Защита информации в Интернет
Защита информации в Интернет
Когда в лесу падает дерево и никого нет поблизости, в любом случае раздается громкий треск. Однако если компьютерная сеть содержит изъян в системе защиты и никому об этом неизвестно, то на первый взгляд кажется, что такую сеть можно считать надежной. Лишь самый большой идеалист может поспорить с этим утверждением, однако очень скоро вы увидите, что все далеко не так очевидно.Сеть с изъяном в подсистеме зашиты оказывается незащищенной для тех, кому известно об этой бреши. Если о ней не знает никто, т.е. изъян до настоящего момента еще не был обнаружен, то можно считать, что сеть в безопасности. Если хотя бы один человек узнает об этом слабом месте, то сеть станет для него уязвимой, однако она по-прежнему будет защищенной от всех остальных. Если же о недостатке станет известно производителю оборудования... Если специалисты какой-либо исследовательской группы узнают об этом... Если эта информация попадет в руки сообщества хакеров... В любой из этих ситуаций незащищенность сети возрастет во много раз и эта новость мгновенно станет всеобщим достоянием.
Так ли это на самом деле? Изъян существует независимо от того, известно о нем кому-либо или нет. Опубликование материалов на этот счет напрямую не приводит к незащищенности сети. Подобное утверждение может сбить с толку. Публикация материалов повышает вероятность того, что взломщик воспользуется этим слабым местом, однако это никак не характеризует сам изъян. В то же время информационные сообщения увеличивают и вероятность того, что будут предприняты соответствующие контрмеры. Точно так же, как злоумышленник не сможет воспользоваться неизвестным изъяном, так и защитить сеть нельзя будет до тех пор, пока о ее слабом месте не станет известно.
Так что сохранение информации об обнаруженном изъяне в секрете является далеко не лучшим способом борьбы с ним. Такой подход оказывается полезным лишь до того момента, пока этот секрет таковым и будет оставаться. Однако все, что связано с информацией, приводит к ее распространению. Одни разглашают секреты случайно. Другие — с определенными целями. Иногда секреты попадают в руки третьих лиц. Однако как только эта информация перестала быть секретной, ее уже никогда не удастся спрятать.
Процесс обеспечения безопасности, при котором полученные данные без ограничения предоставляются широкой общественности, оказывается наиболее робастным. Конечно, взломщики тоже узнают об этом, однако они смогут получить требуемую информацию и в любом другом случае. Что более существенно, важные данные станут доступны и специалистам, разрабатывающим системы защиты, производителям программного и аппаратного обеспечения, которые смогут устранить обнаруженные изъяны и выпустить соответствующие модули обновления, и системным администраторам, которые смогут принять требуемые контрмеры. Чем больше людей знают об изъяне, тем больше повышается вероятность его устранения. Настроив себя на предоставление информации, а не на ее сокрытие, вы способствуете повышению уровня защищенности, а не его понижению.
Приведенные размышления лежат в основе сложной проблемы обеспечения безопасности со всеми связанными с ней аспектами, что в результате приводит к улучшению защищенности сети Internet на протяжении многих лет. После публикации результатов исследований и демонстрационного кода производители программного обеспечения уделяют больше времени устранению известных изъянов. Различные компании не в состоянии устранить проблемы, упоминание о которых появляется в газетах. Internet по-прежнему остается практически незащищенной, однако будет гораздо хуже, если все из существующих изъянов безопасности останутся скрытыми от общественности.
Введение
Приведенные размышления лежат в основе сложной проблемы обеспечения безопасности со всеми связанными с ней аспектами, что в результате приводит к улучшению защищенности сети Internet на протяжении многих лет. После публикации результатов исследований и демонстрационного кода производители программного обеспечения уделяют больше времени устранению известных изъянов. Различные компании не в состоянии устранить проблемы, упоминание о которых появляется в газетах. Internet по-прежнему остается практически незащищенной, однако будет гораздо хуже, если все из существующих изъянов безопасности останутся скрытыми от общественности.
Предварительный сбор данных
Прежде чем приступить к столь увлекательному занятию, как хакинг, необходимо выполнить рад подготовительных мероприятий. В этой главе рассматривается первый этап подготовки, заключающийся в предварительном сборе данных (footpnntmg) о представляющей интерес сети. Именно так и поступают настоящие преступники, решившие ограбить банк. Они не вваливаются в операционный зал и не начинают требовать денег (за исключением разве что самых примитивных грабителей).
Сканирование
Если процесс предварительного сбора данных можно сравнить со скрытым наблюдением, цель которого — добыть как можно больше информации, не выдавая себя, то сканирование — это "разведка боем". Цель сканирования — выявить открытые "окна" и "двери". В предварительно собранной информации содержатся сведения об адресах подсетей и отдельных компьютеров, полученных с помощью запросов whois и переноса зоны.
Инвентаризация
Собрав полное "досье" на исследуемую сеть и "прощупав" систему ее защиты, хакер, скорее всего, на этом не остановится. Следующим шагом на пути к проникновению в систему будет получение информации о пользовательских учетных записях или плохо защищенных совместно используемых ресурсах. Для сбора такой информации существует много различных способов, которым дали общее название — инвентаризация (enumeration).
Уязвимость WINDOWS 95/98/ME
Самое важное, что должен знать администратор сети или конечный пользователь Windows 95/95B/98/98SE (далее — Win 9х), — это то, что при проектировании данной операционной системы вопросам безопасности не уделялось большое внимание, в отличие от ее "двоюродной сестры" Windows NT/2000. По существу складывается впечатление, что при планировании архитектуры Win 9x компания Microsoft везде, где только было можно, пожертвовала безопасностью в угоду простоте использования.
