Bài giảng Hệ điều hành Linux: Chính sách hệ thống

* CHÍNH SÁCH HỆ THỐNG I. Chính sách tài khoản người dùng. II. Chính sách cục bộ. III. IPSec. * I. CHÍNH SÁCH TÀI KHOẢN NGƯỜI DÙNG. Chính sách tài khoản người dùng là gì ? Account Policy: được dùng để chỉ định các thông số về tài khoản người dùng mà nó được sử dụng khi tiến trình login xảy ra. Nó cho phép bạn cấu hình các thông số bảo mật máy tính như: mật khẩu, khóa tài khoản và chứng thực trong vùng. * Nếu trên Server thành viên thì bạn sẽ thấy hai mục: Password Policy Account Lockout Policy Trên máy Windows Server 2003 làm domain controller sẽ có ba thư mục Password Policy Account Lockout Policy Kerberos Policy. Trong Windows Server 2003 cho phép bạn quản lý chính sách tài khoản tại hai cấp độ là: cục bộ và miền. * Cấu hình các chính sách tài khoản người dùng ta vào: Start  Programs  Administrative Tools  Domain Security Policy hoặc Local Security Policy. * 1. Chính sách mật khẩu. Password Policies: nhằm đảm bảo an toàn cho mật khẩu của người dùng, trách các trường hợp đăng nhập bất hợp pháp vào hệ thống. * * 2. Chính sách khóa tài khoản. Account Lockout Policy: quy định cách thức và thời điểm khóa tài khoản trong vùng hay trong hệ thống cục bộ. Chính sách này giúp hạn chế tấn công thông qua hình thức login từ xa. * * II. CHÍNH SÁCH CỤC BỘ. Local Policies: cho phép bạn thiết lập các chính sách giám sát các đối tượng trên mạng như người dùng và tài nguyên dùng chung. Đồng thời dựa vào công cụ này có thể cấp quyền hệ thống cho các người dùng và thiết lập các lựa chọn bảo mật. * 1. Chính sách kiểm toán. Audit Policies: giám sát và ghi nhận các sự kiện xảy ra trong hệ thống, trên các đối tượng cũng như đối với các người dùng. * * 2. Quyền hệ thống của người dùng. Đối với hệ thống Windows Server 2003, bạn có hai cách cấp quyền hệ thống cho người dùng là: Gia nhập tài khoản người dùng vào các nhóm tạo sẵn (built-in) để kế thừa quyền. Dùng công cụ User Rights Assignment để gán từng quyền rời rạc cho người dùng. * Dùng công cụ Local Security Policy (nếu máy không phải DC) hoặc Domain Controller Security Policy (nếu máy là DC). * Cấp quyền “change the system time” cho “nguyennam” * * * * * 3. Các lựa chọn bảo mật Security Options: cho phép Admin khai báo thêm các thông số nhằm tăng tính bảo mật cho hệ thống như: không cho phép hiển thị người dùng đã login trước đó hay đổi tên tài khoản người dùng tạo sẵn (administrator, guest). * * III. IPSec IP Security (IPSec) là một giao thức hỗ trợ thiết lập các kết nối an toàn dựa trên IP, hoạt động ở tầng ba (Network) trong mô hình OSI IPSec cũng là một thành phần quan trọng hỗ trợ giao thức L2TP trong công nghệ mạng riêng ảo VPN (Virtual Private Network). Để sử dụng IPSec phải tạo ra các qui tắc (rule), một qui tắc IPSec là sự kết hợp giữa hai thành phần là các bộ lọc IPSec (filter) và các tác động IPSec (action). * 1. Các tác động bảo mật. IPSec hỗ trợ bốn loại tác động (action) bảo mật, các tác động bảo mật này giúp hệ thống có thể thiết lập những cuộc trao đổi thông tin giữa các máy được an toàn. Block transmissons: có chức năng ngăn chận những gói dữ liệu truyền đến. Ví dụ: bạn muốn IPSec ngăn chận dữ liệu truyền từ máy A đến máy B, thì đơn giản là chương trình IPSec trên máy B loại bỏ mọi dữ liệu truyền đến từ máy A. * Encrypt transmissions: có chức năng mã hóa những gói dữ liệu được truyền. Ví dụ: chúng ta muốn dữ liệu được truyền từ máy A đến máy B, nhưng chúng ta sợ rằng có người sẽ nghe trộm trên đường truyền nối kết mạng giữa hai máy A và B. Cho nên chúng ta cần cấu hình cho IPSec để mã hóa dữ liệu. Sign transmissions: có chức năng ký tên vào các gói dữ liệu truyền, nhằm tránh những kẻ tấn công trên mạng giả dạng những gói dữ liệu được truyền từ những máy mà bạn đã thiết lập quan hệ tin cậy. * Permit transmissions: có chức năng là cho phép dữ liệu được truyền qua, chúng dùng để tạo ra các qui tắc (rule) hạn chế một số điều và không hạn chế một số điều. Ví dụ: một qui tắc dạng này “Hãy ngăn chặn tất cả những dữ liệu truyền tới, chỉ trừ dữ liệu truyền trên các