محكم سازي ويندوز - بخش دوم
ايجاد اساس نامه هاي منطقي
تغيير سياست هاي پسوردي ممكن است تا حدي جواب دهد. اگر شما هنوز هم كاربراني داريد كه از پسورد هاي تهي و يا كاركتر هاي ساده استفاده مي كنند ، آنها را از طريق سياست هاي پسوردي وادار كنيد كه اهداف شما را پياده سازي كنند. البته قبل از اين كار تمامي جوانب را بسنجيد زيرا كه اين مساله بسيار مهم و اساسي است. هر كوتاهي در اين زمينه مي تواند ضربه اي به امنيت شبكه شما باشد.
شما مي توانيد براي شروع، ابتدا اساس نامه هاي منطقي براي گروههاي مشخص ايجاد كنيد. اين گروه ها مي توانند آن دسته از افرادي باشند كه «حق دسترسي » ها را در دامنه و برنامه هاي خاص مشخص مي كنند. معمولا اين گروه جزو مديران سيستم و شبكه مي باشند. ابتدا بايد مديران IT و زير مجموعه هاي آنان را مجاب كنيد كه از سياست هاي شما پيروي كنند. شايد لازم باشد در اين راه، به گونه اي آنها را به طور منطقي قانع كنيد كه پسورد هاي قوي مي تواند امنيت سازمان را بهبود بخشد . هر قدر در اين راه قدمهاي موثرتري برداريد، پياده سازي سياست هاي امنيتي راحت تر مي تواند باشد.
تغيير سياستهاي پسوردي براي نام هاي كاربري محلي
نام هاي كاربري محلي در سرور ها و كامپيوتر هاي كاربران را به صورت كامل حذف كنيد. كامپيوتر هايي كه عضو دامنه شبكه مي باشند نيز مي توانند داراي اين نام هاي كاربري باشند. هر نام كاربري كه در اين كامپيوتر ها وجود دارد نمي تواند توسط سياست هاي پسوردي حاكم بر دامنه اصلي شبكه كنترل شود و بايد در همان كامپيوتر به صورت محلي سياستهاي مورد نظر را اعمال كرد.
اين سياست ها مي تواند بسيار سخت گيرانه تر باشد. البته در بيشتر سازمان ها از نامهاي كاربري محلي در سيستم ها استفاده نمي كنند البته به جز برخي سرور ها كه نياز به نام هاي كاربري محلي دارند . به هر جهت اگر از نام هاي كاربري محلي استفاده نكنيد نيازي به اينگونه سياست هاي نداريد ولي اگر استفاده كنيد بايد با توافق طرفين پسورد هاي محدودتر و قوي تري انتخاب كنيد. سياست هاي پسوردهاي محلي كه بر كامپيوتر هايي كه به دامنه هاي ويندوز 2000 و يا ويندوز سرور 2003 الحاق مي شوند را مي توان از طريق Group Policy اعمال و مديريت كرد.
تغيير سياست هاي براي نام هاي كاربري منحصر به فرد
اضافه بر سياستهاي پسوردي حاكم بر دامنه سرور و نام هاي كاربري محلي، اين تغييرات مي تواند در سطح خود نام هاي كاربري نيز اعمال گردد. اين كار را زماني مي توانيد انجام دهيد كه شما بخواهيد سياست هاي حاكم بر برخي از نام هاي كاربري مشخص را محكم تر كنيد. تغييرات اعمال شده در مورد نام هاي كاربري منفرد مي تواند ضعف هاي حاكم بر سياست هاي پسوردي دامنه را بهبود بخشد.
براي مثال ممكن است شما نياز داشته باشيد كه براي برخي از پسورد ها از رمزهاي برگشت پذير استفاده كنيد، اگر چه اين امر پيشنهاد نمي گردد و بهتر از آن است كه از جفت نام هاي كاربري استفاده كنيد، مي توانيد از طريق گزينه Store Password Using Reversible Encryption كه در تمامي نام هاي كاربري موجود در دامنه موجود است، استفاده كنيد. گزينه ديگر Password Never Expire است. به پايان رسيدن اعتبار پسورد ها براي اين است كه شما مطمئن شويد كه كاربران پسورد هاي خود را تغيير مي دهند. البته براي برخي از سرويس ها كه از اينگونه پسورد ها استفاده مي كنند مشكل ايجاد مي شود زيرا كه در زماني كه اعتبار پسورد به پايان مي رسد اين سرويس ها نمي توانند در برابر تغيير پسورد ها واكنش نشان دهند و از كار مي افتند. در اين مواقع مي توان به صورت دستي آنها را دوباره راه اندازي كرد كه البته كاريست دشوار اما براي اين دسته از نام هاي كاربري مي توان اين گزينه را فعال كرد.
