Информационни технологии & Интернет

Базови технологии за безопасност, използвани в операционните системи

• Идентификация и аутефикация
• Достъп до обектите на операционната система
• Одит и откриване на опитите за проникване в системата за защита
• Система Kerberos

Подходи към защита на операционните системи

Защита и безопастност на Windows Vista. Основни технологии за защита на Windows Vista

• Подобрена сигурност при  Windows Vista
• Защитна стена - Windows Firewall
• Windows Defender – предназначение
• Spyware
• Включен шпионски модул Dual_EC_DRBG
• Patch Guard
• NX (No execute) DEP
• ALSR
• Windows Server Hardening
• User Account Control
• Bit locker Drive encryption
• Защита на Microsoft Windows Explorer
• Windows защитник
• Защита и възстановяване на информация

Идентификация и аутентификация

Основната задача на всяка операционна система е увеличаване на сигурността и защитата й. Най-разпространения способ за контрол на  достъпа е регистрирането. Всеки потребител на своята система има определен индетификатор. Той има за цел да разграничава поребителите и да предпазва информацията им. За да се установи дали потребителят е притейателят на компютъра  и че индетификатора  е негов е предвидена прцедурата аутификация, която непозволява достъпа до системата на нежелани лица.

Паролите са елементарни аутентификации, които позволяват на потребителя достап до система посредством потребителско име и парола. Паролите могат да бадат и шифрирани посредством криптография. Системата задейства едностранна функция, която е лесно да се изчисли , но за която е изключително трудно да се открие обратната функция.
След като потребителят въведе коректно потребителско и парола, системата трябав да изварши автоматизациа т.е. да предостави на субекта права на достъп до обекта. Управлението на достъпа се базира на два метода:

1. Дискретен (избирателен);
2. Пълномощен (мандатен) метод.

При дискретния достъп определени операции над конкретни ресурси се забраняват.
При пълномощния достъп всички обекти могат да имат ниво на секретност и всички субекти могат да се разделят на групи с ниво на достъпност до информацията това се нарича модел на многоуравнена безопастност. Този модел вклучва в себе си две свойства:

Свойство за секретност. Субектът може да чете информация само от обекти, чието ниво на секретност не е по-високо от неговото.
Субекта може да записва информациа в обекти само от своето ниво или по-високо ниво на секретност.

Нека разгледаме дискреционни достъп. Неговото предимство се състой в неговата гъвкавост, а главния недостатък е разсъсредоточаване на управлението и сложността на централния контрол. За да се разгледа по-подробно схемата на дискреционния достъп трябва да разгледаме т.нар. домейн за безопасност. Всеки домейн си има набор от операции, които могат да се изпълняват над всеки обект. Следователно домейна, в този случай е набор от права на достъп.

• домейн може да е всеки потребител. В този случай достъпа до обектите зависи от самият потребител.
• всеки процес може да бъде домейн. В този случай достъпа до обектите зависи от идентификацията на процеса.
• всяка процедура може да бъде домейн. В този случай дстъпа до обектите съответства на локалните променливи, определяни вътре в процедурата.

Одит и откриване на опитите за проникване в системата за защита

Одита е фиксиране в  системен дневник на събития, които стават в операционната система отнасящи се до безопасноста и достъпа до защитени ресурси.
Основен инструмент за откриване на проникване в системата е запис на даххни от одита. Вяко действие се записва в определен протокол, който слуйи за откриване на нелегалните влизания в системата.
Одита предствавлява регистрация на специални данни за различни видове събития оказващи влияние върху безопасността на системата. Такива събития могат да бъдат:

• Регистраци в системата;
• Вход или изход от системата;
• Достъп до обекти;
• Достъп до каталожната служба;
• Управление на отчетен запис;
• Използване на привилегии;
• Изпълнение на процеси и събития;
• Изменение на политики;
• Операции с файлове;
• Обръщане към отдалечена система;
• Смяна на привилегии и т.н.

