A Biztonsági sablonok kezelése

A Biztonsági sablonok beépülő modul a biztonsági sablonok meghatározására szolgáló eszköz, amelyek egy Csoportházirend-objektumhoz adva a rendszer biztonsági beállításainak megadására használhatók. A biztonsággal kapcsolatos általános információk és fogalmak a Biztonság című témakörben találhatók.

  • Mielőtt tovább lépne, olvassa el a következő témaköröket: Feladatlista: Biztonsági sablon megadása Csoportházirend-objektumhoz vagy Feladatlista: Biztonsági sablon megadása helyi számítógéphez.
  • A konkrét feladatokkal kapcsolatban a következő oldalon tájékozódhat: Útmutató.
  • Az általános háttérinformációkat a következő témakörben tekintheti meg: Fogalmak.
  • A problémák elhárításáról a következő témakörben olvashat: Hibaelhárítás.
  • Az egyes biztonsági paraméterekről részletesen olvashat a következő anyagban: Windows 2000 Resource Kit.


Feladatlista: Biztonsági sablon megadása Csoportházirend-objektumhoz

Lépés | Hivatkozás
Indítsa el a Biztonsági sablonok beépülő modult. | A Biztonsági sablonok elindítása
Adjon meg egy biztonsági sablont, amely illeszkedik annak a Csoportházirend-objektumnak a környezetéhez, amelyre a sablont alkalmazni kívánja. | Biztonsági sablon meghatározása
A biztonsági sablont importálja a Csoportházirendbe. | Biztonsági sablon importálása a Csoportházirendbe


Feladatlista: Biztonsági sablon megadása helyi számítógéphez

Lépés | Hivatkozás
Indítsa el a Biztonsági sablonok beépülő modult. | A Biztonsági sablonok elindítása
Adjon meg egy biztonsági sablont, amely illeszkedik annak a helyi számítógépnek a környezetéhez, amelyre a sablont alkalmazni kívánja. | Biztonsági sablon meghatározása
Alkalmazza az adott biztonsági sablont a helyi számítógép házirendjére. | Biztonsági sablon alkalmazása helyi számítógépre


Gyakorlati tanácsok

Ez a témakör kifejezetten a biztonsági sablonokkal foglalkozik. Az általános adatbiztonsági kérdések leírása a Biztonság Gyakorlati tanácsok című témakörben található.

  • A fiókházirendet számítógépet nem tartalmazó szervezeti egységek esetén nem kell beállítani, mivel a csak felhasználókat tartalmazó szervezeti egységek mindig a tartománytól kapják a fiókházirendet.
  • Az Active Directory segítségével beállított fiókházirendek esetén figyeljen arra, hogy a Windows 2000 csak egy tartományi fiókházirend használatát teszi lehetővé: a tartományfa gyökértartományára vonatkozó fiókházirendét. További tudnivalókért tanulmányozza a Naplórendek című témakört.
  • Windows 2000 tartományba tartozó számítógépek esetén a Windows 2000 Professional frissítésekor a fiók- és jelszóházirendnek megelőzik a tartományhoz tartozó tartományvezérlők, kiszolgálók és munkaállomások helyi házirendjeit. Ez különbözik a Windows korábbi verzióinak frissítésekor megszokott viselkedésétől.
  • Éles rendszeren történő használat az előre definiált biztonsági sablonokat tesztelni kell, hogy a hálózatban és a rendszer architektúrában biztosítják-e a megfelelő szintű alkalmazások működését.
  • Az eseménynapló méretét és a napló csomagolást a szervezet biztonsági tervének elkészítésekor meghatározott üzleti és biztonsági szükségleteknek megfelelően kell megadni. A csoportházirend-beállítások előnyeinek kihasználása érdekében gondolja meg ezen Eseménynapló beállítások megvalósítását a hely, a tartomány és a szervezeti egység szintjén.
  • Ha a rendszerszolgáltatás automatikus indítását állítja be, kellő szinten ellenőrizze, hogy a szolgáltatások a felhasználói beavatkozás nélkül is elindulnak.
  • Kövesse nyomon a számítógépen használt rendszerszolgáltatásokat. A teljesítmény optimalizálásának érdekében kézi indításúra állítsa a felesleges, vagy nem használt szolgáltatásokat.
  • A biztonsági beállítások az Active Directory címtár csoportházirend-objektumába történő importálásakor ezek a beállítások hatással vannak az összes olyan számítógépfiók helyi biztonsági beállítására, amelyre a csoportházirend-objektum vonatkozik. Mindkét esetben a felhasználói fiók engedélyei megszűnhetnek, ha a helyi házirend beállításai felülírják ezeket az engedélyeket.
  • A Korlátozott csoportba nem tartozó csoportokat és felhasználókat eltávolítja a rendszer a megadott csoportból. Továbbá az ellentétes tagsági konfigurációs beállítás biztosítja, hogy minden korlátozott csoport csak a megadott csoportoknak tagja lehessen. Így a Korlátozott csoportok biztonsági célból elsősorban csak munkaállomások vagy tagkiszolgálók helyi csoportjainak tagsági beállítására használhatók.
  • A biztonsági sablon csoportházirend-objektumba történő importálása biztosítja, hogy az összes olyan fiók, amelyre a csoportházirend vonatkozik, automatikusan követi a csoportházirend beállításainak frissítését. E replikáció engedélyezéséhez a Windows NT 4.0 operációs rendszerű tartományvezérlőkön be kell állítani az elsődleges tartományvezérlő házirendjét.