البته هر دوي اين گزينه هاي مي تواند سياست هاي پسوردي را ضعيف كنند اما برخي از اينگونه تنظيمات مي تواند سياست هاي پسوردي را قوي تر كند. براي مثال گزينه Smart Card Is Required for Interactive Logon مي تواند براي برخي از نام هاي كاربري منفرد تنظيم گردد. شما مي توانيد با نصب اين دسته از كارت هاي هوشمند از دو روش تشخيص هويت براي اين دسته از نام هاي كاربري استفاده كنيد. اين كار براي نام هاي كاربري مديران و يا كاربران رده بالا مي تواند استفاده شود.
گزينه هاي ديگري نيز وجود دارد كه برخي از آنها در زير آمده است :
· User Must Change Password at Next Logon
· Account Is Disabled
· Account Is Sensitive and Cannot Be Delegated
اين تغييرات را مي توانيد از طريق اكتيو دايركتوري و با استفاده از property نام هاي كاربري اعمال كنيد.
2- دسترسي هاي مديريتي راه دور را ببنديد
اگر شما فقط تعداد كمي كامپيوتر براي مديريت داريد شما مي توانيد به صورت محلي آنها را كنترل كنيد. اگرچه بيشتر سازمانها كامپيوتر هاي كمي براي كنترل و مديريت دارند اما شما بايد بتوانيد از راه دور سيستم ها را كنترل كنيد.
به طور ساده تر بگويم : درست است كه شما نياز به مديريت راه دور روي يك سرور داريد ولي نبايد آن را براي بقيه كاربران باز كنيد. مديريت راه دور را ببنديد :
1- اگر ممكن است از IPSec و يا ديگر پروتكل ها استفاده كنيد . شما مي توانيد با استفاده از IPSec برخي پورت هايي كه توسط برنامه هاي مديريت راه دور استفاده مي شوند را ببنديد و فقط به برخي از مديران ايستگاههاي كاري خاص اجازه دسترسي و مديريت راه دور دهيد. براي مثال دسترسي به پورت 3389 ، كه براي برنامه Terminal Service استفاده مي شوند ، را ببنديد و فقط آن را براي برخي از ايستگاههاي كاري باز كنيد.سياست هاي IPsec فقط مي تواند روي سيستم هاي ويندوزي 2000 ، 2003 و XP اعمال گردد.
2- در بيشتر مواقع ، فقط برخي از نام هاي كاربري اجازه دسترسي به بقيه كامپيوتر ها را در شبكه دارا مي باشند. بقيه نام هاي كاربري را قفل كنيد. در دامنه هاي ويندوز 2000 و يا ويندوز 2003 سرور با استفاده از Access This Computer from the Network مي توانيد كاربران را براي دسترسي هاي راه دور كنترل كنيد. لازم به ذكر است كه اين گزينه را مي توانيد با استفاده از مسير زير پيدا كنيد :
Computer Configuration è Windows Setting è Security Setting è Local Policies è User Right Assignment è Access This Computer from the Network
3- با استفاده از مجوزهاي كاربران، از دسترسي آنها به Remote Desktop و يا همان ترمينال سرويس جلوگيري كنيد. اين كار را مي توانيد توسط گزينه Allow Log On Through Terminal Services انجام دهيد:
Computer Configuration è Windows Setting è Security Setting è Local Policies è User Right Assignment è Allow Log On Through Terminal Services
4- دسترسي راه دور را از طريق solicited Remote Assistance روي سرور ها كنترل كنيد. Remote Assistance براي ويندوزي هاي XP و 2003 ابزاري است كه به ويندوز اين امكان را مي دهد كه با استفاده از يك ايميل يا IM و يا يك فايل Remote Assistance را فراخواني كند. يك كاربر معمولي به يك كاربر ديگر اجازه مي دهد كه از راه دور كامپيوترش را كنترل كند. همين موضوع اگر به طور منطقي كنترل نگردد ، مي تواند باعث حادثه اي ناگوار شود. مديريت خاصي همچون محدود كردن استفاده آن توسط كاربران مجاز ، محدود كردن مدت زمان استفاده و آموزش تمامي كاربران براي استفاده درست از آن ، را مي توان روي آن اعمال كرد. براي مديريت آن مي توانيد از مسير زير استفاده كنيد :
Computer Configuration è Administrative Templates è System è Remote Assistance è Solicited Remote Assistance Properties
5- شما حتي مي توانيد Remote Assistance را غير فعال كنيد. اين خصيصه باعث مي شوند كه پيشنهادي براي استفاده از Remote Assistance توسط كاربران داده نشود. (اين درخواست بايد توسط كاربر داده شود)
6- سرور هاي حساس را از طريق خود كنسول سرور مديريت كنيد. فقط به دليل اينكه شما بايد چندين سرور را مديريت كنيد استفاده از مديريت هاي راه دور لازم مي گردد و اين بدان معني نمي باشد كه تمامي سرور ها بايد از همين طريق مديريت گردند. بسيار مراقب باشيد كه سرور هايي كه نقش حساسي دارند و يا داده هاي حساسي را نگهداري مي كنند فقط از طريق كنسول خود سرور مديريت گردند و پسورد مديريت آنها را از طريق يك كامپيوتر ديگر و در طول شبكه هيچگاه وارد نكنيد.