Уязвимость WINDOWS NT
Согласно маркетинговым данным, операционная система компании Microsoft Windows NT занимает значительную долю рынка сетевых операционных систем как в государственном, так и в частном секторе экономики. При этом Windows NT стала "мальчиком для битья" в хакерской среде. Что послужило причиной, то ли ее широкая распространенность, то ли раздражение от маркетинговой политики Microsoft, то ли стойкая нелюбовь в профессиональной среде к ее простому в использовании графическому интерфейсу, который воспринимается как профанация самого понятия сетевой операционной системы, сказать трудно, однако факт остается фактом.
Уязвимость WINDOWS 2000
Осенью 1999 года компания Microsoft открыла доступ через Internet к нескольким тестовым серверам с бета-версией операционной системы Windows 2000 Server на узле Windows2000test.com, предлагая всем желающим попытаться взломать этот программный продукт. Несколько недель спустя, после многочисленных успешных атак со стороны хакеров, этот эксперимент был отменен. Правда, следует отметить, что хакерам не удалось достичь уровня операционной системы.
Уязвимость NOVELL NETWARE
Стандартным заблуждением относительно компании Novell является то, что ее программные продукты несколько устарели и утратили актуальность (по крайней мере в этом нас стараются убедить сообщества Microsoft и UNIX). Несмотря на отсутствие настойчивой рекламы, а также на то, что в последние годы рынок программного обеспечения компании Novell не расширялся, до ее забвения все же еще очень далеко. Во всем мире имеется более сорока миллионов пользователей NetWare, и риск потери важных корпоративных данных чрезвычайно высок.
Уязвимость UNIX
Бытует мнение, что стремление получить доступ к системе UNIX в качестве пользователя root столь же неискоренимо, как наркотическая зависимость. Причина интереса к таким привилегиям уходит корнями в те времена, когда система UNIX только появилась на свет, поэтому мы предпримем небольшой исторический экскурс и напомним, как эта система возникла и как развивалась.
Введение в защиту информации от внутренних ИТ-угроз
Статистический анализ показывает, что внутренние ИТ-угрозы находятся в лидерах информационных угроз, отодвинув на второй план традиционных лидеров – хакерские атаки и вирусы. Это связано с несколькими причинами. Первая – успех производителей средств защиты от внешних угроз и повсеместное распространение их продуктов. Антивирусные компании и производители межсетевых экранов и систем обнаружения вторжений предлагают продукты, на которых можно построить гибкую многоуровневую защиту информационных систем. Успехи в биометрии и других системах аутентификации позволяют построить удобную и эффективную систему защиты от несанкционированного доступа, включающую единую точку входа и контроль над учетными записями. Вся концепция информационной безопасности строится на разделении прав доступа к ИТ-ресурсам на "санкционированные" и "не санкционированные".Приблизившись к решению проблемы защиты периметра информационной системы снаружи, производители средств информационной безопасности оставили без внимания то, что делает пользователь с "санкционированным" доступом. Вендоры программного и аппаратного обеспечения, словно сговорившись, увеличивают количество каналов, портов и протоколов, по которым легальный пользователь может похитить информацию – системы становятся все более дружелюбными к пользователю. Беспроводные протоколы IrDA, Bluetooth и WiFi, сменные носители (от традиционных flash-носителей до медиа-плееров и фотокамер), программы синхронизации мобильных телефонов и PDA, позволяют достаточно легко передавать огромные объемы информации. Доступ к высокоскоростным каналам Интернет, постоянно растущий объем файлов, которые возможно присоединять к почтовым и IM сообщениям позволяют пересылать большие объемы информации.
Технические средства защиты
Если взглянуть на классификацию продуктов и услуг в области информационной безопасности, опубликованную IDC, мы не увидим там ни одного продукта, способного контролировать внутренние ИТ-угрозы, в частности утечку и искажение конфиденциальных данных. Ни межсетевые экраны, ни антивирусные продукты, ни системы обнаружения вторжений не могут предотвратить злоупотребления пользователей.
|
Технические средства защиты |
Технические средства защиты - 2 |
Требования регуляторов
Действительно, в банковской сфере, страховании, биржах и других финансовых институтах во многих странах существует жесткое законодательство, неисполнение которого влечет за собой отзыв лицензии на право заниматься основной деятельностью. В основе большинства требований к информационным системам, хранящим финансовую информацию лежат требования стандартов ISO, Базельские соглашения, стандарт ЦБ РФ по информационной безопасности.
Положение о конфиденциальной информации в электронном виде
Определив, для чего мы защищаем конфиденциальную информацию, хранящуюся в корпоративной информационной сети, важно понять, что конкретно мы собираемся защищать. Прежде всего, в компании необходимо дать определение конфиденциальной информации и установить разрешенные действия с ней для разных групп пользователей.
Основные направления защиты
Поскольку потенциальными похитителями информации являются все сотрудники, имеющие к ней доступ, методы защиты планируются таким образом, чтобы соблюсти баланс доступности информации для легального использования и защищенности ее от утечки. Традиционный выбор между доступностью и безопасностью каждой компанией делается в зависимости от уровня паранойи в корпорации.