Útmutató

  • A Biztonsági sablonok beépülő modul indítása
  • Előre definiált biztonsági sablon testreszabása
  • Biztonsági sablon létrehozása
  • Biztonsági sablon törlése
  • A biztonsági sablonok listájának frissítése
  • Leírás megadása biztonsági sablonhoz
  • Biztonsági sablon alkalmazása helyi számítógépen
  • Biztonsági sablon importálása csoportházirend-objektumba
  • Érvényben levő biztonsági beállítások megjelenítése


A Biztonsági sablonok beépülő modul indítása

  1. Döntse el, hogy a Biztonsági sablonok beépülő modult meglevő vagy új konzolra veszi-e fel.
    • Új kezelőpult létrehozásához kattintson a Start menü Futtatás parancsára, írja be az mmc parancsot, majd kattintson az OK gombra.
    • A Biztonsági sablon beépülő modul meglevő konzolhoz történő hozzáadásához nyissa meg a konzolt, majd folytassa a következő lépéssel.
  2. A Konzol menüben kattintson a Beépülő modul hozzáadása/eltávolítása parancsra, majd a Hozzáadás gombra.
  3. Válassza a Biztonsági sablonok elemet, kattintson a Hozzáadás, majd a Bezárás, végül az OK gombra.
  4. A Konzol menüben kattintson a Mentés parancsra.
  5. Adja meg a konzolhoz rendelni kívánt nevet, majd kattintson a Mentés gombra.

Megjegyzés

  • A konzol a Dokumentumok mappában jelenik meg, és egyaránt elérhető az Asztalról és a Start menüből.

Kapcsolódó témakörök


Előre definiált biztonsági sablon testreszabása

  1. A Biztonsági sablonok beépülő modulban duplán a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson duplán az alapértelmezett elérési útvonal mappájára (rendszergyökér\Security\Templates), és a jobb oldali egérgombbal kattintson a módosítani kívánt előre definiált sablonra.
  3. Kattintson a Mentés másként parancsra, majd adja meg a biztonsági sablon nevét.
  4. A biztonsági házirendek (például a Fiókházirend) megjelenítéséhez kattintson duplán az új biztonsági sablonra, majd kattintson duplán a módosítani kívánt biztonsági házirendre.
  5. Kattintson a testreszabni kívánt biztonsági területre (például Jelszóirányelv), majd kattintson duplán a módosítani kívánt biztonsági attribútumra (például Legrövidebb jelszó).
  6. A módosítás engedélyezéséhez ellenőrizze, hogy A beállítás kizárása az analízis során jelölőnégyzet ne legyen bejelölve.

Kapcsolódó témakörök


Biztonsági sablon létrehozása

  1. A Biztonsági sablonok beépülő modulban kattintson jobb oldali egérgombbal a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson a jobb oldali egérgombbal a sablon mappára, amelyben az új sablont tárolni szeretné, majd kattintson az Új sablon parancsra.
  3. Adja meg az új biztonsági sablon nevét és leírását. Ezután az új sablon megjelenik a konzolfán.
  4. A biztonsági területek megjelenítéséhez kattintson duplán a biztonsági sablonra.
  5. Kattintson duplán a testreszabni kívánt biztonsági házirend (például Fiókházirendek) elemre, majd kattintson a biztonsági területre (például Jelszóirányelv).
  6. Kattintson duplán a beállítani kívánt biztonsági attribútumra (például Legrövidebb jelszó).
  7. A módosítás engedélyezéséhez ellenőrizze, hogy A beállítás kizárása az analízis során jelölőnégyzet ne legyen bejelölve.

Kapcsolódó témakörök


Biztonsági sablon törlése

  1. A Biztonsági sablonok beépülő modulban kattintson duplán a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson duplán a biztonsági sablonokat tároló mappára, és kattintson a jobb oldali egérgombbal a törölni kívánt biztonsági sablonra.
  3. Kattintson a Törlés parancsra.

Kapcsolódó témakörök


A biztonsági sablonok listájának frissítése

  1. A Biztonsági sablonok beépülő modulban kattintson duplán a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson a jobb oldali egérgombbal a biztonsági sablonokat tároló mappára.
  3. Kattintson a Frissítés parancsra. A konzolfa megjeleníti az új és törölt elemeket.

Kapcsolódó témakörök


Leírás megadása biztonsági sablonhoz

  1. A Biztonsági sablonok beépülő modulban kattintson duplán a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson a jobb oldali egérgombbal a következők egyikére: Biztonsági sablonok – a biztonsági sablon elérési útvonal mappája, vagy a biztonsági sablon.
  3. Kattintson a Leírás beállítása parancsra.

