatok tették lehetővé a főtartományokhoz tartozó felhasználóknak az erőforrás-tartományokban lévő erőforrásokhoz való hozzáférést.

A több tartomány használatát az Active Directory helyettesítheti, mivel elegendő kapacitással rendelkezik a felhasználói, csoport- és számítógépfiókok tárolására. Az Active Directoryval a rendszergazdák egy tartományba egyesíthetik az összes fiókot (amelyeket korábban főtartományokon kellett tárolni) és az összes erőforrást (amelyeket korábban erőforrás-tartományokban kellett tárolni). Ezután logikai objektumcsoportok létrehozása céljából a rendszergazdák az objektumokat szervezeti egységekbe (OU-kba) csoportosíthatják a tartományon belül. Bizonyos esetekben azonban szükség lehet a több tartomány megtartására a házirendek miatt.

Átmeneti meghatalmazotti kapcsolatok

Ha az objektumokat többtartományos környezetből egy tartományba helyezi át, kevesebb tartománymeghatalmazotti kapcsolat létrehozására és fenntartására van szükség. Nemkülönben, amikor tartományokat egy tartományerdőben egyesít, ezek a tartományok automatikusan átmeneti meghatalmazotti kapcsolatokat használnak, ami csökkenti a tartományok között manuálisan létrehozandó meghatalmazotti kapcsolatok számát. Minden egyes tartománynak csak egyetlen meghatalmazotti kapcsolatra van szüksége az erdő egy másik tartományával ahhoz, hogy hozzáférése legyen a tartományerdő összes tartományához.

A meghatalmazotti kapcsolatok kezeléséről további információ a Meghatalmazás című témakörben található.

Kiszolgálói szerepkörök

Egy adott tartományban a kiszolgálók kétféle szerepkörben működhetnek:

  • Tartományvezérlők, amelyek Active Directoryt futtatnak, és lehetővé teszik a hitelesítést és a házirendeket
  • Tagkiszolgálók, amelyek olyan szolgáltatásokat tesznek lehetővé, mint például a fájl-, nyomtató- és alkalmazásszolgáltatások.

A tartományvezérlőkkel és tagkiszolgálókkal kapcsolatos további információk a Kiszolgálói szerepkörök című témakörben találhatók.


Hitelesítés

A hitelesítés a rendszerbiztonság egyik alapvető eleme. A hitelesítéssel azonosítja a rendszer a tartományokba bejelentkezni, vagy hálózati erőforrásokat elérni próbáló felhasználókat. A Windows 2000 hitelesítés lehetővé teszi a teljes hálózat erőforrásainak egyszeri bejelentkezéssel való elérését. Az egyszeri bejelentkezéssel a felhasználó bejelentkezhet a tartományba jelszóval vagy intelligens kártyával, és ezzel hitelesítve lesz a tartományhoz tartozó összes gépen.

Hitelesítési folyamatok

A felhasználó sikeres hitelesítése Windows 2000 számítógépes környezetben két különálló folyamatból áll. Az egyik az interaktív bejelentkezés, amely ellenőrzi a felhasználó azonosítóját egy tartományon, vagy a helyi számítógépen, a másik a hálózati hitelesítés, amely azon a hálózati szolgáltatáson ellenőrzi a felhasználó azonosítóját, amelyhez a felhasználó hozzáférést kísérel meg.

Hitelesítéstípusok

A Windows 2000 számos szabványos hitelesítéstípust támogat. A Windows 2000 a felhasználó hitelesítésekor különböző típusú hitelesítéseket használhat az adott helyzettől függően. A Windows 2000 által támogatott hitelesítéstípusok:

Hitelesítéstípus | Leírás
Kerberos V5 hitelesítés | Jelszóval, vagy intelligens kártyával interaktív bejelentkezés céljára. Ez az alapértelmezett hálózati hitelesítési módszer szolgáltatások esetén.
Secure Sockets Layer/Transport Layer Security (SSL/TLS) hitelesítés | Felhasználó biztonságos webkiszolgálóhoz való hozzáféréséhez.
NTLM hitelesítés | Abban az esetben használatos, ha az ügyfél vagy a kiszolgáló a Windows korábbi verzióját használja.

A hitelesítéstípusokkal kapcsolatos további tudnivalók a Hitelesítési mechanizmusok című témakörben olvashatók.


Engedélyezés

A Windows 2000 biztonsági rendszerének két alapelve van: a hitelesítés és az engedélyezés. Az engedélyezés megvalósítási modellje a hozzáférés-szabályozás. Miután egy felhasználói fiók megkapta a hitelesítést és hozzáférhet egy objektumhoz, a megadott hozzáférés típusát a felhasználóhoz rendelt jogok, vagy az objektumhoz kapcsolódó engedélyek határozzák meg. Egy tartományon belüli objektumok esetén az objektumtípushoz tartozó objektumkezelő végzi a hozzáférés-szabályozást. Például a rendszerleíró adatbázis kikényszeríti a rendszerleíró kulcsok hozzáférés-szabályozását.

Az objektumkezelő által felügyelt összes objektumnak van tulajdonosa, egy megadott felhasználókra vagy csoportokra vonatkozó engedélykészlete és naplózási beállítása. Az objektumra vonatkozó engedélyek megadásával az objektum tulajdonosa ellenőrzi, hogy a hálózaton található felhasználók és csoportok közül melyek férhetnek hozzá az objektumhoz. Az engedélyekre vonatkozó beállítások az is meghatározzák, hogy milyen hozzáférési típusok megengedettek (például írás/olvasási engedély egy fájlra). A naplózási beállítás meghatározza, hogy mely csoportokról vagy felhasználókról készüljön naplóbejegyzés, amikor hozzáférést kísérelnek meg az objektumhoz.

A hozzáférés-szabályozással kapcsolatos további információk a Hozzáférés-szabályozás című témakörben találhatók.


Naplózás

A Windows 2000 biztonsági naplózási szolgáltatása az adatvédelemmel kapcsolatos különféle események nyomon követésére szolgál. A rendszeresemények figyelésére az illetéktelen behatolók és a rendszeren tárolt adatokat veszélyeztető kísérletek észlelése érdekében van szükség. Naplózhatók például a sikertelen bejelentkezési kísérletek.

A leggyakrabban naplózásra kerülő eseménytípusok:

  • Objektumokhoz, például fájlokhoz és mappákhoz való hozzáférés
  • Felhasználói és csoportfiókok kezelése
  • Felhasználók be- és kijelentkezése

Az adatvédelemmel kapcsolatos események naplózásán felül a Windows 2000 egy biztonsági naplót is létrehoz, és lehetőséget biztosít az ebben rögzített események megtekintésére.

Továbbá a Windows 2000 naplózási szolgáltatása létrehoz egy naplót, amelynek segítségével nyomon követhető a rendszerben előforduló minden biztonsági felügyelettel kapcsolatos esemény. Ha például egy rendszergazda megváltoztatja a naplórendet oly módon, hogy a sikertelen bejelentkezési kísérletek ne kerüljenek naplózásra, a naplóból ez is ki fog derülni.

A naplózással kapcsolatos további tudnivalók a Biztonsági események naplózása című témakörben olvashatók.


Biztonsági házirendek

A biztonsági beállítások határozzák meg a rendszer biztonsági működését. Az Active Directory csoportházirend-objektumainak használatán keresztül a rendszergazdák központilag alkalmazhatják a vállalati rendszerek védelméhez szükséges biztonsági szinteket.

Több számítógépet tartalmazó csoportházirend-objektum beállításainak meghatározásánál az adott hely, tartomány vagy szervezeti egység szervezeti és működési jellemzőit mérlegelni kell. Például egy kereskedelmi osztály számítógépeit tartalmazó szervezeti egység és egy pénzügyi osztály számítógépeit tartalmazó szervezeti egység számára szükséges biztonsági szintek nagymértékben különbözőek lehetnek.

Biztonsági beállítások

A biztonsági beállítások kifejezés felcserélhető a biztonsági konfiguráció kifejezéssel. A biztonsági beállítások tartalmazzák a biztonsági házirendeket (fiók- és helyi házirendek), a hozzáférés-szabályozást (szolgáltatások, fájlok, rendszerleíró adatbázis), az eseménynaplót, a csoporttagságot (korlátozott csoportok), az IP biztonság biztonsági házirendeket és a nyilvános kulcs irányelveit.

Biztonsági sablonok

A biztonsági sablon biztonsági beállítások fizikai ábrázolása: egy fájl, ahol biztonsági beállítások egy csoportja tárolható. A Windows 2000 tartalmaz több előre megadott biztonsági sablont, amelyek mindegyikéhez a számítógép szerepköre szolgál kiindulópontként: alacsony biztonságú tartományügyfelektől kezdve nagyfokú biztonságot igénylő tartományvezérlőkig. Ezek a sablonok módosítás nélkül is használhatók, de módosíthatók is, illetve alapul szolgálhatnak testreszabott biztonsági sablonok létrehozásához.

Biztonsági konfigurációs eszközök

Biztonsági sablonok megadásához és használatához a rendszergazdák a Biztonsági sablonok beépülő modult használhatják.

A biztonság helyi gépen való beállításához és elemzéséhez a rendszergazdák a Biztonsági konfiguráció és analízis beépülő modult használhatják.

A biztonság Active Directoryban való központi konfigurálásához a rendszergazdák a Csoportházirend beépülő modult használhatják.


Meghatalmazás

A Windows 2000 két meghatalmazási típust támogat: a tartománymeghatalmazást és a hitelesítő szervezetek meghatalmazását.

A tartománymeghatalmazás lehetővé teszi a felhasználó hitelesítését más tartományban lévő erőforrások használatához. A rendszergazda emellett a másik tartományban lévő felhasználók engedélyeit is felügyelheti. További tudnivalók a tartománymeghatalmazások létesítéséről és kezeléséről A tartománymeghatalmazások ismertetése című témakörben találhatók.

A hitelesítő szervezetek meghatalmazása lehetővé teszi más hitelesítő szervezetek által kibocsátott bizonyítványok meghatalmazását. További tudnivalók a hitelesítő szervezetekről A nyilvános kulcsok infrastruktúrája című témakörben találhatók.


Adatvédelem

Az adatbiztonság és integritás alapja a hálózati hitelesítés. Megfelelő hitelesítő adatok (erős jelszó, vagy nyilvános kulcsra épülő hitelesítő adatok) birtokában a felhasználó be tud jelentkezni a hálózatba, és a folyamat során engedélyt nyer a hálózaton tárolt adatok elérésére.

A Windows 2000 kétféle adatvédelmet támogat -- a tárolt adatok védelmét és a hálózati adatok védelmét. Az alábbi részek ezeket a védelemfajtákat mutatják be.

Tárolt adatok védelme

A tárolt adatok (hálózatra kapcsolt, vagy kapcsolat nélküli gépen) a következő módszerekkel védhetők:

  • Titkosító fájlrendszer (EFS). Az EFS nyilvános kulcsra épülő titkosítást használ a helyi NTFS fájlrendszer adatainak titkosítására.
  • Digitális aláírások. A digitális aláírások megjelölik a szoftverösszetevőket, garantálva érvényességüket.

Hálózati adatok védelme

Az aktuális helyen a hálózati (helyi hálózatok és alhálózatok) adatok védelmét a hitelesítési protokoll biztosítja. A biztonság további fokozása érdekében helyileg is titkosíthatja a hálózati adatokat. Az IP biztonság használatával bizonyos ügyfelek részére, vagy a tartományban összes ügyfél részére minden hálózati kommunikációt titkosíthat.

A bemenő és kimenő (intraneten, extraneten, vagy Internet-átjárón keresztül) hálózati adatok a következő segédprogramokkal védhetők:

  • IP biztonság. Titkosít minden TCP/IP kommunikációt az ügyfél számára.
  • Útválasztás és távelérés. A távelérési protokollokat és az útválasztást konfigurálja.
  • Proxykiszolgáló. Tűzfal és proxykiszolgáló szolgáltatást nyújt.

Ezen felül más programok, például a Microsoft Exchange, a Microsoft Outlook és a Microsoft Internet Explorer is képesek üzenetek és tranzakciók nyilvános kulcsú titkosítására helyi hálózaton belül és hálózatok között.

További tudnivalók a Tárolt adatok biztonsága és a Hálózati réteg biztonsága témakörökben olvashatók.


A nyilvános kulcsok infrastruktúrája

A számítógépes hálózatok már nem zárt rendszerek többé, amelyekben a felhasználó puszta jelenléte a hálózaton elegendő kilétének azonosításához. Az információk összekapcsolódásának e korában egy cég hálózata intranetekből, Internet-helyekből és extranetekbőlállhat, amelyek mindegyike ki van téve annak, hogy illetéktelen személyek azzal a céllal, hogy a cég digitális formában tárolt adatait rosszindulatúan megtekintsék vagy megváltoztassák.

A hálózaton lévő információhoz számtalan módon lehet illetéktelenül hozzáférni. Akadnak olyanok, akik megkísérlik figyelni, illetve módosítani az olyan adatfolyamokat, mint például az e-mail, az elektronikus kereskedelmi tranzakciók vagy a fájlátvitelek. A cég korlátozott hatókörű és időtartamú projekteken működhet együtt különböző partnerekkel, alig ismert alkalmazottakkal, akiknek mindazonáltal hozzáférést kell biztosítani a cég információs erőforrásaihoz. Ha a felhasználóknak különböző biztonsági rendszerek eléréséhez nagyszámú jelszót kell fejben tartaniuk, ennek megkönnyítésére hajlamosak egyszerű vagy hétköznapi jelszavakat választani. Ezzel nemcsak könnyű prédát szolgáltatnak a számítógépes kalózoknak, hanem hozzáférést is a többszörösen biztosított rendszerekhez és az azokon tárolt adatokhoz.

Hogyan győződhet meg a rendszergazda az információhoz hozzáférő személy kilétéről, illetve, ha már a személy azonosítása megtörtént, hogyan szabályozhatja azt, hogy mely információhoz férhet hozzá? Továbbá hogyan oszthatja el és kezelheti biztonságosan a hitelesítő adatokat a cégen belül? Ezek a problémák a nyilvános kulcsok jól megtervezett infrastruktúrájával megoldhatók.

A nyilvános kulcsok infrastruktúrája (angol rövidítéssel PKI, public key infrastructure) nem más, mint olyan digitális bizonyítványok, hitelesítő szervezetek (CA-k) és más regisztrációs szervezetek rendszere, amely a nyilvános kulcsú titkosítás segítségével ellenőrzi és hitelesíti az elektronikus tranzakciókban részt vevő felek jogosultságait. A nyilvános kulcsok infrastruktúrájának szabványai még nem teljesen kiforrottak, ugyanakkor már széles körben terjednek, mint az elektronikus kereskedelem nélkülözhetetlen elemei. A nyilvános kulcsok infrastruktúrájának tervezéséről és a nyilvános kulcsú titkosításról részletes tudnivalók találhatók az Erőforrások: A nyilvános kulcsok infrastruktúrája című témakörben felsorolt dokumentumokban.

Számos oka van annak, hogy egy cég miért választhatja a Windows 2000 rendszerrel együttműködő nyilvános kulcsok infrastruktúráját. Ezek közül néhány:

  • Erős biztonság. Az intelligens kártyák használatával erős hitelesítés érhető el. Az Internet-protokoll biztonságával a nyilvános hálózatokon átvitt adatok bizalmassága és integritása, az EFS (titkosított fájlrendszer) segítségével pedig a tárolt adatok bizalmassága őrizhető meg. Emellett a Windows 2000 biztonsági engedélyeivel a rendszergazda meghatározhatja, hogy az egyes felhasználók milyen bizonyítványokat kapjanak.

  • Egyszerűbb felügyelet. Cége jelszók helyett bizonyítványokat bocsáthat ki. Szükség esetén visszavonhat bizonyítványokat és közzéteheti a visszavont bizonyítványok listáit (CRL). A vállalatok közti megbízhatósági kapcsolatok kezelésének nagyfokú méretezhetőségére is lehetőség nyílik. Az Active Directory és a Csoportházirend alkalmazásokkal együttműködő Bizonyítványszolgáltatások használata is számos előnnyel jár. A Windows 2000 arra is lehetőséget nyújt, hogy az Active Directoryban vagy az Internet Information Services modulon keresztül a bizonyítványokat felhasználói fiókokhoz rendelje.

  • Új lehetőségek. Adatokat vagy fájlokat cserélhet biztonságosan nyilvános hálózatokon, például az Interneten keresztül. Biztonságos elektronikus levelezést folytathat az S/MIME (Secure Multipurpose Internet Mail Extensions) használatával és biztonságos webkapcsolatokat létesíthet a Secure Sockets Layer (SSL) vagy a Transport Layer Security (TLS) protokollok segítségével.

    Ezen túl az elektronikus kereskedelem fontos elemeként az adathozzáférés biztonságát digitális aláírások használatával növelheti.

A cégen belül a nyilvános kulcsok infrastruktúrájának megvalósítását a Windows 2000 alábbi szolgáltatásai segítik:

  • Bizonyítványok. A bizonyítvány tulajdonképpen egy digitális nyilatkozat, amit egy, a bizonyítvány tulajdonosának kilétét szavatoló szervezet bocsát ki. A bizonyítvány a nyilvános kulcsot a vonatkozó személyes kulcsot birtokló személyhez, számítógéphez vagy szolgáltatáshoz köti. Bizonyítványokat számos olyan nyilvános kulcsú titkosítást használó szolgáltatás és alkalmazás használ, amely a hálózatokon, például az Interneten keresztül a hitelesítésről, az adatintegritásról és a biztonságos kommunikációról gondoskodik.

