62177 (Адміністрування користувачів з використанням локальних і глобальних груп), страница 2

Windows NT дозволяє використовувати набір стандартних дозволів, які можна встановлювати для каталогів і файлів. Стандартними дозволами для каталогів є: No Access, Read, Add, Add & Read, Change і Full Control.

При встановленні стандартної чіткості поруч з ним у дужках відображаються великі літери встановлених індивідуальних дозволів. Наприклад, при встановленні для файлу стандартної чіткості Read поруч зі словом Read з'являється абревіатура RX, яка означає, що стандартного дозволу Read відповідає установка двох індивідуальних дозволів - Read і Execute.

Адміністратор може з допомогою утиліти File Manager встановлювати як стандартні, так і індивідуальні дозволу.

Для того, щоб ефективно користуватися можливостями механізмів безпеки NTFS, потрібно пам'ятати наступне:

Користувачі не можуть користуватися каталогом або файлом, якщо вони не мають дозволу на це, або ж вони не належать до групи, яка має відповідний дозвіл.

Дозволи мають накопичувальний ефект, за винятком дозволу No Access, яка скасовує всі інші наявні дозволу. Наприклад, якщо група CO-WORKERS має дозвіл Change для якогось файлу, а група Finance має для цього файлу тільки дозвіл Read, і Петров є членом обох груп, то в Петрова буде дозвіл Change. Однак, якщо дозвіл для групи Finance зміниться на No Access, то Петров не зможе використовувати цей файл, незважаючи на те, що він член групи, яка має доступ до файлу.

Коли ви створюєте в каталозі файли і підкаталоги, то вони успадковують дозволи, які має каталог.

Користувач, який створює файл чи каталог, є власником (owner) цього файлу або каталогу. Власник завжди має повний доступ до файлу або каталогу, тому що може змінювати дозволи для нього. Користувачі - члени групи Administrators - завжди можуть стати власниками будь-якого файлу або каталогу.

Найзручнішим шляхом управління захистом файлів і каталогів є установка дозволів для груп користувачів, а не для окремих користувачів. Зазвичай користувачу потрібен доступ до багатьох файлів. Якщо користувач є членом будь-якої групи, яка має доступ до цих файлів, то адміністратору простіше позбавити користувача цих прав, вилучивши його зі складу групи, а не змінювати дозволи для кожного файлу. Зауважимо, що установка дозволу для індивідуального користувача не скасовує дозволів, даних користувача як члену певної групи.

6. Керування профілями користувачів

Коли користувач локально входить перший раз на будь-який комп'ютер, то для нього за умовчанням створюється профіль. Всі налаштування середовища (колір фону, шпалери, шрифти і т.п.) автоматично зберігаються в підкаталозі Profiles системного каталогу даного комп'ютера, наприклад, C: \ NT40w \ Profiles \ username, де username - ім'я користувача. Профіль зберігається у файлі з ім'ям ntuser. dat

Адміністратор також може настроювати профіль користувача, входячи в будь-який комп'ютер під ім'ям цього користувача.

На відміну від профілю користувача, що встановлюється за замовчуванням, існує також Roaming - переміщуваний профіль користувача, який формує одну й ту ж середовище для даного користувача, незалежно від того, з якого комп'ютера він увійшов в мережу.

Переміщувані користувача профілі зберігаються централізовано на сервері, а не на локальних комп'ютерах користувачів.

Адміністратор може визначити для користувача один з двох типів переміщуваних профілів.

Індивідуальний переміщуваний профіль, який користувач може змінювати. Будь-які зміни, які користувач вніс у своє середовище, вносяться в індивідуальний переміщуваний профіль тоді, коли користувач логічно виходить з мережі. Коли той же користувач входить знову, з сервера завантажується останній варіант профілю. Таким чином, якщо використовуються переміщувані індивідуальні профілі, то у кожного користувача є свій власний переміщуваний профіль. Цей профіль зберігається у файлі ntuser. dat в одному з поділюваних каталогів сервера.

