На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Microsoft Operations Manager

Наш опыт управления крупными сетями систем под управлением Windows позволяет нам со всей ответственностью утверждать, что главное — это информация. Тот, кто не знает, что творится в центре хранения данных, может забыть и о безопасности. Почему мы решили рассказать о MOM в главе о будущем безопасности Windows? Хотя MOM доступен сейчас как
дополнение, но мы верим, что в ближайшем будущем этот инструментарий станет стандартом мониторинга событий и производительности всех серверных приложений Windows. Поэтому следует, по крайней мере, дать обзор этого продукта и рассказать о средствах обеспечения безопасности при его работе.
Узнать о предназначении MOM можно из источников, которые приведены в разделе "Дополнительная литература И ссылки" в конце этой главы. Здесь же мы сосредоточимся на преимуществах безопасности MOM. Основное преимущество MOM заключается в том, что это средство позволяет предоставить безопасную, централизованную базу данных записей о событиях для всего окружения. Как правило, это выполняется с помощью функции MOM для объединения журналов безопасности, благодаря которой собранные сведения о событиях отправляются на защищенный центральный компьютер. При этом объединяются различные источники данных, включая сообщения протокола SNMP и UNIX-программы syslog. Это незаменимое средство для тех администраторов, кому приходится управлять журналами безопасности на тысячах серверов. MOM также позволяет отслеживать параметры безопасности для систем, объединенных в организационные единицы (например US-серверы).
Безусловно, одного отслеживания и сбора записей о событиях недостаточно, мы знаем множество организаций, в которых хранятся огромные объемы информации с записями о зарегистрированных событиях, которые никогда никто не просмотрит и не предпримет ника­ких действий. Администратор должен создать систему оповещения о критически важных событиях и организовать автоматическое применение заранее созданных политик, которые не должны изменяться до вмешательства администратора. Инструментарий MOM позволяет организовать такие действия в ответ на важные события с помощью сценариев для уведомления администраторов и/или профилактического назначения политики для всего окружения. Например, Microsoft Operations Manager может отправлять уведомления на указанную учетную запись администратора, отключать учетную запись в ответ на зарегистрированные незаконные действия или даже выключать потенциально скомпрометированный компьютер.
Кроме того, в MOM можно корректировать действуюшие или создать новые правила, которые позволяют осуществлять мониторинг тенденций относительно производительности системы и приложений как в целях создания отчетов, так и для планирования. При этом все данные предоставляются в виде удобных для восприятия графиков и диаграмм.
Предусмотрительный системный администратор должен уже сейчас заинтересоваться возможностями Microsoft Operations Manager (MOM) 2005, выпуск которого планируется уже в 2004 году. Новая версия MOM позволит управлять данными Active Directory, .NET Framework, Exchange, Biz-talk, ISA Server и SQL Server (и это еше неполный список).
)Система MACS представляет собой приложение типа "клиент-сервер", которое предназначено для сбора информации о событиях, касающихся безопасности, в сжатом и шифрованном виде и сохранения записей об этих события в базу данных SQL Server для анализа. MACS также позволяет отправлять в реальном времени профильтрованные потоки событий системам обнаружения вторжений. Вместо того чтобы анализировать журналы событий на каждом отдельном компьютере, MACS предоставляет централизованное хранилище для зарегистрированных событий в удобном для анализа формате SQL. Как мы рассказали выше, технология MOM обеспечивает похожие функциональные возможности, поэтому в будущем возможна интеграция MACS в MOM.
Microsoft Audit Collection
Systems Management Server (SMS)
Система MOM предназначена для отслеживания событий, уведомления о них и профилактических действий, но не предназначена для распространения программного обеспечения. Для этой цели существует сервер Systems Management Server (SMS). Как легко догадаться, это превращает SMS в основное средство для установки заплат безопасности — одного из наиболее важных процессов в окружении Microsoft.
Во время создания этой книги история управления заплатами от Micron оставалась еще не достаточно структурированной. Сервер SMS является наилучшим решением проблемы распространения заплат в крупных сетях. Он обеспечивает автоматическую инвентаризацию, распространение и создание отчетов с помощью Software Update Services (SUS) Feature Pack. Для менее крупных компаний с менее серьезными требованиями к менеджменту изменений и конфигурации, компания Microsoft рекомендует SUS как средство для организаций среднего размера, т.е. для компаний, имеющих не более 1000 настольных систем. Сочетание простоты и функциональности как раз подходит для организаций такого размера. Служба SUS предназначена в основном для систем Windows 2000 и Windows ХР. Для поддержания системы защиты на всех системах семейства Windows NT, серверах US, SQL и Internet Explorer, можно также использовать MBSA (Microsoft Baseline Security Analyzer — анализатор основных элементов защиты Microsoft), о котором мы рассказали в главе 16, "Возможности и средства защиты в системах Windows".
Если заглянуть в ближайшее будущее, то, скорее всего, SMS сохранит позиции наиболее мощного средства для управления обновлениями с возможностью интеграции в ядро операционной системы (в зависимости от того, насколько настойчиво пользователи продуктов Microsoft будут продолжать жаловаться на возникающие проблемы).