Kapcsolódó témakörök


Biztonsági sablon alkalmazása helyi számítógépen

  1. A Biztonsági konfiguráció és analízis beépülő modulban kattintson jobb oldali egérgombbal a Biztonsági konfiguráció és analízis elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Ha még nincsen beállítva munkaadatbázis, akkor annak beállításához kattintson az Adatbázis megnyitása parancsra.
  3. Válassza a Sablon importálása parancsot.
  4. Válassza ki a biztonsági sablonfájlt, majd kattintson az OK gombra.
  5. Ismételje az előző négy lépést minden sablon esetében, amelyet az adatbázisban egyesíteni akar.
  6. Kattintson jobb oldali egérgombbal a Biztonsági konfiguráció és analízis elemre, majd kattintson a Rendszer beállítása most parancsra.

Megjegyzések

  • A biztonsági beállítások azonnal életbe lépnek.

Kapcsolódó témakörök


Biztonsági sablon importálása csoportházirend-objektumba

  1. A csoportházirendet kezelő konzolon kattintson arra a csoportházirend-objektumra, amelyhez biztonsági sablont kíván importálni.
  2. A konzolfán a jobb oldali egérgombbal kattintson a Biztonsági beállítások elemre.

    Helye:

    • Házirendobjektum neve
    • Számítógép konfigurációja
    • Windows beállításai
    • Biztonsági beállítások
  3. Kattintson a Házirend importálása parancsra.
  4. Kattintson az importálni kívánt biztonsági sablonra.

Megjegyzés

  • A biztonsági beállítások a rendszer elindításakor, vagy a csoportházirendben megadott módon lépnek érvénybe.

Kapcsolódó témakörök


Érvényben levő biztonsági beállítások megjelenítése

  1. A csoportházirendek kezelésére használt konzolon kattintson duplán a Csoportházirend objektum elemre.
  2. A konzolfán kattintson a Biztonsági beállítások elemre.

    Helye:

    • Házirendobjektum neve
    • Számítógép konfigurációja
    • Windows beállítások
    • Biztonsági beállítások
  3. Kattintson duplán a biztonsági házirend csomópontra (például a Fiókházirend csomópontra), majd kattintson a biztonsági területre (például a Jelszóirányelv területre).
  4. Kattintson duplán a beállítani kívánt biztonsági attribútumra (például a Legrövidebb jelszó elemre).

Megjegyzés

  • A Biztonsági beállítások mind a helyi házirendet, mind a rendszeren hatályos házirendet tükrözik. Ezek különbözhetnek, ha a számítógép örökli a csoportházirend beállításait.

Kapcsolódó témakörök


Fogalmak

Ez a rész általános háttérinformációkat nyújt arról, hogyan használhatja a Biztonsági sablonok beépülő modult a rendszerbiztonság kezelésére.

  • Biztonsági sablonok – áttekintés
  • A Biztonsági sablonok ismertetése
  • A Biztonsági sablonok használata
  • Forrásmunkák


Biztonsági sablonok – áttekintés

A Windows 2000 a biztonság beállításának központosított módját nyújtja a Biztonsági sablon beépülő modul segítségével. Ez egy központi hely, ahol a rendszer összes biztonsági beállítása egyszerre megjeleníthető, módosítható, alkalmazható a helyi számítógépre vagy beolvasható egy csoportházirend-objektumba. A biztonsági sablonok nem vezetnek be új biztonsági paramétereket, csupán a meglevő biztonsági attribútumokat rendezik egy helyre a biztonsági felügyelet könnyítése céljából. A biztonsági sablonok biztonsági elemzések során alapkonfigurációként is használhatók a Biztonsági konfiguráció és analízis beépülő modul segítségével.

Mi a biztonsági sablon?

  • Biztonsági házirend:
    • Fiókházirend: jelszóbiztonság, fiókzárolások és Kerberos házirendek
    • Helyi házirendek: Felhasználói engedélyek és biztonsági események naplózása.
  • Korlátozott csoportok: helyi csoporttagság felügyelete
  • Rendszerleíró-adatbázis: a helyi rendszerleíró kulcsok biztonsága
  • Fájlrendszer: a helyi fájlrendszer biztonsága
  • Rendszerszolgáltatások: a helyi szolgáltatások biztonsága és indítási üzemmódja

A biztonsági sablon importálható egy csoportházirend-objektumba. A hely, tartomány vagy szervezeti egység minden számítógépe vagy felhasználói fiókja, amelyre a csoportházirend-objektumot alkalmazza, átveszi a biztonsági sablon beállításait. A Helyi Csoportházirend egy speciális csoportházirend-objektum: ez nem bírálhatja felül a tartomány alapú házirendet, és csak a helyi- és fiókházirendek részei a helyi biztonsági sablon beállításainak.

A biztonsági sablonok beolvasása a csoportházirend-objektumba egyszerűsíti a tartomány adminisztrációját, mivel több számítógép biztonsági beállítása egyszerre végezhető el. A csoportházirend-objektum a fiókok és erőforrások elérésére, beállítására és használatára vonatkozó beállításokat határozza meg. A Csoportházirenddel kapcsolatos további tudnivalókért tanulmányozza a Csoportházirend című témakört.

Minden sablont szöveg alapú .inf fájlban tárol a rendszer. Ez lehetővé teszi a sablon attribútumainak egészének vagy részének másolását, beillesztését, importálását és exportálását. Az IP-biztonság és nyilvános kulcsú házirendek kivételével minden biztonsági beállítás része lehet a biztonsági sablonnak.

