Windows XP

Сервіси безпеки операційної системи Microsoft® Windows® XP Professional, із пакетом оновлень Service Pack 3
Реалізуємий функціональний профіль
КД-2, КО-1, КВ-2, ЦД-1, ЦО-1, ЦВ-2, ДР-1, ДЗ-1, ДВ-1, НР-2, НИ-2, НК-1, НО-2, НЦ-2, НТ-2, НВ-1, НА-1, НП-1.

Використання в послугах безпеки КВ-2, ЦВ-2, НВ-1

Windows складається з двох основних частин: частини операційної системи, яка виконується у режимі ядра, і підсистем оточення, які виконуються в режимі користувача. Ядро керує процесами, пам’яттю, файловою системою і т. ін. Підсистеми оточення є окремими процесами, які забезпечують виконання визначених системних функцій для користувача. ОС має модульну структуру, яка розподіляється на декілька рівнів, кожний з яких використовує служби нижчого рівня. 
Сервіси безпеки ОС Windows

1. Захист даних користувача
Сервіс забезпечує захист даних користувачів і захист від несанкціонованого ознайомлення, модифікації та повторного використання даних. Реалізація сервісу підтримується в межах файлової системи NTFS.

2. Відновлення системи після збоїв
Windows включає набір інструментів діагностики і забезпечує можливість вибору певного засобу відновлення у разі збою. Засіб відновлення визначається для кожного окремого випадку і залежить, насамперед, від обставин виникнення і типу збою. Windows визначає наступні засоби:
1) Безпечний режим – використовується при збої, що порушує процес завантаження ОС;
2) Завантаження останньої вдалої конфігурації – дозволяє швидко відновити реєстр і відмінити зміни, які сталися в ключі реєстру;
3) Утиліта «Відновлення системи» – забезпечує регулярне створення копій системних файлів, відстеження кожної зміни в системних файлах і запис стислих копій цих файлів в захищену директорію. При успішному завантаженні Windows або при завантаженні в безпечному режимі утиліта використовується для відміни змін в конфігурації, які призвели до збою;
4) Консоль відновлення – використовується в тому випадку, коли безпечний режим та інші засоби не допомагають повернути систему до працездатного стану;
5) Аварійне відновлення системи – використовується після зміни жорсткого диску або при невдалих результатах відновлення системи за допомогою інших засобів. Для застосування засобу використовуються набори архівів, які створюються за допомогою утиліт резервного копіювання.

3. Гаряча заміна
Сервіс реалізовано за технологією Plug and Play. Технологія Plug and Play підтримує автоматичну настройку конфігурації Windows при підключенні/видаленні пристроїв, що не потребує виключення комп’ютера або повторної інсталяції Windows. Реалізація Plug and Play виконується на рівні апаратних засобів, BIOS, ОС та драйверів пристроїв. Використання технології Plug and Play гарантує доступність Windows в процесі заміни окремих компонентів комп’ютера і не призводить до порушення політики безпеки. Windows дозволяє надавати права на проведення модернізації тільки адміністратору.

4. Керування безпекою
 Сервіс включає наступні логічно відокремлені функціональні компоненти:

1. підтримка в системі ролей користувачів;
2. механізм «Групова політика»;
3. керування функціями безпеки Windows.

Роль користувача визначається трьома способами:

1. присвоєння відповідному обліковому запису користувача певних повноважень;
2. включенням користувача у групу безпеки користувачів, яка має певні повноваження;
3. присвоєнням обліковому запису групи безпеки користувачів, в яку включено користувача, певних повноважень.

Група безпеки користувачів Windows є іменованою сукупністю облікових записів користувачів, яка дозволяє призначати повноваження і права доступу для групи користувачів, а не індивідуально для кожного користувача. Windows дозволяє уповноваженим користувачам створювати власні групи безпеки або використовувати вбудовані групи.
Групова політика дозволяє вповноваженому адміністратору встановити параметри визначеної множини політик безпеки для:

1. окремого користувача;
2. групи безпеки користувачів;
3. комп’ютерів.

Вищезазначений механізм дозволяє адміністратору домену централізовано керувати всіма клієнтськими комп’ютерами, які входять в домен, шляхом встановлення параметрів групових політик. Параметри групової політики визначають різні компоненти системного оточення користувача.
Windows надає можливість адміністратору керувати наступними функціональними компонентами безпеки:
1) База даних облікових записів користувачів – дозволяє керувати атрибутами безпеки облікових записів користувачів і груп безпеки користувачів.
2) Дискові квоти – надає можливість керувати дисковими квотами на томах NTFS. Дискові квоти використовуються для контролю за використанням дискового простору кожним користувачем і кожним томом.
3) Очищення пам’яті – надає можливість встановлювати очищення файлу підкачки. Хоча цей файл надійно захищений та відкривається лише ОС, існує можливість його використання для атак типу «збирання сміття».
4) Пріоритети процесів – надає можливість назначати процесам пріоритети виконання.
5) Відновлення системи – надає можливість при виникненні збоїв, таких як некоректні системні установки, ушкодження драйверів, несумісні застосування керувати засобами відновлення системи.
6) Модернізація Windows – надає можливість управляти автоматичним конфігуруванням Windows та усіма встановленими в ньому пристроями.

5. Захист КЗЗ
Сервіс включає наступні логічно відокремлені функціональні компоненти щодо:

1. захисту при старті;
2. розподілу доменів;
3. контролю доступу до об’єктів;
4. захисту файлів Windows;
5. обмеження ПЗ.