Освен протоколите има и друг начин за проверка на аспектите на системата за безопасност и това става чрез системата за сканиране. Тя включва в себе си:

• Дълго изпълними програми;
• Не автоматизирани програми в системата на директориите;
• Кратки или леки пароли;
• Промени в системни програми, установени чрез контролни суми;
• Потенциално опасни списъци затърсене на файлове, които могат да  поведат до заразяане чрез вируси.

Всеки проблем, които е установен чрез скенер за безопасност, може да буде решен автоматично, или да се насочи за решаване към мениджъра на системата.

Система Kerberos

Тази система  еоснована на няколко принципа:

• Всички процедури между клиенти и сървъри се изпълнява от посредник, на който се доверяват и двете страни. Този посредник се нарича Kerberos.
• При тази система клиентът трябва да докаже своята автентичност.
• Целият обме по мрежате се шифрира.

Достъпът до редурсите на системата се осъществява на няколко етапа:

• Определя се легалността на клиента и му се разрешава да продължи процеса на достъп до ресурсите;
• Получаване на разрешение за обръщение към ресирсите на сътвъра;
• Получавене на разрешение за достъп до ресурсите.

Подходи към защита на операционните системи

Има четири подхода за създаване на сигурност и надейност на ОС:

1. Укрепени операционни системи
2. Пара виртуални машини
3. Мултисървърни операционни системи
4. Защита на базата на езика

Укрепени операционни системи

Тези системи са разработени с цел да повиши надежността на ОС Linux, Windows и др. Системите се състоят от монолитна структура на ядрото, в което хиляди процедури са обединени в едно адресно пространство и работят като ядро. Тези системи се наричат Nooks и са създадени за да направят драйверите по-малко опасни. Nooks защитава ядрото от некоректни действия на драйвера. С този подход се откриват 99% от фаталните грешки на драйверите и 55% от нефаталните. Nooks e една полезна стъпка към повишаването на надежността на ядрата.

Пара виртуални машини

Вторият подход е базиран на идеята за създаване на специална програма, наречена монитор на виртуалната машина, която да работи с хардуера, а не с операционната система. Този метод се прилага с цел повече от една операционна система да работят на една машина.

Виртуаланата машина осигурява добра изолация на грешките. Понеже нито една от виртуаланата машина не подозира за съсществуването на другите проблеми, които възникват на едната не могат да се разпространяват на другите.

Мултисървърни операционни системи

Идеята на мултисървърните операционни системи е реализирана в системата на отворен код Minx 3. В нея микро ядро обработва прекъсванията, предоствя базовите механизми за управление на процесите, реализира взаимодействието между процесите и се грижи за тяхното паниране.

Защита на базата на езика

Тук става въпрос за система, написана на нов език, гарантиращ и сигурен. Това е един радикален подход създаден от Microsoft Research. Система е написана на нов език – Sing#, гарантиращ безопасноста на типовете. Този език се базира на C++,  но има и някои допълнения. Езикът налага някои ограничения, така че системите и процесите да могат да работят в единно адресно пространство.

Защита и безопасност на Windows Vista. Подобрената сигурност.

Windows Vista предлага няколко слоя на защита, за да помогне на фирмата ви да се справи с риска и разходите, свързани със сигурността и съответствието с нормативните разпоредби. Вашата защита започва от операционна система, при проектирането на която сигурността е изведена на преден план. Слоевете на защитата помагат да се предпазвате от външни атаки, вътрешни заплахи и неупълномощен достъп до поверителна информация. А ако някога ви се наложи да възстановявате данни, Windows Vista ви помага да гарантирате, че архивните ви копия ще бъдат редовно актуализирани и надеждни. Усъвършенстваните инструменти за проверка повишават способността ви да спазвате изискванията за корпоративна отчетност - и подобрена защита на данните, а възможностите за защита срещу кражба на идентификационна информация и злонамерени програми подпомагат защитата на вашето предприятие.

Разработена за сигурност

Windows Vista е първата версия на Microsoft Windows клиента, разработена изцяло с използването на процеса Security Development Lifecycle (жизнен цикъл за разработка на сигурни приложения) на Microsoft. Това превръща сигурността в основен приоритет още от началото чрез дефиниране на инженерингов процес, който трябва да се спазва от всеки разработчик и трябва да се удостовери преди пускането на операционната система на пазара.

