Operációs rendszer biztonság

1. Informatika Tisztán sorozat – 2010 http://technetklub.hu/informatikatisztan Operációsrendszerbiztonság MilánovicsKrisztián Rendszermérnök krisz@itnetworks.hu

2. Áttekintés • Megelőzővédelem • Kernel Patch Protection, DEP, ASLR, Service Hardening • Eszközök • User Account Control • Action Center, Windows Defender • BitLocker • AppLocker • Windows Firewall / with Advanced Security • Internet Explorer biztonság

3. Megelőző védelem

4. MegelőzővédelemKernel Patch Protection • Patchguard • 2005 óta a Windows XP 64 bites verziójában • 64-bites feature • A “nemtámogatott” kernel módosításokellen • Technikailaglehetséges x86-on • Pl.: anti-spyware • Legegyszerűbbendrivereksegítségével • Periódikusellenőrzés • 0x00000109: CRITICAL_STRUCTURE_CORRUPTION

5. MegelőzővédelemDEP • Data Execution Prevention • XP SP2 óta • Puffertúlcsordulásellen • Nemfuttathatómemóriaterületről ne tudjonadatotfuttatni • Hardverestámogatás (CPU NX bit) • Megjelölmemóriaterületeketkizárólagadatoktárolására • Eztmár a processzornemfuttathatókéntértelmezi

6. MegelőzővédelemAddress Space Layout Randomization • Return-to-libctámadásellen • A támadónaktudniakell az exploit soránmeghívottfüggvényvagyfolyamathelyét a memóriában • Ezkorábbankönnyentudható volt • Az ASLR éppenezellenvédekezik • A dll/exe 256 félehelyretöltődhet be • 1:256-hoz az esély • Nemlehetetlen, de nehezebb

7. MegelőzővédelemService Hardening • Szolgáltatások: nincs GUI, hosszútávonfut, magasjogkör • A Vista ótaegyediazonosítótkapnak • S-1-5-80-[a szolgáltatásnevének SHA1 hash-e] • Abnormálistevékenységekmegelőzése: • Pld.: az RPC nemmódosíthatja a registry-t • Kevesebbjoggalbíró service accountokhasználata • LocalSystemLocalServicevagyNetworkService • SID-hezlinkelthálózatelérésiszabályok

8. User Account Control

9. User Account ControlÁttekintés • Feladatai: • A feleslegesenmagasjogosultságiszinthasználatánakkorlátozása • Adottesetben az emeltjogosultságiszintelfogadásaés az alkalmazásismételtfuttatása • Virtualizáció • File • Registry

10. User Account ControlSplit Token • Administrator logon: RID tábla vizsgálat • Full token • Szűrt token • Split access token: • darabolás és raktározás • Explorer.exe • User logon:RID tábla vizsgálat • Explorer.exe • Szűrt token

11. User Account ControlVirtualizáció • Fájlvirtualizáció: • %SystemRoot%, %windir%, %ProgramFiles%, %ProgramData% • Ezek helyett: • C:\users\%username%\Appdata\Local\VirtualStore\ • Feladatkezelőből is engedélyezhető • Registry-virtualizáció: • HKLM\Software\ • HKey_Users\<SID>_Classes\VirtualStore

12. User Account ControlUAC a Windows 7-ben • Személyreszabhatóbbviselkedés • A legtöbb Windows komponensfrissült • Nincstöbb “fölösleges” UAC prompt • Az alapértelmezettértesítésiszintcsökkent • Vista esetébenmindenrendszerbeállításesetén • Windows 7 márcsak a külsőalkalmazásokmiattszól • Természetesenvisszaállítható a Vista szint

13. UAC házirend és virtualizáció demo

14. WICWindows Integrity Control • Minden processz, szálésobjektumrendelkezikegy WIC értékkel • A szintekközöttiviszonyjóldefiniált 200 100 0 500 400 300 Standard User tokens Authenticated users World (Everyone) Anony-mus All other tokens System Local System Local Service Network Service Elevated user tokens

15. Windows Action Center\*Security Center*\ • Windows XP SP2 óta • Átlátható, informatív • Integrálódótt az Action Centerbe • Biztonságéskarbantartás • Saját WMI provider • Másgyártóktermékeit is támogatja

16. Windows Defender • Vista ótarésze a rendszernek • Alapvető anti-spyware • Windows Update-telfrissül • Valósidejűvédelem • Internet Explorer integráció • Vírusokellennemvéd • Microsoft Security Essentials

17. BitLocker

18. TitkosításBitLocker • Teljes kötettitkosítás • OS, fix- éshordozhatólemezek • A lemezadatainakszabadolvasásaellen • Közvetettvédelem EFS-nek is • Kötelezőpluszpartició • Drasztikusankisebb, automatikusanlétrejön • Új, elegánsabb recovery lehetőség • DRA alkalmazása • Enterprise, Ultimate

19. Az OS kötetvédelmilehetőségei TPM chip Pendrive XXXXX XXXXX TPM + PIN TPM + USB Könnyűhasználhatóság Biztonság

20. Fix-, éshordozhatólemezek XXXXX Jelszó Automatikus-feloldás Smart kártya Könnyűhasználhatóság Biztonság

21. BitLocker a gyakorlatban demo

22. AppLocker

23. Alkalmazások futtatásánakkorlátozásaAppLocker • Alkalmazások használatánakkorlátozása: • exe, msi, vbs, bat, dll, ps1…. • Csoportházirendalapúfelügyelet • Software Restriction Policy helyett • File attribútumalapján is • (nemkizárólagtanusítvány) • Enforce / Audit mode

24. Alkalmazások futtatásánakkorlátozásaAppLockerszabálytípusok • Executable Rules • *.exe, *.com • Windows Installer Rules • *.msi, *.msp • Script Rules • *.ps1, *.bat, *.cmd, *.vbs, *.js • DLL Rules • *.dll, *.ocx • Publisher • Path • File Hash

25. AppLockerKonfiguráció • Amit nemengedélyezek, azttiltom • Szabálylétrehozás • Manuális • Automatikus (kritériumalapján) • “Default Rules” • Application Identity Service • Automatic

26. AppLockerszabályoklétrehozása demo

27. Windows Firewall with Advanced Security

28. Windows Firewall ésWindows Firewall with Advanced Security • Áttekintés • Host-based • Kétirányúforgalomszűrés • Különprofilok • Domain, privát, nyilvános • Összetettszabályok • Minden csomagtípus • TCP, UDP, ICMP… • IPsecintegráció

29. Windows Firewall with Advanced SecurityManagement éskiértékelésisorrend • Kezelés • Vezérlőpult • MMC modul • Tűzfalés • IPsecegyben • Csoportházirend • netshadvfirewall • Előredefiniáltszabályok Windows Service Hardening Connection Security Rules Authenticated Bypass Rules Block Rules Allow Rules Default Rules

30. Tűzfalszabályok létrehozása demo

31. Internet Explorer 8Biztonság • Protected mode • WIC 100-as szintenfut (World) • A bővítmények is • Csak a Temporary Internet Files\Low-baírhat • Alapértelmezésként: • Internet • Restricted Sites

32. Internet Explorer 8Biztonság • Social Engineering • Domain highlight • SmartScreen Filter • Adathalászatellenivédelem • Privacy • InPrivate Browsing • “nyomnélküli” böngészés • InPrivate Filtering • Információgyűjtésmegakadályozása