विंडोज अलगाव

जैसा कि आप जानते हैं, ऑपरेटिंग सिस्टम पर हमलों के लिए विंडोज सेवाएं सबसे पसंदीदा स्थानों में से एक हैं। सबसे खराब (हमारे लिए, निश्चित रूप से) मामले में, हमलावर को उस खाते के संदर्भ में हमला किए गए कंप्यूटर पर कार्रवाई करने का अवसर मिलता है, जिस पर हैक की गई सेवा चल रही है। और अगर इस खाते पर प्रशासनिक अधिकार हैं, तो वास्तव में हमलावर कंप्यूटर पर पूर्ण नियंत्रण हासिल करता है। संस्करण से संस्करण तक, नए तंत्र विंडोज में दिखाई देते हैं जो सेवाओं के अतिरिक्त अलगाव प्रदान करते हैं और परिणामस्वरूप, सिस्टम की सुरक्षा को संपूर्ण रूप से बढ़ाते हैं। मैं पिछले कुछ वर्षों में इस दिशा में मूल रूप से क्या बदल गया है, इस पर संक्षेप में विचार करना चाहता हूं।

Windows XP सर्विस पैक 2 में सेवाओं के सुरक्षा तंत्र में पहला महत्वपूर्ण बदलाव दिखाई दिया। अब इसकी कल्पना करना कठिन है, लेकिन SP2 के रिलीज़ होने से पहले, ऑपरेटिंग सिस्टम की सभी सेवाओं को बिल्ट-इन लोकल सिस्टम अकाउंट के संदर्भ में लॉन्च किया गया था, जिसमें कंप्यूटर पर सबसे पूर्ण प्रशासनिक अधिकार हैं। SP2 ने दो और प्रविष्टियाँ जोड़ीं: स्थानीय सेवा और नेटवर्क सेवा। तीन सूचीबद्ध प्रविष्टियों के बीच मूलभूत अंतर तालिका में पाया जा सकता है। 1।

खाता	स्थानीय संसाधन	नेटवर्क संसाधन
स्थानीय प्रणाली	सभी कंप्यूटर संसाधनों तक पूर्ण पहुंच	चल रहे कंप्यूटर के खाते के संदर्भ में नेटवर्क संसाधनों से कनेक्ट करना
स्थानीय सेवा	मानक उपयोगकर्ता अधिकार + अतिरिक्त विशेषाधिकारों का एक छोटा सा सेट	नेटवर्क संसाधनों के लिए अनाम कनेक्शन
नेटवर्क सेवा	मानक उपयोगकर्ता अधिकार + अतिरिक्त विशेषाधिकारों का एक छोटा सा सेट	उस कंप्यूटर के खाते के संदर्भ में नेटवर्क संसाधनों से कनेक्शन जिस पर वह चल रहा है। एक्सेस टोकन में सभी के SID और प्रामाणिक उपयोगकर्ता शामिल हैं

तालिका 1

तदनुसार, Windows XP SP2 के साथ शुरू करने पर, व्यवस्थापक अंतर्निहित बिलों में से एक, एक स्थानीय या डोमेन खाते के संदर्भ में सेवा के लॉन्च को कॉन्फ़िगर कर सकता है। हालाँकि, Windows की अधिकांश सेवाएँ अभी भी स्थानीय सिस्टम के संदर्भ में चलती हैं। लेकिन यहां तक ​​कि अगर हम इसे अनदेखा करते हैं, तो उस स्थिति को जब एक ही खाते के संदर्भ में कई सेवाएं शुरू की जाती हैं, इस तथ्य की ओर जाता है कि एक सेवा की सफल हैकिंग, यहां तक ​​कि प्रशासनिक विशेषाधिकार के बिना, संभावित रूप से हमलावर के लिए किसी भी अन्य संसाधनों को खोलती है, जिसमें इसकी पहुंच होती है हैक किया गया सेवा खाता।

Windows Vista ने सेवा अलगाव को बढ़ाने के लिए कई तंत्र पेश किए। मैं दो पर ध्यान केंद्रित करूंगा।
पहला तंत्र एक अद्वितीय सेवा SID है। यह SID प्रत्येक सेवा के लिए SHA-1 एल्गोरिथ्म का उपयोग करके सेवा के नाम से हैशिंग के लिए बनाया गया है। उपसर्ग S-1-5-80- परिणाम में जोड़ा जाता है। आप sc शोपिड कमांड का उपयोग करके किसी सेवा की SID देख सकते हैं, सेवा नाम को एक पैरामीटर के रूप में निर्दिष्ट कर सकते हैं (चित्र 1 देखें)।
अंजीर। 1