A számítógépre alkalmazott első sablon a Helyi számítógép házirendje. A Helyi számítógép házirendje exportálható egy biztonsági sablonba a kezdeti rendszerbeállítások mentéséhez. Ez bármikor lehetővé teszi a kezdeti biztonsági sablon helyreállítását. Ez alól kivételt képeznek az olyan rendszerek, amelyeken a Windows 2000 egy régebbi rendszer frissítéseként került a számítógépre. Ha például a Windows NT 4.0 alapú számítógép testreszabott biztonsági sablonnal rendelkezik, amelyet nem lehet felülírni, a frissítés nem alkalmazza az új Helyi számítógép házirendjét. Ebben az esetben a biztonság a telepítés után állítható be és alkalmazható.

A biztonsági sablonok Secedit parancssori eszköz segítségével történő automatikus hozzárendelésével kapcsolatos további tudnivalókért tanulmányozza a Biztonsági konfigurációs feladatok automatizálása című témakört.


A Biztonsági sablonok ismertetése

A Biztonsági sablonok beépülő modul segítségével biztonsági sablonokat határozhat meg. A biztonsági sablonok a biztonsági beállítások fizikai ábrázolásai, azaz olyan fájlok, amelyek a Windows 2000 támogatott biztonsági attribútumait tartalmazzák. A sablonok a következők számára nyújtanak védelmet:

  • Fiókházirendek
  • Helyi házirendek
  • Eseménynapló
  • Korlátolt csoportok
  • Fájlrendszer, rendszerleíró adatbázis, rendszerszolgáltatások


Fiókházirendek

Ezek a házirendek felhasználói fiókokra vonatkoznak. Ez a biztonsági terület a következőkhöz tartalmaz attribútumokat:

  • Jelszóirányelv: meghatározza a tartományi vagy helyi felhasználói fiókok jelszavainak beállításait, például a korlátozásokat és az élettartamot.
  • Fiókzárolási irányelv: a tartományi vagy helyi felhasználói fiókok esetén meghatározza, hogy mikor és kinek a részére zárható ki a rendszerből az adott fiók.
  • Kerberos irányelv: meghatározza a Kerberos házirendhez fűződő beállításokat, például a jegy élettartamát és a korlátozásokat.

A fiókházirendet számítógépet nem tartalmazó szervezeti egységek esetén nem kell beállítani, mivel a csak felhasználókat tartalmazó szervezeti egységek mindig a tartománytól kapják a fiókházirendet.

Az Active Directory segítségével beállított fiókházirendek esetén figyeljen arra, hogy a Windows 2000 csak egy tartományi fiókházirend használatát teszi lehetővé: a tartományfa gyökér tartományának fiókházirendjét. A tartományi fiókházirend lesz a tartomány minden Windows 2000 munkaállomásának és kiszolgálójának alapértelmezett fiókházirendje. Ez alól az egyetlen kivétel van, amikor a szervezeti egységhez másik fiókházirendet ad meg. A szervezeti egység fiókházirendjének beállításai a szervezeti egység minden számítógépén érintik a helyi házirend beállításait. További tudnivalókért tanulmányozza az Active Directory – áttekintés című témakört.

A Windows 2000 Professional és az alapértelmezett tartományi házirend (Fiók/Jelszó) frissítése

Windows 2000 tartományba tartozó számítógépek esetén a Windows 2000 Professional frissítésekor a fiók- és jelszóházirend elsőbbséget élvez a tartományhoz tartozó tartományvezérlők, kiszolgálók és munkaállomások helyi házirendjével szemben. Ez különbözik a Windows korábbi verzióiban megszokott frissítéskori viselkedéstől.


Helyi házirendek

Ezek a házirendek a számítógéphez tartoznak. A helyi házirend függ attól a számítógéptől, amelyre a felhasználó bejelentkezett, és az adott számítógépen rendelkezésre álló engedélyektől. Ez a biztonsági terület a következőkhöz tartalmaz attribútumokat:

  • Naplórend: beállítja, hogy mely biztonsági események kerülnek a számítógép biztonsági naplójába (sikeres kísérletek, sikertelen kísérletek vagy mindkettő). (A biztonsági napló része az Eseménynapló beépülő modulnak.)
  • Felhasználói jogok kiosztása: megadja, hogy mely felhasználók és csoportok rendelkeznek bejelentkezési és feladat engedélyekkel a számítógépen.
  • Biztonsági beállítások: engedélyezi vagy letiltja a számítógép biztonsági beállításait, például az adatok digitális aláírását, Rendszergazda és Vendég fióknevet, a hajlékonylemezes meghajtó és CD-ROM elérését, az illesztőprogramok telepítését és bejelentkezési parancssorok használatát.

A helyi házirendek definíció szerint egy számítógéphez tartoznak. A biztonsági beállítások az Active Directory csoportházirend-objektumába történő importálásakor ezek beállítások hatással vannak minden olyan számítógépfiók helyi biztonsági beállítására, amelyre a csoportházirend-objektum vonatkozik. Mindkét esetben a felhasználói fiók engedélyei megszűnhetnek, ha a helyi házirend beállításai felülírják ezeket az engedélyeket.


