Этот случай произошёл 10 лет назад. После серьёзной травмы спины я устроился на работу по трудовому договору в государственную организацию на должность IT-специалиста. Деньги платили смешные, но прельщал чёткий перечень должностных обязанностей и возможность реализовать все свои задумки без параноидальных и противоречивых инструкций информационной безопасности (по крайней мере я так думал, когда устраивался на эту работу).

Проблема большинства государственных организаций – очень скудный IT-бюджет, при потрясающе грандиозных задачах и планах. Приходится изворачиваться и изгаляться всеми способами при реализации всех «хотелок» руководства. Сотрудники же, которых в итоге нагружают всё большей работой при реализации этих грандиозных планов, начиняют конфликтовать с IT-специалистами и зачастую устраивают серьёзный саботаж нововведений.

При устройстве на работу выяснилось, что у 5 сотрудников отсутствовали персональные компьютеры. Точнее они были в виде устаревших или нерабочих системных блоков. Сервер был перегружен и требовалось максимально его разгрузить раскидать непрофильные задачи по другим машинам. Задача была нетривиальная, но нежданно-негаданно нам привезли сенсорное информационное табло-стойку в антивандальном исполнении. Табло имело гордое название "Информационный киоск". Сердцем данного киоска была очень хорошая материнская плата с возможностью организации RAID-массива из 6 SATA дисков и довольно очень шустрым процессором. Специальное ПО киоска работало только на Win-XP. Так как вычислительные мощности киоска большую часть времени простаивали, то в условиях дефицита свободных компьютеров, мной было решено использовать их по максимуму для моей работы (а ведь можно было и майнер запустить). В него были добавлены два жестких диска по 160 Гб. Информационный киоск взял на себя функцию основного антивирусного сервера а также сетевого ресурса для временного хранения автоматического резервного копирования пользовательских данных.

Скрипты по ночному резервному копированию данных использовали возможности киоска по максимуму. Так как в ХР количество одновременного доступа к сетевому ресурсу ограничено 10 сессиями то пришлось ночное резервное копирование осуществлять поэтапно. Каждый час «просыпался» десяток компьютеров, архивировались файлы и базы, которые копировались по сети на диски киоска. Утром результаты ночного копирования перегонялись на съёмный диск, который бережно прятался в железный ящик, именуемый сейфом.

Недели через две отлаженного процесса стали происходить периодически необъяснимые сбои в моей сети – часть резервных копий, а то и все переставали копироваться на диски киоска и приходилось их забирать по сети в ручном режиме с компьютеров пользователей. Я не мог найти причину объяснения этой проблеме. Тестовые запуски отрабатывали всё отлично. Приходишь утром- киоск работает, доступен в сети, не завис, но в логах указывается причина сбоя – недоступность сетевого ресурса. Первоначально я грешил на зависание восьмипортовый коммутатора (свитч), через который был подключен киоск во внутреннюю сеть. Пришлось проложить цельный кабель от серверной до информационного киоска и проблема на время исчезла. Дней через 10 она дала о себе знать снова. Но теперь было видно, что ночью перезагружается сам киоск из-за пропадания электроэнергии. Ну, это же проблема для "очумелых ручек". Я умудрился запихнуть в корпус киоска 1000-ый бесперебойник и нормальная работа резервного копирования вновь восстановилась. Я ликовал – добился своего и решил все возникшие проблемы.

Но через два дня я был, мягко говоря, разочарован. На меня нажаловался один из охранников. Я мешал ему ночью спать. Этот охранник бывший офицер и был хорошо знаком с компьютерными сетями и компьютерами. Оказалось, что ночная активная работа киоска вызывало переход его вентиляторов в усиленный режим работы. И этот шум мешал ему спать !