    A Windows 2000 bizonyítvány alapú folyamatai az X.509v3 szabványos bizonyítványformátumot alkalmazzák. Egy X.509 formátumú bizonyítvány adatokat tartalmaz a bizonyítvánnyal rendelkező személyről vagy entitásról, a bizonyítványról, valamint a bizonyítványt kibocsátó hitelesítő szervezetről. A tárgyra vonatkozó információk például az entitás neve, a nyilvános kulcs, a nyilvános kulcsú algoritmus és egy választható egyedi tárgyazonosító. A 3-as verziójú bizonyítványok szabványos bővítményei emellett tartalmazhatnak adatokat a kulcsazonosítóra, a kulcshasználatra, a bizonyítvány irányelveire, más nevekre és attribútumokra, a bizonyítvány elérési útjával kapcsolatos megkötésekre és a bizonyítvány visszavonásának kibővített lehetőségeire (például a visszavonás okára és a hitelesítő szervezet megújítása során a visszavont bizonyítványok listájának felosztására) vonatkozóan.

    A bizonyítványok kezelése a Bizonyítványok MMC konzol segítségével történhet. További tudnivalók a Bizonyítványok – áttekintés című témakörben találhatók.

  • Bizonyítványszolgáltatások a Windows 2000 Server rendszeren. A Bizonyítványszolgáltatások a Windows 2000 összetevője, amely hitelesítő szervezetek létrehozására és kezelésére szolgál. A hitelesítő szervezet megadja és szavatolja a bizonyítvány birtokosainak kilétét. Visszavonja továbbá a már nem érvényes bizonyítványokat és közzéteszi a visszavont bizonyítványok listáját, amelyet majd a bizonyítványt ellenőrző program használni fog. A nyilvános kulcsok infrastruktúrájának legegyszerűbb modellje mindössze egyetlen gyökér hitelesítő szervezetből áll. A gyakorlatban azonban a nyilvános kulcsok infrastruktúráját alkalmazó cégek nagy része több hitelesítő szervezetet használ, amelyek hitelesítési hierarchiának nevezett meghatalmazotti csoportokba vannak rendezve.

    A Bizonyítványszolgáltatások különálló összetevőjét alkotják a hitelesítő szervezetek webes beiktatási lapjai. E weblapok alapértelmezés szerinti automatikus telepítésére akkor kerül sor, amikor hitelesítési szervezeteket állít be, és lehetővé teszi, hogy a bizonyítványkérelmet intéző felhasználók kérelmeiket webböngésző segítségével küldjék el. A hitelesítő szervezetek weblapjai olyan Windows 2000 kiszolgálóra is telepíthetők, amelyen nincs hitelesítő szervezet telepítve. Ebben az esetben a weblapok segítségével a bizonyítványkérelmek olyan hitelesítő szervezethez irányíthatók át, amelynek közvetlen elérését valamilyen okból nem teszi lehetővé. Ha a hitelesítő szervezetek eléréséhez egyéni weblapok létrehozása mellett dönt, a Windows 2000 rendszerrel forgalomba kerülő weblapokat mintaként használhatja. A Bizonyítványszolgáltatásoknak és a hitelesítő szervezetek weblapjainak testreszabásáról a Microsoft Platform Software Development Kit tartalmaz tudnivalókat.

    A Bizonyítványszolgáltatások kezelése a hitelesítő szervezetek MMC konzoljával történhet. További tudnivalók a Bizonyítványszolgáltatások – áttekintés című témakörben találhatók.

  • Intelligens kártyák támogatása. A Windows 2000 támogatja az intelligens kártyákon lévő bizonyítványok segítségével történő bejelentkezést, valamint a webalkalmazásokhoz, a biztonságos elektronikus levelezéshez és más nyilvános kulcsú titkosításon alapuló műveletekhez használt bizonyítványok intelligens kártyákon történő tárolását is. További tudnivalók az Intelligens kártyák című témakörben találhatók.

  • Nyilvános kulcs irányelvei. A Windows 2000 Csoportházirendje segítségével a bizonyítványok automatikusan eloszthatók a számítógépekre, létrehozhatók megbízható bizonyítványok listái és általános megbízható hitelesítő szervezetek, továbbá kezelhetők az EFS (titkosító fájlrendszer) helyreállítási irányelvei. További tudnivalók a Nyilvános kulcs irányelvei – áttekintés című témakörben találhatók.

A nyilvános kulcsra épülő infrastruktúra Windows 2000 rendszerben történő használatának kezdőlépéseit a Bizonyítványszolgáltatások rész Feladatlistái tartalmazzák.


A biztonság ismertetése

A Windows 2000 biztonsági szerkezete megfelel a legszigorúbb biztonsági követelményeknek. Egyedül a szoftver azonban nem garantálja a hatékonyságot alapos tervezés és felmérés, hatékony biztonsági irányelvek és a felhasználók útbaigazítása nélkül.

A biztonsági rendszer a következő fogalmakra épül:

  • Kiszolgálói szerepkörök
  • Felhasználók, csoportok és számítógépek
  • Hitelesítési mechanizmusok
  • A nyilvános kulcsok infrastruktúrája
  • Biztonsági házirendek
  • Felhasználói jogok
  • Hozzáférés-szabályozás
  • Biztonsági események naplózása
  • Biztonságos adattárolás
  • Hálózati adatbiztonság
  • Biztonsági konfiguráció és analízis
  • A Biztonsági sablonok kezelése


Kiszolgálói szerepkörök

Az adott tartományban üzemelő kiszolgáló tartományvezérlőként vagy tagkiszolgálóként működik. A hálózatokat alkalmazó szervezetek változó igényeinek megfelelően a Windows 2000 operációs rendszer támogatja a tartományvezérlők tagkiszolgálóvá történő lefokozását, illetve a tagkiszolgálók tartományvezérlőkké való előléptetését.

A tartományvezérlők és a tagkiszolgálók biztonsági kérdéseiről a következő témakörök nyújtanak felvilágosítást:

  • Tartományvezérlők
  • Tagkiszolgálók
  • Kiszolgálók szerepköreinek megváltoztatása


Tartományvezérlők

A tartományban kiszolgálóként működő rendszerek lehetnek tartományvezérlők vagy tagkiszolgálók.

A tartományvezérlő egy Active Directoryt futtató Windows 2000 kiszolgáló. Az Active Directory a tartományvezérlőn tárolja a tartományra vonatkozó összes fiók- és házirend-információt, például a rendszer- és biztonsági házirendeket, a felhasználók hitelesítési adatait és a címtárkeresést. A fiókinformációk felhasználókhoz, szolgáltatásokhoz és számítógépfiókokhoz tartozhatnak. Az Active Directorynak köszönhetően a tartományvezérlők nem igénylik a biztonsági fiókkezelőt (SAM).

Egyetlen tartomány egy vagy több tartományvezérlőként konfigurált számítógépet is tartalmazhat. Egy helyi hálózatot használó kis cégnek például valószínűleg csak egy vagy két tartományvezérlőre van szüksége, míg egy több hálózati hellyel rendelkező nagyobb vállalatnak minden hálózati helyen több tartományvezérlőt kell üzemeltetnie a megfelelő elérhetőség és hibatűrés biztosítása érdekében.

A rendszergazdák az Active Directoryt a tartomány bármely Windows 2000 tartományvezérlőjén frissíthetik. A Windows NT 4.0 tartalék tartományvezérlők esetében az egyik Windows 2000 tartományvezérlő szolgál elsődleges tartományvezérlőként, hogy az Active Directory csak olvasható példányát replikálja a Windows NT 4.0 számítógépre.

Mivel a tartományvezérlők tárolják a tartomány összes felhasználói adatát, fizikailag biztonságos helyen kell elhelyezni őket. Továbbá a tartományvezérlők konzoljába való interaktív bejelentkezéshez csak a rendszergazdáknak szabad engedéllyel rendelkezniük.

További információ a Tartományvezérlők című témakörben található.

A tagkiszolgálókkal kapcsolatban a Tagkiszolgálók című témakör nyújt bővebb felvilágosítást.


Tagkiszolgálók

A tartományban kiszolgálóként működő rendszerek tartományvezérlők vagy tagkiszolgálók lehetnek.

A tagkiszolgálókat az alábbiak jellemzik:

  • a Windows 2000 Server rendszert futtatják
  • egy tartomány tagjai, és
  • nem tartományvezérlők.

A tagkiszolgálók nem végeznek felhasználóhitelesítést, és nem tárolják a biztonsági házirendekre vonatkozó információkat, mivel az a tartományvezérlők feladata.

A tagkiszolgálók általában az alábbi szerepeket tölthetik be:

  • fájlkiszolgálók
  • alkalmazáskiszolgálók
  • adatbázis-kiszolgálók
  • webkiszolgálók
  • bizonyítványszolgáltatások
  • tűzfalak, illetve
  • távelérési kiszolgálók.

Ezek a tagkiszolgáló-típusok közös adatvédelmi szolgáltatásokkal rendelkeznek:

  • követik a tartomány számára meghatározott házirendeket, amelyek az Active Directoryban találhatók
  • a tagkiszolgálón elérhető erőforrások hozzáférés-szabályozásra vannak konfigurálva
  • a tagkiszolgálókon hitelesített felhasználók felhasználói jogosultságokkal rendelkeznek, és
  • a tagkiszolgálók tárolnak egy biztonsági fiókkezelő (SAM) nevű helyi adatbázist, amely a biztonsági fiókokra vonatkozó információkat tartalmazza.

A tartományvezérlőkről a Tartományvezérlők című témakörben talál további információt.


Kiszolgálók szerepköreinek megváltoztatása

A tartományon belüli kiszolgálók két szerepkört vehetnek fel: tartományvezérlők vagy tagkiszolgálók lehetnek.

Ahogy a számítógépes környezet követelményei változnak, szükségessé válhat a kiszolgáló szerepkörének módosítása. Az Active Directory telepítő varázsló használatával a tagkiszolgálók tartományvezérlőkké léptethetők elő, és a tartományvezérlők tagkiszolgálókká fokozhatók le.


Felhasználók, számítógépek és csoportok

A tartományhoz tartozó felhasználók, számítógépek és csoportok az Active Directory – felhasználók és csoportok alkalmazás segítségével kezelhetők. Ez biztonsági szempontból azt jelenti, hogy megtekintheti és beállíthatja az Active Directory objektumok engedélyeit, valamint azokat a felhasználókat és csoportokat, amelyek megkapják ezeket az engedélyeket.

Az Active Directory – felhasználók és számítógépek alkalmazás segítségével egy objektum naplózási eseményeit és tulajdonosát is megtekintheti, illetve beállíthatja.

További információ a következő oldalakon olvasható:

  • Az Active Directory felhasználói és számítógépfiókjai
  • A csoportok ismertetése


Hitelesítési mechanizmusok

A Windows 2000 számos hitelesítési módszer használatára képes a hálózati szolgáltatást elérni kívánó felhasználók hitelesítéséhez. Az Active Directory több biztonsági hitelesítő adatot is képes biztonságosan tárolni a hitelesítési módszerek bármelyikéhez.

A hitelesítési módszerekkel kapcsolatban további információ a következő témakörökben található:

  • Bevezetés a hitelesítés használatába
  • Kerberos V5 hitelesítés
  • Secure Sockets Layer/Transport Layer Security (SSL/TLS) hitelesítés
  • NTLM-hitelesítés
  • Együttműködés az RFC-1510 Kerberos hitelesítéssel


Bevezetés a hitelesítés használatába

A Windows 2000 hitelesítés fontos szolgáltatása az egyszeri bejelentkezés. Az egyszeri bejelentkezés lehetővé teszi a felhasználó számára a tartományba való bejelentkezést egyetlen jelszó használatával, ami hitelesíti a tartományhoz tartozó összes számítógépen.

Az egyszeri bejelentkezés két fő biztonsági előnnyel jár:

  • A felhasználó számára az egyetlen jelszó, vagy az intelligens kártya használata egyszerűbbé és hatékonyabbá teszi a munkát.
  • A rendszergazdák szempontjából a tartományfelhasználók támogatásához szükséges munka mennyisége csökken, mivel felhasználónként csak egy fiókot kell kezelni.

A Windows 2000 hitelesítés, az egyszeri bejelentkezéssel együtt, két lépésben valósul meg: az interaktív bejelentkezésben és a hálózati hitelesítésben. A sikeres felhasználói bejelentkezés mindkét folyamattól függ.

Interaktív bejelentkezés

Az interaktív bejelentkezés egy tartományfiók vagy egy helyi számítógép számára erősíti meg a felhasználó személyazonosságát. Ez a folyamat a felhasználói fiók típusától függően más és más lehet.

  • Tartományfiók esetében a felhasználó jelszóval vagy intelligens kártyával jelentkezik be a hálózatba, az Active Directoryban tárolt, egyszeri bejelentkezéshez tartozó hitelesítő adatok használatával. Tartományfiókkal történő bejelentkezés esetén a jogosult felhasználó hozzáférhet a tartomány és a meghatalmazó tartományok erőforrásaihoz. Ha a tartományfiókba való bejelentkezés jelszóval történik, a Windows 2000 a Kerberos V5 protokoll által nyújtott hitelesítést használja. Ha a bejelentkezés intelligens kártyával történik, a Windows 2000 Kerberos V5 hitelesítést használ bizonyítványokkal.
  • Helyi számítógépfiók esetében a felhasználó a helyi biztonsági fiókadatbázisként szolgáló biztonsági fiókkezelő (SAM) által tárolt hitelesítő adatokkal jelentkezik be a helyi számítógépre. Bármely munkaállomás vagy tagkiszolgáló tárolhat helyi felhasználói fiókokat, de ezek a fiókok csak a helyi számítógép elérésére használhatók.

Hálózati hitelesítés

A hálózati hitelesítés azonosítja a felhasználót az általa elérni kívánt hálózati erőforrás számára. Ehhez a hitelesítéshez a Windows 2000 biztonsági rendszere számos különféle hitelesítési mechanizmust támogat. Ezek a Kerberos V5, a Secure Socket Layer/Transport Layer Security (SSL/TLS) és, a Windows NT 4.0-val való kompatibilitás érdekében, az NTLM.

A tartományi fiókkal rendelkező felhasználók számára a hálózati hitelesítés nem látható. A helyi számítógépfiókkal rendelkező felhasználóknak minden alkalommal, amikor hálózati erőforráshoz próbálnak hozzáférni, hitelesítő adatokat kell megadniuk (például felhasználónevet és jelszót). Tartományi fiók használata esetén a felhasználó egyszeri bejelentkezésre alkalmas hitelesítő adatokkal rendelkezik.


Kerberos V5 hitelesítés

A Kerberos V5 a tartományon belüli hitelesítés elsődleges biztonsági protokollja. A Kerberos V5 protokoll a felhasználó és a hálózati szolgáltatások azonosságát is ellenőrzi. Ez a kétszeres ellenőrzés kölcsönös hitelesítés néven ismert.

A Kerberos V5 működése

A Kerberos V5 hitelesítési mechanizmus jegyeket ad ki a hálózati szolgáltatások eléréséhez. Ezek a jegyek titkosított adatokat tartalmaznak (egy titkosított jelszóval együtt), amely megerősíti a felhasználó személyazonosságát a kért szolgáltatás számára. A jelszó bevitelén, illetve az intelligens kártya hitelesítő adatainak begépelésén kívül az egész hitelesítési folyamat láthatatlan a felhasználó számára.

A Kerberos V5 fontos szolgáltatása a kulcskiosztó központ (Key Distribution Center – KDC). A KDC az egyes tartományvezérlőkön az Active Directory részeként fut, amely az összes ügyféljelszót és fiókinformációt tárolja.

A Kerberos V5 hitelesítési folyamata a következőképpen működik:

  1. Az ügyfélrendszeren lévő felhasználó, jelszó vagy intelligens kártya használatával, hitelesíti magát a KDC számára.
  2. A KDC speciális jegymegadási jegyet biztosít az ügyfélnek. Az ügyfél ezt a jegymegadási jegyet használja a jegymegadási szolgáltatás (TGS) elérésére, amely a tartományvezérlőn lévő Kerberos V5 hitelesítési mechanizmus része.
  3. Ezután a jegymegadási szolgáltatás szolgáltatásjegyet biztosít az ügyfélnek.
  4. Az ügyfél ezt a szolgáltatásjegyet mutatja be a kért hálózati szolgáltatásnak. A szolgáltatásjegy az ügyfelet is hitelesíti a szolgáltatás számára, és a szolgáltatást is az ügyfél számára.

Ha további információra van szüksége a Kerberos V5 hitelesítésről, olvassa el a Windows 2000 Resource Kit című könyvet.

Kerberos V5 és a tartományvezérlők

A Kerberos V5 szolgáltatásai minden tartományvezérlőn telepítve vannak, és minden Windows 2000 munkaállomásra, illetve kiszolgálóra Kerberos ügyfél van telepítve.

Minden tartományvezérlő kulcskiosztó központként működik. A Windows 2000 rendszer tartománynév-szolgáltatási (DNS) keresést használ a legközelebbi elérhető tartományvezérlő megtalálásához. Ezután ez a tartományvezérlő szolgál kulcskiosztó központként a felhasználó számára a bejelentkezés alatt. Ha az elsődleges kulcskiosztó központ elérhetetlenné válik, a Windows 2000 új kulcskiosztó központot keres a hitelesítés végrehajtásához.

Hitelesítés delegálása

A hitelesítés delegálása olyan jogosultság, amelyet a rendszergazda biztosíthat egy felhasználó vagy egy számítógépfiók számára. Alapértelmezés szerint csak a tartománygazdák rendelkeznek ezzel a joggal. Ezt a jogosultságot csak megbízható szolgáltatásokhoz szabad hozzárendelni.

N rétegű alkalmazás esetén a felhasználó egy középső rétegbeli szolgáltatáson hajtja végre a hitelesítést. A középső rétegbeli szolgáltatás a felhasználó nevében végzi el a hitelesítést egy háttér-adatkiszolgálón.

A delegálás a delegálásra meghatalmazott középső rétegbeli szolgáltatástól függ. A delegálásra való meghatalmazás azt jelenti, hogy a szolgáltatás megszemélyesíthet egy felhasználót más hálózati szolgáltatások használatakor.