Като работи за гарантиране на по-сигурна компютърна среда за абонатите, Microsoft работи за получаване на сертификат по стандарта “Общи критерии” (Common Criteria, CC). Windows Vista беше и ще продължи да бъде тествана от независими лаборатории на трети страни, като се прилагат критериите, определени от Международната организация по стандартизация (ISO), с цел да получи сертификати за оценка на нивото на сигурност Evaluated Assurance Level 4 (EAL4) и Профил на защита на операционна система на едно ниво (Single Level OS Protection Profile). Взети заедно, тези строги стандарти за съвършенство и новите подобрения на сигурността на ниво архитектура превръщат Windows Vista в най-сигурната версия на Windows досега.

Жизнен цикъл за разработка на сигурни приложения

Прави от сигурността приоритет от началото на жизнения цикъл на разработката с възпроизводими процедури, които трябва да се спазват от всеки инженер.

Услуга за засилване на защитата на Microsoft Windows

Тази функция спомага за повишаването на сигурността на вашата система, като предотвратява използването на основните услуги на Windows за необичайни дейности във файловата система, регистъра или мрежата.

Защита от заплахи и уязвимости

За да опази данните на вашата организация от външни заплахи, Windows Vista предлага сериозна стъпка напред в сигурността на браузъра и защитата на поверителността с Microsoft Internet Explorer 7. Конфигуриран да работи в защитен режим, Internet Explorer 7 позволява на потребителите да преглеждат материали в интернет, но ограничава промените в потребителските файлове или настройки. В резултат на това, дори някой злонамерен външен сайт да открие потенциална уязвимост, той има ограничени възможности да навреди на персоналния компютър на вашия служител.

Windows защита - вграден компонент на Windows Vista - помага да се блокират, контролират и премахват шпионски програми и друг потенциално нежелан софтуер. В допълнение към това, вашият отдел по информационни технологии може да гарантира сигурността на безжични мрежи с набор от подобрения в защитата, включително поддръжка на най-новия и най-сигурен безжичен мрежов протокол - Wi-Fi Protected Access 2 (WPA2).

За да добави допълнителен слой за защита от външни атаки, Microsoft продължава да усъвършенства своята защитна стена Windows Firewall. Например, двупосочното филтриране с отчитане на приложенията спомага да се предотвратяват разпространените атаки за отказ на обслужване.

Защитен режим на Microsoft Internet Explorer

Помага да се защитят потребителите от злонамерени уеб сайтове, като ограничава способността на браузъра да модифицира потребителски или системни файлове и настройки.

Windows защитник

Помага да се защитят персоналните компютри във вашата фирма чрез редовното им сканиране и предложения за премахване на всички намерени шпионски програми или друг нежелан софтуер.

Защитна стена на Windows с разширена защита

Осигурява разширени нови възможности в помощ на по-добрата защита на вашата мрежа и персонални компютри от злонамерени атаки.

Защитната стена (на англ.: firewall), срещано и като файъруол, е специализиран хардуер или софтуер който проверява мрежовия трафик, преминаващ през него и разрешава или забранява достъпа, съобразно определени правила.
Буквалният превод на английския термин е „огнена стена“, който е лишен от смисъл в конкретния случай. Първоначалното значение на думата идва от американските строителни норми, предписващи поставянето в сградите на огнеупорни стени (устойчиви на огън стени), които да спират бързото разпространение на пожари в сградата.

Реализирани са защитни стени, работещи на различни нива от OSI модела като най-високото е приложният слой (application layer), а най-ниското – каналният слой (datalink layer) от OSI модела. Най-често защитните стени работят на нивото на мрежовия и транспортния слоеве (network layer, transport layer), където изследват пакетите данни на TCP/IP протоколите и обикновено взимат решенията си в зависимост от IP адреса на изпращача или дестинацията, порта, от който пакетът е получен или на който ще се изпрати, или всяка комбинация от тези параметри. Гледат се също така и опциите в заглавната част на пакета. Защитните стени, които работят на приложния слой от OSI модела, филтрират трафика между вътрешната и външната мрежи по отношение на пренасяната в пакетите информация, чрез зададени ключови думи и като следят за спам  компютърни вируси и троянски коне.