Eseménynapló

Ez a biztonsági terület adja meg az alkalmazás, biztonság, és rendszeresemény naplókkal kapcsolatos attribútumokat: a napló maximális méretét, a naplók elérési engedélyeit, a megőrzési beállításokat és módokat.

Az eseménynapló méretét és a napló csomagolását a szervezet biztonsági tervének elkészítésekor meghatározott üzleti és biztonsági szükségleteknek megfelelően kell megadni. A csoportházirend-beállítások előnyeinek kihasználása érdekében gondolja meg ezen Eseménynapló beállítások megvalósítását a hely, a tartomány és a szervezeti egység szintjén.


Korlátozott csoportok

Ez egy új, fontos, a csoporttagságot felügyelő biztonsági szolgáltatás. A Korlátozott csoportok automatikusan biztosítják a biztonsági tagságot az előre definiált képességekkel rendelkező alapértelmezett Windows 2000 csoportok (például a Rendszergazdák, Kiemelt felhasználók, Nyomtatófelelősök, Kiszolgálófelelősök és Tartománygazdák csoport) számára. A Korlátozott csoport biztonsági listájához később bármikor felvehetők érzékeny vagy kiemelt csoportok.

Például a Kiemelt felhasználók csoport automatikusan része a Korlátozott csoportnak, mivel alapértelmezett Windows 2000 csoport. Tegyük fel, hogy két felhasználót tartalmaz: Alizt és Józsefet. József hozzáadja Károlyt a csoporthoz az Active Directory – felhasználók és számítógépek beépülő modul segítségével, mivel ő helyettesíti a nyaralás alatt. Azonban senki nem emlékszik arra, hogy Károlyt ki kell venni a csoportból, amikor József megérkezik a nyaralásból. Valódi helyzetben idővel ezek az esetek összeadódhatnak, és különféle csoportokban olyan tagok maradnak, akik már nem tartozhatnának az adott csoporthoz. A biztonság Korlátozott csoportokon keresztül történő beállítása révén ez a helyzet elkerülhető. Mivel csak Aliz és József jelenik meg a Kiemelt felhasználók csoportra vonatkozó Korlátozott csoport csomóponton, a csoportházirend alkalmazásakor Károly automatikusan kikerül a csoportból.

A Korlátozott csoportok beállítása lehetővé teszi a csoporttagság meghatározott módon történő beállítását. A Korlátozott csoportba nem tartozó csoportokat és felhasználókat a rendszer eltávolítja a megadott csoportból. Továbbá az ellentétes tagsági beállítás lehetővé teszi, hogy minden Korlátozott csoport csak A következő tagja oszlopban megadott csoport tagja. Így a Korlátozott csoportok biztonsági célból elsősorban csak munkaállomások vagy tagkiszolgálók helyi csoportjainak tagsági beállításához használhatók.


Fájlrendszer, rendszerleíró adatbázis, rendszerszolgáltatások

Beállíthatók a helyi fájlrendszer létező fájljainak és mappáinak, a helyi rendszer meglevő rendszerleíró kulcsainak és a helyi számítógép meglevő rendszerszolgáltatásainak biztonsági attribútumai:

  • Öröklés: ezen objektum utódobjektumai öröklik a szülőobjektum biztonsági beállításait, ha az utódobjektum nem védett az öröklés ellen.
  • Felülírás: ebben az esetben a szülőobjektum biztonsági beállításai felülírják az utódobjektum minden biztonsági beállítását, függetlenül az utódobjektum védelmi beállításaitól.
  • Figyelmen kívül hagyás: használja ezt a beállítást, ha ezen objektumon vagy bármely utódobjektumán nem kívánja a biztonságot beállítani vagy elemezni.

Innen szerkeszthetők az objektum Biztonsági tulajdonságai: felhasználói- és csoportfiókok olvasás/írás/törlés/végrehajtás engedélyei, öröklési beállítások, naplózás és tulajdonosi engedélyek.

Ha a rendszerszolgáltatás elindítását automatikusra állítja, ellenőrizze megfelelően, hogy a szolgáltatások felhasználó beavatkozás nélkül is elindulnak.

Kövesse nyomon a számítógépen használt rendszerszolgáltatásokat. A teljesítmény optimalizálásának érdekében állítsa a felesleges, vagy nem használt szolgáltatásokat kézi indításra.


A Biztonsági sablonok használata

A Biztonsági sablonok a rendszerbiztonsági beállításokat biztonsági sablonban tárolja, így lehetőséget nyújt a rendszerbiztonság meghatározására, valamint a sablonok alkalmazására és importálására. A megfelelő Csoportházirend-objektumhoz, illetve helyi számítógéphez megfelelő rendszergazdai jogosultságokkal kell rendelkeznie.

  • Biztonsági sablon létrehozása
  • Előre definiált biztonsági sablonok
  • A biztonsági sablonok alkalmazása


Biztonsági sablon létrehozása

A Biztonsági sablon beépülő modul a sablonok megjelenítésére, létrehozására és módosítására használható központi konzol.