Психологические меры
Не вдаваясь подробно в психологические аспекты защиты, выделим два способа внедрения систем — открытый и закрытый. Как внедрять такую систему — решает сам заказчик, причем на самом высоком уровне. Безусловно, полностью реорганизовать документооборот незаметно для пользователей невозможно, тем более, что часть процесса внедрения — ознакомление пользователей с процедурами доступа.
|
Права локальных пользователей Стандартизация ПО Специфические решения Работа с кадрами |
Хранение физических носителей Уровни контроля информационных потоков Режим архива Режим сигнализации |
Программные решения InfoWatch
Целью данного курса не является подробное знакомство с техническими подробностями работы продуктов InfoWatch, поэтому рассмотрим их со стороны технического маркетинга. Продукты InfoWatch базируются на двух фундаментальных технологиях – контентной фильтрации и аудите действий пользователя или администратора на рабочем месте.
Теоретические основы защиты информации
В настоящее время и у нас в стране, и за рубежом достаточно много публикаций по современным стандартам защиты, средствам и методам защиты. Однако работы, которая являлась бы творческим обобщением существующих формальных моделей, нормативных документов, зарубежных стандартов в области защиты информации на нашем книжном рынке пока еще не было.
Методы и средства защиты информации
В современном компьютерном сообществе атаки на информацию стали обыденной практикой. Злоумышленники используют как ошибки в написании и администрировании программ, так и методы социальной психологии для получения желаемой информации.
Государственная система защиты информации
Подсистема фильтрации вызовов и правила фильтрации Подсистема разграничения доступа ACCESS-TM SHELL Подсистема конфигурирования СФ Подсистема регистрации (статистики) Регистрация и учет фильтруемых запросов на установление виртуальных соединений и действий администраторов Контроль процесса фильтрации Дистанционный контроль процесса фильтрации
Защита игр от взлома
Обычно о защите вспоминают в последний момент перед самой сдачей проекта и дописывают несколько десятков строк кода впопыхах, а потому удивляются, почему взломанные версии доходят до рынка раньше официальных?! Защита должна быть глубоко интернирована в программу и разрабатываться заранее. Это скажет любой эксперт.
Обфускация и ее преодоление
Обфускацией (от английского obfuscation– буквально "запутывание") называется совокупность методик и средств, направленных на затруднение анализа программного кода. Существуют различные типы обфускаторов: одни занимаются интерпретируемыми языками типа Perl или PHP и "корежат" исходные тексты (удаляют комментарии, дают переменным бессмысленные имена, шифруют строковые константы etc)
Копирование без границ или передовые методики защиты CD
Хакерская мудрость гласит: "взломать можно все, это только вопрос времени". Валовый программный продукт, ориентированного на массовый рынок, такая ситуация вполне устраивает. Какой-то процент пользователей покупает программу, какой-то нет. Но для специализированных программных комплексов (расчет прецизионного литья, расчет звездных спектров и т.д.), количество пользователей которых измеряется какими-то тысячами, такой подход уже неприемлем.
Переполняющиеся буфера - активные средства защиты
Ошибки переполнения вездесущи— это факт. Буквально каждые несколько дней обнаруживается новая дыра, а сколько дыр остаются необнаруженными— приходится только гадать. Как с ними борются? Арсенал имеющихся средств довольно разнообразен и простирается от аппаратных защит типа NX/XD битов[1], до статических анализаторов наподобие Spilnt.
LIDS система обнаружения и защиты от вторжения
LIDS - это Linux Intrusion Detection/Defence System - система обнаружения и защиты от вторжения. Это патч для ядра Linux, добавляющий много новых возможностей для увеличения безопасности. LIDS позволяет запретить или ограничить доступ к файлам, к памяти, блочным устройствам, сетевым интерфейсам, запущенным программам и т.д. даже для root'а.
|
Установка Установка - 2 Конфигурация ядра Конфигурация ядра - 2 Конфигурация ядра - 3 |
Конфигурация ядра - 4 Установка способностей, параметры отправки Способности Способности - 2 Способности - 3 |
TOP10 ошибок защитников программ
Несмотря на разнообразие трюков и приемов, используемых создателями защит, большинство программ ломаются по одному и тому же набору стандартных шаблонов. Ошибки разработчиков удручающее однообразны— никакой тебе тяги к творчеству, никакого морального удовлетворения от взлома и вместо интеллектуальной игры, вместо смертельного поединка с защитой, хакерам приходится ковыряться в чем-то очень сильно неаппетитном, напоминающем чей-то наполовину разложившийся труп.
Техника снятия дампа с защищенных приложений
Протекторы типа Themida (в "девичестве" eXtreme Protector) и Star-Force, которыми защищены многие популярные программы, очень глубоко "вгрызаются" в операционную систему, что снижает производительность и порождает частные BSOD. Их "коллеги" ведут себя не так агрессивно, но проблем с совместимостью все равно хватает, особенно при переходе на 64-разрядные операционные системы или многоядерные процессоры, значительно отличающиеся от тех, под которые проектировалась защита, активно использующая недокументированные возможности.
Звездная сила обращается в пыль
Star-Force это семейство защит от копирования, привязывающихся к физической структуре спиральной дорожке и оснащенное термоядерным ракетным комплексом противохакерских средств типа "земля— пользователь". Вместо тупой проверки по схеме "свой— чужой" (которая элементарно отламывается заменой одного jmp'а), топологические характеристики диска преобразуется в число, используемое для расшифровки основного тела программы, причем специальные защитные компоненты следят за тем, чтобы после расшифровки никто не снял дамп.
Обеспечение защиты от перегрузки в MOSFET драйверах
Силовые транзисторы IGBT и MOSFET стали основными элементами, применяемыми в мощных импульсных преобразователях. Их уникальные статические и динамические характеристики позволяют создавать устройства, отдающие в нагрузку сотни кВт при минимальных габаритах и кпд, превышающем 95%.