Драйвери с цифров подпис.

Според 64-битовата версия на Vista ще се допусне инсталирането на драйвер само с цифров подпис. Така новата технология сигурно защитава ядрото на ОС от модификации, осигурявайки по този начин не достигнатото до тогава ниво на защита.
Patch Guard

Той е създаден, за да осигури защита на ядрото от модификации на вредоносен код. Под Kernel patching се разбира някакво модифициране на критични области от данни в ядрото на Windows от друг код или данни, които могат да бъдат потенциално вредоностни.
Благодарение на тази технология в системата се забранява модификацията на такива компоненти на ядрото като: Таблица за системни изисквания, Таблица на глобалните дескриптори, Таблица на прекасванията и промени във всяка част наа ядрото.

NX DEP

Под абревиатурата  NX се разбира напълно прозрачна технология  DEP. NX  позволява на програмнотот осигуряване да помества сегменти в паметта, в които ще се съхраняват само данни, и процеса не позволява на приложенищта и службите да изпълняват произволен код в тези системи.

ASLR

Този механизъм практически изключва заплахите от дадени атаки за Windows- платформите. Интересното в тази нова технология е, че 64-версии на  Vista системните файлове се зареждат в случайни адреси на паметта, което значително усложнява написаното на работещия експлойт.

Windows Defender

Този компонент защитава компютъра от зловредни програми шпионски софтуер  boots и друг вредоносен код. Съдържа 9 агента за безопасност, които постоянно наблюдават тези критични области на  ОС, които най-често вредоностния код се опитва да промени.

Windows Service Hardening

Под  сборното наименование стои система за безопасност, чиято основна концепция е принципа на „ограничените служби”, които се зареждат с минимални привилегии, и по този начин  влиянието им върху компютъра и мрежата, става много ограничено.

Windows Vista User Account Control

Контролът върху потребителските отчетни записи. Това е  нов подход, в съответсвие с който всички операции в системата се въвеждат до две категории: такива , които може да изпълнява потребител със своите стандартни права и такива , които изискват администраторски привилегии. UAC значително разширява списъка на стандартните възможности на потребителите  чрез включването в него на множество базови функции, което не носят риск за нарушаване на безопасността, макар че преди това са се изпълнявали от администратора. Към новите фунции се отнасят: изменение на времевата зона , инсталиране на нови шрифтове, промяна в настойките на екрана, преглеждане на календара и системното време.

Bit Locker Drive Encryption

Чрез този инструмент се позволява да се защити конфиденциалната информация на диска чрез неговото шифриране. Тази технология осигурява конфиденциалност на информацията в  случай на кражба на диска или недостъпност, което се постига  чрез най-съвременни алгоритми за шифриране. Bit Locker позволява да се промени стандартния процес на зареждане на ОС, проверявайки истинността на потребителя чрез USB- устройство с ключове за дешифриране. Приложението на Bit Locker  гарантира зареждането само на информация ан оригинални системни файилове.

Разрешаване на защитен достъп до информация

Контролът на потребителските акаунти на Windows Vista помага да се защитят корпоративните ресурси, давайки ви възможност да управлявате по-добре операциите, изискващи привилегии на администратор. Можете да зададете на отделните потребители режим на работа на най-ниското изисквано ниво, за да намалите риска от потенциални уязвимости за операционната система. Индивидуалните привилегии по отношение на приложенията също така позволяват на стандартните потребители да променят общи настройки, без да застрашават сигурността - и без да губят време да търсят мениджър или някой от ИТ персонала, който има права на администратор.
Windows Vista ви позволява да следите входовете към ресурси и записи с ограничен достъп, спомагайки за гарантиране на сигурността и съответствие с изискванията при запазване на нивото на разходите. В допълнение към това, подобренията в строгата идентификация чрез смарт карти и новите възможности на платформата дават възможност на трети страни да внедряват по-лесно нови методи за удостоверяване.