उदाहरण के लिए, आप W32Time सेवा के साथ प्रयोग कर सकते हैं। NTFS पर किसी भी फ़ोल्डर के लिए, अनुमतियों की सेटिंग में, आपको केवल NT सेवा \ w32time (चित्र 2 देखें) में NT सेवा \ <सेवा नाम> प्रारूप में एक उपयोगकर्ता नाम दर्ज करने की आवश्यकता है।
अंजीर। 2

चेक नाम पर क्लिक करें, फिर ठीक है और उपयोगकर्ता को देखें (चित्र 3 देखें) जिसे आप अधिकार प्रदान कर सकते हैं।

अंजीर। 3

मैं एक बार फिर जोर देकर कहता हूं कि w32time उपयोगकर्ता वस्तु नहीं है। यह SID है, लेकिन यदि ऐसा है, तो इसका उपयोग ACLs में किया जा सकता है, दोनों ग्राफिकल इंटरफ़ेस के साथ-साथ कमांड लाइन और प्रोग्रामेटिक रूप से। इसके अलावा, सेवा SID का उपयोग Windows फ़ायरवॉल की सेटिंग में किया जा सकता है, एक विशिष्ट सेवा के लिए कुछ नियम लागू कर सकता है, या एक विशिष्ट सेवा SID।

विस्टा में पेश किया गया दूसरा बदलाव एक नए प्रकार का सुरक्षा पहचानकर्ता है, राइट रिस्ट्रिक्टेड सिड। यदि सेवा को प्रतिबंधित प्रतिबंधित SID के रूप में चिह्नित किया जाता है, तो उसका SID विशेष सूची में अपने विशेष पहुंच टोकन में जोड़ा जाता है - प्रतिबंधित SID सूची। ऐसी सेवा को फ़ाइल में लिखने की कोशिश करते समय, एक्सेस कंट्रोल एल्गोरिथ्म थोड़ा बदल जाता है। अर्थात्, कोई सेवा केवल तभी फ़ाइल को लिख सकती है, जब इस सेवा के SID, या हर किसी समूह को स्पष्ट रूप से लिखें अनुमति दी गई हो।
उदाहरण के लिए, कुछ Service1 का ServiceAccount1 खाता Group1 का सदस्य है। Group1 और केवल इसमें Folder1 फ़ोल्डर पर लिखें अनुमति है। यदि फ़ोल्डर Folder1 में सेवा कुछ बदलने की कोशिश करती है तो क्या होता है? एक सामान्य स्थिति में, ServiceAccount1 Group1 में सदस्यता के माध्यम से फ़ोल्डर में लिखने में सक्षम होगा। लेकिन अगर Service1 सेवा को प्रतिबंधित प्रतिबंध प्रकार के साथ चिह्नित किया जाता है, तो इसका उपयोग टोकन अलग तरीके से संसाधित किया जाता है और यह फ़ोल्डर में कुछ भी लिखने में सक्षम नहीं होगा, क्योंकि इसे स्पष्ट रूप से लिखें अनुमति नहीं दी गई है, जैसे कि सभी को यह अधिकार नहीं दिया गया है।
आप sc qsidtype कमांड का उपयोग करके सुरक्षा पहचानकर्ता का प्रकार देख सकते हैं (चित्र 4 देखें)।
अंजीर। 4

विशेष रूप से, अंजीर में। 4 आप देखते हैं कि विंडोज फ़ायरवॉल सेवा उन प्रकारों में से एक है। स्वाभाविक रूप से, इस प्रकार को इसकी सफल ब्रेकिंग के मामले में सेवा की क्षमताओं (कुछ को मिटाने या ओवरराइट करने की क्षमता) को और सीमित करने के लिए पेश किया गया था। यह भी जोड़ा जाना चाहिए कि यह तंत्र मुख्य रूप से सिस्टम प्रशासक के लिए नहीं, बल्कि सेवा डेवलपर्स के लिए है। अगर केवल वे इसका इस्तेमाल करेंगे।

विंडोज 7 और विंडोज सर्वर 2008 आर 2 में, सेवा अलगाव पर काम जारी रखा गया था। वर्चुअल खाते (वर्चुअल खाते) और प्रबंधित सेवा खाते (प्रबंधित सेवा खाते) हैं। लेकिन समस्या क्या है? आपको सेवाओं को अलग करने की आवश्यकता है - चलो स्थानीय (या डोमेन) उपयोगकर्ता खातों की सही मात्रा बनाएं। प्रत्येक महत्वपूर्ण सेवा का अपना खाता है। हां, यह एक समाधान है। लेकिन स्थानीय सेवाओं के लिए जिन्हें संसाधनों तक नेटवर्क पहुंच की आवश्यकता नहीं है, आपको मैन्युअल रूप से पासवर्ड, लंबे और जटिल सेट करने होंगे। और मैन्युअल रूप से उन्हें समय-समय पर अपडेट भी करें। खैर, चूंकि हम सुरक्षा के लिए हैं। उन सेवाओं के लिए जिन्हें डोमेन खातों के संदर्भ में नेटवर्क पर संसाधनों का उपयोग करने की आवश्यकता है, इसके अलावा, आपको अभी भी प्रत्येक सेवा के लिए एक सेवा प्रिंसिपल नाम (SPN) दर्ज करना होगा। यह असुविधाजनक है। जब एक समाप्त पासवर्ड के कारण सेवा शुरू नहीं हो सकती है, लेकिन असुविधा एक वास्तविक समस्या बन जाती है। और एडमिन सिर्फ अपना पासवर्ड बदलना भूल गया।