Захист Windows при старті базується на завантаженні ОС під контролем КЗЗ. Windows контролює процес завантаження та ініціалізації системних сервісів та зупиняє систему при виникненні критичних проблем.
Механізм доступу процесів до об’єктів в більшості випадків заснований на використанні дескрипторів об’єктів. Одержання дескриптора об’єкта процесом, який запитує доступ до об’єкта, як правило відбувається при відкритті або створенні об’єкта. КЗЗ забезпечує підтвердження доступу перед створенням нового дескриптора об’єкта.
Захист файлів Windows (WFP) використовується для запобігання перезапису системних файлів Windows, що використовуються як безпосередньо ОС, так і прикладними програмами.
Політика обмеженого використання програм, що реалізована в Windows, дозволяє адміністратору визначати програми, які можна запустити на локальному комп’ютері. Політика захищає систему від запуску небажаних програм, вірусів, «троянських коней» та інших програм, які можуть спричинити конфлікти.

6. Реєстрація
Сервіс включає наступні логічно відокремлені функціональні компоненти щодо:

1. реєстрації подій;
2. перегляду журналів аудиту;
3. захисту журналу аудиту від переповнення.

Windows забезпечує реєстрацію подій, що підлягають аудиту в трьох журналах аудиту:

1. журнал безпеки (Security Log) – використовується для реєстрації подій, що пов’язані з захистом системи, таких як: вхід/вихід, використання ресурсів, що захищаються, керування обліковими записами та системними політиками;
2. журнал системи (System Log) – використовується для реєстрації подій операційної системи;
3. журнал застосувань (Application Log) – використовується для реєстрації подій, що виникають при роботі застосувань та системних служб операційної системи.

Утиліта «Перегляд подій» використовується для перегляду журналів аудиту. Утиліта надає інтерфейс користувача для перегляду вмісту журналів аудиту, а також має можливість пошуку і фільтрації конкретних подій. Для журналу безпеки в якості параметрів фільтрації і пошуку подій можуть бути задані: ідентифікатор користувача, тип події, джерело події, категорія події, код події, часовий інтервал, за який необхідно переглянути події, та ім’я комп’ютера.
Аудит безпеки адміністратор настроює в залежності від політики безпеки. За умовчанням аудит безпеки вимкнено. Перед застосуванням аудиту визначаються події, які необхідно реєструвати, оскільки аудит значної кількості подій може суттєво знизити продуктивність системи та потребує додатковий дисковий простір для розміщення журналів аудиту.

7. Ідентифікація і автентифікація
Windows застосовує автентифікацію при кожному вході користувача (або процесу) в систему незалежно від типу входу в систему. Кожний користувач повинен бути автентифікований до того, як йому буде надано право виконувати будь-які дії в системі. Тому реалізація послуги є необхідною умовою для виконання більшості функціональних послуг безпеки. Сервіс включає наступні логічно відокремлені функціональні компоненти:

1. база даних атрибутів користувачів;
2. варіанти входу в систему;
3. достовірний канал;
4. процес входу в систему і вибір протоколу автентифікації;
5. імперсонізація.

Windows підтримує базу даних SAM, в якій визначені облікові записи користувачів та груп користувачів. Інформація в базі даних SAM захищається механізмом контролю доступу та хешуванням паролів. Сама база даних SAM шифрується за допомогою системного ключа.
Windows підтримує чотири варіанти входу в систему:

1. інтерактивний;
2. мережний;
3. в якості системної служби;
4. пакетний.

Для кожного типу входу визначено відповідне право, яке призначається обліковому запису користувача або групі користувачів. Це дає можливість контролю способів реєстрації в Windows, які доступні для користувача.
З метою захисту ідентифікаційної та автентифікаційної інформації при первинному інтерактивному вході до системи, використовується достовірний канал. Достовірний канал ініціюється одночасним натисканням клавіш Ctrl+Alt+Del, та фіксується функціями безпеки для запобігання перериванню або перехопленню процесом-порушником. Для отримання інформації про користувача задіяна служба WinLogon та модуль Graphical Identification and Authentication (GINA). Основна мета модуля GINA – збір ідентифікаційної та автентифікаційної інформації, що вводиться користувачем, та її передача в певному форматі диспетчеру LSA. Модуль GINA надає інтерфейс, за допомогою якого користувач реєструється в системі.
Усі запити на вхід в Windows обробляються єдиним способом, незалежно від їхнього типу (інтерактивний, мережний вхід у систему, вхід в якості пакетного завдання чи служби). Основним модулем служб автентифікації є диспетчер LSA. Він являє собою захищений модуль, який перевіряє автентичність користувача. Модель автентифікації функціонує по модульному принципу на основі пакетів автентифікації. Модульність архітектури дозволяє абстрагувати основні системні процедури автентифікації від конкретних протоколів і реалізації.

В Windows підтримується можливість імперсонізації. Кожен процес має первинний маркер доступу. Зазвичай кожен потік, виконується в межах якого-небудь процесу, використовуючи маркер доступу процесу, який визначає його контекст безпеки. Однак потік може мати два маркери доступу: первинний та імперсонізований, що використовується для організації взаємодії з об’єктом. Припиняється при видаленні імперсонізованого маркеру доступу чи завершенні потоку, що має імперсонізований маркер доступу.