Компоненти за достъп до информация

Контрол на потребителските акаунти

Повишава сигурността и оптимизира общите разходи по собствеността, като намалява нуждата от работа на потребителите в администраторски режим, за да бъдат продуктивни.

Нова архитектура на влизане

Осигурява усъвършенствана инфраструктура за идентификация, която позволява на независимите доставчици на софтуер (ISV) и организациите да прилагат свои собствени методи за удостоверяване, като биометрия или маркери, чрез вписване на доставчици на идентификационни данни.

Нова инфраструктура за смарт карти

Повишава гъвкавостта на инфраструктурите за смарт карти, като включва устройства за стандартни четци на смарт карти и актуализации на модулите доставчици на криптографски услуги (Cryptographic Service Provider, CSP) чрез актуализиране на Windows.

Защита и възстановяване на информация

Windows Vista ви помага да опазвате поверителността на данните си, като поддържа шифроване на данните на ниво диск, директория или файл. Фирмата ви може да зададе съответното ниво на защита, което е съобразено с вашия персонал и използването на компютри от него. Усъвършенстваните правила за групи помагат да се ограничи инсталирането на потенциално вреден хардуер, като същевременно ви осигуряват по-добър контрол над използването на сменяеми устройства за съхранение (напр. USB устройства с флаш памет), намалявайки риска от загуба на корпоративни данни и интелектуална собственост.

Компоненти за защита на данните

Шифроване на диска с Windows BitLocker ™

Осигурява шифроване на целия твърд диск и проверка на целостта при зареждане, за да ви помогне да гарантирате, че данните в даден фирмен компютър ще си останат поверителни, дори ако ПК бъде загубен, откраднат или изваден от експлоатация

Windows Rights Management Services Client (клиент за услуги по управлението на правата)

Помага на клиентите на предприятието да контролират и защитават поверителна цифрова информация, споделяна с други потребители.

Шифроване на файловата система

Поддържа повишена защита на данните дори на съвместно използвани компютри, като шифрова файловете на всеки потребител.

Групови правила за инсталиране на устройства

Помага да се блокира инсталирането на сменяеми устройства за съхранение, като USB устройства с флаш памет и външни твърди дискове, спомагайки за предотвратяване на разкриването или кражбата на корпоративна интелектуална собственост или поверителни данни.

В Windows Vista е включен шпионски модул!

В най-новата версия на операционната система Windows Vista, и в нейният първи пакет с обновление, ще бъде включен генератор на псевдослучайни числа със странен алгоритъм, съобщава CNews. По мнение на няколко експерти информа-ционният модул е стандартизиран по указания на спецслужбите на САЩ и има “задна вратичка”, позволяваща на “заинте-ресовани лица” да получат достъп до ценна информация на потребителите.
Алгоритъмът под кодовото название Dual_EC_DRBG излиза като опция в пакета с обновления Service Pack 1 на операционната система Windows Vista. По подразбиране във Vista SP1 се използва друг алгоритъм - CTR_DBG, основаващ се на AES. Пуснатият пакет с обновлението ще е достъпен за сваляне още няколко дни.
За подозренията относно ‘лошия’ Dual_EC_DRBG няколко криптоаналитици алармираха и по-рано. Известният експерт по безопасност Брус Шнайер подчертава, че спецслужбите на САЩ са непосредствено въвлечени в процес на установяване на криптографически стандарти в страната. По неговите думи именно Агенцията по национална безопасност предложила Dual_EC_DRBG да се направи национален стандарт, и въпреки неговата ниска производителност бил реализиран от американския Национален институт по стандарти и технологии.
Трябва да отбележим, че псевдослучайните числа се използват в операционните системи за създаване на шифровани ключове, пароли, векторни инициализации, идентификатори на различни обекти и процеси в системата и този, който контролира псевдослучайните числа, контролира цялата система по безопасност и реално системата като цяло, включително файловете с ценна информация, операции по интернет-търговия, достъп до банкови сметки, а също и електронната поща и други персонални и лични услуги.
Става ясно, че ОС трябва да съдейства за реализирането на мерки за безопасност или непосредствено да ги поддържа. Примери на мерки за безопасност в рамките на хардуера и ОС може да бъдат:

• защита на различни процеси от взаимно влияние за сметка на заделпнето на всеки собствено виртуално пространство;
• разделяне на командите по ниво на привилигированост;
• сегментация на адресното пространство на процеса и организация на защитата на сегментите;
• особена защита на ядрото на операционната система;
• контрол върху повторното използване на обект;
• наличие на средства за управление на достъпа;
• структъриране на системата и обновяване на сувкупност от защитени механизми;
• провеждане на принципа за минимални стратегии – на всеки компонент се дава  само толкова привилегии, колкото са му необходими за изпълнението на функциите.

По принцип, мерките за безопасност не е задължително предварително да са вградени в ОС – достатъчно е  да има принципно възможности за допълнително инсталиране на защитни продукти. Друг е въпроса, че истински надежната ОС задължително от самото начало се проектира, като се предвидят съответните механизми за безопасност.

ОС MS-DOS функционира в реален режим на процесора i80×86. При нея не  евъзможно да се изпълнят изискванията, свързани с изолацията на програмните модули, т.е. отсъства апаратна защита на паметта. Освен това уязвимо място на паметта е и файловата система FAT, която не предоплага файловета да имат атрибути, позволяващи разграничаването на достъпа до тях. Поради това MS-DOS се намира на най-високото ниво в йерархията на защитените операционни системи.

OS/2 работи в защитен режим на процесите i80×86. Изолацията на програмните модули се постига чрез вградени в  самия процесор механизми за защита на паметта. Но OS/2 е проектирана и разработена без отчитане на изискванията за защита от несанкциониран достъп. Това се отразяа преди всичко на файловата система  x OS/2 HPFS. Освен това потребителските програми имат възможност да забранят прекасванията. Ето защо сертификацията на OS/2 в съответствие с някой клас на защита е невъзможна. Смята се че такива ОС имат ниво на достъп D.

Windows NT/2000/XP

Още от появата на първата версия на Windows NT  е гарантирано съответсвие сна ниво на безопасност  C2.  Но това ниво не предвижда защита на информация, която се предава по мрежата и не гарантира защита от физически достъп.

Компонентите за защита на NT частично са вградени в ядрото, а частично се реализарат в подсистемата за защита. Подсистемата за защита контролира достъпа и отчетната информация. Windows NT има и вградени средства като поддържане на резервни копия на дании и управление на източниците на непрекъсваемо захранване, които не се изискват от „Оранжевата книга”, но като цяло повишават общото ниво на безопасност.

ОС  Windows 2000 е сертифицирана по стандарта Common Criteria.

Ключова цел на системата за защита е да следи за това кой и до какви обекти осъществява достъп. Системата за защита съхранява информация, касаеща безопасността на всеки потребител, гупа потребители и обекти. Еднообразието на контрола на достъпа до различни обекти, се осигурява от това, че всеки процес е свързан с маркер за достъп, а с всеки обект – дескриптор за защита. Маркетът за достъп в качествота на периметър има идентификатор на потребителя, а дескриптора за защита – списък с правата за достъп. ОС може да контролира опитите за достъп, които се извършват от процесите и са пряко свързани или косвено инициализирани от потребителя.

Windows NT  проследява и контролира достъпа както до обекти, които потребителя може да вижда чрез интерфейса, така и към обекти, които не може да види. Интересното е, че освен разрешаващи записи, списъците с права за достъп съдържат и забранителни записи, за  да може потребител, на който е забранен достъп до някакъв обект, да не може да го получи и като член на група.

Процедури за регистрация

Процедурите за регистрация обработват място за вход в системата. Те включват начална интерактивна процедура, представяща началния диалог с потребителя на екрана и отдалечени процедути за вход, които позволяват на отдалечени потребители да получат достъп до работна станция от мрежата към сървърни процеси на Windows NT.