इसलिए स्थानीय सेवाओं के लिए आप आभासी खातों का उपयोग कर सकते हैं। एक आभासी खाते का उपयोग केवल एक विशिष्ट सेवा शुरू करने के लिए किया जाता है, या एक विशिष्ट सेवा के लिए सुरक्षा संदर्भ बनाने के लिए। आपको कंप्यूटर प्रबंधन में उपयोगकर्ताओं के बीच यह प्रविष्टि नहीं मिलेगी। और, फिर भी, यह एक खाता है, इसकी अद्वितीय SID के साथ, इसकी उपयोगकर्ता प्रोफ़ाइल के साथ। और इसलिए, आप उसे अनुमति दे सकते हैं और, जिससे, पहुँच अधिकारों में अंतर कर सकते हैं और उन्हें स्पष्ट रूप से नियंत्रित कर सकते हैं। लेकिन लोकल सिस्टम, लोकल सर्विस और नेटवर्क सर्विस की तरह ही, ऑपरेटिंग सिस्टम वर्चुअल खातों के लिए पासवर्ड प्रबंधन कार्यों का ध्यान रखता है। हम आवश्यक सेवाओं को अलग करते हैं, और पासवर्ड के बारे में हमारे पास सिरदर्द नहीं है।

वर्चुअल खाता बनाने के लिए, आपको सेवा सेटिंग्स में खाते के रूप में निर्दिष्ट करना होगा: NT SERVICE \ <सेवा का नाम> (चित्र 5 देखें)

अंजीर। 5

सेवा शुरू करने के बाद, वर्चुअल खाता सेवा कंसोल (छवि 6) में प्रदर्शित किया जाएगा, और उपयोगकर्ता फ़ोल्डर में आप एक नए उपयोगकर्ता प्रोफ़ाइल की उपस्थिति को नोटिस करेंगे।
अंजीर। 6

प्रारूप सेवा SID के समान है। लेकिन मैं इस बात पर जोर देता हूं कि यह केवल विस्टा के रूप में सेवा के लिए एक अतिरिक्त अद्वितीय सिड नहीं है, यह एक अलग खाता है और, तदनुसार, एक अलग स्तर का अलगाव है। डिफ़ॉल्ट रूप से, वर्चुअल खातों का उपयोग किया जाता है, उदाहरण के लिए, Windows Server 2008 R2 में IIS 7.5 में अनुप्रयोग पूल के लिए। ध्यान रखें कि आभासी खाते स्थानीय उपयोग के लिए हैं। यदि वर्चुअल खाते के संदर्भ में लॉन्च की गई सेवा नेटवर्क पर पहुंच जाती है, तो यह कॉल उस कंप्यूटर के खाते की ओर से होती है, जिस पर सेवा चल रही है। यदि आपको किसी डोमेन खाते की ओर से नेटवर्क पर काम करने के लिए SQL सर्वर जैसी सेवा की आवश्यकता है, तो प्रबंधित सेवा खाते मदद करेंगे। हालांकि, अधिक सूक्ष्मताएं उनके साथ जुड़ी हुई हैं, और उनका विचार इस पद के दायरे से परे है। आप यहाँ MSA के बारे में अधिक जान सकते हैं।

मैंने जिन सेवाओं को सूचीबद्ध किया है, उन्हें अलग करने का तंत्र वहाँ समाप्त नहीं होता है। आप शून्य-सत्र अलगाव, अखंडता के स्तर, डीईपी तंत्र का भी उल्लेख कर सकते हैं। मैंने उन लोगों पर ध्यान केंद्रित किया, जो मेरे दिमाग में हैं, कम ज्ञात हैं, लेकिन एक ही समय में प्रशासक के लिए काफी व्यावहारिक अर्थ हैं। और निश्चित रूप से, विंडोज के भविष्य के संस्करणों में सेवाओं की सुरक्षा को मजबूत करने के लिए काम जारी रहेगा।