Атака из Internet
В последние полтора-два года книжные прилавки стали заполняться всевозможными книгами и журналами, в названии которых присутствует слово "Internet" . Эти книги являются отражением того, что Internet пришел в Россию. Появились пользователи и провайдеры, с каждым днем растет количество всевозможных сайтов, начали формироваться свои службы, да и престиж заставляет некоторых подключаться к Internet. Появился и спрос на литературу об Internet.Даже поверхностный анализ этой литературы показывает, что практически в каждой такой книге имеется материал, посвященный безопасности. Это может быть или глава, или раздел, или параграф. Анализ этого материала показывает, что в нем не дается ответ на главный вопрос: безопасна ли Internet и как обезопасить свой компьютер, подключенный к Internet?
Удаленные атаки на распределенные вычислительные системы
После второй мировой войны, продемонстрировав друг другу и остальному миру наличие ядерного и водородного оружия, Советский Союз и США начали разработку ракетных носителей для доставки этого оружия. Соперничество велось ускоренными темпами в обстановке строжайшей секретности. Уже в 1947 году США ввели по отношению к Советскому Союзу санкции, ограничивающие экспорт стратегических товаров и технологий. Под технологией в этом случае понималась специальная информация, необходимая для разработки, производства и использования изделия. Эти ограничения были окончательно сформулированы и оформлены в 1950 году созданным координационным комитетом по многостороннему стратегическому экспортному контролю - КОКОМ (COCOM - Coordinating Committee for multilateral strategic export controls).
Направления атак и типовые сценарии их осуществления в ОС UNIX
Интернет - это сеть UNIX-машин. Такое утверждение оказывается не совсем справедливым в наше время (когда успех и конкурентоспособность операционной системы напрямую зависит от того, насколько легко они интегрируются в Сеть), однако Internet и его прадед - ARPANET возникли именно из необходимости связать между собой UNIX-компьютеры, которые были самыми распространенными и прогрессивными в то время. UNIX-идеология наложила свой отпечаток и на все основные сетевые протоколы, которые, казалось бы, должны быть операционно-независимыми.
Microsoft Windows Server 2003. Наиболее полное руководство
Операционные системы (ОС) семейства Windows Server 2003 являются эволюционным развитием серверной платформы Windows 2000 Server, также включившим в себя многие средства систем Windows XP. Нелишне напомнить, что ОС Windows 2000 имеют внутренний номер версии 5.0, а системы Windows XP вышли под номером 5.1. Семейство Windows Server 2003 (сборка (build) 2790) имеет версию 5.2. (Грубо говоря, можно считать, что версия 5.2 равна версии 5.1 плюс Service Pack 1 плюс серверные службы плюс обновления, вышедшие с момента появления Windows XP.)Семейство Windows Server 2003 включает в себя четыре редакции (версии) операционных систем (их назначения и характеристики рассматриваются ниже):
Windows Server 2003, Standard Edition;
Windows Server 2003, Enterprise Edition;
Windows Server 2003, Datacenter Edition;
Windows Server 2003, Web Edition.
Несколько упрощая ситуацию, эти редакции можно рассматривать как различные конфигурации (комплектации) одного и того же "базового" ядра. Большинство системных сервисов поддерживается во всех редакциях, в то время как отдельные сервисы присутствуют или, наоборот, отсутствуют в более "мощных" моделях. В двух следующих разделах как раз и рассматриваются различия редакций Windows Server 2003 в плане функциональных возможностей и требований к аппаратным средствам.
Введение
Мы будем рассматривать возможности и службы, единые для всех четырех версий, поскольку именно они представляют интерес для широкого читателя. Поэтому в книге используется общее имя "Windows Server 2003", за которым может стоять любая редакция ОС семейства Windows Server 2003.
Системы Windows Server 2003 сохранили многие черты своих предшественниц — Windows 2000 Server и Windows XP, поэтому пользователям, знакомым с этими системами, будет легче освоить новую систему, чем пользователям систем линейки Windows 9x/ME.
Планирование и установка системы
Данная глава содержит информацию об установке операционной системы (ОС) Windows Server 2003, краткие рекомендации по выбору метода инсталляции, а также сведения об организации систем с двойной загрузкой и устранении возможных неполадок во время установки. Материалы, изложенные здесь, адресованы в первую очередь системным и сетевым администраторам, специалистам из групп технической поддержки и опытным пользователям. Тем не менее, приведенные в данной главе сведения будут полезны и тем новичкам, которые не желают долго оставаться в этом разряде пользователей
Поддержка оборудования
Повышение надежности системы и снижение возможного времени простоя всегда являлись одной из приоритетных целей разработчиков Microsoft, и уже в Windows 2000 этим вопросам было уделено самое пристальное внимание. Весьма ограниченная поддержка Plug and Play в Windows NT 4.0 являлась одним из наиболее существенных недостатков этой операционной системы и вызывала множество справедливых нареканий пользователей. По сравнению с Windows NT, операционные системы Windows 2000 Professional и Windows 2000 Server предоставили множество усовершенствований в данной области, реализация которых стала частью инициативы нулевого администрирования Microsoft (ZAW).
Загрузка Windows Server 2003
В этой главе собраны некоторые полезные сведения (в первую очередь касающиеся процесса загрузки системы), знакомство с которыми позволит пользователю быстрее локализовать и устранить ошибки в работе системы. Проблемы с загрузкой и в процессе работы возможны в любой операционной системе, и Windows Server 2003 не является исключением из общего правила. Тем не менее, стоит порадовать пользователей и хорошими новостями: система действительно стала еще надежнее, стабильнее и, кроме того, в ее состав добавлены новые средства устранения как проблем с загрузкой, так и других неполадок. (Эти средства будут подробно описаны в главе 23 "Восстановление системы".)