Подсистема за локална авторизация

Тя гарантира, че потребителя има разрешение за достъп до системата. Този компонент е централен за системата за защита на  Windows NТ. Той създава маркери за достъп, управлява локалната политика за безопасност и предоставя на онлайн потребителите аутентификационни услуги. Освен това подсистемета за локална авторизация контролира политиката на одит и води дневника, в който се съхраняват съобщения, които генерира диспечъра за достъп.

Мениджър на отчетността

Управлява базата данни с ингормация за потребителите. Тази база данни съдържа информация за ввсички потребители и група потребители. Мениджърът на отчетността предоставя и услуги, свързани с легализацията на потребителите, използвани в подсистемата за локална авторизация.

Диспечър на достъпа

Проверява има ли потребителя право за дастъп към обект и за изпълнение на действията които се опитва да извърши. Този компонент осигурява легализиране на достъпа и политика на одит, определяни от подсистемата за локална авторизация. Диспечърът предоставя услуги за програми на супервайзъра и потребителския режим, за да гарантита, че потребителите и процесите, осъществяващи опити за достъп до обекта, имат необходимите права освен това диспечерът генерира съобщения за службата за одит, когато това  е необходимо.

Microsoft Windows NT е относително нова операционна система, която е проектирана за поддръжка на разнообразни защитни механизми – от минималните до C2, и безопасност, която е най-добре обмислена. Системният администратор управлява минималните защитни механизми и може да ги представи в необходимото ниво.

За Windows NT4 официално е потвърдено съответсвие на защитата на ниво С2, и тя е включена в списъка Evaluated Products list на правителството на САЩ. Освен това, Windows NT4  удовлетворява критериите на Европейската организация ITSEC на ниво защита FC2/E3. Потвърденият от правителството рейтинг за безопасност на ОС позволява тя да се конкурира в такива сфери, където се изисква повишена степен на защита. Разбира се много от тези изисквания трябва да удовлетворява всяка многопотребителска система.

Windows 2000 поддържа защита на ниво С2 в съответсвие с критериите TCSEC на Министерството на отбраната на САЩ. Този стандарт предвижда избирателна защита на всякакви разделяеми системни обекти, одит, аутентификация чрез пароли при регистрацията и предотвратяване на достъпа на един от потребителите до неинициализирани ресурси, освободени от друг потребител.

Windows 2000/XP осигурява два вида контрол на достъпа да обекти:

1. Управление на избирателния достъп. Това е механизъм, който като цяло свързва потребителите на Windows 2000  със защитата. Това е метод, при който собственика на обекти разрешава или забранява достъп до тях на други потребители. При регистрация потребителя получава набор от удостиверения за защита или контекст за защита. Когато той се опита да се обарне към обекта, неговият контекст за защита се сравнява със списъка за управление на достъпа за дадения обект, за да определи има ли той разжрешение за изпълнение на поисканата операция.
2. Управление на привилегирования достъп. Този медот е необходим в тези случай, когато управлението на избирателния достъп е недостатъчно. Тази технология гарантира, че потребителя може да се обарне към защитен обект, дори когато неговия собственик е недостъпен. Например, ако някои сътрудник е уволнен от компанията, администраторът трябва да получи достъп до файловете, които са могли да бъдат достъпни само за бившия служител. В такива случаи Windows 2000  позволява администаторът да стане собственик на тези файлове и при необходимост управлява правата за достъп до тях.