Сначала он «успокаивал вентиляторы» киоска тем, что отключал восьмипортовый коммутатор, а потом нашёл в электрическом щитке автомат, который вырубал питание 220V на киоске. Но вот втиснутый мной внутрь  антивандального корпуса бесперебойник, вызвал у него чувство трепетного негодования. Как только он вырубал автомат в щитке, то к шуму вентиляторов добавлялся громкий и нудный писк бесперебойника который сразу же появлялся  и окончательно лишал его ночного сна на «боевом посту».

Руководство велело мне улучшить вентиляцию в антивандальном корпусе киоска, дабы ночью не нарушалось душевное равновесие поста охраны.

Этот случай был одним из тех, которые заставили меня пересмотреть моё отношение к принципам  и правилам информационной безопасности.

Я прекрасно понимаю, что этой заметкой для многих я не открою ничего нового. Пост в первую очередь предназначен для начинающих коллег, но если более опытные сисадмины подключатся к обсуждению и поделятся опытом, получится интересно.

Итак %username%, тебя взяли на работу. Предположим, что ты более - менее разбираешься в вопросе и умеешь чуть больше, чем картридж поменять. С момента, как ты стал сисадмином, ты взял на себя огромный груз ответственности. Ты отвечаешь не только за то, что-бы ничего не наебнулось - ты отвечаешь за лицензирование. Будь уверен, если придет проверка, твой генеральный прикинется ветошью и не отсвечивая покажет пальцем в твою сторону.

О лицензировании.

Твоя задача не только самостоятельно не устанавливать всякую дичь aka RePack Photoshopа, но и не дать пользователям самостоятельно устанавливать и запускать подобную дичь с флешки и иных папок/носителей.

Об ограничении.

Описанный ниже способ сэкономит твои нервы и придаст уверенности в используемом программном обеспечении. Политика ограниченного использования программ подобна настройке FireWall. Она предполагает определение типа запрета:

- всё можно, кроме указанного в списке.

- всё нельзя, кроме указанного в списке.

Мне по душе второй вариант. Я люблю работать с местоположением программ.

Для начала мы определяем границы возможностей пользователя:

Определим пути, куда пользователь прав на запись не имеет:

- C:\Windows

- "C:\Program Files"

- "C:\Program Files (x86)"

Именно в этих расположения находятся приложения, установленные системой и администратором.

В остальные каталоги и локальные диски пользователь может иметь доступ на запись.

Это значит, что он может сохранить там приложение и выполнять его.

Если мы разрешим запуск приложений только из системных каталогов, мы получаем:

- Перестают работать Амиго, Яндекс браузер и прочее ПО из профиля пользователя.

- Пользователь не может сам запустить скачанное из интернета приложение: каталоги, откуда он может запустить программу закрыты на запись, а открытые на запись запрещены к запуску.

- Никаких шифровальщиков

- Никакого Portable софта.

При этом Администратор может всё.

Интересно? Читай дальше.

Создание объекта групповой политики

После создания объекта, редактируем его. Идем по пути:

[Конфигурация пользователя - Политики - Конфигурация Windows - Настройки безопасности - Политики ограниченного использования программ]

Создаем новую политику.

После создания нам требуется указать уровень безопасности (то, о чем я говорил - черные и белые списки):

в папке Уровни безопасности выбираем уровень по умолчанию "запрещено".

Далее выбираем область применения политики: все пользователи, кроме локальных администраторов. Это позволит нам устанавливать программы. Разрешаем запуск библиотек: это сохранит работоспособность расширений браузера и ActiveX.

Теперь переходим в папку "Дополнительные правила"

Именно тут нам предстоит создать "белый список".

По умолчанию указаны пути системного каталога и каталога приложений.

Здесь мы будем создавать правила. Нас интересуют два типа правил: правило пути и правило хэша.

Правило пути определяет местоположение файла и разрешает запуск приложений из этого расположения.

Правило хэша определяет контрольную сумму конкретного файла и разрешает его запуск из любого расположения.

