Материал: Книга Active directory

Мастер настройки безопасности

М а с т е р н а с т р о й к и б е з о п а с н о с т и ( S e c u r i t y Configuration Wizard) повышает уровень б е з о п а с н о с т и сервера, п о с к о л ь к у закрывает порты и отключает службы, н е н у ж н ы е д л я р о л е й сервера . Его м о ж н о запустить из домашней страницы Диспетчера сервера (Server M a n a g e r ) в секции Сведения системы безопасности (Security I n f o r m a t i o n ) и л и из п а п к и Администрирование (Administrative Tools).

Мастер н а с т р о й к и б е з о п а с н о с т и (Security Configuration Wizard) — инстру-

безопасности в в и д е ф а й л а .xml, к о т о р а я конфигурирует службы и сетевую безопасность, в к л ю ч а я п р а в и л а брандмауэра, значения реестра, политику аудита и другие параметры на основе р о л е й сервера. Эту политику безопасности затем можно м о д и ф и ц и р о в а т ь , п р и м е н и т ь к еще одному серверу или преобразовать в объект G P O д л я р а з в е р т ы в а н и я во множестве систем.

Information) на домашней странице Диспетчера сервера (Server Manager) . Ф а й л справки мастера настройки безопасности м о ж н о о т к р ы т ь , щ е л к н у в с с ы л к у

новую политику безопасности (Create A N e w Security Policy), затем щ е л к н и т е Далее (Next) и введите и м я сервера д л я с к а н и р о в а н и я и анализа . П о л и т и к а безопасности будет основана на ролях, в ы п о л н я е м ы х у к а з а н н ы м сервером . Д л я того чтобы проанализировать роли сервера, н у ж н ы п р и в и л е г и и администрато - ра. Кроме того, прежде чем запустить мастер н а с т р о й к и безопасности, следует

бранного сервера. Он использует базы д а н н ы х к о н ф и г у р а ц и и безопасности, которая определяет службы и порты, н е о б х о д и м ы е д л я к а ж д о й р о л и сервера, поддерживаемой мастером настройки безопасности. База д а н н ы х к о н ф и г у р а ц и и безопасности представляет собой набор ф а й л о в .xml, у с т а н о в л е н н ы х в папке %SystemRoot%\Security\Msscw\Kbs .

ПРИМЕЧАНИЕ Централизация базы данных конфигурации безопасности

В среде предприятия следует централизовать базу данных конфигурации безопасности, чтобы администраторы использовали одну базу данных при запуске мастера настройки безопасности. Скопируйте файлы из папки %SystemRoot%\Security\ Msscw\Kbs в сетевую папку, запустите мастер настройки безопасности с помощью команды Scw.exe, используя синтаксис scw.exe /кЬ Расположение_базы_данных. Например, команда scw.exe /kb \\seroer01\scwkb запускает мастер настройки безопасности с помощью базы данных конфигурации безопасности в общей папке scwkb на машине SERVER01.

Мастер настройки безопасности (Security Configuration W i z a r d ) использует базу данных конфигурации безопасности д л я с к а н и р о в а н и я сервера и иденти - фикации следующих элементов:

•роли, установленные на сервере;

•роли, вероятно выполняемые сервером;

•службы, установленные на сервере, но не о п р е д е л е н н ы е в базе д а н н ы х конфигурации безопасности;

•IP-адреса и подсети, отконфигурированные д л я сервера.

Обнаруженная информация о сервере сохраняется в ф а й л е сервера Main. xml. Этот файл называется базой данных конфигурации, к о т о р у ю н е л ь з я путать с базой данных конфигурации безопасности, используемой мастером настройки безопасности для выполнения анализа. Д л я того чтобы отобразить файл, следует щелкнуть кнопку Просмотр базы д а н н ы х (View Configuration Database) на странице Обработка базы данных настройки безопасности (Processing Security Configuration). Начальные параметры в базе данных к о н ф и г у р а ц и и называются

базовыми параметрами.

к серверу и л и д р у г и м серверам, в ы п о л н я ю щ и м аналогичные роли. Мастер настройки безопасности ( S e c u r i t y Configuration Wizard) представляет каждую из

»\ чтобы отменить любае1Ьи>елеречл:/)е««>да• ми-exMv. eetxrreosк npuwayu^ei crpare«aari -твив. перечислен*«яе в стоп5ие \toxarfe:»

и юиечите et»<w**>»e дейе Подробнее ъ тадтоей-»пси*? iq

< Надад ] ДД-У* > [ Отисн* )

Рис. 7-9. Страница подтверждения изменений для служб мастера настройки безопасности

Сервер (см. рис. 7 - 9 ) я в л я е т с я контроллером домена. На рисунке указано, что д л я д о м е н н ы х с л у ж б Active Directory ( A D D S ) отконфигурирован автоматический запуск .

На странице П о д т в е р ж д е н и е и з м е н е н и й д л я служб (Confirm Service Chang-

уэром Windows в режиме повышенной безопасности ( W i n d o w s Firewall with Advanced Security). Аналогично секции Н а с т р о й к а с л у ж б на о с н о в е р о л е й (Role-Based Service Configuration) секция Сетевая безопасность отображает

показано правило, разрешающее в х о д я щ и е з а п р о с ы p i n g к о н т р о л л е р а домена. Вы можете редактировать существующие правила, а т а к ж е д о б а в л я т ь и удалять настраиваемые правила.

*1

Прайма сетевой безопасности На этой стра»** перечклегы грааила 6рэндкау»рв, иеобхсд*** для аыбрвх-шх

ролей и йруг*х параметров. Выбранные правила еклсмемы, не выбрамш отключены.

Коитроллоэ £<ие»та Actr.e Directory - SAMA-SA р*>-ТОЧп) Контроллер гочеиа АсЬ.е Directory - SAM/ISA p*>4X»*-In)

9>Кситроплер дочепа AcO.t Qredory - YV32Tane <NT?-UCP-tp)

От ш ж Г^ааило входящего трафдеа дл* служба «итролпера дэче»и> AcUve Carertery, раэоеииюшее мпрось гроверк» CBSJH.

Используете*: Коитрэлпер допела (Active Directory) Действие Paipeuwrb все подключения Направление Входящие Протоми КМРу4

йопотлнлгьл жльмя о поосивп* И fMCit-rtl ГИММГУ.-

< Намд Далее > 1 От»&« |

Рис. 7-10. Страница сетевой безопасности мастера настройки безопасности

Брандмауэр Windows в режиме повышенной безопасности ( W i n d o w s Firewall with Advanced Security) комбинирует безопасность п р о т о к о л а Интер - нета (IPsec) и межсетевого экрана с динамически и з м е н я ю щ и м и с я пара-