Együttműködés a Kerberos V5-tel

A Windows 2000 két módon képes együttműködni a Kerberos V5-tel:

  • Tartomány és MIT alapú Kerberos-tartomány között meghatalmazotti kapcsolat hozható létre. Ez azt jelenti, hogy egy Kerberos tartományban található ügyfél hitelesítheti magát bármely Active Directory tartományban, hogy elérje annak hálózati erőforrásait.
  • Egy tartományon belül a UNIX-ügyfelek és -kiszolgálók Active Directory fiókokkal rendelkezhetnek, így hitelesíthetik magukat egy tartományvezérlő számára.

    • A Kerberos protokoll MIT alapú verziói közötti együttműködésről és a Kerberos protokoll megvalósításáról a Windows 2000 rendszerben a Windows 2000 Resource Kit tartalmaz további információt.

Megjegyzés

  • A Csoportházirend-szerkesztő felhasználói felülete, mely a Kerberos házirend módosítására használható egyedi felhasználói és csoportfiókok esetében, a jegykiadási jegyet felhasználói jegyként említi.


Secure Socket Layer/Transport Layer Security (SSL/TLS) hitelesítés

A bizonyítványokkal és a Secure Socket Layer kapcsolatokkal, illetve hitelesítéssel kapcsolatban további információ található a Néhány szó a bizonyítványokról című témakörben, az IIS 5.0 dokumentációjában. (http://localhost/iishelp/iis/htm/core/iiabcsc.htm)

A bizonyítványok felhasználói fiókokhoz történő hozzárendelésével kapcsolatban az Internet Information Services (IIS) programon belül további információ található az Ügyfélbizonyítványok hozzárendelése felhasználói fiókokhoz című témakörben, az IIS 5.0 dokumentációjában. (http://localhost/iishelp/iis/htm/core/iimapsc.htm)

Megjegyzés

  • A dokumentáció eléréséhez telepíteni kell az IIS programot.


Az NTLM-hitelesítés

A Windows 2000 rendszer az NTLM protokollt két, egyazon tartományon belüli számítógép közötti tranzakciók hitelesítési protokolljaként használja, ha az egyik, vagy mindkét számítógép Windows NT 4.0 vagy korábbi rendszert futtat.

A Windows 2000 alapértelmezés szerint vegyes üzemmódú hálózatban kerül telepítésre. A vegyes üzemmódú hálózati konfiguráció a Windows NT 4.0 és a Windows 2000 rendszerek kombinációját használja. Ha nem vegyes üzemmódú hálózattal rendelkezik, az NTLM-hitelesítést letilthatja a tartományvezérlő natív üzemmódra való átállításával.

Az alábbi példákban szereplő konfigurációk NTLM-hitelesítési mechanizmust használnának:

  • Windows 2000 Professional ügyfél Windows NT 4.0 tartományvezérlőn való hitelesítése
  • Windows NT 4.0 Workstation ügyfél Windows 2000 tartományvezérlőn való hitelesítése
  • Windows NT 4.0 Workstation ügyfél Windows NT 4.0 tartományvezérlőn való hitelesítése
  • Windows NT 4.0 tartomány felhasználóinak Windows 2000 tartományban való hitelesítése

Az NTLM ezenkívül olyan számítógépek hitelesítési protokollja, amelyek nem tagjai egy tartománynak (például egyedülálló kiszolgálók és munkacsoportok).

Az NTLM-hitelesítésről további információt a Windows 2000 Resource Kit tartalmaz.


Együttműködés az RFC-1510 Kerberos hitelesítéssel

A Kerberos V5 képes együttműködni más biztonsági szolgáltatásokkal, melyek az 1510-es számú RFC-dokumentumban leírt Kerberos referencián alapulnak.

A Kerberos V5 a következőképpen működik együtt a Kerberos protokollt használó, az 1510-es RFC alapján megvalósított szolgáltatásokkal:

  • A Windows 2000 tartományvezérlők hitelesítést biztosítanak az RFC-1510 Kerberos protokollt használó ügyfélrendszerek számára, többek között a nem Windows 2000 operációs rendszert futtató ügyfelek számára is.
  • A Windows 2000 Professional rendszer hitelesíthető egy tartományon belüli RFC-1510 Kerberos kiszolgálón, egyszeri bejelentkezéssel mind a kiszolgálóra, mind egy helyi Windows 2000 Professional fiókba.
  • A Win32 ügyfélalkalmazásai és azok a Windows 2000-től eltérő operációs rendszerek, melyek a General Security Service alkalmazásprogramozói felületén (GSS API) alapulnak, munkamenetjegyeket kaphatnak a Windows 2000 tartományon belüli szolgáltatásokhoz.

Ha további információra van szüksége az együttműködési szolgáltatásokról, olvassa el a Windows 2000 Resource Kit című könyvet.


Nyilvános kulcsok infrastruktúrája

A Windows 2000 operációs rendszer nyilvános kulcsaihoz tartozó infrastruktúra-összetevőkkel kapcsolatos elméleti tudnivalókat a következő témakörökben találja meg:

  • Intelligens kártyák – áttekintés
  • Bizonyítványok – áttekintés
  • Hitelesítési szolgáltatások – áttekintés
  • Nyilvános kulcs irányelvei – áttekintés


Felhasználói engedélyek

A felhasználói engedélyek a számítógépes környezetben lévő felhasználóknak és csoportoknak biztosítanak meghatározott jogosultságokat és bejelentkezési engedélyeket. A felhasználói engedélyekről a következő témakörök nyújtanak felvilágosítást:

  • Bevezetés a felhasználói engedélyek használatába
  • Jogosultságok használata
  • Bejelentkezési engedélyek


Bevezetés a felhasználói engedélyek használatába

A rendszergazdák meghatározott engedélyeket adhatnak csoportfiókoknak vagy egyéni felhasználói fiókoknak. Az engedélyek birtokában a felhasználók végrehajthatnak bizonyos műveleteket, például interaktív módon bejelentkezhetnek egy adott rendszerbe vagy biztonsági másolatot készíthetnek fájlokról és könyvtárakról. A felhasználói engedélyek abban különböznek az engedélyektől, hogy míg a felhasználói engedélyek felhasználói fiókokra vonatkoznak, az engedélyek objektumokhoz kötődnek. Az engedélyekről a Hogyan befolyásolja az öröklés a fájlok és mappák engedélyeit? című témakörben talál további információt.

A felhasználói engedélyek a helyi szinten határozzák meg a végrehajtható feladatok körét. Habár a felhasználói engedélyek adott felhasználói fiókokra is vonatkozhatnak, felügyeletük csoportfiókokon alapulva valósítható meg legcélszerűbben. Ezzel biztosítható az, hogy a valamely csoport tagjaként bejelentkező felhasználó automatikusan ugyanazokkal az engedélyekkel rendelkezzen, mint az a csoport, amelynek tagja. A felhasználói engedélyek adott felhasználók helyett csoportokhoz történő rendelésével a felhasználói fiókok felügyelete egyszerűbbé tehető. Ha az adott csoport felhasználóinak ugyanazokra a felhasználói engedélyekre van szükségük, célszerűbb a felhasználói engedélyek meghatározott készletét egyszer a csoporthoz rendelni ahelyett, hogy ugyanezt az engedélykészletet egyesével, többször az egyes felhasználói fiókokhoz adná.

Az adott csoporthoz rendelt felhasználói engedélyek a csoport összes tagjára vonatkoznak mindaddig, amíg azok a csoport tagjai maradnak. Ha valamely felhasználó több csoportnak is tagja, felhasználói engedélyei halmozódhatnak: ez azt jelenti, hogy több engedélykészlettel is rendelkezhet. Az egyes csoportokhoz rendelt felhasználói engedélyek csak bizonyos bejelentkezési engedélyek esetén ütközhetnek egymással, ez azonban rendszerint nem fordul elő. A felhasználó engedélyeit úgy távolítja el a rendszergazda, hogy a felhasználót eltávolítja a csoportból. Ezt követően a felhasználó nem rendelkezik a csoporthoz rendelt engedélyekkel.

A felhasználói engedélyeknek két fő típusa van: jogosultságok és bejelentkezési engedélyek.

  • Jogosultság például az, ha a felhasználó biztonsági másolatot készíthet fájlokról és könyvtárakról.
  • Bejelentkezési engedélynek az tekinthető például, hogy az adott felhasználó helyileg bejelentkezhet a rendszerbe.

Jogosultságok

Az alábbi felsorolás a felhasználókhoz rendelhető jogosultságokat sorolja fel. A jogosultságokat a felhasználói engedélyek házirendjével lehet kezelni.

  • Az operációs rendszer részeként
  • Munkaállomások hozzáadása tartományhoz
  • Biztonsági másolat készítése fájlokról és könyvtárakról
  • Szülőkönyvtár-jogosultság mellőzése
  • Rendszeridő megváltoztatása
  • Tokenobjektum létrehozása
  • Állandó megosztott objektumok létrehozása
  • Lapozófájl létrehozása
  • Hibakeresés programokban
  • A fiók szerepköre delegálható beállítás megadása felhasználói és csoportfiókokhoz
  • Távirányított rendszerleállítás
  • Biztonsági naplók létrehozása
  • Kvóták növelése
  • Ütemezési prioritás növelése
  • Eszközillesztők betöltése és eltávolítása
  • Memórialapok zárolása
  • Naplózás felügyelete
  • Belső vezérlőprogram környezeti értékeinek módosítása
  • Adott folyamat adatainak összegyűjtése
  • A rendszerteljesítmény adatainak összegyűjtése
  • Folyamatszintű token cseréje
  • Fájlok és könyvtárak helyreállítása
  • A rendszer leállítása
  • Fájlok és egyéb objektumok saját tulajdonba vétele
  • Noteszgép leválasztása

A fenti jogosultságok némelyike felülbírálhatja az adott objektumra beállított engedélyeket. A Biztonságimásolat-felelősök csoport tagjaként valamely tartományfiókba bejelentkezett felhasználó például a tartomány minden kiszolgálójáról készíthet biztonsági másolatokat. Ehhez azonban az szükséges, hogy a kiszolgálón tárolt összes fájlt olvasni tudja, még azokat a fájlokat is, amelyekre tulajdonosaik olyan engedélyeket állítottak be, amelyek minden felhasználónak megtiltják a hozzáférést, beleértve a Biztonságimásolat-felelősök csoport tagjait is. Ebben az esetben a felhasználói engedély (azaz a biztonsági másolat elkészítésének lehetősége) felülbírálja a fájlokra és könyvtárakra beállított összes engedélyt.

Bejelentkezési engedélyek

A következő felsorolás a felhasználókhoz rendelhető bejelentkezési engedélyeket ismerteti. A bejelentkezési engedélyeket a felhasználói engedélyek házirendjével lehet kezelni.

  • A gép elérése a hálózatból
  • Helyi bejelentkezés
  • Bejelentkezés kötegelt feladatként
  • Bejelentkezés szolgáltatásként
  • Hálózati hozzáférés megtagadása ehhez a számítógéphez a hálózatról
  • Bejelentkezés megtagadása kötegelt feladatként
  • Bejelentkezés megtagadása szolgáltatásként
  • Helyi bejelentkezés megtagadása

A Helyi rendszerfiók szinte az összes jogosultsággal és bejelentkezési engedéllyel rendelkezik, hiszen az operációs rendszer részeként futó összes folyamat ehhez a fiókhoz van társítva, és ezen folyamatoknak a felhasználói engedélyek teljes készletére van szükségük.


Jogosultságok használata

A felhasználói fiókok felügyeletét úgy teheti egyszerűbbé, hogy a jogosultságokat elsősorban csoportfiókokhoz, és nem egyedi felhasználói fiókokhoz rendeli hozzá. Jogosultságok adott csoportfiókhoz rendelésekor a csoport tagjaivá váló felhasználók automatikusan megkapják a csoport jogosultságait. A jogosultságok ilyetén felügyelete sokkal egyszerűbb, mint az egyes jogosultságok felhasználói fiókokhoz rendelése azok létrehozásakor.

A következő táblázat az egyes felhasználókhoz rendelhető jogosultságokat ismerteti.

Jogosultság | Leírás
Az operációs rendszer részeként Ezzel a jogosultsággal az egyes folyamatok bármely felhasználóként hitelesíthetők, így ugyanazokhoz az erőforrásokhoz férnek hozzá, mint bármely felhasználó. Erre a jogosultságra csak az alacsony szintű hitelesítési szolgáltatásoknak van szükségük.

A lehetséges hozzáférés nem korlátozódik a felhasználóhoz alapértelmezés szerint társított hozzáférésre, mivel a hívó folyamat azt is kérheti, hogy a rendszer további tetszőleges hozzáféréseket biztosítson a hozzáférési tokenben. Még fontosabb hangsúlyozni azt, hogy a hívó folyamat olyan névtelen tokent hozhat létre, amely biztosíthatja bármely, illetve az összes hozzáférést. Ezenkívül a token nem nyújt elsődleges azonosságot az események naplóban történő nyomon követéséhez.

Az ezt a jogosultságot igénylő folyamatoknak a helyi rendszerfiókot kell használniuk, amely már tartalmazza ezt a jogosultságot – nem pedig egy külön felhasználói fiókot, amelyhez egyedileg rendelték hozzá ezt a jogosultságot.

Munkaállomások hozzáadása tartományhoz | E jogosultsággal a felhasználó számítógépet adhat az adott tartományhoz. A felhasználó felügyeleti felhasználói felületen keresztül határozza meg a hozzáadni kívánt számítógépen lévő tartományt, úgy, hogy objektumot hoz létre az Active Directory Számítógép tárolójában. A Windows 2000 operációs rendszer egy másik, ezen jogosultsághoz hasonló, hozzáférés-szabályozási mechanizmus segítségével biztosítja e jogosultság működtetését (a Számítógép tárolóhoz vagy szervezeti egységhez csatolt engedélyekkel).
Biztonsági másolat készítése fájlokról és könyvtárakról | Ezzel a jogosultsággal a felhasználó megakadályozhatja, hogy fájl- és könyvtárengedélyek biztonsági másolatot készítsenek a rendszerről. Ez a jogosultság tulajdonképpen ahhoz hasonló, mint amikor a helyi számítógép összes fájljának és mappájának megadják a következő engedélyeket: Mappa átjárása / Fájl végrehajtása, Mappa listázása / Adatok olvasása, Attribútumok olvasása, Bővített attribútumok olvasása, valamint Engedélyek olvasása. További információ a Fájlok és könyvtárak visszaállítása címszónál.
Szülőkönyvtár-jogosultság mellőzése | Ezzel a jogosultsággal valamely Windows fájlrendszer, illetve a rendszerleíró adatbázis egy adott objektumútvonalát követve a felhasználó olyan könyvtárakban is kereshet, amelyekhez egyébként nincs hozzáférése. A jogosultság azonban nem teszi lehetővé a felhasználónak, hogy az egyes könyvtárak tartalmát megjelenítse, csak azt, hogy bejárja azok tartalmát.
Rendszeridő megváltoztatása | Engedélyezi a felhasználónak, hogy beállítsa a gép belső óráját.
Tokenobjektum létrehozása E jogosultság birtokában az adott folyamat olyan tokent hozhat létre, amellyel később bármely helyi erőforráshoz hozzáférést kaphat, ha a folyamat NtCreateToken() vagy más, token létrehozásához használt API-t használ.