Стили разделов
На компьютерах, работающих на базе процессоров Itanium под управлением Windows XP 64-Bit Edition и 64-разрядных версий систем Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition, используется новый механизм — GUID partition table (GРТ). Хотя между MBR и GРТ существуют различия, типы дисков и средства администрирования остаются одними и теми же. (Подробную информацию о GUID partition table можно найти в справочной системе, воспользовавшись контекстным поиском.)
Конфигурирование системы и встроенные приложения
Системы Windows XP и Windows Server 2003 используют один и тот же пользовательский интерфейс, а также одинаковые средства настройки системы. Поэтому читатель, знакомый с системой Windows XP, может спокойно пропустить большую часть этой главы, остановившись только на описании справочной системы и служебных программ.
Общие концепции Microsoft Management Console (MMC)
В Windows Server 2003 для управления операционной системой используется единая, уже традиционная для систем Windows 2000/XP технология средств администрирования, называемая Microsoft Management Console (MMC, Консоль управления Microsoft). Эта универсальная консоль управления разработана для запуска всех программных модулей администрирования, конфигурирования или мониторинга локальных компьютеров и сети в целом. Такие законченные модули называются оснастками (snap-in). Консоль управления сама по себе не выполняет никаких функций администрирования, но служит в качестве рабочей среды для запуска оснасток. Оснастки представляют собой управляющие компоненты, которые объединены в среде ММС. Из нескольких оснасток можно создать индивидуальный управляющий инструмент.
Средства мониторинга и оптимизации
Performance (Производительность) — обновленная оснастка систем Windows XP и Windows Server 2003, аналог утилиты Performance Monitor в Windows NT 4.0. Оснастка Performance включает в себя два компонента: ActiveX-элемент System Monitor и оснастку Performance Logs and Alerts (Оповещения и журналы безопасности). Графические средства System Monitor позволяют визуально отслеживать изменение производительности системы. С помощью System Monitor можно одновременно просматривать данные с нескольких компьютеров в виде динамических диаграмм, на которых отображается текущее состояние системы и показания счетчиков. Оснастка Performance Logs and Alerts позволяет создавать отчеты на основе текущих данных производительности или информации из журналов.
Работа с дисковыми ресурсами
В системах Windows XP и Windows Server 2003 для управления дисками и файловыми системами можно также использовать новые утилиты командной строки — DiskPart и Fsutil соответственно. Кроме того, имеется утилита Defrag для дефрагментации дисков. Эти утилиты рассматриваться не будут, поскольку они практически дублируют возможности GUI-инструментов, а информацию об их конкретных параметрах (ключах) легко можно получить в справочной системе.
Особенности служб печати в Windows Server 2003
Операционные системы из семейства Windows NT всегда предоставляли широкие функциональные возможности для печати. В системах Windows 2000 эти возможности были существенно расширены, а в Windows ХР и Windows Server 2003, можно сказать, достигли логического завершения в своем развитии. (С точки зрения пользователя, возможности печати в системах семейства Windows Server 2003 практически не отличаются от тех, которые предоставляют системы Windows XP.)
Типовые задачи администрирования
В этой главе мы рассмотрим стандартные задачи, которые администратор может выполнять в системе: конфигурирование учетных записей, настройка рабочей среды пользователя, аудит системных событий, планирование автоматического запуска задач и т. д. Кроме того, описываются два новых по сравнению с Windows 2000, весьма эффективных средства удаленного администрирования — Remote Desktop и Remote Assistance.
Управление системами Windows в корпоративной среде
В этой главе рассматриваются некоторые общие соображения, без понимания которых не всегда можно разобраться в механизмах функционирования и взаимодействия модулей, утилит, служб и т. п., имеющихся в Windows Server 2003, а также рационально использовать средства управления и конфигурирования систем и сетевой среды. При решении тех или иных административных задач (таких как настройка рабочего стола пользовательского компьютера, ограничение доступа к файлам и папкам, обеспечение отказоустойчивости и т. п.) важно знать, какие инструменты и приемы нужно использовать — т. е. понимать общую стратегию управления системой (сетевой средой); при этом недостаточно формального знакомства с интерфейсом административных оснасток и умения выполнять с их помощью элементарные задачи (например, создать учетную запись пользователя или инсталлировать приложение на сервере).
Базовые сетевые понятия и концепции в Windows Server 2003
В настоящее время любая операционная система, ориентированная на корпоративный рынок, должна включать в себя компоненты, обеспечивающие возможность ее функционирования в рамках вычислительной сети. Не является исключением и Windows Server 2003. Более того, данная операционная система позиционируется разработчиками, как основа для реализации основных сетевых сервисов в корпоративной вычислительной сети.
Серверы DHCP, DNS и WINS
Службы DNS и DHCP являются ключевыми сетевыми службами в любой корпоративной сети, построенной на базе стека протоколов TCP/IP. Более того, в среде Windows Server 2003 наличие службы DNS является одним из обязательных условий развертывания службы каталога Active Directory. Служба DNS осуществляет разрешение символических доменных имен в соответствующие им IP-адреса. Удобным дополнением к службе DNS в среде Windows Server 2003 является служба DHCP, упрощающая процесс конфигурации сетевых хостов (в том числе выделение хосту IP-адреса). Кроме того, в среде Windows многими администраторами традиционно используется служба WINS, осуществляющая разрешение символических NetBIOS-имен в соответствующие IP-адреса.
Коммуникационные службы
Данная глава посвящена рассмотрению основных коммуникационных служб, реализованных в Windows Server 2003. В первую очередь разговор пойдет о службе маршрутизации и удаленного доступа, позволяющей, в частности. внешним клиентам подключаться к корпоративной сети и использовать ее ресурсы. Здесь же рассматриваются организация виртуальных частных сетей, механизм трансляции сетевых адресов (NAT), а также служба факсов и IP-телефония.
Обзор механизмов маршрутизации Windows Server 2003
В процессе организации межсетевого взаимодействия важное место занимает маршрутизация сообщений между отдельными подсетями. При этом под маршрутизацией понимается процесс доставки сообщения из одной подсети в другую. Данная задача может решаться различными способами. При этом, чем сложнее рассматриваемая система, чем больше подсетей ее образуют, тем более нетривиальным является решение задачи доставки сообщений. Сетевой компонент, выполняющий маршрутизацию пакетов, называется маршрутизатором (router). Маршрутизатор может быть реализован на базе компьютера с несколькими сетевыми интерфейсами, на котором установлено специальное программное обеспечение. В этом случае говорят о программном маршрутизаторе. В другом случае маршрутизатор может быть выполнен в виде отдельного сетевого устройства. Разумеется, наиболее эффективным решением является использование специальных аппаратных маршрутизаторов.
Службы Интернета
Internet Information Services версии 6.0 (IIS) - набор базовых служб Интернета в составе Windows Server 2003, в число которых входят: службы WWW, FTP SMTP, NNTP и ряд дополнительных служб. Службы IIS предоставляют множество новых возможностей, которые могут превратить систему Windows Server 2003 в мощную платформу для распределенных сетевых приложений. Службы IIS объединены при помощи стандартного интерфейса администрирования и общих методов управления. Следует заметить, что подробное рассмотрение всего набора служб IIS заслуживает отдельной книги. Службы IIS могут быть рассмотрены как с позиции администратора -человека, отвечающего за настройку и корректную работу служб, так и с позиции разработчика - человека, который создает приложения, ориентированные на работу с данными службами.
Дополнительные сетевые службы
Службы терминалов (Terminal Services) представляют собой совокупность сетевых служб, обеспечивающих удаленный доступ к рабочему столу на сервере при помощи программного обеспечения "тонкого" клиента, выступающего в качестве эмулятора терминала. Все приложения и команды пользователя выполняются непосредственно на сервере, на котором функционируют службы терминалов. Удаленному пользователю, осуществляющему подключение к серверу при помощи указанных служб, передаются только образы экрана приложения, запущенного на сервере. Со стороны клиента серверу передается информация о нажатых на клавиатуре клавишах и о перемещении мыши. Эта информация обрабатывается службами терминалов сервера в рамках сеанса конкретного пользователя.
Основные концепции Active Directory
Для организации доменов на базе систем Windows 2000 Server и Windows Server 2003 используется служба каталога Active Directory. Каждый контроллер домена под управлением этих систем является сервером каталога Active Directory, и службу Active Directory невозможно развернуть без создания доменной структуры. Автономная версия службы каталога — Active Directory/Application Mode — не входит в состав систем Windows Server 2003 и планируется к выходу в конце 2003 года. . Поскольку понятия "домены Windows 2000/Server 2003" и "служба каталога Active Directory" тесно связаны, мы рассмотрим сначала возможности, организацию и использование службы Active Directory.
Проектирование доменов и развертывание Active Directory
Служба каталога Active Directory может использоваться для размещения информации о более чем миллионе объектов. Очевидно, что вся эта информация должна быть каким-то образом организована, чтобы облегчить управление этими объектами и доступ к ним. В предыдущей главе было замечено, что организация объектов каталога представляет собой древовидную структуру, которую также принято называть иерархией объектов каталога. Формирование этой иерархии входит в обязанности администратора, осуществляющего развертывание в сети Active Directory. Именно от администратора, осуществляющего проектирование структуры каталога, зависит то, насколько эффективно будет функционировать корпоративная сеть.
Администрирование доменов
Время, которое администратор тратит на выполнение операций управления системой, во многом зависит от используемого инструментария. В составе Windows Server 2003 поставляется множество системных утилит и оснасток самого разного назначения. Более того, одна и та же операция может быть выполнена различными инструментами. Поэтому администратору необходимо знать имеющиеся возможности и умело их использовать.
Использование групповых политик
Групповые политики являются мощным инструментом, посредством которого администратор может осуществлять централизованное конфигурирование большого количества рабочих станций в корпоративной сети. В данной главе мы рассмотрим более подробно использование групповых политик в масштабах домена.
Средства безопасности Windows Server 2003
В этой главе описываются базовые технологии безопасности, обеспечивающие защиту сетей и доменов Windows Server 2003. Большое внимание уделяется шифрованию с открытыми ключами, поскольку оно лежит в основе многих решений, примененных как внутри самой операционной системы, так и используемых ею в сетевых взаимодействиях.
Восстановление системы
Несмотря на то, что Windows Server 2003 по надежности и отказоустойчивости превосходит все предшествующие версии Windows, давайте посмотрим на веши реально: поскольку проблемы с загрузкой возможны при работе с любой операционной системой, то и Windows Server 2003 не является исключением из общего правила. Несмотря на новое название, эта операционная система является логическим продолжением семейства операционных систем Windows NT/2000/XP, и по этой причине в процессе загрузки Windows Server 2003 могут возникать некоторые проблемы, с которыми сталкивались пользователи этих операционных систем.
