Презентация на тему Windows Server 2008. Технологии защиты корпоративных данных в Windows Server 2008 и Windows Vista

кода
Повышение защищенности служб Windows
Межсетевой экран для входящего и

исходящего трафика
Диспетчер перезапуска

Улучшенный аудит
Network Access Protection
Переадресация событий
Управление сетью на основе политик
Изоляция сервера и домена
Управление установкой съемных устройств
Службы управления правами Active Directory

Безопасность

Соответствие политикам

строки
Ограниченный набор ролей
Упрощение обслуживания и управления
Меньше возможностей для атак
Роли

Server Core

Server Core
Security, TCP/IP, File Systems, RPC, стандартные подсистемы Core Server

DNS

DHCP

File

AD

Server
WinFx, Shell, GUI, и.т.д.

TS

IAS

Web Server

Share Point®

и.т.д…

GUI, CLR, Shell, IE, Media, OE, и.т.д.

в режиме «только чтение»
DNS в режиме «только чтение»
Разделение административных

ролей
Односторонняя репликация
Кэширование параметров учетных записей

Device Enrollment Service
Certification Authority Web Enrollment
Расширения служб сертификации

к данным
Защита от физической кражи систем
Безопасный старт системы
Хранение

ключей в TPM или на USB-носителе

BitLocker

Microsoft
Желтые и зеленые – сервисы сторонних производителей

Platform Module (TPM) v1.2 для проверки pre-OS компонентов
Настраиваемые методы

защиты и аутентификации
Защита до запуска ОС
USB ключи, PIN, TPM, аутентификация
Единый драйвер TPM от Microsoft
Улучшеная стабильность и безопасость

TPM Base Services (TBS)
Позволяет включать в цепочку приложение от сторонних поставщиков
Active Directory Backup
Автоматизированное резервное копирование ключей в AD
Поддержка групповых политик
Скриптовые интерфейсы
Управление TPM
Управление BitLocker™
Инструменты коммандной строки

версии 1.2
Логотип Vista certified
Несовместимое с TPM оборудование
BIOS должен поддерживать

загрузку с USB

политики использования информации, которой они владеют
Для любого приложения
В любом

формате
Политика использования «живет» вместе с информацией
Куда и каким бы способом ни перемещалась защищенная информация

MP3
Не обеспечит гарантированно невзламываемую систему безопасности
Не защитит от аналоговых

атак

приложение с помощью RMS-клиента шифрует данные и создает политику;

приложение сохраняет политику вместе с зашифрованными данными

Автор распространяет файл

Получатель открывает файл; приложение вызывает RMS-клиента для авторизации пользователя и получения лицензии на использование

Приложение расшифровывает файл с помощью RMS-клиента и реализует указанные в лицензии права; RMS-клиент обеспечивает безопасность работы с данными

При первом использовании RMS автор получает необходимые ключи и, возможно, политики, определенные отделом ИТ

1

RMS-приложение

API RMS-клиента

2

3

RMS-приложение

API RMS-клиента

4

5

Принцип действия RMS

Service
Устанавливаются все требуемые службы
Управление и администрирование
MMC-консоль

для администрирования
Реализация всех функций скриптами
Генерация отчетов
Административные роли
Взаимодействие с внешними организациями
Интеграция RMS со службами ADFS
Распространение шаблонов

в Windows Server 2008 и Windows Vista
RMS – одна

из серверных ролей
Автоматическая установка зависимых компонент (SQL Embedded, WPF, IIS, MSMQ, и др…)
Новый мастер решает все задачи, связанные с настройкой RMS
Автоматическое обнаружение и регистрация RMS-клиентов
Функциональная независимость
Все необходимые сертификаты выдаются автономно, не требуется взаимодействие с сервисами Microsoft
Нет ограничения на срок действия корневого сертификата
Обратная совместимость
Обновление сохраняет все защищенные до этого документы
Возможно взаимодействие с RMS-серверами предыдущей версии

Внедрение

1.0
Использование оснастки в консоли MMC……
Знакомая административная модель
Единый подход ко

всем серверным ролям
Выделение задач (обязательных, рекомендованных, дополнительных)
Выполнение «задач под рукой»
Ролевое администрирование
Администраторы предприятия, шаблонов, аудиторы
Администрирование с помощью скриптов
Задачи управления доступны через Scripting API

Среда работы

конфиденциальными данными между сотрудниками Adatum и Contoso
Debra
Jason
Типовой сценарий

защищенное письмо Джейсону в Contoso
Компьютер Джейсона обращается к

RMS-серверу
Агент ADFS перехватывает запрос
RMS-клиент перенаправляется FS-R для аутентификации
RMS-клиент перенаправляется FS-A для аутентификации
Сформированная заявка (claim) возвращается к FS-R
RMS-клиент запрашивает UL
WebSSO-агент перенаправляет запрос RMS-серверу
RMS-сервер возвращает сертификат RAC Джейсону
RMS-сервер формирует и передает Джейсону UL
Джейсон получает доступ к содержимому письма

Дебра

Джейсон

Взаимодействие на основе ADFS

(Windows Server 2003 R2 или 2008)
SSL на вирт. каталогах

RMS и на Federation Server
Домен учетных записей
Federation Server (Windows Server 2003 R2 или 2008)
SSL на Federation Server

Новый метод на базе SOAP для получения шаблонов
RMS-клиент

в Vista SP1 поддерживает автоматическое обновление шаблонов с сервера
Новый API в клиенте RMS для получения шаблонов
WMI-задание по расписанию вызывает API для получения шаблонов

Первый шаг в интеграции с Exchange