Az ezt a jogosultságot igénylő folyamatok lehetőség szerint használják a helyi rendszerfiókot, amely már tartalmazza ezt a jogosultságot – nem pedig egy külön felhasználói fiókot, amelyhez egyedileg rendelték hozzá ezt a jogosultságot.
Állandó megosztott objektumok létrehozása | Ezzel a jogosultsággal az adott folyamat címtárobjektumot hozhat létre a Windows 2000 objektumkezelőjében. Ez a jogosultság azon kernelmódú összetevőknek hasznos, amelyek bővíteni szeretnék a Windows 2000 objektumnévterét. Mivel a kernelmódban futó összetevők már rendelkeznek ezzel a jogosultsággal, nincs szükség annak külön hozzárendelésére.
Lapozófájl létrehozása | Ezzel a jogosultsággal a felhasználó lapozófájlt hozhat létre, és módosíthatja annak méretét. Ezt úgy teheti meg, hogy a Rendszer tulajdonságai párbeszédpanel Speciális lapjáról elérhető Teljesítménybeállítások párbeszédpanelen megadja az adott meghajtó lapozófájljának méretét.
Hibakeresés programokban | E jogosultság birtokában a felhasználó hibakereső alkalmazást rendelhet bármely folyamathoz. Ezzel a jogosultsággal szinte teljes hozzáférés adható a rendszer működését biztosító érzékeny és kritikus összetevőkhöz.
A fiók szerepköre delegálható beállítás megadása felhasználói és csoportfiókokhoz | Ezzel a jogosultsággal a felhasználó megadhatja A fiók szerepköre delegálható beállítást az adott felhasználói objektumra vagy számítógép-objektumra. Az ezzel a jogosultsággal rendelkező felhasználónak vagy objektumnak írási joga kell, hogy legyen a felhasználói vagy számítógép-objektum fiókellenőrző jelzőin. A delegálásra meghatalmazott számítógépen vagy egy delegálásra meghatalmazott felhasználó által futtatott kiszolgálófolyamat más számítógépen lévő erőforrásokhoz is hozzáférhet. A folyamat ekkor valamely ügyfél delegált hitelesítő adatait használja, feltéve, hogy az ügyfélfiókhoz nincs beállítva a Bizalmas fiók, nem delegálható fiókellenőrző jelző. A jogosultság, illetve A fiók szerepköre delegálható beállítás nem megfelelő használata sebezhetővé teheti a hálózatot: rosszakaratú felhasználók trójai faló típusú (hozzáférési jogosultságok feltörésére alkalmazott) programokkal megszemélyesítik a bejövő ügyfeleket, és hitelesítő adataikkal hozzáférést nyerhetnek a hálózati erőforrásokhoz.
Távoli rendszer leállításának kezdeményezése | E jogosultsággal a felhasználó a hálózat távoli pontjáról leállíthatja az adott számítógépet. További információ a Rendszer leállítása címszónál.
Biztonsági naplók létrehozása | Engedélyezi az adott folyamatnak, hogy bejegyzéseket készítsen az objektum-hozzáférést naplózó biztonsági naplóba. A folyamat egyéb biztonsági naplókat is létrehozhat. A biztonsági napló a jogosulatlan hozzáférési kísérletek nyomon követésére szolgál. További információ a Naplózás felügyelete címszónál.
Kvóták növelése | Ez a jogosultság lehetővé teszi a Tulajdonság írása engedéllyel rendelkező folyamatnak, hogy egy másik folyamathoz való hozzáféréssel növelje az ahhoz hozzárendelt processzorkvótát. Ez a jogosultság rendszerbeállítás esetén lehet hasznos, de rosszakaratú felhasználók a szolgáltatás megtagadását célzó támadáshoz is felhasználhatják.
Ütemezési prioritás növelése | Ez a jogosultság lehetővé teszi a Tulajdonság írása engedéllyel rendelkező folyamatnak, hogy egy másik folyamathoz való hozzáféréssel növelje annak végrehajtási prioritását. Az ezzel a jogosultsággal rendelkező felhasználók a Feladatkezelő alkalmazással módosíthatják az adott folyamat ütemezési prioritását.
Eszközillesztők betöltése és eltávolítása | Ez a jogosultság Plug and Play eszközillesztők telepítését és eltávolítását teszi lehetővé a felhasználónak. A nem Plug and Play típusú eszközillesztőket ez a jogosultság nem érinti, és csak rendszergazdák telepíthetik őket. Mivel az eszközillesztők megbízható (magas szintű jogosultsággal rendelkező) programokként futnak, ezzel a jogosultsággal rosszindulatú programok telepítésére nyílik lehetőség, amelyek hozzáférhetnek a hálózati erőforrásokhoz, és kárt okozhatnak bennük.
Memórialapok zárolása | Ezzel a jogosultsággal az adott folyamat adatokat tárolhat a fizikai memóriában, így a rendszer nem tudja azokat a lemezen létrehozott virtuális memóriába helyezni. E jogosultság alkalmazása jelentős mértékben befolyásolhatja a rendszer teljesítményét. Ez a jogosultság elavult, így a rendszer soha nem ellenőrzi.
Naplózás felügyelete E jogosultsággal a felhasználó objektum-hozzáférési naplózási beállításokat adhat meg egyes erőforrásokhoz (például fájlokhoz, Active Directory objektumokhoz és rendszerleíró kulcsokhoz). A rendszer csak akkor naplózza az objektum-hozzáférési adatokat, ha azok naplózása a Csoportházirend alkalmazásban, illetve az Active Directoryban található Csoportházirend modulban a számítógép egészére érvényes naplórend-beállításoknál engedélyezve van. Ez a jogosultság nem biztosít hozzáférést a számítógép egészére érvényes naplórendhez.

Az ezzel a jogosultsággal rendelkező felhasználók megtekinthetik, illetve törölhetik is az Eseménynaplóban található biztonsági naplót.
Belső vezérlőprogram környezeti értékeinek módosítása | Lehetővé teszi a rendszer környezeti változóinak módosítását. A változtatásokat a felhasználók a Rendszer tulajdonságai párbeszédpanelen hajthatják végre, de folyamat is végezhet módosításokat.
Adott folyamat adatainak összegyűjtése | Ezzel a jogosultsággal a felhasználó a Windows NT és a Windows 2000 rendszerek teljesítményfigyelő eszközeivel figyelheti a nem rendszerfolyamatok teljesítményét.
A rendszerteljesítmény adatainak összegyűjtése | Ezzel a jogosultsággal a felhasználó a Windows NT és a Windows 2000 rendszerek teljesítményfigyelő eszközeivel figyelheti a rendszerfolyamatok teljesítményét.
Folyamatszintű token cseréje | Lehetővé teszi az adott folyamatnak, hogy az elindított alfolyamathoz társított alapértelmezett tokent kicserélje.
Fájlok és könyvtárak helyreállítása | Ezzel a jogosultsággal a felhasználó megakadályozhatja a fájlok vagy könyvtárak biztonsági másolatai visszaállításakor alkalmazott engedélyek érvényesítését, valamint bármely érvényes rendszerbiztonsági tagot megadhatja az adott objektum tulajdonosaként. További információ a Biztonsági másolat készítése fájlokról és könyvtárakról címszónál.
A rendszer leállítása | Engedélyezi a felhasználónak a helyi számítógép leállítását.
Fájlok és egyéb objektumok saját tulajdonba vétele | E jogosultság segítségével a felhasználó saját tulajdonába veheti a rendszer bármely biztosítható objektumát, beleértve az Active Directory objektumait, fájlokat és mappákat, nyomtatókat, rendszerleíró kulcsokat, folyamatokat és szálakat.
Noteszgép leválasztása | Ezzel a jogosultsággal a felhasználó noteszgépet választhat le a Windows 2000 felhasználói felülete segítségével.

Bejelentkezési engedélyek


Bejelentkezési engedélyek

A következő táblázat felsorolja és ismerteti a Windows 2000 bejelentkezési engedélyeit.

Bejelentkezési engedély | Leírás
A gép elérése a hálózatból | A felhasználó engedélyt kap arra, hogy csatlakozzon a számítógépre hálózaton keresztül. Alapértelmezés szerint ezzel a joggal a következők rendelkeznek: Rendszergazdák, Mindenki és Kiemelt felhasználók.
Bejelentkezés csoportmunkaként | Lehetővé teszi, hogy a felhasználó kötegelt várakozási sor használatával jelentkezzen be. Alapértelmezés szerint ezzel a joggal a Rendszergazdák rendelkeznek.
Bejelentkezés szolgáltatásként | Lehetővé teszi, hogy egy rendszerbiztonsági tag szolgáltatásként jelentkezzen be, a biztonsági környezet megvalósítása céljából. A Helyi rendszerfiók fenntartja a jogot, hogy szolgáltatásként jelentkezzen be. Bármely más fiók alatt futó szolgáltatásnak külön meg kell adni ezt a jogot. Alapértelmezés szerint ezzel a joggal senki sem rendelkezik.
Helyi bejelentkezés | A felhasználó engedélyt kap arra, hogy bejelentkezzen a helyi számítógépen. Alapértelmezés szerint ezzel a joggal a következők rendelkeznek: Rendszergazdák, Fiókfelelősök, Biztonságimásolat-felelősök, Nyomtatófelelősök és Kiszolgálófelelősök.

A jogokkal kapcsolatban további információkkal a Jogok című témakör szolgál.


Hozzáférés-szabályozás

A hozzáférés-szabályozás a hálózaton lévő objektumokhoz való hozzáférés engedélyezésének folyamata felhasználók és csoportok számára. A következő részek a hozzáférés-szabályozás kulcsfogalmait ismertetik.

Objektumok tulajdonjoga

A Windows 2000 az objektumokhoz létrehozásukkor tulajdonost rendel. Alapértelmezés szerint az objektum létrehozója a tulajdonos.

Objektumokhoz tartozó engedélyek

A hozzáférés szabályozásának elsődleges eszközei az engedélyek vagy hozzáférési engedélyek. Az engedélyek bizonyos műveleteket engedélyeznek vagy tiltanak meg a felhasználók és a csoportok számára. Az engedélyeket elsődlegesen a biztonsági leírók valósítják meg, melyek a naplózást és a tulajdonjogot is meghatározzák. Az objektumhoz csatolt engedély példája lehet a fájlhoz tartozó olvasási engedély.

Engedélyek öröklése

A Windows 2000 az engedélyek egyszerű hozzárendelését és kezelését lehetővé tevő szolgáltatást biztosít a rendszergazdák számára. Ezen szolgáltatás, az öröklődés hatására a tárolóban lévő objektumok automatikusan öröklik a tároló engedélyeit. Például egy mappában található fájlok létrehozásukkor öröklik a mappa engedélyeit.

Objektumkezelők

Ha meg kívánja változtatni egy objektum engedélyeit, a megfelelő eszközt elindítva ezt egyszerűen megteheti. Ha például egy fájl engedélyeit kívánja megváltoztatni, a Windows Intézőben kattintson jobb gombbal a fájl nevére, majd kattintson a Tulajdonságok parancsra. A megjelenő párbeszédpanelen módosíthatja a fájl engedélyeit.

Objektumnaplózás

A Windows 2000 lehetővé teszi az objektumok felhasználók általi elérésének naplózását. Ezeket a biztonsággal kapcsolatos eseményeket a biztonsági naplóban tekintheti meg az Eseménynapló használatával.

További információ a következő oldalakon olvasható:

  • Biztonsági leírók
  • Tulajdonjog
  • Objektumok hozzáférésének naplózása
  • Engedélyek
  • Objektumok és objektumkezelők


Biztonsági leírók

A hálózat minden tárolójához és objektumához tartozik egy hozzáférés-szabályozási adatokat tartalmazó adatkészlet. Ezek az adatok biztonsági leíró gyűjtőnévvel jelölhetők, és megszabják az egyes felhasználók és csoportok által engedélyezett hozzáférés típusát. A Windows 2000 operációs rendszer az adott tároló vagy objektum létrehozásakor automatikusan létrehozza az ahhoz tartozó biztonsági leírót is. Biztonsági leírót tartalmazó objektumok például a fájlok.

A biztonsági leírókról a következő oldalakon találhat információt:

  • Engedélyek
  • Objektumok hozzáférésének naplózása


Tulajdonjog

Minden objektumnak (akár az Active Directoryban, akár NTFS-köteten található) van tulajdonosa. A tulajdonos szabja meg, hogy az objektumra hogyan legyenek beállítva az engedélyek, illetve, hogy ki kapja meg az egyes tulajdonságokat.

Objektum létrehozásakor az azt létrehozó személy automatikusan az objektum tulajdonosa lesz. Az Active Directory és a hálózati kiszolgálók objektumai zömét a rendszergazdák hozzák létre, és ők is azok tulajdonosai (az objektumok az egyes programok kiszolgálóra történő telepítésekor jönnek létre). A felhasználók saját kezdőkönyvtáraikban hoznak létre és birtokolnak adatállományokat, de néhány adatállományuk a hálózati kiszolgálókon is van.

A tulajdonjog a következőképpen adható át:

  • a jelenlegi tulajdonos Saját tulajdonba vétel engedélyt adhat más felhasználóknak, így téve lehetővé nekik a tulajdonjog bármikor történő gyakorlását, illetve
  • a rendszergazdák a felügyeleti ellenőrzésük alá tartozó bármely objektum tulajdonjogát átvehetik. Ha egy alkalmazott például hirtelen kilép a vállalattól, a rendszergazda veheti át fájljait.

A Rendszergazda lehet ugyan tulajdonos, de másnak nem adhatja át a tulajdonjogot. Ezzel a megoldással nyomon lehet követni a rendszergazdák munkáját és számon lehet rajtuk kérni döntéseiket.


Objektumok hozzáférésének naplózása

A Windows 2000 rendszerben a rendszergazda figyelheti az Active Directoryban lévő objektumokhoz történő hozzáférést. Emellett a különleges felhasználói jogosultságok használatának, valamint a felhasználók bejelentkezéseinek, sikertelen bejelentkezési kísérleteinek és kijelentkezéseinek figyelésére is mód van.

További tudnivalók az Objektumok naplózási beállításai című részben találhatók.


Engedélyek

Az engedélyek azt határozzák meg, hogy az adott felhasználó vagy csoport milyen típusú hozzáféréssel rendelkezik az adott objektumhoz vagy objektumtulajdonsághoz. A Pénzügy nevű csoportnak például Írás, Olvasás és Törlés engedélyt lehet adni a fizetés.dat nevű fájlhoz.

Az adott objektumhoz társított engedélyeket az objektum típusa szabja meg. A fájlokhoz társítható engedélyek például különböznek a rendszerleíró kulcsokhoz társítható engedélyektől.

Egyes engedélyek azonban bármely típusú engedélyhez hozzárendelhetők. Ezek a következők:

  • Olvasás engedélyek
  • Módosítás engedélyek
  • Új tulajdonos engedély
  • Törlés

Az összes objektumtípushoz hozzárendelhető engedélyekről az Objektumok és objektumkezelők oldalon talál további információt.

Ha többet szeretne megtudni az engedélyekről, olvassa el az Engedélyek és biztonsági leírók, az Explicit és örökölt engedélyek, az Objektum típusú és tulajdonság alapú engedélyek, valamint a Hogyan befolyásolja az öröklés a fájlok és mappák engedélyeit? című témakörökben foglaltakat.


Engedélyek és biztonsági leírók

Az engedélyeket az adott objektum biztonsági leírója tartalmazza. Az engedélyek bizonyos felhasználókhoz és csoportokhoz vannak társítva (hozzárendelve). A temp.dat nevű fájlhoz például a Rendszergazdák csoport olvasást, írást és törlést lehetővé tévő engedélyekkel rendelkezhet, míg a Kezelők nevű csoport lehet, hogy csak írást és olvasást biztosító hozzáféréssel.

Az adott engedély felhasználóhoz vagy csoporthoz rendelését engedélybejegyzésnek, más néven hozzáférés-szabályozási bejegyzésnek (ACE) nevezik. Az egy biztonsági leíróban található engedélybejegyzések összességét engedélykészlet névvel jelölik. Ennek értelmében a temp.dat fájl engedélykészlete két engedélybejegyzést tartalmaz: egyet a Rendszergazdák csoporthoz, egyet pedig a Kezelők csoporthoz.

Engedélyeket a helyi számítógép vagy az Active Directory bármely objektumára alkalmazni lehet, az engedélyek többségét azonban inkább csoportokhoz, mintsem egyes felhasználókhoz kell rendelni. Ezzel megkönnyíthető az objektumokhoz rendelt engedélyek kezelése.

Objektumengedélyeket rendelhet

  • csoportokhoz, felhasználókhoz, valamint a tartomány különleges tagjaihoz
  • a tartományban lévő csoportokhoz és felhasználókhoz, valamint meghatalmazott tartományokhoz, illetve
  • azon számítógép helyi csoportjaihoz és felhasználóihoz, amelyen az objektum található.


Explicit és örökölt engedélyek

Az engedélyeknek két fő típusa van: explicit és örökölt engedélyek.

Az explicit engedélyeket közvetlenül az adott objektumhoz rendelik – vagy az objektum létrehozásakor, vagy felhasználói művelettel. Ha létrehoz például egy Programok nevű mappát, az ahhoz rendelt engedélyek explicit engedélyek.

Örökölt engedélyek azok, amelyek szülőobjektumról öröklődnek az adott objektumra. Az örökölt engedélyek megkönnyítik az engedélyek kezelését, valamint biztosítják az adott tárolóban lévő objektumok engedélyeinek egységességét.

Az adott tárolóban lévő objektumok alapértelmezés szerint létrehozásukkor öröklik annak engedélyeit. A Programok nevű mappa létrehozásakor például az abban létrehozott összes almappa és fájl automatikusan örökli annak engedélyeit. A Programok mappa tehát explicit engedélyekkel rendelkezik, míg almappáinak és fájljainak örökölt engedélyei vannak.

Az örökölt engedélyekről a Hogyan befolyásolja az öröklés a fájlok és mappák engedélyeit? című témakörben talál további információt.

Az explicit és örökölt engedélyek módosításáról az Engedélyek oldalon talál bővebb tájékoztatást.


Objektum típusú és tulajdonság alapú engedélyek

Az engedélyeknek két fő típusa van: objektum típusú és tulajdonság alapú engedélyek. E két engedélytípus pontosabb hozzáférés-szabályozást tesz lehetővé.

Objektum típusú engedélyek

Az objektum típusú engedélyek azokat az objektumtípusokat határozzák meg, amelyeket az adott felhasználó vagy csoport létrehozhat vagy törölhet. Az objektum típusú engedélyek engedélybejegyzéseinek szintaxisa a következő:

Csoport: Engedély: Objektumtípus

Egy fájl engedélyei például így néznének ki:

Mindenki: create;delete: fájl

Ezt a típusú engedélyt a Tulajdonságok gombra kattintva megjelenő párbeszédpanel segítségével nem lehet kezelni.

Az egyes objektumtípusokra beállítható engedélyekről a következő oldalakon talál információt:

  • Fájlengedélyek
  • Mappaengedélyek
  • A megosztott mappákkal kapcsolatos engedélyek
  • Az Active Directory objektumainak engedélyei
  • Rendszerleíró kulcsok engedélyei
  • Szolgáltatások engedélyei
  • Nyomtatási engedélyek hozzárendelése

Tulajdonság alapú engedélyek

Az Active Directory objektumaihoz tulajdonság alapú engedélyeket lehet megadni. Nem csak azt lehet szabályozni, hogy ki láthatja az objektumot, hanem azt is, hogy ki rendelkezik írást és olvasást lehetővé tévő hozzáféréssel az egyes objektumtulajdonságokhoz. A tulajdonság alapú engedélyek bejegyzéseinek szintaxisa a következő:

Csoport: Engedély: Tulajdonság

A következő karaktersorozattal az egyes objektumtulajdonságok (például elektronikus levél- és telefonadatok) olvasását lehetővé tévő hozzáférést engedélyezhet a Mindenki csoportnak, az olvasást és írást lehetővé tévő hozzáférést pedig a Kezelők nevű csoportnak:

Mindenki: Read: email;phone
Kezelők: Read;Write: email;phone

Az egy adott tulajdonságra beállított engedélynél nincs finomabb szintű beállítás.


Objektumok és objektumkezelők

Minden objektumot a típusának megfelelő objektumkezelő kezel. A különböző típusú objektumokhoz különböző típusú objektumkezelők tartoznak. Az egyes objektumtípusok, a hozzájuk tartozó objektumkezelők, valamint az objektumok kezeléséhez használható eszközök a következők:

Objektumtípus | Objektumkezelő | Kezelőeszköz
Fájlok és mappák | NTFS | Windows Intéző
Megosztások | Server (Kiszolgáló) szolgáltatás | Windows Intéző
Active Directory objektumok | Active Directory | Active Directory – felhasználók és számítógépek
Rendszerleíró kulcsok | A rendszerleíró adatbázis | regedit32 parancs
Szolgáltatások | Szolgáltatásvezérlők | Biztonsági sablonok, Biztonsági konfiguráció és analízis
Nyomtató | Nyomtatásisor-kezelő | Start menü

Az egyes objektumtípusokhoz rendelt alapértelmezett engedélyek felsorolását a következő oldalakon találja meg:

  • Fájlengedélyek
  • Mappaengedélyek
  • A megosztott mappákkal kapcsolatos engedélyek
  • Az Active Directory objektumainak engedélyei
  • Rendszerleíró kulcsok engedélyei
  • Szolgáltatások engedélyei
  • Nyomtatási engedélyek hozzárendelése


Az Active Directory objektumengedélyei

Az Active Directory objektumaihoz való hozzáférés vezérlésekor két dolgot kell figyelembe venni: az objektumhoz csatolható engedélyeket, és a különféle módokat, ahogy ezek az engedélyek csatolhatók az Active Directory objektumok felügyeleti feladatainak delegálása érdekében.

Az Active Directory objektumaihoz a következő engedélyek csatolhatók:

  • Gyermek létrehozása (vonatkozhat magára az objektumtípusra, vagy a tárolóban lévő bármely objektumra)
  • Gyermek törlése (vonatkozhat magára az objektumtípusra, vagy a tárolóban lévő bármely objektumra)
  • Tulajdonság olvasása (vonatkozhat az objektum egyetlen tulajdonságára, vagy az összes attribútumára)
  • Tulajdonság írása (vonatkozhat az objektum egyetlen tulajdonságára, vagy az összes attribútumára)
  • Tartalom listázása
  • Önmaga írása
  • Fa törlése
  • Objektum listázása
  • Hozzáférés szabályozása (vonatkozhat egyetlen szabályozási műveletre, vagy az objektum összes szabályozási műveletére)

Ha további információkra van szüksége arról, hogyan delegálhatja a felügyeleti ellenőrzést a szervezeti egységekben és csoportokban lévő felhasználók számára engedélyek használatával, olvassa el a Felügyeleti ellenőrzés delegálása című témakört.


Rendszerleíró kulcsok engedélyei

A rendszerleíró kulcsokhoz a következő engedélyek csatolhatók:

  • Érték lekérdezése
  • Érték beállítása
  • Alkulcs létrehozása
  • Alkulcsok felsorolása
  • Figyelmeztetés a módosításokról
  • Csatolás létrehozása


Szolgáltatások engedélyei

Más programoktól eltérően, melyeket rendszerbiztonsági tag (felhasználó vagy számítógép) hajt végre, a szolgáltatások saját biztonsági környezetükben futnak. Biztonsági környezet megvalósításához a szolgáltatásnak be kell jelentkeznie a rendszerre, ugyanúgy, mint a rendszerbiztonsági tagoknak. A szolgáltatások alapértelmezés szerint a Rendszerfiók használatával jelentkeznek be.

A szolgáltatások számára más fiókot is kijelölhet. Ez akkor lehet hasznos, ha meghatározott engedélyekkel rendelkező szolgáltatást kíván biztosítani. A szolgáltatások gyakran megszemélyesíthetik a rendszerbiztonsági tagokat, és műveleteket hajthatnak végre a nevükben. Ez a szolgáltatás ügyfélprogram általi használatakor történik.

A fájlokhoz és mappákhoz a következő engedélyek csatolhatók:

  • Konfiguráció lekérdezése
  • Konfiguráció módosítása
  • Állapot lekérdezése
  • Függő szolgáltatások felsorolása
  • Szolgáltatás indítása
  • Szolgáltatás leállítása
  • Szolgáltatás felfüggesztése és folytatása
  • Szolgáltatás lekérdezése
  • Felhasználó által definiált vezérlő végrehajtása

Megjegyzés

  • A szolgáltatások bejelentkezéséhez a Rendszerfiókot célszerű használni. Ez biztosítja, hogy a szolgáltatás rendelkezik a saját műveleteihez, és az ügyfelek nevében végrehajtott műveletekhez szükséges biztonsági környezettel.


Biztonsági események naplózása

A naplózás a biztonság egyik fő alappillére. Az objektumok létrehozásának vagy módosításának figyelése lehetőséget nyújt a potenciális biztonsági problémák felderítésére, biztosítja a felhasználók felelősségre vonhatóságát, és bizonyítékot szolgáltat az adatbiztonság megsértése esetén.

A biztonsággal kapcsolatos naplózás megvalósításának három fő lépése van.

Először meg kell határozni a naplózni kívánt események kategóriáit. Az eseménykategóriák jó példái a felhasználói bejelentkezés, kijelentkezés és a fiókok kezelése. A kiválasztott eseménykategóriák alkotják a naplózási házirendet. A Windows 2000 első telepítésekor nincsenek kiválasztott kategóriák, így naplózási házirend sincs érvényben. A Számítógép-kezelés segédprogram felsorolja a naplózható eseménykategóriákat.

Ezután be kell állítani a biztonsági napló méretét és viselkedését.

Végül, ha a címtárszolgáltatás elérésének, vagy az objektumok elérésének naplózását is kiválasztotta, meg kell határoznia azokat az objektumokat, amelyek esetében a hozzáférést figyelni szeretné, továbbá ennek megfelelően módosítania kell azok biztonsági leíróit. Ha például naplózni kívánja a felhasználók egy adott fájl megnyitására tett kísérleteit, az adott fájlnak Sikeres vagy Sikertelen attribútumot adhat a kérdéses eseményhez.

A biztonsági események naplózásával kapcsolatban további információt találhat a Naplózási házirendek, a Biztonsági naplók megtekintése, az Objektumok naplózási beállításai, a Hogyan befolyásolja az öröklés a fájlok és mappák naplózását? és a Naplóbejegyzések alkalmazási helyének kijelölése című témakörökben.


Naplózási házirendek

A naplózás megvalósítása előtt el kell döntenie, milyen naplózási házirendet kíván használni. A naplózási házirend megadja a naplózni kívánt, biztonsággal kapcsolatos eseményeket. A Windows 2000 első telepítésekor minden naplózási kategória le van tiltva. A különféle naplózási kategóriák engedélyezésével valósíthatja meg a vállalata igényeinek leginkább megfelelő naplózási házirendet.

A naplózási kategóriákat a Számítógép-kezelés segédprogram segítségével engedélyezheti és tilthatja le.

A naplózható eseménykategóriák a következők:

  • Fiókbejelentkezések naplózása
  • Fiókkezelés naplózása
  • Címtárszolgáltatás-hozzáférés naplózása
  • Bejelentkezések naplózása
  • Objektumhozzáférés naplózása
  • Házirendváltozás naplózása
  • Rendszerjogok használatának naplózása
  • Folyamatok nyomon követésének naplózása
  • Rendszeresemények naplózása

Ha a naplózási házirend részeként az objektumok naplózását is kiválasztja, engedélyeznie kell a címtárhozzáférés naplózását (tartományvezérlőn lévő objektumok naplózásához) vagy az objektumok naplózását (tagkiszolgálón lévő objektumok naplózásához). Ha engedélyezte a megfelelő objektum-hozzáférési kategóriát, az egyes objektumok Tulajdonságok lapján adhatja meg, hogy a felhasználók, illetve csoportok engedélyeivel kapcsolatos sikeres vagy sikertelen eseményeket naplózza. Az objektumok naplózási beállításaival kapcsolatban az Objektumok naplózási beállításai témakör nyújt további információt.

Megjegyzés

  • A helyi objektumok naplózásának engedélyezéséhez a Rendszergazda csoport tagjaként kell bejelentkezni.


A biztonsági naplók megtekintése

Helyi objektum naplózásakor egy bejegyzés keletkezik a biztonsági naplóban. Az, hogy a biztonsági naplóban milyen bejegyzés jelenik meg, a naplózási házirendhez választott naplózási kategóriáktól függ. Az objektumokhoz történő hozzáféréssel kapcsolatos eseményeknél a biztonsági napló bejegyzésének jellege az objektumok számára definiált naplózási beállításoktól is függ.

Ha a naplózási házirend például fájlok és mappák naplózását határozza meg, és a fájl tulajdonságaiban az szerepel, hogy a fájl törlésére tett sikertelen kísérletet naplózni kell, akkor a felhasználó minden sikertelen törlési kísérletéről bejegyzés kerül a biztonsági naplóba.

A biztonsági naplót az Eseménynapló segítségével tekintheti meg.

A biztonsági napló mérete

Fontos a biztonsági napló méretének helyes beállítása. Mivel a biztonsági napló mérete korlátozott, gondosan meg kell választani a naplózandó eseménykategóriákat. Érdemes a biztonsági naplónak szánt lemezterület méretét is átgondolni. A maximális méret az Eseménynaplóban definiálható.

Azzal kapcsolatban, hogy a biztonsági napló telítődésekor mi a teendő, olvassa el A számítógép leállítása abban az esetben, ha a biztonsági napló megtelt című témakört.

Naplózható események

A biztonsági napló megtekintésekor az eseményeket azok szerint az eseménykategóriák szerint fogja látni, amelyekhez tartoznak. A naplózható, következésképpen a biztonsági naplóban megjelenő események az alábbi felsorolásban láthatók. Naplózható események:

  • A rendszer újraindítása
  • A rendszer leállítása
  • Hitelesítési csomag betöltése
  • Regisztrált bejelentkezési folyamat
  • Naplófájl tartalmának törlése
  • Elvetett naplózási bejegyzések száma
  • Sikeres bejelentkezés
  • Ismeretlen felhasználói név vagy jelszó
  • Sikertelen időkorlátos bejelentkezés
  • Fiók letiltása
  • Fiók elévülése
  • Érvénytelen munkaállomás
  • Bejelentkezési típus korlátozása
  • Lejárt jelszó
  • Sikertelen bejelentkezés
  • Kijelentkezés
  • Objektum megnyitása
  • Leíró bezárása
  • Speciális jogosultság hozzárendelése
  • Jogosultságokat igénylő szolgáltatás
  • Jogosultságokat igénylő objektum-hozzáférés
  • Folyamat kezdete
  • Folyamat vége
  • Leíró kétszerezése
  • Közvetett hivatkozás
  • Jogosultság megadása
  • Házirendváltozás naplózása
  • Tartományváltoztatás
  • Felhasználóváltozás
  • Felhasználó létrehozása
  • Felhasználó törlése
  • Globális csoport tagjának eltávolítása
  • Globális csoport tagjának hozzáadása
  • Tartományszintű helyi csoport módosítása
  • Tartományszintű helyi csoport létrehozása
  • Tartományszintű helyi csoport tagjának eltávolítása
  • Tartományszintű helyi csoport tagjának hozzáadása
  • Tartományszintű helyi csoport tagjának törlése

A naplózható események kategóriáival kapcsolatos tudnivalók a Naplózási házirendek című témakörben találhatók.


Objektumok naplózási beállításai

Minden objektumhoz tartozik egy biztonsági adatkészlet, azaz biztonsági leíró. A biztonsági leíró egyik része meghatározza az adott objektumhoz hozzáférési engedéllyel rendelkező felhasználókat és csoportokat, valamint a hozzájuk rendelt hozzáférési engedélyek típusait. A biztonsági leírónak ez a része a tulajdonosi hozzáférés-szabályozási lista (DACL).

Az engedélyekre vonatkozó adatokon kívül az objektum biztonsági leírója naplózási információkat is tartalmaz. Ez a naplózási információ a rendszerszintű hozzáférés-szabályozási lista (SACL). A SACL konkrétan a következők megadására szolgál:

  • Az objektum hozzáférésekor naplózandó csoportfiókok vagy felhasználói fiókok.
  • Az egyes csoportokkal vagy felhasználókkal kapcsolatos naplózandó hozzáférési események. Hozzáférési esemény például a fájl módosítása.
  • Az egyes hozzáférési eseményekhez kapcsolódó Success (siker) vagy Failure (kudarc) attribútum; amely a tulajdonosi hozzáférés-szabályozási listában az egyes csoportoknak és felhasználóknak megadott engedélyeken alapul.

A naplózható események típusa általában attól függ, hogy a fájlokhoz vagy mappákhoz, illetve az Active Directory objektumaihoz történő hozzáférés naplózásáról van-e szó. A hozzáférési típusok felsorolása az alábbiakban található.

Fájlok és mappák

Lehetőség van az NTFS-köteteken található fájlokhoz és mappákhoz történő hozzáférés naplózására, amelyből megállapítható, hogy ki milyen típusú műveleteket végzett azokkal.

Ha az adott fájl vagy mappa elérésére bármilyen módon kísérlet történik (és a fájl vagy mappa eseményeinek naplózása engedélyezve van), akkor minden alkalommal bejegyzés kerül az Eseménynapló biztonsági naplójába. Lehetőség van annak meghatározására, hogy mely fájlok és mappák, mely személyek által végrehajtott műveletek, illetve milyen típusú műveletek legyenek naplózva.

Egy fájl vagy mappa naplózásának engedélyezése a Csoportházirendben hajtható végre, majd a Windows Intézőben meg kell határozni a naplózandó fájlokat, valamint a fájlhozzáférési események naplózandó típusait.

A sikeres és sikertelen mappa- és fájlhozzáférési kísérletek közül a következők naplózhatók:

Mappahozzáférési típusok | Fájlhozzáférési típusok
Fájlnevek megjelenítése a mappában | A fájl adatainak megjelenítése
A mappa attribútumainak megjelenítése | A fájl attribútumainak megjelenítése
A mappa attribútumainak módosítása | A fájl tulajdonosának és engedélyeinek megjelenítése
Alkönyvtárak és fájlok létrehozása | A fájl módosítása
Belépés a mappa alkönyvtáraiba | A fájl attribútumainak megváltoztatása
A mappa tulajdonosának és engedélyeinek megjelenítése | A fájl futtatása
A mappa törlése | A fájl törlése
A mappa engedélyeinek megváltoztatása | A fájl engedélyeinek megváltoztatása
A mappa tulajdonjogának megváltoztatása | A fájl tulajdonjogának megváltoztatása

A naplózás alkalmazható valamely objektumra és – öröklés útján – bármely gyermekobjektumra. Ha például egy mappával kapcsolatos sikertelen írási kísérletet kíván naplózni, akkor ezt a naplózási eseményt a mappában lévő minden fájl örökölheti. További tudnivalók a Hogyan befolyásolja az öröklés a fájlok és mappák naplózását? című témakörben találhatók.

Active Directory objektumok

Az Active Directory objektumok naplózásával a következő műveletek is naplózhatók:

  • Az összes tulajdonság írása és olvasása.
  • Az egyes tulajdonságok írása és olvasása.

Megjegyzés

  • A fájlok és mappák naplózásához a Rendszergazdák csoport tagjaként kell bejelentkezni.


Biztonságos adattárolás

Az adat helyi tárolása különleges védelmi módszereket igényelhet. Lehet, hogy az adat védelmére van szükség (például egy bizalmas fájl esetén), de lehet, hogy az adat jelent veszélyt (például egy ismeretlen szoftverösszetevő esetén).

További információ a következő oldalakon olvasható:

  • Bevezetés a biztonságos adattárolásba
  • Titkosító fájlrendszer


Bevezetés a biztonságos adattárolásba

A védeni kívánt fájlok hozzáférése korlátozható a felhasználói jogok és engedélyek használatával. Ha azonban egy illetéktelennek sikerül hozzáférnie a felhasználó lemezmeghajtójához és eltávolítani azt, akkor egy másik rendszerre telepítve a meghajtót rendszergazdai jogokkal férhet hozzá az azon tárolt adatokhoz. Az ilyen esetek elkerülésére a Windows 2000 a lehető legjobb megoldást, az adattitkosítást kínálja. A Windows 2000 adattitkosítását a Titkosító fájlrendszer (EFS) szolgáltatás valósítja meg.

A felhasználók adatainak védelmén kívül a Windows 2000 a digitális aláírás használatát is támogatja, melynek segítségével elkerülhetők a nem kívánt szoftverösszetevők.


Titkosító fájlrendszer (EFS)

A Titkosító fájlrendszer (EFS) az NTFS-köteteken használt fájltitkosításhoz szükséges alaptechnológiát biztosítja.

Az EFS fájlrendszerrel kapcsolatban további információ a következő oldalakon olvasható:

  • Bevezetés a titkosító fájlrendszer használatába
  • Adatok titkosítása és a titkosítás visszafejtése
  • Adatok visszaállítása


Bevezetés a titkosító fájlrendszer használatába

A titkosító fájlrendszer (EFS) lehetővé teszi, hogy a felhasználók titkosítsák a fájlokat, és visszafejtsék a titkosítást. A felhasználók az EFS használatával tartják biztonságban fájljaikat a fontos adatokhoz való jogosulatlan fizikai hozzáféréstől (például egy laptop vagy egy külső lemezmeghajtó ellopása).

A titkosított fájlok és mappák a többi fájhoz és mappához hasonlóan használhatók, a titkosítás a felhasználó számára nem észlelhető. Ha az EFS felhasználója ugyanaz, aki a fájlt vagy a mappát titkosította, a rendszer automatikusan feloldja a titkosítást a későbbi hozzáférések alkalmával. Jogosulatlan személy azonban nem férhet hozzá a titkosított fájlokhoz és mappákhoz.


Adatok titkosítása és a titkosítás visszafejtése

A titkosító fájlrendszer (EFS) lehetővé teszi az adatok biztonságos tárolását a helyi számítógépen. Az EFS ezt úgy éri el, hogy titkosítja a kiválasztott NTFS-fájlok és -mappák adatait.