Ez a következőképpen végezhető el:

  1. Új sablon megadásával, és az igényeknek megfelelően az alapértelmezett beállítások módosításával.
  2. A számítógépre meglevő sablon alkalmazásával, és a sablon az új környezetnek megfelelő módosításával.
  3. Létező biztonsági sablon szerkesztésével, majd ennek más néven történő mentésével (az eredeti megtartása mellett).

A biztonsági sablonok létrehozásával kapcsolatos további tudnivalókért tanulmányozza a Biztonsági sablon létrehozása vagy az Előre definiált biztonsági sablon testreszabása című témakört.


Előre definiált biztonsági sablonok

A Windows 2000 számos növekményes biztonsági sablont tartalmaz. E sablonok alapértelmezett helye:

Rendszergyökér\Security\Templates

Ezek az előre definiált sablonok testreszabhatók a Biztonsági sablonok Microsoft Management Console (MMC) beépülő modullal, és beimportálhatók a Csoportházirend beépülő modul Biztonsági beállítások bővítményébe.

Vigyázat!

  • Ezek a biztonsági sablonok azzal a feltételezéssel készültek, hogy azokat olyan Windows 2000 számítógépekre fogják telepíteni, amelyek a Windows 2000 alapértelmezett biztonsági beállításait használják. Más szavakkal ezek a sablonok folyamatosan módosítják az alapértelmezett biztonsági beállításokat, ha azok megtalálhatók a számítógépen. Az alapértelmezett biztonsági beállításokat nem telepítik, csak változtatásokat hajtanak végre.
  • FAT fájlrendszert használó Windows 2000 rendszerek biztonsága nem kezelhető.
  • Az előre definiált biztonsági sablonokat nem ajánlott éles rendszereken tesztelés nélkül használni; ellenőrizni kell, hogy az adott hálózati és rendszerkörnyezetben az alkalmazások megfelelően működne-e.

Az előre definiált biztonsági sablonok a következők:

  • Alapértelmezett munkaállomás (basicwk.inf)
  • Alapértelmezett kiszolgáló (basicsv.inf)
  • Alapértelmezett tartományvezérlő (basicdc.inf)
  • Kompatibilis munkaállomás vagy kiszolgáló (compatws.inf)
  • Biztonságos munkaállomás vagy kiszolgáló (securews.inf)
  • Nagy biztonságú munkaállomás vagy kiszolgáló (hisecws.inf)
  • Biztonságos tartományvezérlő (securedc.inf)
  • Nagy biztonságú tartományvezérlő (hisecdc.inf)

Biztonsági szintek

A sablonok tervezésekor a biztonság öt általános feltétele volt a szempont:

  • Általános (basic*.inf)

    • Az általános konfigurációs sablon lehetővé teszi más biztonsági konfigurációk hatásának kiküszöbölését. Az általános konfigurációk a Windows 2000 alapértelmezett biztonsági beállításait alkalmazzák az összes biztonsági területen, kivéve a felhasználói engedélyekre vonatkozó beállításokat. Ezek nem módosulnak az általános sablonokban, mert az alkalmazások telepítőprogramja általánosan módosítja a felhasználói engedélyeket az alkalmazás sikeres használata érdekében. Az általános konfigurációs fájloknak nem célja az ilyen módosítások visszaállítása.

  • Kompatibilis (compat*.inf)

    • Alapértelmezésben a Windows 2000 biztonsági beállításai olyanok, hogy a helyi felhasználói csoport tagjai ideális biztonsági beállításokkal rendelkeznek, és a helyi Kiemelt felhasználói csoport tagjainak biztonsági beállításai kompatibilisek a Windows NT 4.0 felhasználókéval. Ez az alapértelmezett beállítás lehetővé teszi biztonságos Windows környezet normál beállításainak megfelelő alkalmazások fejlesztését, és egyúttal a létező alkalmazások is sikeresen futnak a kevésbé biztonságos kiemelt felhasználói beállításokkal. Alapértelmezésben a Windows 2000 által hitelesített minden felhasználó tagja a Kiemelt felhasználók csoportnak. Ez néhány környezet esetén túl kevés biztonságot nyújt, így jobb lenne, ha a felhasználók alapértelmezésben a Felhasználók csoport tagjai lennének csak, és a Felhasználók csoport biztonsági beállításait olyan szintre lehet csökkenteni, hogy az alkalmazások sikeresen futhassanak. A kompatibilis sablonok az ilyen felhasználók számára készültek. Az alkalmazások által közösen használt fájlok, mappák, rendszerleíró kulcsok biztonsági szintjének csökkentésével a kompatibilis sablonok lehetővé teszik a legtöbb alkalmazás sikeres futtatását. Továbbá, mivel a kompatibilis sablonokat alkalmazó rendszergazda feltételezhetőleg nem kívánja, hogy a felhasználók Kiemelt felhasználók legyenek, a Kiemelt felhasználók csoport minden tagját eltávolítja a csoportból.

  • Biztonságos (secure*.inf)

    • A biztonságos sablonok az ajánlott biztonsági beállításokat valósítják meg a fájlokon, mappákon és rendszerleíró kulcsokon kívül minden területen. Ezeket nem módosítja, mivel a rendszer és rendszerleíró adatbázis engedélyei alapértelmezés szerint biztonságosan vannak beállítva.

  • Nagyon biztonságos (hisec*.inf)

    • A nagyon biztonságos sablonok a Windows 2000 hálózati kommunikáció biztonsági beállításait határozzák meg. A Windows 2000 operációs rendszert futtató számítógépek közötti hálózati forgalom és protokoll maximális védelmét igénylik a biztonsági területek beállításai. Ennek eredményeképpen a nagyon biztonságos sablonnal konfigurált számítógépek csak másik Windows 2000 rendszerű számítógéppel képesek kommunikálni. Ezek a számítógépek nem képesek Windows 95, 98 vagy Windows NT operációs rendszert futtató számítógépekkel kommunikálni.

  • Dedikált tartományvezérlő (dedica*.inf)

    • A Windows 2000 rendszert futtató tartományvezérlőkön a helyi felhasználói biztonság alapértelmezésben nincs ideálisan beállítva. Ez lehetővé teszi a rendszergazda számára, hogy létező kiszolgáló alapú alkalmazásokat futtasson a tartományvezérlőn (nem ajánlott) a korábbi verziókkal kompatibilis módon. Ha nem futtat kiszolgáló alapú alkalmazásokat a tartományvezérlőn (ajánlott), a helyi felhasználói csoport alapértelmezett fájlrendszer és rendszerleíró adatbázis jogosultságai ugyanolyan módon adhatók meg, mint a Windows 2000 munkaállomásokon és különálló kiszolgálókon. A dedikált biztonsági sablon alkalmazásával ezek az ideális biztonsági beállítások alkalmazhatók a Windows 2000 tartományvezérlő helyi felhasználóira.

Az előre definiált sablonokkal kapcsolatos további tudnivalókért tanulmányozza az Előre definiált sablon testreszabása című témakört.


A biztonsági sablonok alkalmazása

A sablonok alkalmazhatók helyi számítógép házirendjére, importálhatók csoportházirend-objektumokba, használhatók a rendszer biztonság elemzéséhez vagy automatikusan hozzárendelhetők a Secedit parancssori eszközzel.

A biztonsági sablon csoportházirend-objektumba történő importálása biztosítja, hogy az összes olyan fiók, amelyre a csoportházirend vonatkozik, automatikusan követi a csoportházirend beállításainak frissítését. E replikáció engedélyezéséhez a Windows NT 4.0 operációs rendszerű tartományvezérlőkön be kell állítani az elsődleges tartományvezérlő házirendjét. A biztonsági beállítások a rendszer elindításakor, vagy a csoportházirend beállításainak megfelelően lépnek érvénybe.

Ha a számítógép nem része tartománynak, a biztonsági sablon közvetlenül alkalmazható a helyi számítógép házirendjére. A rendszert beállításaira azonnal az új sablon beállításai érvényesek.

A sablonok kijelölésével kapcsolatos további tudnivalókért tanulmányozza a Biztonsági sablon importálása Csoportházirendbe vagy a Biztonsági sablon alkalmazása helyi számítógépen című témakört.

A biztonsági sablonok biztonsági elemzésre való használatával kapcsolatos további tudnivalókért tanulmányozza a Biztonsági konfiguráció és analízis – áttekintés című témakört.

A biztonsági sablonok Secedit parancssori eszköz segítségével történő automatikus hozzárendelésével kapcsolatos további tudnivalókért tanulmányozza a Biztonsági konfigurációs feladatok automatizálása című témakört.


Forrásmunkák

A Microsoft Windows 2000 Resource Kit speciális tudnivalókat tartalmaz a Windows 2000 biztonsági szolgáltatásainak beállításáról, felügyeletéről, optimalizálásáról és hibaelhárításáról.

A Windows 2000 biztonsági szolgáltatásainak telepítésével kapcsolatos legfrissebb javaslatok és a biztonsági eszközök beállításával kapcsolatos tudnivalók a Microsoft webhely Security Advisory oldalán találhatók. (http://www.microsoft.com/)


Hibaelhárítás

Mi a probléma?

A biztonsági házirend terjesztése nem megfelelő.

Ok: Bármi.

Megoldás: Lézetik egy rendszerleíró érték, amellyel a házirendek terjesztése közben naplófájl készíthető. A naplófájl helye: rendszergyökér\Security\Logs\Winlogon.log. A naplófájl vizsgálatával meghatározhatók azok a hibák, amelyek a házirend terjesztése során következnek be.

Ez a rendszerleíró kulcs a következő:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}

Új rendszerleíró érték megadásához írja be: ExtensionDebugLevel

Új rendszerleíró adattípushoz kattintson a következőre: REG_DWORD

A rendszerleíró adathoz írja be: 2

A rendszerleíró adatbázis szerkesztéséről további tudnivalók a A Windows 2000 rendszerleíró adatbázisának kezelése témekörben található.

Kapott hibaüzenet: Eseményüzenet: Eseményazonosító 1202, eseményforrás: scecli, Figyelmeztetés (0x%x) a biztonsági házirendek alkalmazásakor.

Oka: Változtatások végrehajtása után nem történt meg a Csoportházirend frissítése.

Megoldás: A biztonsági beállítások frissítéséhez a Secedit parancssori eszköz használatával indítsa el még egyszer a Csoportházirend beállításainak, vagy a helyi házirend frissítésének alkalmazását.