Обов'язковий (mandatory) переміщуваний профіль - це налаштована адміністратором профіль, який користувач не може змінити. Один обов'язковий профіль може бути призначений декільком користувачам. Цей вид профілю доцільно призначати тих користувачів, яким потрібна однакова середу, наприклад, операціоністам банку. Обов'язковий профіль повинен мати розширення. Man. Індивідуальний профіль можна зробити обов'язковим, перейменувавши його з Ntuser. dat в Ntuser. man.

Починаючи з версії 4.0, адміністраторові пропонується більш потужний засіб керування профілями користувачів - System Policy Editor. З його допомогою адміністратор може змінювати профіль користувача, не входячи під його ім'ям. При цьому він може встановлювати обмеження, які неможливо було б встановити, входячи під ім'ям користувача, наприклад, заборона на використання команди Run. System Policy Editor може може використовуватися для формування як локальних, так і переміщуваних профілів. Переміщуваний профіль зберігається у файлі Ntconfig. pol в поділюваному каталозі Netlogon на PDC.

7. Аудит

Призначення аудиту

Аудит - це функція Windows NT, що дозволяє відстежувати діяльність користувачів, а також всі системні події в мережі. За допомогою аудиту адміністратор отримує інформацію:

про виконане дії,

про користувача, який виконав цю дію,

про дату і час виконання дії.

Адміністратор використовує політику аудиту (Audit Policy) для вибору типів подій, які потрібно відстежувати. Коли подія відбувається, в журнал безпеки того комп'ютера, на якому воно відбулося, додається новий запис. Журнал безпеки є тим засобом, за допомогою якого адміністратор відстежує наступ тих типів подій, які він поставив.

Політика аудита контролера домену визначає кількість і тип фіксованих подій, що відбуваються на всіх контролерах домену. На комп'ютерах Windows NT Workstation або Windows NT Server, що входять до домену, політика аудиту визначає кількість і тип фіксованих подій, що відбуваються тільки на даному комп'ютері.

Адміністратор може встановити політику аудиту для домену для того, щоб:

відстежувати успішні і неуспішні події, такі як логічні входи користувачів, читання файлів, зміни в дозволах користувачів і груп, виконання мережевих з'єднань тощо;

виключити або мінімізувати ризик несанкціонованого використання ресурсів;

аналізувати тимчасові тенденції, використовуючи архів журналу безпеки.

Аудит є частиною системи безпеки. Коли всі засоби безпеки відмовляють, записи в журналі виявляються єдиним джерелом інформації, на підставі якої адміністратор може зробити висновки про те, що сталося або готується відбутися в системі.

Встановлення політики аудита є привілейованим дією: користувач повинен або бути членом групи Administrators на тому комп'ютері, для якого встановлюється політика, або мати права Manage auditing and security log.

Реалізація політики аудита

Політика аудиту встановлюється окремо для кожного комп'ютера. Наприклад, для аудиту логічного входу користувачів до домену необхідно встановити політику аудиту на PDC (ця ж політика визначена і для всіх BDC домену). Для спостереження за доступом до файлів на сервер домену - member server-необхідно встановити політику аудиту на цьому сервері.

Події записуються в журнал певного комп'ютера, але можуть переглядатися з будь-якого комп'ютера мережі користувачем, який має права адміністратора на той комп'ютер, де відбулася подія.

Встановлення політики аудита включає два етапи:

визначення політики аудиту за допомогою панелі Audit Policy утиліти User Manager for Domains або User Manager;

визначення каталогів, файлів і принтерів, доступ до яких необхідно відстежувати. Для цього використовується Windows NT Explorer або панель Printers. Спостереження за файлами і каталогами можливо тільки для файлової системи NTFS.

Перегляд журналу подій здійснюється за допомогою утиліти Event Viewer (журнал Security).