Mivel az EFS a fájlrendszer része, könnyen kezelhető, nehezen törhető fel és a felhasználó számára nem észlelhető a jelenléte. Ez különösen hasznos az adatok biztonságossá tételekor olyan számítógépeken, melyeket könnyen ellophatnak (például hordozható számítógépek).

FAT-köteteken a fájlok és mappák nem titkosíthatók. Az EFS célja, hogy a helyi számítógépen tegye biztonságossá az adatok tárolását, ezért nem támogatja a titkosított adatok megosztását.

EFS titkosítási kulcsok

Ha egy felhasználó titkosítást állított be egy adott fájl esetében, az adattitkosítás tényleges folyamata észrevétlen marad számára. A felhasználónak nem szükséges értenie a folyamatot. Az adatok titkosításának és a titkosítás visszafejtésének alábbi ismertetése azonban hasznos lehet a rendszergazdák számára.

Ez az ismertető csak fájlokra vonatkozik, mappákra nem. A mappákat a rendszer nem titkosítja, csak a mappákon belüli fájlok tartalmát. A mappákhoz hasonlóan az almappák sem kerülnek titkosításra, de a rendszer megjelöli őket, hogy titkosított adatokat tartalmaznak.

A fájlok titkosítása a következőképpen működik:

  • Minden fájl egyedi fájltitkosító kulccsal rendelkezik, amelyet a rendszer később a fájl adatainak visszafejtésére használ.
  • Maga a fájltitkosító kulcs is titkosítva van: a felhasználó EFS-bizonyítványához tartozó nyilvános kulcs védi.
  • A fájltitkosító kulcsot egy engedéllyel rendelkező helyreállítási megbízott nyilvános kulcsa is védi.

A fájlok titkosításának visszafejtése a következőképpen működik:

  • A fájlok titkosításának feloldásához először a titkosítási kulcsot kell visszafejteni. A fájltitkosítási kulcs titkosításának feloldása akkor történhet meg, ha a felhasználó a nyilvános kulcsnak megfelelő személyes kulccsal rendelkezik.
  • A felhasználó nem az egyetlen, aki feloldhatja a fájltitkosítási kulcs titkosítását. A helyreállítási megbízott szintén feloldhatja a kulcs titkosítását, saját személyes kulcsának használatával.
  • A fájltitkosítási kulcs titkosításának feloldása után a felhasználó vagy a helyreállítási megbízott azt a fájl adatainak visszafejtéséhez használhatja.

A személyes kulcsok egy védett kulcstárban tárolódnak, nem pedig a biztonsági fiókkezelőben (SAM) vagy külön könyvtárban. További tudnivalókat a Windows 2000 Resource Kit tartalmaz.

Titkosított fájlok tárolása távoli kiszolgálókon

Ha a Windows 2000 számítógépes környezet felhasználói távoli kiszolgálón kívánják tárolni titkosított fájljaikat, hasznos tudni a következőket:

  • A Windows 2000 támogatja a titkosított fájlok távoli kiszolgálókon történő tárolását. Ennek a szolgáltatásnak azonban nem célja a titkosított fájlok több felhasználó általi távmegosztásának támogatása.
  • Soha nem szabad bizalmas adatokat tárolni olyan kiszolgálókon, ahol a fizikai biztonság nem megfelelő.
  • A titkosított adatok a hálózaton való küldés közben nincsenek titkosítva, csak a lemezen való tároláskor. Kivétel ez alól, ha a rendszer tartalmazza az IPSec (Internet Protocol security) adatbiztonsági szolgáltatást. Az IPSec átvitel közben is titkosítja a TCP/IP-hálózaton küldött adatokat.
  • A Macintosh ügyfelek nem férhetnek hozzá a titkosított adatokhoz.

Mielőtt a felhasználók titkosíthatnák a távoli kiszolgálón lévő fájlokat, egy rendszergazdának a távoli kiszolgálót delegálásra meghatalmazottként kell beállítania. Ezzel lehetővé válik, hogy a kiszolgálón fájlokkal rendelkező felhasználók titkosítsák fájljaikat. További információt a Távoli kiszolgáló kijelölése fájl titkosításához témakör tartalmaz.


Adatok helyreállítása

Adatok helyreállítására akkor lehet szükség, ha olyan titkosított adatokat kell visszafejteni, amelyeket egy, a szervezettől már távozott felhasználó titkosított, vagy ha az adott felhasználó személyes kulcsa elveszett.

További információ a következő oldalakon olvasható:

  • Titkosító fájlrendszer és adatok visszaállítása
  • Helyreállítási irányelv
  • Helyreállítási megbízottak


Helyreállítási irányelvek

A helyreállítási irányelv elnevezés arra az irányelvre utal, amelyet az adott számítógépes környezetben lévő felhasználók titkosított adatok helyreállításakor alkalmaznak. A helyreállítási irányelv a nyilvános kulcs irányelveinek egyik típusa.

A Windows 2000 Server operációs rendszer telepítésekor a rendszer automatikusan helyreállítási irányelvet alkalmaz arra a tartományra, amelyben az első tartományvezérlő telepítésére sor kerül. A tartomány rendszergazdája megkapja a saját maga által aláírt bizonyítványt, amely a tartomány rendszergazdáját jelöli meg helyreállítási megbízottként.

A titkosító fájlrendszer beépített adat-helyreállítási szolgáltatással rendelkezik, amely a helyreállítási műveletet helyreállítási irányelv megléte esetén képes végrehajtani. Ehhez tehát arra van szükség, hogy a rendszer helyreállítási irányelvvel kell, hogy rendelkezzék még az előtt, hogy a felhasználók fájlokat titkosíthatnának. A helyreállítási irányelv helyreállítási megbízott kijelölését teszi lehetővé. Helyreállítási irányelv akkor lép automatikusan érvénybe, ha a rendszergazda első alkalommal bejelentkezik a rendszerbe – ekkor a helyreállítási megbízott a rendszergazda lesz.

Helyreállítási irányelv konfigurálása

A hálózathoz nem csatlakozó számítógépek alapértelmezett helyreállítási irányelvét a rendszer helyileg konfigurálja. A hálózat részét képező számítógépek esetén a helyreállítási irányelv a tartomány, a szervezeti egység, illetve az egyes számítógépek szintjén kerül beállításra, és a meghatározott működési hatókörön belül lévő összes Windows 2000 alapú számítógépre vonatkozik. Helyreállítási bizonyítványokat hitelesítő szervezetek (CA) adnak ki. A bizonyítványok kezelése a Microsoft Management Console (MMC) beépülő modulban történik.

Az egyes hálózatok helyreállítási irányelvét tartománygazda vagy helyreállítási megbízott állítja be, aki az irányelv hatókörébe tartozó összes számítógép helyreállítási kulcsaiért is felelős.

Mivel a helyreállítási irányelv életbe léptetését, replikálását és gyorsítótárba helyezését a biztonsági alrendszer kezeli, a felhasználók ideiglenesen kapcsolat nélküli üzemmódban működő számítógépeken (például hordozható gépeken) is végrehajthatják a fájlok titkosítását. (Ez a folyamat ahhoz hasonló, mint amikor a felhasználók gyorsítótárba helyezett hitelesítő adatokkal jelentkeznek be tartományfiókjukba.)

A helyreállítási irányelvek típusai

A rendszergazdák a helyreállítási irányelvek három fő típusát határozhatják meg: helyreállítási irányelv nélküli állapot, üres helyreállítási irányelv, valamint egy vagy több helyreállítási megbízottal rendelkező helyreállítási irányelv.

  • Helyreállítási megbízottal rendelkező helyreállítási irányelv akkor lép életbe, ha a rendszergazda egy vagy több helyreállítási megbízottat ad hozzá a rendszerhez. E megbízottak a hatókörükön belüli titkosított adatok helyreállításáért felelnek. A helyreállítási irányelveknek ez a leggyakoribb típusa.
  • Üres helyreállítási irányelv lép életbe abban az esetben, ha a rendszergazda törli az összes helyreállítási megbízottat, valamint azok nyilvános kulcsú bizonyítványait. Üres helyreállítási irányelv esetén nincs helyreállítási megbízott, és a felhasználók nem titkosíthatnak adatokat a helyreállítási irányelvük hatókörébe eső számítógépeken. Az üres helyreállítási irányelvek a titkosító fájlrendszert (encrypting file system, EFS) teljesen kikapcsolják.
  • Helyreállítási irányelv nélküli állapot lép életbe akkor, ha a rendszergazda törli a csoport helyreállítási irányelvét. Mivel nincs csoporthoz tartozó helyreállítási irányelv, az adatok helyreállításához az egyes számítógépek alapértelmezett helyi irányelvét használja a rendszer. Ennek értelmében a helyi rendszergazdák ellenőrzik az adatok helyreállítását saját számítógépeiken.

A helyreállítási irányelv módosítása

Az adott tartomány alapértelmezett helyreállítási irányelvének módosításához rendszergazdaként kell bejelentkeznie az első tartományvezérlőre. Indítsa el a Csoportházirend segédprogramot az Active Directory - felhasználók és számítógépek beépülő modulból, és a Windows-beállítások mappában bontsa ki a Biztonsági beállítások, a Nyilvános kulcs irányelvei, végül a Titkosított adathelyreállító ügynökök faelemet.

Megjegyzés

  • A Csoportházirend segédprogramban megadott beállítások felülbírálják az összes helyileg definiált irányelvet.


Helyreállítási megbízottak

A helyreállítási megbízott olyan rendszergazda, aki visszafejtheti a más felhasználók által titkosított adatokat. Helyreállítási megbízottat akkor célszerű például alkalmazni, ha valamely alkalmazott távozik a vállalattól, és titkosított adatait vissza kell fejteni. Mielőtt valamely tartományhoz helyreállítási megbízottat jelölhetne ki, meg kell győződnie arról, hogy a helyreállítási megbízottak rendelkeznek-e az X509 bizonyítvány 3-as verziójával.

A helyreállítási megbízott olyan különleges bizonyítvánnyal, valamint egy ahhoz tartozó személyes kulccsal rendelkezik, amelyekkel a helyreállítási irányelv hatókörén belül adatokat állíthat helyre. Ha Ön a helyreállítási megbízott, ne felejtsen el megbízható helyre biztonsági másolatot készíteni a helyreállítási bizonyítványról és az ahhoz tartozó személyes kulcsról. Ehhez használja a Microsoft Management Console (MMC) Exportálás parancsát. A biztonsági másolat elkészítése után törölje a Bizonyítványok MMC-konzolban a helyreállítási bizonyítványt. Ha valamely felhasználó esetén helyreállítási műveletet kell végrehajtania, először állítsa vissza a helyreállítási bizonyítványt és a hozzá tartozó személyes kulcsot a Bizonyítványok MMC-konzol Importálás parancsával. Az adatok helyreállítását követően törölje ismét a helyreállítási bizonyítványt. Az exportálási folyamatra ezúttal nincs szükség.

Tartományhoz úgy adhat helyreállítási megbízottakat, hogy azok bizonyítványait a létező helyreállítási irányelvhez adja. Ezt az Active Directory - felhasználók és számítógépek beépülő modullal elindított Helyreállítási megbízott hozzáadása varázslóval teheti meg.


Hálózati adatbiztonság

A hálózati adatokat a hálózaton vagy a hálózati csatolón lehet védeni. Az adatok hálózaton történő védelméhez titkosító eljárásokra és az azokat támogató protokollra van szükség. Az Internet-protokoll biztonsága (IPSec) és az Útválasztó szolgáltatás ezt a célt szolgálják. Az adatok hálózati csatolón történő biztosításához tűzfalra van szükség: a tűzfal elkülöníti egymástól a belső (LAN) és a külső hálózatot (Internet), és továbbítja a közöttük létrehozott kapcsolatokat. Ezt a feladatot a proxykiszolgáló végzi.

Ezek a szolgáltatások szerves részét képezik a Windows NT Server operációs rendszernek, és fontos elemei a Windows NT biztonsági szerkezetének.

Az Internet protokoll biztonsága

Az Internet protokoll biztonsága (IPSec) olyan biztonsági szerkezet, amely nyílt biztonsági szabványokkal teszi lehetővé az Internet protokollt alkalmazó hálózatokon keresztüli biztonságos személyes kommunikációt – ehhez titkosító biztonsági szolgáltatásokat alkalmaz. Az IPSec végpontok közötti biztonsági modellen alapul: ez azt jelenti, hogy az IPSec alkalmazásáról csak a küldő és a fogadó számítógépnek van tudomása. Az IPSec Windows 2000 rendszerben történő alkalmazása az Internet Engineering Task Force (IETF) nevű IPSec-munkacsoport által kifejlesztett szabványokon alapul.

További információt Az IPSec alapfogalmai és alkalmazása oldalról elérhető témakörökben talál.

Az Útválasztó szolgáltatás

A Windows 2000 Útválasztó szolgáltatása a LAN- és WAN-környezetekben, valamint az Interneten keresztül, biztonságos magánhálózati (VPN) kapcsolatok alkalmazásával biztosít útválasztási szolgáltatásokat. A VPN-kapcsolatok a Point-to-Point Tunneling protokollra (PPTP) és a Layer 2 Tunneling protokollra (L2TP) épülnek.

Az Útválasztó szolgáltatás használata azon rendszergazdáknak ajánlott, akik már ismerik az útválasztó protokollokat és útválasztó szolgáltatásokat. Az útválasztók és telefonos kiszolgálók megtekintéséhez és kezeléséhez használja az Útválasztás és távelérés szolgáltatást.

A proxykiszolgáló

Az intranetes alkalmazások (például webböngészők) sokkal szélesebb körben és hatékonyabban használhatók, ha helyi hálózatuk (LAN) az Internethez kapcsolódik – egy ellenőrzés nélküli Internet-csatlakozás telepítése viszont veszélyeztetheti a helyi hálózat biztonságát. A Microsoft Proxy Server segítségével csökkenthető az esetleges veszély mértéke úgy, hogy a LAN alapú Internetes adatforgalmat az intranetes alkalmazások biztonságának és hatékonyságának lehető legnagyobb mérvű biztosítása figyelembevételével konfigurálják. A Microsoft Proxy Server tűzfalnak megfelelő biztonsági szinttel rendelkező átjáróként üzemel a hálózat és az Internet között.

A proxykiszolgálók az adott hálózaton lévő programok és egy másik hálózaton lévő kiszolgálók közötti adatforgalmat kezelik. Ha kérelem érkezik valamely ügyfélprogramtól, a proxykiszolgáló lefordítja azt, és továbbküldi az Internetre. Ha válasz érkezik az Interneten lévő valamely számítógéptől, a proxykiszolgáló továbbküldi a választ a kérelmet küldő számítógépen futó ügyfélprogramnak. A proxykiszolgálót futtató számítógép két hálózati csatolóval rendelkezik: az egyik a helyi hálózathoz (LAN), a másik pedig az Internethez csatlakozik.

A Microsoft Proxy Server legfontosabb biztonsági jellemzői a következők:

  • blokkolja a bejövő kapcsolatokat
  • a helyi hálózat (LAN) ügyfelei kezdeményezhetnek Internetre irányuló kapcsolatokat, de az Interneten lévő ügyfelek nem indíthatnak LAN-kiszolgálókhoz irányuló kapcsolatokat, és
  • korlátozza a kimenő kapcsolatokat.

A LAN-ügyfeleket a rendszer hagyományos Windows NT biztonsági hitelesítő adataikkal hitelesíti. A proxykiszolgálók többféle módon korlátozhatják a kimenő kapcsolatokat: felhasználónként, programprotokoll, TCP/IP portszám, időpont, valamint a céltartomány neve, illetve IP-címe alapján.

Az egyes programok proxykiszolgáló használatakor eltérően működnek attól, mint amikor közvetlenül férnek hozzá a hálózati erőforrásokhoz. A webböngészőket ennek megfelelően újra kell konfigurálni, de nincs hozzájuk szükség további szoftverekre. Más WinSock programokat nem kell újrakonfigurálni, de az ügyfélrendszer WinSock-eszközillesztőjét cserélni kell.

További információt a proxykiszolgáló dokumentációjában talál.


Biztonsági konfiguráció és analízis

A Biztonsági konfiguráció és analízis beépülő modul a helyi számítógép biztonságának elemzésére és konfigurálására használható.

  • Bevezetés a Biztonsági konfiguráció és analízis használatába
  • A Biztonsági konfiguráció és analízis ismertetése


A Biztonsági sablonok kezelése

A Biztonsági sablonok az Active Directory vagy a helyi számítógép Csoportházirend-objektumaira alkalmazhatók.

További tudnivalók a Biztonsági sablonok című témakörben találhatók.


Biztonsági területek

Az adott rendszerben a következő biztonsági területeket lehet beállítani:

  • Fiókrend
  • Helyi házirend
  • Eseménynapló
  • Korlátolt csoportok
  • Fájlrendszer, rendszerleíró adatbázis és rendszerszolgáltatások

A felsorolás nem tartalmazza a nyilvános kulcs, illetve az Internet-protokoll biztonsági házirendjeit. Ezek beállításáról Az Internet-protokoll biztonsága és A nyilvános kulcs biztonsága című témakörök nyújtanak felvilágosítást.


Az adatvédelem használata

A biztonsági megfontolásokat a működési környezet is befolyásolja: függ a kiszolgáló szerepétől a szervezeten belül, például hogy tartományvezérlőként, webkiszolgálóként, fájlkiszolgálóként, vagy adatbázis-kiszolgálóként használják.

Ha a szervezet hálózata intranetekből, extranetekből, vagy Internet-helyekből áll, szükséges a nyilvános kulcsok infrastruktúrájának beépítése is az átfogó biztonsági megoldásba. Ez az infrastruktúra tartalmazhat egy vagy több vállalati dedikált hitelesítő szervezetet is.