Работа с системным реестром
Как и в предыдущих версиях операционных систем из семейства Windows (включая Windows 9x/ME и Windows NT/2000/XP), реестр Windows Server 2003 представляет собой централизованную базу данных параметров настройки системы и работающих в ней приложений. В этом смысле реестр аналогичен разнообразным INI-файлам, а также файлам autoexec.bat и config.sys, которые использовались ранее. Реестр содержит информацию обо всех аппаратных средствах, программном обеспечении, операционной системе и сетевых параметрах компьютера. Эта сложная иерархическая база данных принимает участие во всех аспектах работы Windows. Хорошее понимание принципов работы реестра, выполняемых им задач, а также умение манипулировать реестром необходимо всем: системным и сетевым администраторам, специалистам из групп технической поддержки, а также опытным пользователям из числа программистов.
Сообщения системы и отладчик
Поговорим о грустном... чтобы, столкнувшись с неприятной неожиданностью — "синим экраном смерти", вы не погрустнели вдвойне. Возможно, вы уже достаточно хорошо знакомы с продуктами из семейства Windows Server 2003, а также с предыдущими версиями Windows NT/2000/XP, но во время работы еще не попадали в такую ситуацию. Хотя эта система и надежнее предыдущих версий линейки Windows NT/2000, это не значит, что "синий экран смерти" — следствие серьезных ошибок — не возникнет никогда. Если даже такие ошибки и не появятся, вы все равно должны быть готовы устранить их!
TCP-IP крупным планом
Семейство протоколов TCP/IP работает на любых моделях компьютеров, произведенных различными производителями компьютерной техники и работающих под управлением различных операционных систем. С помощью протоколов TCP/IP можно объединить практически любые компьютеры. И что самое удивительное, сегодняшние реализации протокола TCP/IP очень далеки от того, как он задумывался исходно. В конце 60-х годов начался исследовательский проект, финансируемый правительством США, по разработке сети пакетной коммутации, а в 90-х годах результаты этих исследований превратились в наиболее широко используемую форму сетевого взаимодействия между компьютерами. В настоящее время это действительно открытая система, а именно, семейство протоколов и большое количество бесплатных реализаций (либо достаточно дешевых). Они составляют основу того, что в настоящее время называется словом Internet.Уровни
Сетевые протоколы обычно разрабатываются по уровням, причем каждый уровень отвечает за собственную фазу коммуникаций. Семейства протоколов, такие как TCP/IP, это комбинации различных протоколов на различных уровнях. TCP/IP состоит из четырех уровней
Ethernet и IEEE 802 инкапсуляция
В этой главе мы подробно рассмотрим канальный уровень Ethernet, два специализированных канальных уровня для последовательных интерфейсов (SLIP и PPP) и драйвер loopback, который присутствует практически во всех реализациях. Ethernet и SLIP это канальные уровни, используемые для большинства примеров в данной книге.
IP заголовок
IP это рабочая лошадь семейства протоколов TCP/IP. TCP, UDP, ICMP и IGMP передают свои данные как IP датаграммы. Один факт часто удивляет новичков TCP/IP, особенно тех кто работал с X.25 или SNA, этот факт заключается в том, что IP ненадежный протокол, предоставляющий сервис доставки датаграмм без соединения.
Протоколы определения адреса: ARP и RARP
Проблема, которую мы будем обсуждать в этой главе, заключается в том, что IP адреса имеют какое-либо значение только в семействе протоколов TCP/IP. Канальные уровни, такие как Ethernet или Token ring, имеют собственную схему адресации (в основном 48-битные адреса); сетевые уровни, в свою очередь, используют эти канальные уровни.
Формат пакета RARP
Когда загружается система с локальным диском, она обычно получает свой IP адрес из конфигурационного файла, который считывается с диска. Однако для систем, не имеющих диска, таких как X терминалы или бездисковые рабочие станции, требуются другой способ определения собственного IP адреса.
Инкапсуляция ICMP сообщений в IP датаграммы
Обычно считается, что ICMP это часть IP уровня. С его помощью передаются сообщения об ошибках и сообщения о возникновении условий и ситуаций, которые требуют к себе особого внимания. ICMP сообщения обрабатываются IP уровнем или более высокими уровнями (TCP или UDP). При появлении некоторых ICMP сообщений генерируются сообщения об ошибках, которые передаются пользовательским процессам
Программа Ping
Обычно, если Вы не можете послать Ping на хост, то не сможете получить доступ к этому хосту, используя Telnet или FTP. С другой стороны, если Вы не можете зайти на хост с помощью Telnet, Ping, как правило, начальная точка, с которой начинается идентификация проблемы. Помимо этого, с помощью Ping можно оценить время возврата пакета от хоста, что дает представление о том, "насколько далеко" находится хост.
Функционирование программы Traceroute
Программа Traceroute, написанная Van Jacobson, - отладочное средство, которое позволяет лучше понять устройство протоколов TCP/IP. Обычно две последовательные датаграммы отправленные от одного и того же источника к одному и тому же пункту назначения проходят по одному и тому же маршруту, однако гарантировать этого невозможно.