Например разрешим людям играть в СТАЛКЕР (ты в курсе, что он работает с флешки). Создадим правило для Хэша, так как мы не знаем букву флешки на компьютерах пользователей.

Это просто для примера. Ты понимаешь, да?

Теперь давай разрешим запуск скриптов из папки Netlogon: создадим правило пути.

Хочешь видеть результат?

Смотри скриншот - ты только что сам заблокировал запуск установки Яндекс.Браузера.

Если-бы не политика, он установился-бы  в профиль пользователя и работал-бы от туда. Та же участь постигнет шифровальщики и "письма из налоговой" с расширением exe и js.

Бери в руки инструмент и будь рука твоя тверда на пути к власти над пользователями, но помни о бухгалтерах. Для бухгалтера с банк клиентами и Контур.Экстерном создай отдельную политику.

Учти, что OneDrive тоже будет заблокирован - разреши его запуск по пути.

Иначе на всех всех компьютерах с Windows 10 при каждом входе будет вылезать ошибка. Если ты хочешь заблокировать OneDrive, ищи другой путь. Но помни: может кто-то его использует.

Так ты отберешь тех, кто им пользуется от тех, кому он не нужен.

И не забывай про обновление ADMX шаблонов.

Всем привет!

Обои поклеил и пиво льется рекой, а это значит, что Уханов снова вещает.

А поговорим мы сегодня о пароле локального администратора.

Новички иногда попадают в такую ситуацию: выводит компьютер из домена, и для подтверждения вводит пароль доменного администратора. После перезагрузки выясняется, что пароль локального администратора он не помнит. Ситуация неприятная, но не тупиковая, если по рукой есть флешка или CD.

Что нужно было сделать, что-бы не выстрелить себе в ногу? Вывести компьютер из домена, используя пароль локальной учетной записи с правами администратора. Таким образом можно быть уверенным, что помнишь пароль.

Установка пароля через групповые политики.

Чаще администраторы прибегают к установке на компьютеры домена одинакового пароля средствами групповых политик.

Почему это плохо?

Пароль администратора хранится в зашифрованном виде в xml файле  каталога групповых политик. Файл доступен для чтения всем авторизованным пользователям домена.

Считаете, если он зашифрован, то вы в безопасности? Как бы не так: Microsoft опубликовала 32-битный AES ключ шифрования пароля.

Майкрософт категорически не рекомендует так менять пароли, а в новых версиях Windows Server настоятельно говорит так не делать. Такие дела, малята: получить пароль админа проще простого.

Бюллетень MS14-025 запрещает установку пароля таким образом. Поле пароля неактивно.

А ещё может случиться необходимость предоставить пользователю административные привилегии. На моей практике такое было пару раз -  я потерял связь с компьютером и ничего не мог сделать: Быстрой помощи в Windows 10 ещё не было, а TeamViewer или AmmyAdmin  блокировались политикой ограниченного использования программ. На часах ночь, а принтер у человека не работал.

И я со спокойной душой назвал ему пароль локального админа: утром пароль поменялся автоматически. Но я восстановил доступ к компьютеру и наладил принтер.

Local Administrator Password Solution - это официальный инструмент для установки и периодической смены пароля администратора.

Он бесплатен в использовании и прост в настройке.

Что он умеет?

- с заданной периодичностью компьютер сам меняет пароль указанной учетной записи.

- Пароль хранится в AD

- У каждого компьютера свой пароль

- параметры пароля и учетной записи настраиваются

При помощи утилиты LAPS UI можно узнать текущий пароль - надо лишь указать имя компьютера

Скачать чудо утилиту с подробнейшим мануалом можно по ссылке выше.

Хорошая статься на WINITPRO тут.

Коллеги, всем хороших выходных и прекрасного настроения.

Поделюсь фото пенного на фоне рабочей машины с дисками, которые так любит вынимать мой сын. Благо, Storage Spaces спокойно переносит кражу одного и даже двух дисков массива.

А как вы решили проблему паролей?