Ez a rész azokat módszereket és műveleteket ismerteti, amelyeket a szervezet számítógépein, vagy a helyi gépen tárolt adatok védelmére használhat. Ezen módszerekkel és műveletekkel kapcsolatos további információ a következő témakörökben található:

  • Beépített és előre definiált csoportok használata
  • A naplózás beállítása
  • Meghatalmazotti kapcsolatok kezelése
  • Felhasználói jogok megadása
  • Felügyeleti ellenőrzés delegálása
  • Kerberos V5 hitelesítés engedélyezése
  • Programindítás rendszergazdaként
  • Bizonyítvány alapú hitelesítés
  • A nyilvános kulcsok infrastruktúrája és a hitelességi bizonyítványok
  • A Biztonsági sablonok használata
  • Biztonsági konfiguráció és analízis
  • Engedélyek
  • Biztonságos adattárolás


Beépített és előre definiált csoportok használata

Egy tartomány globális csoportjainak segítségével csoportokba gyűjtheti az adott tartomány különféle felhasználói fiókjait. (A felhasználói fiók felhasználókat, rendszergazdákat és vendégeket tartalmazhat.) Ezek a csoportok azután tartományszintű helyi csoportokba helyezhetők az adott vagy más tartományban.

Egy tartomány beépített tartományszintű helyi csoportjai elsősorban arra használhatók, hogy alapértelmezett engedélyezési beállításokat rendeljenek azon felhasználókhoz, akiknek felügyeleti ellenőrzésük lesz a tartományra. Egy tartomány Rendszergazdák csoportja például széleskörű felügyeleti jogokkal rendelkezik a tartomány felhasználói fiókjai és erőforrásai felett.

Globális csoport | Leírás
Tartományi felhasználók Egy tartományban létrehozott minden felhasználói fiók alapértelmezés szerint automatikusan hozzáadódik a Tartományi felhasználók globális csoporthoz. A Tartományi felhasználók csoport segítségével a tartományban létrehozott összes felhasználói fiókra egyszerre hivatkozhat. Ha például a tartomány összes felhasználójának hozzáférést kíván biztosítani egy nyomtatóhoz, az engedélyeket elegendő a Tartományi felhasználók csoporthoz hozzárendelni (vagy a Tartományi felhasználók csoportot beteheti egy olyan tartományszintű helyi csoportba, amely rendelkezik a nyomtatóra vonatkozó engedélyekkel).

Egy tartomány Tartományi felhasználók csoportja alapértelmezés szerint tagja ugyanazon tartomány Felhasználók csoportjának.
Tartomány rendszergazdái A Tartomány rendszergazdái globális csoport azokat a felhasználókat jelenti, akik széleskörű felügyeleti jogokkal rendelkeznek a tartomány felett. A Windows 2000 Server a Rendszergazda fiókkal rendelkező felhasználókat automatikusan behelyezi ebbe a csoportba.

Mivel a Windows 2000 Server támogatja a hitelesítés felügyeletét és delegálását, ezeket a széleskörű felügyeleti jogokat ne adja meg sok felhasználónak. Vagyis ajánlott korlátozni a Tartomány rendszergazdái csoportba betett felhasználók számát.

Egy tartomány Tartomány rendszergazdái csoportja alapértelmezés szerint tagja ugyanazon tartomány Rendszergazdák csoportjának.
Tartományi vendégek | A Tartományi vendégek csoport alapértelmezés szerint tagja ugyanazon tartomány Vendégek csoportjának és automatikusan tartalmazza a tartomány alapértelmezett Vendég felhasználói fiókját.

Az elérhető felhasználói engedélyek leírását a Felhasználói jogok című témakörben találja.


A naplózás beállítása

A naplózás során bejegyzés készül, valahányszor a felhasználók bizonyos meghatározott műveletet hajtanak végre. Naplóbejegyzést válthat ki például egy fájl vagy egy házirend módosítása. A naplóbejegyzésből megállapítható a végrehajtott művelet, a végrehajtást eszközlő felhasználó, valamint a művelet dátuma és időpontja. A sikeres és sikertelen hozzáférési kísérletek egyaránt naplózhatók.

A műveletek naplózása nem alapértelmezett beállítás. Ha megfelelő rendszergazdai jogosultságokkal rendelkezik, meghatározhatja, hogy milyen típusú műveletek kerüljenek naplózásra. Amikor engedélyezi a naplózást, a következőket kell tennie:

  1. Hozzon létre egy helyi naplórendet azon a számítógépen, amelyen a műveletek történnek.
  2. Válassza ki a naplózandó műveleteket.

Több különböző naplózási eszközt használhat attól függően, hogy Active Directory objektumokat vagy helyi objektumokat akar ellenőrizni.

  • Active Directory objektumok esetén használja az Active Directory - felhasználók és számítógépek ablakot.
  • Fájlokhoz, mappákhoz, rendszerleíró kulcsokhoz és hálózati nyomtatókhoz használja a Biztonság fület az objektum Tulajdonságok párbeszédpanelén. Ez lehetővé teszi annak meghatározását, hogy az illető objektumokhoz milyen típusú hozzáféréseket kíván naplózni.

További tudnivalókat talál a naplózási beállítások konfigurálásával kapcsolatban a Helyi házirendek témakörben.


Megbízhatósági kapcsolatok kezelése

Amikor Windows 2000 tartományt Windows 2000 tartományerdőhöz csatlakoztat, automatikusan létrejön egy megbízhatósági kapcsolat. Ez a megbízhatósági kapcsolat kétirányú és tranzitív. Ilyen megbízhatósági kapcsolat létrehozásához nincs szükség felügyeleti feladat elvégzésére.

A tartományerdőn belüli megbízhatósági kapcsolatok a tartomány létrehozásakor jönnek létre. Létrejöttük után e megbízhatósági kapcsolatokat nem kell kezelni. Két eset azonban kivétel ez alól:

  • Windows 2000 erdők közti megbízhatósági kapcsolatok
  • Windows NT 4.0-s vagy korábbi verziójú tartományok közti megbízhatósági kapcsolatok

Windows 2000 és Windows NT tartományok között csak explicit módon hozhatók létre megbízhatósági kapcsolatok. Ehhez használja az Active Directory - tartományok és meghatalmazások eszközt.

Ha Windows NT 4.0-s tartományt frissített Windows 2000 tartományra, a meglévő megbízhatósági kapcsolatok ugyanabban az állapotban maradnak.

A megbízhatósági kapcsolatokról további tudnivalók a Tartománymeghatalmazások című témakörben találhatók.


Felhasználói jogok megadása

Felhasználói jogok a helyi házirendek felhasználói jogokra vonatkozó beállításainak konfigurálásával adhatók. A felhasználói jogok megadása az egyik módja a felügyeleti jogok delegálásának vagy korlátozásának a tartományon belül.

További tudnivalók a felhasználói jogok megadásával kapcsolatban a Helyi házirendek című témakörben találhatók.

A felügyeleti szabályzásnak a felhasználói jogok megadásán keresztül történő delegálásával kapcsolatos tudnivalók a Felügyelet delegálása című témakörben találhatók.


Felügyeleti ellenőrzés delegálása

Felelősség delegálásával új felhasználókat és csoportokat, vagy fiókok létrehozására alkalmas tárolókat hozhat létre a szervezeti egység szintjén. Valamely szervezeti egység rendszergazdáinak nem feltétlenül van lehetőségük az adott tartományon belüli másik szervezeti egység fiókjainak kezelésére. Az egész tartományra kiterjedő házirend-beállítások és a könyvtárfa magasabb szintjén definiált engedélyek azonban a fa minden pontján alkalmazhatók az engedélyek öröklődésével.

Tartomány vagy szervezeti egység felügyelete az Active Directory - felhasználók és számítógépek alkalmazásban található Vezérlés delegálása varázsló segítségével delegálható.

A felügyeleti felelősségek delegálásának három lehetséges módja van:

  • Egy adott tároló tulajdonságainak megváltoztatására vonatkozó engedélyek delegálása.
  • Adott szervezeti egységen belüli, meghatározott típusú objektumok (például felhasználók, csoportok vagy nyomtatók) létrehozására és törlésére vonatkozó engedélyek delegálása.
  • Adott szervezeti egységen belüli, meghatározott típusú objektumok bizonyos tulajdonságainak frissítésére vonatkozó engedélyek delegálása. Delegálhatja például egy felhasználói objektum jelszavának beállítási jogát.

Az egyes erőforrások felügyeletének jogát is delegálhatja egy bizonyos személynek vagy csoportnak, így nem kell több rendszergazdát alkalmaznia egy tartomány vagy hely felügyeletére. Megfelelő delegálás esetén a szükséges engedélyekkel rendelkező felhasználó vagy csoport tovább delegálhatja a fiókok és erőforrások egy részének felügyeletét.

A delegált felügyeleti felelősség hatóköre többféleképpen beállítható. Bár az engedélyeket általában szervezeti egység szintjén adják meg az öröklődés alkalmazásával, a felügyeletet egy egész tartományra delegálhatja egy erdőn belül.

A rendszergazdák a tárolókra vonatkozó delegálási információkat az Active Directory - felhasználók és számítógépek alkalmazás segítségével tekinthetik meg.

A felügyeleti felelősségek delegálásáról további információt a Felügyelet delegálása című témakörben talál.

Kapcsolódó témakörök


Kerberos V5 hitelesítés engedélyezése

A Kerberos V5 hitelesítés engedélyezése a Windows 2000 Server telepítésekor automatikusan megtörténik.

A felhasználói fiókok fiókrendjei a Kerberos V5 használatára vonatkozó házirendeket határoznak meg. A Kerberos V5 egyik felhasználói fiókrendje például a Kerberos V5 jegyek élettartamát állítja be. Rendszergazdaként használhatja az alapértelmezett fiókrendeket vagy módosíthatja azokat a környezet igényeinek megfelelően.

A sikeres hitelesítés Kerberos V5 segítségével azt feltételezi, hogy mind az ügyfél, mind a kívánt szolgáltatást futtató kiszolgáló a Windows 2000 operációs rendszerrel működik.

Ha egy Windows 2000 ügyfél olyan kiszolgálóra kísérli meg a hitelesítést, mely más operációs rendszerrel működik, a Windows 2000 az NTLM protokollt használja hitelesítési módszerként.

További információt a Kerberos V5-re vonatkozó fiókrendekről a Fiókrendek című témakörben talál.

A Kerberos V5 működéséről alapvető tudnivalókat a Kerberos V5 hitelesítés című témakörben olvashat.


Programindítás rendszergazdaként

Egyes esetekben előfordulhat, hogy olyan programot szeretne elindítani, amelyhez rendszergazdaként kell bejelentkezni. Ehhez használja a Futtatás mint programot, amely lehetővé teszi, hogy helyi vagy tartományi szintű rendszergazda legyen.

A Futtatás mint parancs bármely program vagy Microsoft Management Console (MMC) konzol indítására alkalmas, amennyiben:

  • megadja a megfelelő felhasználói fiókot és jelszót;
  • a felhasználói fiók alkalmas a számítógépre történő bejelentkezésre;
  • a program vagy felügyeleti eszköz elérhető a rendszeren és elérhető a felhasználói fiók számára.

Egyes alkalmazásokat, mint például a Windows Intézőt, a Nyomtatók mappát és az asztalhoz tartozó elemeket a Windows 2000 közvetett módon indít, ezért a Futtatás mint paranccsal nem indíthatók.

További tudnivalók A Futtatás mint parancs használata program indításához rendszergazdaként című témakörben találhatók.


Bizonyítvány alapú hitelesítés

Erről az oldalról a következő témaköröket érheti el:

  • Bizonyítvány alapú hitelesítés engedélyezése
  • Intelligens kártyák használata


Bizonyítvány alapú hitelesítés engedélyezése

Az ön szervezetének szüksége lehet külső felhasználók, az Active Directoryban fiókkal nem rendelkező személyek hitelesítésének támogatására. Számtalan esetben felmerülhet az igény arra, hogy külső felhasználóknak biztonságos hozzáférést biztosítson a vállalat bizonyos adataihoz. A vállalati partnereknek például szükségük lehet extranet-hozzáférésre, vagy egy osztálynak egy másik osztály intranet-lapjainak elérésére, illetve szelektív nyilvános hozzáférés biztosítására.

Külső felhasználók hitelesítéséhez az alábbiakra van szükség:

  • A külső felhasználónak rendelkeznie kell bizonyítvánnyal.
  • Létre kell hoznia egy felhasználói fiókot egy vagy több külső felhasználó általi használatra.
  • A külső felhasználó bizonyítványát olyan hitelesítő szervezetnek (CA) kell kiadnia, amely szerepel a létrehozott fiók helyére, tartományára vagy szervezeti egységére vonatkozó megbízható bizonyítványok listáján.
  • Névhozzárendelést kell végrehajtania a külső felhasználó bizonyítványa és a hitelesített hozzáférés számára létrehozott Active Directory fiók között.

    Az a külső felhasználó, akinek ügyfélprogramja rendelkezik bizonyítvánnyal, hozzáférhet a szervezete webhelyén közzétett engedélyezett helyekhez. A hitelesítési folyamat áttekinthető a külső felhasználó számára.

    További információt a fiókok hozzárendeléséről a Bizonyítvány hozzárendelése Active Directoryban lévő felhasználói fiókhoz című témakörben talál.

Megjegyzés

  • Ellenőrizze, hogy a szükséges adatokra vonatkozó jogai és engedélyei megfelelnek-e a biztonsági házirendnek és a külső felhasználó igényeinek.


Nyilvános kulcsú bizonyítványok

A nyilvános kulcsú bizonyítványok használatáról és kezeléséről a következő oldalakon olvashat:

  • A Windows 2000 Bizonyítványszolgáltatások weblapjainak használata
  • A Bizonyítványok beépülő modul használata
  • Bizonyítványszolgáltatások használata
  • A nyilvános kulcs irányelveinek használata
  • Bizonyítványszolgáltatások parancssori funkciói


A Biztonsági sablonok használata

Erről az oldalról a következő témaköröket érheti el:

  • Biztonsági sablonok meghatározása
  • Előre beállított sablonok
  • Biztonsági sablonok alkalmazása


Biztonsági konfiguráció és analízis

A Biztonsági konfiguráció és analízis lehetővé teszi a biztonság beállítását és elemzését, az eredmények megtekintését, illetve az elemzés során felfedezett problémák kiküszöbölését.

  • Előre beállított biztonsági sablonok
  • A biztonsági sablonok importálása és exportálása
  • Biztonsági elemzés
  • Az elemzés eredményének megtekintése
  • Rendszerbiztonság konfigurálása
  • A biztonsági problémák kiküszöbölése


Engedélyek

Erről az oldalról a következő témaköröket érheti el:

  • Az Active Directory objektumokra vonatkozó engedélyek
  • Fájlkiszolgálóra vonatkozó engedélyek


Az Active Directory objektumokra vonatkozó engedélyek

Az Active Directory objektumokhoz való hozzáférés-szabályozás megkönnyítésére a Windows 2000 két új szolgáltatást vezetett be: a delegált hozzáférés-szabályozást és az objektumfüggő öröklődést. A következő részek ezeket a szolgáltatásokat mutatják be.

Hozzáférés-szabályozás delegálása

Tartomány vagy szervezeti egység felügyelete az Active Directory - felhasználók és számítógépek alkalmazásban található Vezérlés delegálása varázsló segítségével delegálható.

Az Active Directory objektumok felügyeletének delegálásáról további információt a Felügyeleti ellenőrzés delegálása című témakörben talál.

Objektumfüggő öröklődés

Az Active Directory magasabb szintű tárolóiban definiált hozzáférés-szabályozás információ annak altárolóira és objektumaira is vonatkozik. Ez a hozzáférési jogok (vagy más néven engedélyek) öröklődése.

Az öröklődés segítségével egy adott tárolón végrehajtott változtatások automatikusan érvényesek az altárolókra és azok objektumaira. A felügyelet megkönnyítéséhez javasolt az engedélyeket magasabb szintű tárolón, például egy magas szintű mappára megadni, és az engedélyek a mappa objektumaira is automatikusan vonatkoznak. Ahol szükséges, megadhat kivételeket, de ezek száma a lehető legkisebb legyen.

Az Active Directory objektumokra vonatkozó engedélyek öröklődésének alkalmazásához az Active Directory – felhasználók és számítógépek alkalmazásban jelenítse meg egy objektum tulajdonságait, majd kattintson a Biztonság fülre.

Egy magasabb szintű tárolón belül megadhatja azon objektumtípusokat, melyekre az öröklődés vonatkozzon. Az öröklődés vonatkozhat például egy mappa almappáira, de az almappa fájljaira nem, vagy vonatkozhat egy adott mappa összes almappájára és fájljára.


Fájlkiszolgálóra vonatkozó engedélyek

Az egyik lehetséges forgatókönyv engedélyek kezelésére, amikor a fájlkiszolgálón található fájlokhoz kell engedélyeket rendelni. Tegyük fel például, hogy egy kis osztály kiszolgálójának fájlengedélyeit kell beállítania. A fájlkiszolgáló a következőket tartalmazza: egy alkalmazás mappát, egy-egy mappát az osztály minden dolgozója számára, egy nyilvános mappát, ahol a felhasználók fájlokat oszthatnak meg, és egy bedobós mappát, melyben bizalmas jelentéseket helyezhetnek el, mivel azt csak a csoportvezető tudja elolvasni.

Alkalmazás mappa. Ebben a mappában minden végrehajtható fájlra csak olvasási engedélyt adjon minden felhasználónak, a vírusok és a trójai falovak elkerülésére. Módosítási jogot adhat a Rendszergazdák csoport tagjainak, így a rendszergazdák írási engedélyt adhatnak maguknak, ha egy program frissítésére van szükség.

Ha a programok egyike sem ír fájlokat (például inicializáló fájlt) a saját mappájába, a programokat tartalmazó mappák hozzáférési engedélyét szintén állítsa csak olvashatóra.

Felhasználók mappái. Ezekben a mappákban adjon mindenkinek teljes hozzáférést a saját mappájához, de senkinek ne adjon engedélyt a hozzáférésre más mappához.