Действия, выполняемые IP уровнем
Маршрутизация - это одна из наиболее важных функций IP. На рисунке 9.1 показана упрощенная модель того, что реализуется на IP уровене. Датаграммы, которые должны быть смаршрутизированы, могут генерироваться как локальным хостом, так и каким-либо удаленным хостом. В последнем случае наш хост должен быть сконфигурирован как маршрутизатор, иначе датаграммы, получаемые через сетевые интерфейсы и не предназначенные нашему хосту, будут молча удалены
Динамическая маршрутизация
Все о чем мы говорили в предыдущей главе, имело отношение к статической маршрутизации. Записи в таблице маршрутизации создавались при конфигурации интерфейса (для интерфейсов подключенных напрямую), добавлялись командой route (обычно из системных загрузочных файлов) или создавались с помощью ICMP перенаправления (при использовании неверных маршрутов).
UDP инкапсуляция
UDP простой, ориентированный на передачу датаграмм, протокол транспортного уровня: за один раз процесс выдает одну UDP датаграмму, в результате чего передается одна IP датаграмма. Это отличается от поток-ориентированных протоколов, таких как TCP, где количество данных, которое выдается приложением, практически не имеет отношения к количеству отправленных IP датаграмм.
Широковещательные запросы
Широковещательные и групповые запросы применимы только к UDP, подобные типы запросов позволяют приложению послать одно сообщение нескольким получателям. TCP - протокол, ориентированный на соединение, с его помощью устанавливается соединение между двумя хостами (по указанному IP адресу) с использованием одного процесса на каждом хосте (который идентифицируется по номеру порта).
Инкапсуляция IGMP сообщения в IP датаграмму
В этой главе мы рассмотрим протокол управления группами Internet (IGMP - Internet Group Management Protocol), который используется хостами и маршрутизаторами, для того чтобы поддерживать групповую рассылку сообщений. Он позволяет всем системам физической сети знать, какие хосты в настоящее время объединены в группы и к каким группам они принадлежат. Эта информация необходима для групповых маршрутизаторов, именно так они узнают, какие групповые датаграммы необходимо перенаправлять и на какие интерфейсы.
Основы DNS
Система имен доменов (DNS - Domain Name System) это распределенная база данных, которая используется приложениями TCP/IP, для установления соответствия между именами хостов и IP адресами. DNS также используется для маршрутизации электронной почты. Мы используем термин распределенная, потому что на одном узле Internet не хранится вся необходимая информация.
Протокол
TFTP - это простой протокол передачи файлов. Он, как правило, используется при загрузке бездисковых систем (рабочие станции или X терминалы). В отличие от протокола передачи файлов (FTP - File Transfer Protocol), который использует TCP, TFTP использует UDP. Это сделано для того, чтобы протокол был как можно проще и меньше.
|
Протокол Формат пяти TFTP сообщений. Пример |
Обмен пакетами в случае TFTP. Безопасность Краткие выводы |
Формат пакета BOOTP
При использовании RARP возникает две проблемы: единственное, что можно узнать, это IP адрес, и так как RARP использует широковещательный запрос на канальном уровне, запросы RARP не перенаправляются маршрутизаторами (поэтому RARP сервер должен находиться в каждой физической сети). В этой главе мы опишем альтернативный метод загрузки бездисковых систем, который называется протоколом загрузки (BOOTP - Bootstrap Protocol).
TCP сервисы
Несмотря на то, что TCP и UDP используют один и тот же сетевой уровень (IP), TCP предоставляет приложениям абсолютно другие сервисы, нежели UDP. TCP предоставляет основанный на соединении надежный сервис потока байтов.
|
TCP сервисы Заголовок TCP Инкапсуляция TCP данных в IP датаграмму. |
TCP заголовок. Краткие выводы Упражнения |
Установление и разрыв соединения
TCP это протокол, ориентированный на соединение. Перед тем как какая-либо сторона может послать данные другой, между ними должно быть установлено соединение. В этой главе мы подробно рассмотрим, как устанавливается TCP соединение и как оно разрывается.
Интерактивный ввод
Если проанализировать TCP траффик, как, например, это сделано в [Caceres et al. 1991], можно обнаружить, что примерно половина всех TCP сегментов составляет неинтерактивные данные (FTP, электронная почта, новости Usenet), а другая половина принадлежит интерактивным или диалоговым приложениям (Telnet и Rlogin, например). По количеству байт, примерно 90% составляют неинтерактивные данные, а 10% диалоговые данные.
Обычный поток данных
В этой главе мы увидим, что TCP использует другую форму управления потоком данных, которая называется протоколом с изменяющимся окном (sliding window) . Это позволяет отправителю передать несколько пакетов, перед тем как он остановится и будет ждать подтверждения. При этом данные передаются быстрее, так как отправитель не должен останавливаться и ждать подтверждения каждый раз после отправки пакета.
Пакетный фильтр BSD
В современных реализациях ядра BSD существует пакетный фильтр BSD (BPF - BSD Packet Filter), именно его использует tcpdump, чтобы отлавливать и фильтровать пакеты из сетевой платы (которая помещена в смешанный режим). BPF также работает с каналами точка-точка, такими как SLIP (при этом не требуется специальных настроек), и с интерфейсом loopback.
Фундаментальный анализ - перейти
Фундаментальный анализ - перейти
Фундамент Forex - перейти
Нейронные сети - перейти
Нейросети - перейти
Нейросетевой анализ - перейти
АНС сети - перейти
Справочник по нейросетям - перейти
Пакет 3dsmax 5 - перейти
От Автора - перейти
Введение - перейти
Установка программы - перейти
Элементы Управления - перейти
Команды и Операции над объектами - перейти
Моделирование - перейти
Forekc.ru
Рефераты, дипломы, курсовые, выпускные и квалификационные работы, диссертации, учебники, учебные пособия, лекции, методические пособия и рекомендации, программы и курсы обучения, публикации из профильных изданий