Защитата пронизва целия интерфеис Win 32 API. Подсистемата Win32 реализира защита на основата на обекти, точно така, както и самата ОС. При първия опит за достъп на приложение към общ обект, Win32 проверява има ли това приложение съответните права. Ако проверката завърши успешно, подсистемата Win32 разрешава на приложението достъп. Win32 реализира защита за общи обекти, част от които са постоени на основата на обектите на Windows 2000. Към  обектите на Win32 се отнасят обекти на десктопа, меню, прозорци, файлове, процеси, потоци и редица синхонизиращи обекти.
Сигурността на Windows e  ориентирана към обекта. При логване в Windows NT/2000/XP системата мобилизира няколко модула, които са пряко свързани със сигурността:
LSA – Local security authority. Отговаря за успешното логване  или отхвърляне на име и и парола, както и за управлението на достъпа на локално ниво.
SAM – security account manager. Разпределя нивото на достъп и участието на акаунти в групи на локално ниво. Тук се съдържа информация за типа акаунт, групова принадлежност и кода за валидизация на потребителя.
SRM – Security reference monitor. Тази част съдържа в себе си копие на кода за валидизация на потребителя, следи кой потребител какво се опитава да достъпи, сравнява правилата за достъп до ресурсите, записани в ACL за различните потребители, като изполва копие на потребителския код за валидизация, като така се гарантира, че ресурсите са защитени.
ACL– access control list. Тази част от системата за сигурност съдържа в себе си копие от потребителския код за валидизация пред системата, и от там съдържа в себе си име на ресурс, адрес на ресурс, описание на ресурс и информация за позволен и забранен достъп на потребителя до ресурса. Потребителя се  разпознава по кода за валидизация. Кода за валидизация се генерира при създаването на акаунта, на основата на потребитшлското име, и носи в себе си информация кой е потрбителя, какъв е акаунта, каква е груповата принадлежност на потребителя.
NTFS– NT file system. Специална файлова система, специално проектирана за нуждите на мрежовият достъп и управление на сигурността. Позволява контрол на достъп на две условни групи:

1. Група 1 – достъп до файла и до данни на хард диска– файл, подпапка, папка, основана директория, дял.
2. Група 2 – достъп на потребителя логнат в системата – локален потребител, отдалечен потребител, група, всички локални, всички отдалечени, общо всички потребители.

UI – user interface. Тази част извежда всички съобщения за отказан достъп, показва прозореца за въвеждане на име и парола, приема заявката за заключване и отключване на работната станция/сървъра.
След като се приключи цялата тази процедура по разпознаване и валидизиране на потребителя, неговата групова принадлежност ако се изполва групово управление на акаунтите, правата и забраните за достъп, файловата система запоюва да играе роля върху контрола на достъп. На много компютри с windows 2000  или  XP  се изполва файлова система  FAT-32. използването на файлова система FAT-32  e  огромна грешка, това намалява почти на половина възможностите за фин контрол. Често пъти достъпа до някой ресурс може да се откаже като се забрани достъпа до файла, който отговаря за ресурса. Това може да стане под NTFS  файлова система, но не и под FAT-32. Когато се управлява сигурността трябва да се заложи главно на сигурността и достъпа на акаунта. Windows и програмите разчтитат главно на това.

Изполвани материали:
1.    Интернет (http://bgfreaks.org/index.php?topic=2372.0)
2.    Операционни системи – Румен Върбанов и Веселин Попов

Сходни статии:

1. Операционни системи, процесори, компютри и оперативна памет Операционната система е сложна програмна система (съвкупност от програми), която служи като интерфейс (посредник, начин на връзка) както между потребителя и хардуера на компютъра, така и между приложните програми и...
2. Видове операционни системи, подходи при проектирането на ОС, виртуална машина, клиент-сървър Видове операционни системи Еднопотребителска, еднозадачна - MS-DOS - на дадения компютър работи само един потребител и той може да стартира само една задача. Еднопотребителска, многозадачна – Windows, OS/2, MAC OS...
3. Регистри в Windows Тук ще се представят основните и най-важни ключове в регистъра, както и примери, с чиято помощ се показва манипулирането на процесите и техния контрол чрез Windows регистрите. Windows регистърът съхранява...
4. Класификация на операционните системи Операционните системи могат да бъдат класифицирани в зависимост от базовата технология (UNIX-подобни или Windows-подобни), типа на лиценза (платен или свободен), развива ли се в настоящо време (остарели - DOS или...
5. Действия при заразени с вируси компютри Понякога дори и напреднал потребител може да се осъзнава, че компютърът му е заразен с вирус, поради факта, че вирусите могат да се скрият зад обичайни файлове или да се...