Tanulmányozza még: Biztonsági beállítások frissítése.

Kapott hibaüzenet: Nem lehetett megnyitni a csoportházirend-objektumot.

Oka: A hiba legvalószínűbb oka a hálózattal kapcsolatos.

Megoldás: Ellenőrizze a DNS konfigurációt a következő szempontok alapján: Ellenőrizze, hogy nincsenek-e lejárt bejegyzések a DNS-adatbázisban, és válassza szét a helyi DNS-kiszolgáló és az Internet-szolgáltató (ISP) DNS-kiszolgálójának bejegyzéseit.

Például a helyi LAN hálózati kártya DNS-beállításai két DNS-kiszolgálóra mutatnak: a helyi DNS kiszolgálóra (valószínűleg ugyanahhoz a számítógéphez), és az Internet-szolgáltató DNS-kiszolgálójára. Ha a ping paranccsal megpróbálja elérni a tartományt, üzenet jelzi, hogy az állomás ismeretlen. Az Internet-szolgáltató DNS-kiszolgálója még helyesen megadott helyi DNS-bejegyzések esetén sem tudja azonosítani a tartományt, tehát az adatbázisok különböznek. A hiba megoldásához távolítsa el az Internet-szolgáltató DNS-kiszolgálójára utaló második bejegyzést, és adja hozzá az Internet-szolgáltató DNS-kiszolgálójának IP-címét a helyi DNS-kiszolgáló továbbítóihoz.

A módosított biztonsági beállítások nem lépnek érvénybe.

Oka: A csoportházirend-modell szerint a tartományban meghatározott házirend érvényteleníti a helyileg beállított házirendet. Ha a beállítás megjelenik a helyi házirendben, de az érvényes házirendben nem szerepel, akkor a tartományi házirend érvényteleníti a beállítást. A csoportházirend-modell a házirend változásait időszakonként alkalmazza, ezért valószínű, hogy a címtárban végrehajtott változások frissítése nem történt meg a számítógépen.

Megoldás: Végezze el a házirend frissítését kézzel a következő parancs megadásával:

secedit /refreshpolicy MACHINE_POLICY

Tanulmányozza még: Biztonsági beállítások frissítése.

A Windows NT 4.0 házirendek nem telepíthetők át a Windows 2000 rendszerbe.

Oka: A Windows NT 4.0 házirendjeit nem lehet a Windows 2000 rendszerbe áttelepíteni. A Windows NT 4.0 esetében a rendszerfájlok tárolása egyetlen .POL fájlban történt, beágyazott csoportadatokkal, nincs megfelelő módszer, amellyel az adatok lefordíthatók a Windows 2000 Active Directory struktúrája számára. A Windows 2000 teljesen más módon kezeli a csoportokat.

Megoldás: A Windows 2000 Server operációs rendszert futtató számítógéphez kapcsolódó Windows NT 4.0 ügyfelek, és a Windows NT 4.0 Server operációs rendszert futtató számítógéphez kapcsolódó Windows 2000 Professional ügyfelek a Netlogon megosztását használhatják (a Windows NT 4.0 modellt). A Windows NT 4.0 rendszert futtató ügyfél Windows 2000 rendszerre való frissítés esetén a Windows 2000 Server esetében csak az Active Directory alapú Csoportházirend beállításokat kapja meg a Windows NT 4.0 stílusú házirend helyett. Bár ha a rendszergazda úgy dönt, a Windows NT 4.0 stílusú házirendek is engedélyezhetők (a Csoportházirend beállításán keresztül), ajánlatos ezt elkerülni. A rendszer a Windows NT 4.0 stílusú házirendeket csak a bejelentkezés során alkalmazza. Ez azt jelenti, hogy a számítógép és a felhasználó beállításait is feldolgozza. A következő okok miatt ez a viselkedés nem optimális: A Windows NT 4.0 stílusú számítógép-beállítások érvénytelenítik a Csoportházirend beállításait, amelyeket a rendszer a számítógép indítása során már alkalmazott. A Csoportházirend beállításai a frissítés során visszaállítják az esetleges ütköző beállításokat. Ez meghatározatlan állapotot teremt. A Windows NT 4.0 stílusú házirend a rendszerleíró adatbázisban tartós beállításokat eredményez (bejegyzés). Megjegyzés: a Terminálkiszolgáló nem teheti lehetővé, hogy a számítógép beállításaiban felhasználó bejelentkezés alapján változások történjenek.


Új biztonsági sablon elérési útvonal megadása

  1. Ha nem szeretné az összes sablont az alapértelmezett elérési úton tárolni, a Biztonsági sablonok beépülő modulban kattintson a jobb oldali egérgombbal a Biztonsági sablonok elemre. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  2. Kattintson az Új sablonkeresési elérési út parancsra, és válassza ki az új helyet.

    3. A konzolfán megjelenik az új helyhez tartozó elérési útvonal mappája.

  3. Ha leírást is szeretne adni az új sablon elérési útvonalhoz (a nevén kívül), kattintson a jobb oldali egérgombbal az új sablon elérési útvonal mappájára, majd kattintson a Leírás megadása parancsra.

Kapcsolódó témakörök