Nyilvános mappa. Ebben a mappában minden felhasználónak adhat módosítási engedélyt. Ebben az esetben azért nem tanácsos a teljes hozzáférést engedélyezni, mert akkor a felhasználók módosíthatnák a nyilvános könyvtár engedélyeit és kisajátíthatnák azt.

Bedobós mappa. Bedobós mappa létrehozásához adjon hozzáadási jogot egy mappára a Felhasználók vagy a Mindenki beépített csoportnak , és módosítási jogot a vezetőnek, aki a mappa fájljait olvashatja.

A helyi rendszermappákhoz és almappákhoz csak a rendszergazdáknak és a kiszolgálófelelősöknek adjon hozzáférési jogot.


Biztonságos adattárolás

A tárolt adat biztonsága annak a lemezen titkosított formában történő tárolását jelenti. A titkosító fájlrendszer (EFS) használatával a felhasználók úgy titkosíthatják adataikat, ahogyan a lemezen tárolva van.

Az EFS felügyeletéhez az alábbi témakörökben talál segítséget.

  • Bevezetés a titkosító fájlrendszer használatába
  • Adat titkosítása és visszafejtése a titkosító fájlrendszer használatával
  • Biztonsági másolat készítése adatokról és azok visszaállítása


Bevezetés a titkosító fájlrendszer használatába

A titkosító fájlrendszer (EFS) segítségével a felhasználók lemezen lévő adataikat titkosított formátumban tárolhatják.

A titkosítás egy eljárás, melynek során az adatot olyan formátumúvá alakítják, hogy azt más felhasználó ne tudja értelmezni. A titkosítást követően a fájl automatikusan titkosítva marad mindaddig, míg lemezen tárolják.

A visszafejtés egy eljárás, melynek során a titkosított adatot átalakítják az eredeti formátumára. A visszafejtést követően a fájl megőrzi formátumát mindaddig, míg lemezen tárolják.

A titkosító fájlrendszer az alábbi szolgáltatásokkal rendelkezik:

  • A felhasználók titkosíthatják segítségével a lemezen tárolt adatot. A titkosítás nagyon egyszerű, csak be kell jelölni egy jelölőnégyzetet a fájl Tulajdonságok párbeszédpanelén.
  • A titkosított fájlokhoz gyorsan és könnyen hozzá lehet férni. A felhasználók normál szövegként tekinthetik meg az adatot.
  • Az adat titkosítása automatikusan történik, és teljesen átlátható a felhasználó számára.
  • Fájl visszafejtéséhez törölni kell a fájl Tulajdonságok párbeszédpanelén a Titkosítás jelölőnégyzet jelölését.
  • A rendszergazdák visszafejthetnek más felhasználók által titkosított adatokat is. Ez biztosítja, hogy az adat akkor is elérhető, ha a titkosító felhasználó már nem elérhető, vagy elveszítette személyes kulcsát.

Az EFS csak lemezen tárolt adatot titkosít. Adat titkosítására TCP/IP hálózaton keresztül történő átvitele közben két lehetőség elérhető--az Internet-protokoll biztonsága (IPSec) és a PPTP-titkosítás.


Adat titkosítása és visszafejtése a titkosító fájlrendszer használatával

A titkosító fájlrendszer (EFS) segítségével az alábbiak végezhetők el:

  • Fájlok titkosítása
  • Hozzáférés a titkosított fájlokhoz
  • A titkosított fájlok áthelyezése és átnevezése
  • A titkosított fájlok másolása
  • A fájlok visszafejtése

Adat titkosítása

A titkosító fájlrendszer (EFS) alapértelmezett beállítások mellett nem igényel adminisztratív teendőket, a felhasználók a titkosítást azonnal megkezdhetik. Ha a felhasználó nem rendelkezik titkosító kulcspárral, az EFS automatikusan létrehozza azt számára.

Az EFS a bővített Data Encryption Standard (Adattitkosítási szabvány – DESX) módszert használja titkosítási algoritmusként.

A titkosítási szolgáltatások a Windows Intézőből érhetők el. Fájlok és mappák titkosítása a cipher parancssori funkció segítségével is elvégezhető. Ha a cipher parancsról további információra van szüksége, írja be a cipher /? parancsot a parancssorba.

A titkosításhoz a fájl vagy mappa titkosítási tulajdonságát kell beállítani ugyanúgy, mint más attribútumok, például az írásvédett, a tömörített vagy a rejtett attribútum esetében. Ha a felhasználó titkosít egy mappát, a mappában készült vagy ahhoz hozzáadott fájlokat és almappákat a rendszer automatikusan titkosítja. A titkosítást ajánlott mappaszinten elvégezni.

Tömörített fájlok nem titkosíthatók. A titkosításra kijelölt mappák tényleges titkosítása nem történik meg. A rendszer csak a mappában található fájlokat titkosítja.

Hozzáférés a titkosított adathoz

A felhasználók ugyanúgy férhetnek hozzá a titkosított fájlokhoz, mint a titkosítatlanok esetében. Így lemezen tárolt titkosított fájlhoz való hozzáféréskor a fájl tartalma a szokott módon olvasható. Ha a felhasználó újra tárolja a fájlt a lemezen, a titkosító fájlrendszer ismét titkosítja azt.

A fájlhoz később csak a titkosítást végző felhasználó férhet hozzá. Ezt a személyes kulcs használata biztosítja, melynek segítségével a felhasználók csak saját titkosított fájljaikhoz férhetnek hozzá. Ha másik felhasználó kísérli meg a hozzáférést a titkosított fájlhoz, „A hozzáférés megtagadva” üzenetet kapja.

Titkosított fájlok áthelyezése és átnevezése

Fájlok másik mappába történő áthelyezésekor a fájl megőrzi titkosítási állapotát, függetlenül attól, hogy a célmappa titkosított-e vagy sem. Egy titkosított fájl titkosítatlan mappába történő áthelyezésekor például a fájl titkosított marad. Egy titkosítatlan fájl titkosított mappába történő áthelyezésekor a fájl titkosítatlan marad. Hasonlóképpen, titkosított fájl átnevezése nem változtat annak titkosítási állapotán.

Titkosított fájlok másolása

Titkosított fájl titkosítatlan mappába történő másolásakor a titkosítás előnyt élvez. Így titkosítatlan fájl titkosított mappába történő másolásakor a titkosító fájlrendszer azt automatikusan titkosítja. Egy titkosított fájl titkosítatlan mappába történő másolásakor a fájl titkosított marad.

Adat visszafejtése

Fájl visszafejtéséhez törölni kell a fájl Tulajdonságok párbeszédpanelén a Titkosítás jelölőnégyzet jelölését. Visszafejtés után a fájl titkosítatlan marad mindaddig, míg azt újra nem titkosítja.

Egy fájl titkosítását követően azt nem szükséges visszafejteni mindaddig, míg a titkosító felhasználó az egyetlen, akinek hozzá kell férnie a fájlhoz. Az egyetlen ok, amely a fájl visszafejtését szükségessé teheti, ha a felhasználó meg kívánja azt osztani egy másik felhasználóval, vagy azt elérhetővé szeretné tenni hálózaton keresztül.

Titkosított fájl visszafejtése a fájl Tulajdonságok párbeszédpanelén található Titkosítás jelölőnégyzet jelölésének törlésével, vagy a cypher parancs segítségével végezhető el.

A titkosító fájlrendszer alapértelmezés szerint 56 bites titkosítást alkalmaz. További biztonsági intézkedésként az észak-amerikai felhasználók alkalmazhatnak 128 bites titkosítást, ha megrendelik a Microsoft Enhanced CryptoPAK csomagját. Az Enhanced CryptoPAK segítségével titkosított fájlok azonban nem fejthetők vissza és nem hozzáférhetők olyan rendszerekben, amelyek csak az 56 bites titkosítást támogatják.


Titkosított adatok biztonsági mentése és helyreállítása

Adatok biztonsági mentése, visszaállítása és helyreállítása

A titkosított fájlrendszerrel (EFS) kapcsolatos legfőbb felügyeleti feladatok a következők: a titkosított fájlok biztonsági mentése és visszaállítása, a helyreállítási irányelv konfigurálása és a titkosított adatok helyreállítása.

Titkosított fájlok biztonsági mentése és visszaállítása

A titkosított fájlok biztonsági másolatai szintén titkosítva lesznek, ha a Windows 2000 rendszerhez készült biztonsági mentésre szolgáló programot használ.

Titkosított adatok visszaállításakor az adatok a visszaállítást követően is titkosítva maradnak.

Titkosított adatok helyreállítása

Az adatok helyreállítása az a folyamat, amely során megtörténik a fájl titkosításának feloldása a fájlt titkosító felhasználó személyes kulcsa nélkül.

Az adatok helyreállításához helyreállítási megbízottra van szükség, ha

  • a felhasználó távozik a vállalattól;
  • a felhasználó elveszíti személyes kulcsát;
  • rendfenntartó hivatal erre kérelmet nyújt be.

A fájl helyreállításához a helyreállítási megbízott

  1. biztonsági másolatot készít a titkosított fájlokról;
  2. a biztonsági másolatot biztonságos rendszerre helyezi át;
  3. a biztonságos rendszerre importálja a fájlok helyreállítási bizonyítványát és személyes kulcsát;
  4. visszaállítja a biztonsági másolat fájljait;
  5. a Windows Intéző vagy az EFS cipher parancsa segítségével visszafejti a fájlokat.

Helyreállítási irányelv konfigurálása

A Csoportházirend beépülő modul segítségével definiálhat adathelyreállítási irányelvet a tartomány tagkiszolgálói vagy önálló, illetve munkaállomás-kiszolgálók számára. Kérhet helyreállítási bizonyítványt, vagy exportálhatja és importálhatja saját helyreállítási bizonyítványát.

Előfordulhat, hogy a helyreállítási irányelv felügyeletét egy kijelölt rendszergazdához szeretné delegálni. Noha érdemes korlátozni a titkosított adatok visszaállítására felhatalmazottak számát, több rendszergazda helyreállítási megbízottként történő kijelölése másodlagos forrást biztosít, ha a helyreállítás szükségessé válik.


Forrásanyagok

Ha további tudnivalók találhatók a biztonsággal kapcsolatos következő forrásmunkákban:

  • Microsoft Security Advisory
  • Forrásmunkák: A nyilvános kulcsok infrastruktúrája


Hibaelhárítás

Az alábbi témakörökben bizonyos problémák megoldásához talál segítséget:

  • A titkosító fájlrendszer hibáinak elhárítása
  • A Bizonyítványszolgáltatások hibáinak elhárítása
  • Az IP-biztonság hibáinak elhárítása
  • A Biztonsági sablonok hibáinak elhárítása
  • A Biztonsági konfiguráció és analízis hibáinak elhárítása


A titkosító fájlrendszer hibáinak elhárítása

Mi a probléma?

A fájl nem titkosítható.

Ok: A titkosító fájlrendszer (EFS) csak NTFS fájlrendszerű köteten lévő fájlokra és mappákra használható. Továbbá nem titkosíthatók vele a tömörített, a csak olvasható és a rendszerfájlok.

Megoldások:

  • A megfelelő engedélyek birtokában kibonthatja a fájlt.
    1. A Windows Intézőben kattintson a fájl nevére az egér jobb gombjával, majd kattintson a Tulajdonságok parancsra.
    2. Kattintson a Speciális gombra.
    3. A Tömörítési és titkosítási lehetőségek csoportban törölje a Tartalom tömörítése helymegtakarítás végett jelölőnégyzet jelölését.
  • A megfelelő engedélyek birtokában módosíthatja a fájl csak olvasható tulajdonságát.
    1. A Windows Intézőben kattintson a fájl nevére az egér jobb gombjával, majd kattintson a Tulajdonságok parancsra.
    2. Az Attribútumok területen törölje az Írásvédett jelölőnégyzet jelölését.
  • Rendszerfájl nem tömöríthető.
  • Ha azt tapasztalja, hogy egy újonnan létrehozott, vagy egy Microsoft Outlook üzenethez csatolt dokumentum titkosított egy nem titkosított mappában, ellenőrizze, hogy titkosította-e Temp mappáját. A Temp mappa titkosításával biztosíthatja, hogy dokumentumai titkosítottak maradjanak a szerkesztési folyamat közben is, melynek során egyes alkalmazások ideiglenes dokumentumokat hoznak létre. Egyes alkalmazások azonban alapértelmezés szerint új dokumentumot hoznak létre a Temp mappában. Ha a dokumentumot az NTFS-kötet egy másik helyére menti, a dokumentum az új helyen is titkosított lesz.


Hálózati biztonság

További tudnivalók a Forrásmunkák című témakörben találhatók.


Hálózati biztonság

Az Internet-protokoll biztonságával kapcsolatos hibaelhárítási útmutató a Hibaelhárítás című témakörben található.


Kiszolgálói szerepkörök

Az adatok biztonságossá tételével kapcsolatos követelményeket részben az adatokat kezelő és tároló kiszolgálónak szánt szerepkör határozza meg. Előfordulhat, hogy a cég infrastruktúrájának megfelel az, hogy egyetlen Windows 2000 kiszolgáló több funkciót is ellát, de a feladatok több Windows 2000 kiszolgáló között is eloszthatók. Az egyes kiszolgálók szerepköre vagy kapacitása általában speciális vagy további biztonsági megfontolásokat szavatol.

A Windows 2000 kiszolgálók szerepköreinek elsődleges típusairól A kiszolgálói szerepkörök ismertetése című témakörben olvashat bővebben.


Hálózati nyomtatók

A naplózás lehetővé teszi a nyomtató használatának nyomon követését. Az egyes nyomtatók esetében megadhatók a naplózandó felhasználók, csoportok és műveletek. Sikertelen és sikeres műveletek is naplózhatók. A Windows NT a naplózási információt a biztonsági naplófájlban tárolja, mely az Eseménynapló használatával tekinthető meg.


Az Active Directory biztonsága

Az elosztott adatvédelem számos szinten egyszerűbbé és hatékonyabbá teszi a tartományok felügyeletét:

  • A felhasználók és a számítógépek hitelesítése el van osztva a vállalat egészében.
  • A felhasználók és a számítógépek biztonsági hitelesítő adatait az Active Directory tárolja. A számítógépek hitelesítése azok indításakor történik.
  • A tranzitív meghatalmazás az alapértelmezett, ami azt jelenti, hogy az egy tartományban érvényes biztonsági hitelesítő adatokat a tartományfán lévő összes többi tartomány elfogadja. Tehát az egyik tartományban már hitelesített felhasználók a tartományfa összes többi tartományában hitelesítettnek számítanak. Szükség esetén azonban meghatározhatók egyedileg megadott meghatalmazotti kapcsolatok is.
  • Egyszeri bejelentkezés a vállalathoz.

    Mivel a biztonsági hitelesítő adatokat az Active Directory tárolja, a felhasználók biztonságos egyszeri bejelentkezést hajthatnak végre a vállalathoz.

  • Minden Active Directory objektum replikálódik a tartomány összes tartományvezérlőjére.
  • A fiókokat, házirendeket és erőforrásokat a legközelebbi tartományvezérlő kezeli, és hozzáférésük is ezen keresztül történik.
  • Minden Active Directory objektum örökölhet tulajdonságokat szülőobjektumától.
  • A fiók- és házirend-tulajdonságokat csoportszinten lehet létrehozni, és minden új, illetve meglévő tagra alkalmazhatók.
  • A felügyeleti feladatok adott felhasználóknak és csoportoknak delegálhatók.

    Azáltal, hogy öröklést alkalmaz a jogosultságok és engedélyek hozzárendeléséhez, a fiókok, házirendek és erőforrások felügyeletét eloszthatja a vállalati vezetőség tagjai között. A biztonsági házirend felügyeleti komponense hatékonyan helyettesíthet egy szervezeti diagramot, lévén egy megfelelően korlátozott jogosultsági hatókörökkel rendelkező rendszergazdákat tartalmazó fa.

  • A bizonyítványokra alapuló hitelesítés a vállalaton belül intranetes vagy internetes kapcsolatokra, továbbá intelligens kártyákkal való bejelentkezésre használatos.

    Az intelligens kártyák tulajdonosai egyszeri bejelentkezést hajthatnak végre a tartományban.

  • A kiszolgálók képesek az ügyfelek nevében hitelesítést végrehajtani.

    A kiszolgálók a felhasználó számára nem észlelhetően személyesítik meg az ügyfeleket a több kiszolgálót igénylő ügyféltranzakcióban más kiszolgálók felé végrehajtott hitelesítés esetében, vagy a helyi (ügyfél) rendszerszolgáltatások nevében végrehajtott műveleteknél.


Hálózati házirendek

Az IPSec-házirendeket helyi és csoportházirendekhez (Active Directory objektumokhoz) egyaránt lehet alkalmazni. Az IP-biztonsági házirendkezelő beépülő modul segítségével egy helyről kezelhetők a házirendek, amelyek IP-szűrőket igénybe vevő módszereken alapulnak. A rendelkezésre álló alapértelmezett házirendeket használhatja módosítás nélkül, de módosíthatja is őket szükségleteinek megfelelően – használatuk szükségtelenné teszi egyéni házirendek létrehozását, hacsak nincsenek különleges igényei.

További információt Az IPSec-házirendek leírása című oldalról elérhető témakörökben talál.


Hálózati házirendek

Az IPSec-házirendeket helyi és csoportházirendekre (Active Directory objektumokra) egyaránt lehet alkalmazni. Az IP-biztonsági házirendkezelő beépülő modul segítségével központilag kezelhetők az IP-szűrési módszereken alapuló házirendek. A rendelkezésre álló alapértelmezett házirendeket használhatja módosítás nélkül, de módosíthatja is őket szükségleteinek megfelelően. Használatuk szükségtelenné teszi egyéni házirendek létrehozását, hacsak nincsenek különleges igényei.

További tudnivalók az IP-biztonság című témakörben találhatók.