cổng 80 và 1433”. Chú ý: đối với hai tác động bảo mật theo phương pháp ký tên và mã hóa thì hệ thống còn yêu cầu bạn chỉ ra IPSec dùng phương pháp chứng thực nào. * 2. Các bộ lọc IPSec Bộ lọc IPSec chủ yếu dựa trên các yếu tố sau: Địa chỉ IP, subnet hoặc tên DNS của máy nguồn. Địa chỉ IP, subnet hoặc tên DNS của máy đích. Theo số hiệu cổng (port) và kiểu cổng (TCP, UDP, ICMP…) * 3. Triển khai IPSec trên Windows Server 2003 Trong hệ thống Windows Server 2003 không hỗ trợ một công cụ riêng cấu hình IPSec, do đó để triển khai IPSec chúng ta dùng các công cụ thiết lập chính sách dành cho máy cục bộ hoặc dùng cho miền. * Để mở công cụ cấu hình IPSec: Start Programs 􀂾 Administrative Tools  Local Security Policy, trong công cụ đó chọn IP Security Policies on Local Machine. * 3.1 Các chính sách IPSec tạo sẵn. Trong khung cửa sổ chính của công cụ cấu hình IPSec, bên phải chúng ta thấy xuất hiện ba chính sách được tạo sẵn tên là: Client, Server và Secure. Client (Respond Only): chính sách qui định máy tính của bạn không chủ động dùng IPSec trừ khi nhận được yêu cầu dùng IPSec từ máy đối tác. Chính sách này cho phep bạn có thể kết nối được cả với các máy tính dùng IPSec hoặc không dùng IPSec. * Server (Request Security): chính sách này qui định máy server của bạn chủ động cố gắng khởi tạo IPSec mỗi khi thiết lập kết nối với các máy tính khác, nhưng nếu máy client không thể dùng IPSec thì Server vẫn chấp nhận kết nối không dùng IPSec. Secure Server (Require Security): chính sách này qui định không cho phép bất kỳ cuộc trao đổi dữ liệu nào với Server hiện tại mà không dùng IPSec. * 3.2 Ví dụ tạo chính sách IPSec đảm bảo một kết nối được mã hóa. Trong phần này chúng ta sẽ thiết lập một chính sách IPSec nhằm đảm bảo một kết nối được mã hóa giữa hai máy tính. Hai máy tính, máy A có : 203.162.100.1 và máy B có: 203.162.100.2. Ta sẽ thiết lập chính sách IPSec trên mỗi máy thêm hai qui tắc, trừ hai qui tắc của hệ thống gồm: một qui tắc áp dụng cho dữ liệu truyền vào máy và một qui tắc áp dụng cho dữ liệu truyền ra khỏi máy. * Ví dụ qui tắc đầu tiên trên máy A bao gồm: Bộ lọc (filter): kích hoạt qui tắc này khi có dữ liệu truyền đến địa chỉ 203.162.100.1, qua bất kỳ cổng nào. Tác động bảo mật (action): mã hóa dữ liệu đó. Chứng thực: chìa khóa chia sẻ trước là chuỗi “quantri”. * Qui tắc thứ hai áp dụng cho máy A cũng tương tự nhưng bộ lọc có nội dung ngược lại là “dữ liệu truyền đi từ địa chỉ 203.162.100.1”. Chú ý: cách dễ nhất để tạo ra một qui tắc là trước tiên bạn phải qui định các bộ lọc và tác động bảo mật, rồi sau đó mới tạo ra qui tắc từ các bộ lọc và tác động bảo mật này. Các bước để thực hiện một chính sách IPSec theo yêu cầu như trên: * Trong công cụ Domain Controller Security Policy, bạn nhấp phải chuột trên mục IP Security Policies on Active Directory, rồi chọn Manage IP filter lists and filter actions. * Hộp thoại xuất hiện, bạn nhấp chuột vào nút add để thêm một bộ lọc mới. Bạn nhập tên cho bộ lọc này, trong ví dụ này chúng ta đặt tên là “Connect to 203.162.100.1”. Bạn nhấp chuột tiếp vào nút Add để hệ thống hướng dẫn bạn khai báo các thông tin cho bộ lọc. * Bạn theo hướng dẫn của hệ thống để khai báo các thông tin, chú ý nên đánh dấu vào mục Mirrored để qui tắc này có ý nghĩa hai chiều bạn không phải tốn công để tạo ra hai qui tắc. Mục Source address chọn My IP Address, mục Destination address chọn A specific IP Address và nhập địa chỉ “203.162.100.1” vào, mục IP Protocol Type bạn để mặc định. Cuối cùng bạn chọn Finish để hoàn thành phần khai báo, bạn nhấp chuột tiếp vào nút OK để trở lại hộp thoại đầu tiên. * * Tiếp theo bạn chuyển sang Tab Manage Filter Actions để tạo ra các tác động bảo mật. * * Trong hộp thoại chính sách IPSec, bạn nhấp chuột vào nút Add để tạo ra qui tắc mới. * Đến bước này thì công việc thiết lập chính sách IPSec theo yêu cầu trên của bạn đã hoàn thành, trongkhung của sổ chính của công cụ Domain Controller Security Policy, bạn nhấp phải chuột lên chính sách First IPSec và chọn Assign để chính sách này được hoạt động trên hệ thống Server. *