18 марта 2003 года компания Microsoft заявила о новой стратегической инициативе, которая призвана объединить воедино Microsoft Operations Manager (MOM) 2005 и Systems Management Server (SMS) 2003 в единый пакет программного обеспечения под названием System Center. Пакет Sysiem Center будет использовать возможности технологии Microsoft System Definition Modei (SDM) для управления различными объектами в диапазоне от персональных цифровых помощников (PDA), настольных и переносных компьютеров и до приложений и серверов. Инициатива Microsoft Dynamic System Initiative (DS1) базируется на технологии SDM, которая предназначена для добавления средств развертывания, конфигурирования и обновления непосредственно в сами приложения, благодаря чему отпадает необходимость последующей реализации этих возможностей с помощью специальных агентов (например SMS и MOM). Тем не менее, еще слишком рано говорить о реализации на практике принципов DSI и объединение различных платформ остается пока под большим вопросом. В настоящее время Microsoft четко позиционирует технологии SMS и MOM как будущее управления ресурсами для систем Windows.

Также доступны и много других систем управления обновлениями от других производителей, среди наших предпочтений — программа HFNetChk Pro от компании Shavlik.
System Center
Longhorn
Любая книга о безопасности Windows будет неполной без описания новых функций безопасности, которые планируется реализовать в следующей версии этой операционной системы. К моменту написания книги ходили только слухи О следующем поколении операцион­ных систем Windows под кодовым названием Longhorn, выпуск которых намечен на 2005 год, а потому подробный анализ проводить еще рано (предварительная версия была представлена в Internet в мае 2003 года, ее обсуждение ограничивалось в основном свойствами пользовательского интерфейса и файловой системы)- Однако, мы приведем краткий обзор, в котором изложены наши первые впечатления от новой операционной системы.

На первый взгляд
Для операционной системы Windows Server 2003 пропагандировался девиз "Do more with less", что можно перевести как "Делайте больше с применением меньшего количества средств". Это вполне отвечало требованиям рынка информационных технологий, на котором с 2001 года наметился некоторый спад- Похоже, компания Microsoft вернулась к своим принципам насыщения массового рынка, когда благодаря новым продуктам вычисления выполняются с помощью простых в использовании и понятных для пользователей средств. Упрощение использования должно затронуть прежде всего:
V установку и принципы работы;
■ создание платформы для распределенных приложений; * совместное использование информации.
Как мы указывали в главе I, "Основы безопасности сетей и систем", для нас одним из важнейших принципов безопасности является простота, поскольку гораздо труднее обеспечить защиту сложных систем. Мы надеемся, что это целенаправленное упрощение в Longhorn затронет и систему безопасности, но пока мы подождем с прогнозами. Мы не собираемся обсуждать все возможности Longhorn, а только тс, которые касаются безопасности. Итак, что мы имеем...
Функции обеспечения безопасности в операционной системе Longhorn
Пока доступно совсем мало информации о безопасности Longhorn, что и неудивительно для начального этапа создания программного продукта. Далее перечислены наиболее выдающиеся функции обеспечения безопасности, которые должны сыграть важнейшую роль в новой операционной системе.
Безопасность Web-служб
Web-служба — это изолированный компонент программного обеспечения, который выполняет определенные функции и предоставляет информацию о своих возможностях для других компонентов сети. Web-службы основаны на широко рекламируемых и разрабатывае-
Web-служб)— формат XML для описания конечных точек соединения, предоставляемого Web-службой; спецификацию UDDI (Universal Description, Discovery, and Integration — универ-
сальное описание, поиск и взаимодействие) — набор ХМL-протоколов и инфраструктуру для описания и поиска Web-служб; и протокол SOAP (Simple Object Access Protocol — упрошенный протокол доступа к объектам) — протокол на базе языка XML, который определяет правила передачи сообщений и удаленного вызова процедур между Web-службами. Эти три ключевые технологии Web-службы позволяют создавать новые приложения и процессы.
В главе 10, "Хакингсервера IIS", мы уже рассказывали о некоторых атаках на компоненты Web-служб, которые включены в операционные системы Windows. Хотя еще не было уведомлений о выявлении серьезных уязвимых мест в технологии Web-служб, но такие технологии, как SOAP, WSDL и UDDI, предоставляют новые интерфейсы, которые можно использовать для хакинга приложений. В апреле 2002 года компании Microsoft, IBM и VerySigh заявили о выходе новой спецификации по безопасности Web-служб, получившей название Web Services Security Language или WS-Security (см. раздел "Дополнительная литература и ссылки" в конце этой главы). В WS-Security более развернуто представлены идеи, ранее упоминаемые в подобных спецификациях от IBM и Microsoft (в частности SOAP- Security, WS-Security и WS-License).
