Питер Нортон - Полное руководство по Microsoft Windows XP

Теперь, когда вы знаете, что угрожает безопасности системы, рассмотрим рабочие группы, домены и другие серверы. В следующем разделе вы получите более подробную информацию о трех уровнях сетевой защиты, которую вы должны использовать при создании системы безопасности сети.

Рабочая группа

Рабочая группа – это небольшая структурная единица. Она обычно устанавливается в отдельном подразделении в пределах компании, например в бухгалтерии или целевой группе. Во многих случаях рабочая группа предполагает одноранговые подключения и общедоступные папки. В некоторых случаях она содержит не слишком мощный сервер, чтобы хранить данные и обеспечивать возможность печати. Вообще рабочая группа не полагается на контроллер домена, даже если сервер использует Windows Server в качестве операционной системы. Мы обсудим, что представляет собой контроллер домена, в разделе «Домен» данной главы.

Может показаться, что небольшой рабочей группе не требуется основательной системы защиты, но нельзя позволять себе пренебрегать ею на этом уровне. Большинство экспертов по безопасности компьютерных сетей приходят к выводу, что раздраженные служащие являются большей проблемой, чем, например, локальный взломщик. Хорошая защита рабочей группы включает три элемента:

• учетные записи пользователей (User Accounts). Первое место при защите рабочей группы занимает работа с учетными записями пользователя. Применение групп позволяет легко настроить защиту. Убедитесь, что каждый сотрудник устанавливает пароль и изменяет его. Проверьте, чтобы пароли были достаточно сложными для взломщиков (см. раздел «Оснастка Локальные пользователи и группы» главы 21);

• общие ресурсы (Shared Resources). Некоторые ресурсы сети всегда являются общими. Например, наверняка вся рабочая группа использует принтеры. Однако другие ресурсы, в частности дисководы, требуют ограниченного совместного доступа (см. раздел «Совместное использование файлов и принтеров» главы 21);

• защищенный ресурс (Secured Resource). «Проще предоставить доступ к ресурсу, чем запретить его» – каждый сетевой администратор должен повесить это правило на видном месте. Во время инсталляции сети все ресурсы компьютера по умолчанию недоступны для общего применения, поэтому пользователь не может потерять то, о чем и не подозревает. Однако, как только пользователь узнает о существовании ресурса, удалить доступ к нему становится трудно: даже если человек не имеет никакой потребности в ресурсе и никогда к нему не обращается, запрещение доступа вызывает ощущение потери. В большинстве случаев лучше не предоставлять доступ к ресурсу, пока не станет очевидно, что пользователь действительно нуждается в нем.

Домен

Поскольку сеть постоянно разрастается, она требует более мощного сервера и лучшей системы управления. Фактически вы можете почувствовать, что нуждаетесь в нескольких серверах для управления сетью. В этом случае имеется некоторая выгода. Защита, которую вы использовали с рабочей группой, не взаимодействует с большой системой. Теперь для сети необходим контроллер домена.

Контроллер домена – специальный вид установки сервера Windows (или другого). В большинстве случаев допустимо настроить стандартный Windows-сервер как контроллер домена с помощью команды DCPROMO. Не имеет значения, какой сервер вы применяете: его настройка на контроллер домена изменяет ваши сетевые связи. Сервер работает так же, как конфигурация клиент-сервер, используемая другими операционными системами, хотя на самом деле эта конфигурация более похожа на одноранговое подключение.

В настройке клиент-сервер рабочая станция посылает запрос на сервер, и сервер либо принимает его, либо отвергает. Вся защитная, машинная и пользовательская информация приходит из центральной зоны. Система проще в управлении, когда вы имеете большое количество машин. Кроме того, множество контроллеров домена может совместно использовать информацию, а значит, изменение на одном сервере сети отразится на всех остальных.