По существу, WS-Security определяет ряд расширений для протокола SOAP, которыми можно воспользоваться для реализации функций аутентификации, целостности и конфиденциальности при взаимодействии с Web-службами. Если говорить более конкретно, то WS-Security определяет стандартный формат для добавления цифровых подписей, зашифрованных данных и идентификаторов защиты (включая двоичные элементы, например сертификаты Х.500 и ключи Kerberos) в сообщений протокола SOAP. Чем больше операционные системы интегрируются с Web, тем сильнее проявляется необходимость единого принципа обеспечения безопасной работы типа WS-Security. Вероятно, что Longhorn будет первой операционной системой с поддержкой этого стандарта, встроенного в само ядро операционной системы.
Hft ЭАМЕТНУ
Более подробно о защите Web-спужб можно прочесть в книге Секреты хакеров. Безопасность Web-приложений — готовые решения.
TrustB ridge
В настоящее время TrustBridge является наиболее очевидным механизмом для управления WS-Security. TrustBridge — это кодовое название набора технологий, благодаря которому приложения и различные организации смогут обмениваться учетными данными пользователей. В спектр этих приложений входят службы Active Directory, Passport и другие программные продукты. Оригинально проанонсированная в июне 2002 года как технология на основе Kerberos, TrustBridge позднее была переориентирована на управление WS-Security.
Одним Из важнейших стимулов для подобного изменения предназначения продукта стало продвижение архитектуры федеративной доверительной модели (federated trust model), которая должна позволить реализовать безопасную аутентификацию и обмен учетными данными пользователей между предприятиями в рамках единой технологии на основе WS-Security. Например, предприятие, управляющие учетными данными пользователей с помощью службы Active Directory в Windows, смогут внедрить TrustBridge для распознавания и обмена учетными данными с другими организациями, использующими Windows или какую-то иную инфраструктуру идентификации в любой другой операционной системе, которая поддерживает WS-Security или Kerberos. Планируется, что TrustBridge будет поставляться в составе операционной системы Longhorn.
НА ЗАМЕТКУ
Сервер Microsoft Identity Integration Server (MliS), рассмотренный выше e этой главе, можно считать первым этапом на пути перехода к TrustBridge.

Протокол IPv6
Поддержка протокола IPv6 была реализована в Windows Server 2003, эта поддержка возможна для WindowsXPSPl и последующих версий с помощью пакета Advanced Networking Pack for Windows ХР (см. статью базы знаний Microsoft 817778). Безусловно, протокол IPv6 интересен сам по себе как новое поколение протокола IP, но нас он интересует с точки зрения обеспечения новых средств зашиты, встроенных в новую версию протокола, в частности спецификации IPSec.
К сожалению, возможности IPSec протокола IPv6 В операционной системе Windows Server 2003 довольно ограничены. Например, поддерживается технология ESP (Encapsulating Security Payload — инкапсуляция зашифрованных данных), но не поддерживается шифрование данных. Также отсутствует поддержка протокола IKE (Internet Key Exchange — протокол обмена ключами), обеспечивающего согласование параметров, создание, изменение и уничтожение защищенных виртуальных каналов (Security Association — SA)— все параметры приходится настраивать вручную с помощью команды netsh. И наконец, нельзя управлять политиками безопасности IPSec для IPv6, используя оснастку Security Policy (Политика безопасности). Придется выполнять ручную настройку политик с помощью программы ipsec6 . ехе. Мы надеемся, что эти недостатки будут исправлены в операционной системе Longliom или еще раньше.
Несмотря на описанные недостатки, есть причины для оптимизма. В реализацию протокола IPv6 для Windows ХР входит брандмауэр IPv6 Internet Connection Firewall (ICF), предоставляющий великолепные возможности зашиты, впервые доступные в WindowsXP HWin~ dows Server2003. Настройка брандмауэра IPv6 ICF выполняется с помощью команды netsh firewall.
Teredo
Teredo представляет собой технологию обеспечения совместимости протоколов IPv6 и IPv4 для переходного этапа. Эта технология обеспечивает туннелированис одноадресных (unicast) соединений по протоколу IPv6 через сети и устройства NAT, работающие по прото­колу IPv4. Для передачи пакетов IPv6 через NAT-устройства они преобразуются в UDP-сообщения формата IPv4.
Почему был выбран протокол UDP? Для IP-пакетов (IPv4) с инкапсулированными пакетами IPv6 в поле Protocol IP-заголовка устанавливается значение 41. Большинство NAT-устройств передают только TCP- или UDP-трафик и не поддерживают работу с про­токолом 41, что приводит к разрыву соединений по протоколу IPv6. С помощью инкапсуляции пакета IPv6 как UDP-сообшения протокола IPv4, в котором содержаться заголовки IPv4 и UDP, такие UDP-пакеты могут передаваться большинством устройств NAT.
Важно отметить, что технология Teredo позиционируется как последнее средство для поддержки перехода на новую версию протокола IPv6. Microsoft поддерживает и другие переходные технологии на IPv6, включая native IPv6, маршрутизаторы с функциями перенаправле­ния 6t04 и протокол ISATAP (Intrasite Automatic Tunnel Addressing Protocol), использовать которые гораздо удобнее, чем Teredo.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика