Процесс обеспечения безопасности  на всем цикле разработки (SDL)

Был сформулирован для подготовки ОС Windows XP с пакетом обновления 2 (SP2).

Цикл SDL, принятый в корпорации Майкрософт, предусматривает приоритетное решение задач безопасности на всем протяжении разработки. Для этого введен стандартный технологический процесс, обязательный для каждого разработчика. Перед выпуском продукта соблюдение этого процесса подлежит проверке.

SDL – динамичный процесс, предполагающий внедрение строгих стандартов безопасного проектирования, кодирования, тестирования, оценки и исправления при разработке всех продуктов корпорации Майкрософт. SDL помогает устранять уязвимости, сводит к минимуму вероятность атак, укрепляет целостность систем и приложений, расширяет возможности организаций в части безопасного управления и изолирования сетей.

·         Корпорация Майкрософт накопила значительный опыт широкого применения процесса SDL при разработке ряда крупных продуктов, однако ОС Windows Vista стала первой клиентской операционной системой, разработанной на основе данного процесса от начала и до конца.

Защита компонентов системы

Переполнение буфера заставляет программы исполнять код, размещенный в областях памяти компьютера, которые отведены для хранения данных. Функция предотвращения выполнения данных (DEP), которая, в свою очередь, использует флаг No-Execute (NX) некоторых процессоров, способна минимизировать эффект подобных уязвимостей. ОС Windows XP с пакетом обновления 3 (SP3) поддерживает функцию DEP, однако по умолчанию она отключена.

В ОС Windows Vista функция DEP по умолчанию защищает большинство компонентов. В ОС Windows Vista введены дополнительные политики DEP, позволяющие разработчикам задействовать DEP в коде, не обращаясь к средствам обеспечения совместимости системного уровня.

Наибольшей эффективности DEP достигает в сочетании с рандомизацией адресного пространства (ASLR) – еще одной защитной возможностью ОС Windows Vista, затрудняющей обращение вредоносного кода к системным функциям. Функция ASLR предусматривает случайное распределение исполняемых модулей, в том числе DLL-и EXE-файлов, между 256 возможными позициями в памяти. Это затрудняет обнаружение и, соответственно, ненадлежащее применение вредоносными программами функций в таких исполняемых файлах.

Поскольку системные службы, как правило, исполняются с широкими правами, именно они традиционно являются излюбленными объектами вредоносных атак. В целях минимизации этой угрозы в ОС Windows Vista введено понятие ограничения, или усиления защиты, служб. Ограниченные службы исполняются с минимально возможными правами и имеют дело лишь с минимальным набором ресурсов локального компьютера и сети, необходимых для выполнения их задач.

·         Функция DEP в ОС Windows Vista по умолчанию защищает большинство компонентов. Кроме того, операционная система позволяет разработчикам задействовать DEP в их программном коде.

·         В ОС Windows Vista реализована технология ASLR, затрудняющая обращение вредоносного кода к системным функциям.

·         В ОС Windows Vista практикуется усиление защиты служб – методика ограничения прав, предоставляемых некоторым системным службам.

Функция шифрования дисков BitLocker™

Нет

Шифрование дисков BitLocker – это новая функция защиты данных, предоставляемая в двух выпусках ОС Windows Vista: Windows Vista Enterprise и Windows Vista Ultimate. Она обеспечивает возможность шифрования томов целиком, а также нескольких разделов.

Функция шифрования дисков BitLocker направлена на борьбу с угрозами хищения и раскрытия данных в случаях утери, кражи и ненадлежащего списания компьютерного оборудования. Кроме того, эта комплексная функция осуществляет проверку целостности компонентов ранней загрузки.

Распространенность портативных компьютеров в корпоративных средах с каждым годом возрастает, в связи с чем риск утраты данных с компьютеров пользователей становится для организаций все более актуальным. Функция шифрования дисков BitLocker помогает организациям, не отказываясь от преимуществ мобильности, сокращать риски и налаживать соответствие корпоративным политикам защиты данных.

·         ОС Windows Vista помогает защищать данные путем шифрования томов целиком и защиты компонентов ранней загрузки.

·         Функция шифрования дисков BitLocker поддерживает шифрование нескольких томов.

Брандмауэр Windows

В ОС Windows XP предусмотрен брандмауэр, включенный по умолчанию и обеспечивающий защиту компьютера сразу после запуска операционной системы. Брандмауэр Windows в том виде, в котором он реализован в ОС Windows XP, осуществляет фильтрацию входящего трафика.

В ОС Windows Vista предусмотрен брандмауэр, включенный по умолчанию и обеспечивающий защиту компьютера сразу после запуска операционной системы. Брандмауэр Windows осуществляет фильтрацию входящего и исходящего трафика. Таким образом, он способен предотвратить как утечку данных с компьютера, так и поступление данных в компьютер. Кроме того, брандмауэр Windows позволяет как ИТ-специалистам, так и домашним пользователям запрещать приложениям, в том числе программам обмена данными в одноранговых сетях и программам обмена мгновенными сообщениями, передавать и получать данные от других компьютеров.

Брандмауэр Windows в ОС Windows Vista полностью управляется посредством групповых политик и меняет свои характеристики в зависимости от типа сети. Администраторы могут вводить разные правила брандмауэра в зависимости от того, к какой сети подключен компьютер – корпоративной (к домену), частной (домашней) или общедоступной (к пункту подключения к беспроводной сети).

·         Брандмауэр имеется в обеих операционных системах, однако в то время как в ОС Windows XP предусмотрена фильтрация только входящего трафика, ОС Windows Vista позволяет также фильтровать исходящий трафик.

·         Брандмауэр Windows в ОС Windows Vista способен динамически переключаться между разными правилами в зависимости от типа текущей сети, обеспечивая тем самым дополнительную защиту компьютера в общедоступных сетях.

Защищенный режим обозревателя Windows Internet Explorer 7

Нет

Защищенный режим обозревателя Internet Explorer 7 в ОС Windows Vista создает дополнительный уровень защиты от злоумышленников, пытающихся получить контроль над веб-обозревателем пользователя и запустить вредоносный код с расширенными правами. В защищенном режиме обозреватель Internet Explorer 7 работает с сокращенным набором прав, что позволяет предотвратить изменение пользовательских и системных файлов и параметров без получения явного согласия пользователя. В новой архитектуре веб-обозревателя предусмотрен специальный процесс, называемый посредником, который позволяет приложениям при необходимости безопасным способом получать расширенные права, которые не предоставляются в защищенном режиме. Эта дополнительная мера защиты не дает возможности сценариям и автоматическим процессам загружать и помещать данные куда-либо, помимо каталогов, требующих минимального набора прав (например папки временных файлов Интернета).

·         Обращаться к ресурсам Интернета при помощи обозревателя Internet Explorer 7 в ОС Windows Vista безопаснее, чем в ОС Windows XP.

Служба установщика Microsoft ActiveX®

Нет

Для обеспечения корректной работы жизненно важных программ многим организациям приходится устанавливать на клиентских компьютерах элементы ActiveX. В то же время, большинство таких элементов могут устанавливаться только участниками группы «Администраторы», в то время как пользователям в организациях, как правило, предоставляются обычные права. В результате организации вынуждены выполнять альтернативную упаковку элементов ActiveX и их развертывание на пользовательских компьютерах. Помимо этого, многие элементы ActiveX приходится регулярно обновлять. Многие организации считают этот процесс слишком сложным и затратным для того, чтобы поручать его обычным пользователям.

С появлением ОС Windows Vista ИТ-специалисты получили в свое распоряжение удобный способ развертывания и обновления элементов ActiveX на пользовательских компьютерах. Служба установщика ActiveX позволяет ИТ-специалистам составить групповую политику, указав в ней надежные URL-адреса узлов, с которых обычные пользователи смогут устанавливать элементы ActiveX.

·         ОС Windows Vista позволяет организациям развертывать, обновлять и контролировать элементы ActiveX в средах, где применяются стандартные учетные записи пользователей.

·         ОС Windows Vista позволяет организациям управлять процессом установки элементов ActiveX при помощи групповых политик.

Параметры групповых политик

Групповые политики помогают ИТ-специалистам управлять конфигурациями клиентских компьютеров, вводя в действие тысячи параметров безопасности и конфигурации ОС Windows и отдельных приложений. В частности, можно вводить в действие стандартные конфигурации, параметры безопасности и элементы управления (в диапазоне от политик шифрования с открытым ключом до политик паролей), параметры доступа к ресурсам, организации беспроводных сетевых подключений и установки ПО, а также настройки пользователей.

Управление конфигурациями клиентских компьютеров в ОС Windows Vista осуществляется быстрее и отличается повышенной эффективностью. Это связано с тем, что посредством групповых политик теперь можно настраивать сотни новых параметров, охватывающих более широкий диапазон сценариев. Расширены наборы настраиваемых параметров в таких сферах, как беспроводные сети, подключение и эксплуатация съемных носителей, обозреватель Internet Explorer 7, печать и управление электропитанием.

·         По сравнению с ОС Windows XP, в ОС Windows Vista появилось свыше 500 новых параметров групповых политик.

·         Параметры групповых политик в ОС Windows Vista лучше адаптированы к конкретным сценариям – в частности, к работе в беспроводных сетях, управлению электропитанием, эксплуатации съемных носителей и управлению принтерами.

Стандартные учетные записи пользователей

Развертывание стандартных учетных записей традиционно считается неоправданным. Отчасти это связано с тем, что обычные пользователи не вправе менять многие стандартные параметры, отчасти – с тем, что для работы многих приложений требуется административный доступ к частям реестра и файловой системы (например, к каталогу C:\Program Files). В связи с этим во многих компаниях пользователям предоставляются учетные записи администратора, что приводит к снижению управляемости и возникновению серьезных угроз безопасности. Некоторые компании решают эти проблемы путем развертывания стандартных учетных записей пользователей и последующей организации брешей в списках управления доступом (ACL), однако этот способ связан с значительными издержками.

Контроль учетных записей (UAC) в ОС Windows Vista упрощает для компаний проблему предоставления обладателям стандартных учетных записей пользователей возможности запускать приложения и выполнять множество стандартных задач конфигурации системы – таких как смена часового пояса и установка поддерживаемого принтера. Когда учетными записями администратора обладают только настоящие администраторы, пользователи не имеют возможности вносить в свои системы недопустимые изменения и устанавливать несанкционированные программы, в которых могут содержаться вирусы и шпионское ПО.

Помимо прочего, перенаправление (виртуализация) файлов и реестра обеспечивает возможность исполнения устаревших приложений в стандартной пользовательской среде. При этом операции записи перенаправляются в виртуальное хранилище, и приложения могут работать в нормальном режиме без всяких изменений. Данная функция, таким образом, обеспечивает совместимость с устаревшими приложениями.

·         В ОС Windows Vista стандартные учетные записи пользователей и другие виды учетных записей с ограниченным набором прав стали практичнее, чем были раньше.

·         Контроль учетных записей (UAC) позволяет оповещать стандартных пользователей и администраторов о предстоящем выполнении административного действия.

·         Благодаря функциям перенаправления файлов и реестра, приложения осуществляют операции записи данных в четко определенные для данного пользователя места.

Надежность и средства диагностики

В состав ОС Windows XP входят базовые средства устранения неполадок. В то же время, немногие из имеющихся средств способны автоматически находить и исправлять стандартные проблемы, в связи с которыми обычно фиксируются обращения в службу поддержки. ОС Windows XP поддерживает отправку базовых телеметрических данных, которые помогают специалистам корпорации Майкрософт проводить диагностику проблем.

В составе ОС Windows Vista имеются встроенные средства диагностики, способные автоматически обнаруживать и диагностировать распространенные проблемы и помогающие пользовать решать эти проблемы собственными силами. В частности, ОС Windows Vista диагностирует неполадки, связанные со сбоями дисков, снижением производительности, работоспособностью сети и проблемами при запуске.

ОС Windows Vista содержит множество инструментов устранения неполадок, среди которых:

·         среда восстановления Windows

·         монитор стабильности.

Кроме того, ОС Windows Vista может (по желанию пользователя) отправлять телеметрические данные, в том числе показатели надежности, которые помогают специалистам корпорации Майкрософт усовершенствовать механизм взаимодействия пользователей с операционной системой. В качестве примеров таких инструментов следует упомянуть программу улучшения качества ПО (CEIP) и отчеты об ошибках Windows (WER).

·         ОС Windows Vista автоматически обнаруживает и устраняет больше проблем, чем ОС Windows XP, тем самым сокращая расходы на поддержку.

·         ОС Windows Vista предоставляет комплексные инструменты устранения неполадок, среди которых – отчеты об ошибках Windows (WER).

·         Телеметрические данные, передаваемые ОС Windows Vista, помогают специалистам корпорации Майкрософт выявлять и диагностировать проблемы, беспокоящие пользователей.

Управление событиями

В ОС Windows XP имеются базовые средства управления событиями, реализованные в виде инструмента «Просмотр событий». Он предоставляет пользователям возможность просматривать, отфильтровывать и архивировать события. Механизм ведения журнала событий в ОС Windows XP мало изменился по сравнению с предшествующими версиями ОС, и многие компоненты Windows по-прежнему хранят сведения о событиях в текстовых файлах, разбросанных по файловой системе.

Полностью переработанный инструмент «Просмотр событий» позволяет ИТ-специалистам создавать новые представления, сочетая в них события из отдельных журналов, проводить поиск событий в более удобном режиме, а также ссылаться на назначенные задания и сценарии, которые должны исполняться одновременно с теми или иными событиями. Новая система регистрации событий Windows Eventing значительно упрощает применение ИТ-специалистами журнала событий для устранения неполадок.

Кроме того, система Windows Eventing предусматривает централизованное хранилище событий, которое  ИТ-специалистам проще использовать в процессе устранения неполадок. События регистрируются в формате XML, что повышает эффективность интеграции с инструментами управления.

Пересылка событий позволяет ИТ-специалистам наладить централизованное управление событиями со своих компьютеров. В свою очередь, это помогает заранее обнаруживать проблемы и связывать в единую систему неполадки, затрагивающие разные компьютеры и перенаправлять события на компьютеры, работающие под управлением ОС Windows Server® 2008.

·         В ОС Windows Vista имеются новый механизм пересылки событий, обновленный инструмент «Просмотр событий», а также средства автоматизации обработки событий.

·         В ОС Windows Vista события сохраняются в формате XML, что повышает эффективность интеграции с инструментарием управления.

·         ОС Windows Vista аккумулирует события, связанные с различными компонентами операционной системы, в специальном журнале событий, заменившим собой разрозненные текстовые файлы.

Планирование заданий

Планировщик заданий в Windows XP предоставляет базовые функции планирования. Пользователи имеют возможность планировать выполнение задач ежедневно, еженедельно и т.д. В то же время у ИТ-специалистов нет возможности создавать и координировать задания в комфортном режиме при помощи сценариев. Вместо этого они вынуждены обращаться к приложениям командной строки.

Планировщик заданий ОС Windows Vista характеризуется обратной совместимостью с ОС Windows XP. ИТ-специалисты могут планировать задания для запуска в определенных ситуациях, например:

·         когда происходит определенное событие;

·         когда пользователи блокируют и разблокируют сеансы;

·         когда компьютер находится в состоянии простоя;

·         когда компьютер находится в корпоративной сети.

Помимо прочего, задания можно запускать последовательно. Это позволяет ИТ-специалистам планировать выполнение многочисленных заданий и быть уверенными в том, что они не будут исполняться одновременно. Для укрепления защиты и сокращения административной нагрузки, связанной с истечением сроков действия паролей, ИТ-специалисты могут выполнять задачи с применением учетных данных домена, заменяя ими данные локальных учетных записей, которыми они управляют.

·         ОС Windows Vista позволяет ИТ-специалистам планировать задания при помощи сценариев.

·         В ОС Windows Vista предусмотрены новые настройки планирования заданий и возможность их последовательного выполнения.

Установка из образа (IBS)

ОС Windows XP не поставляется в виде образа. Установка и настройка всех компонентов ОС Windows производится программой установки.

На рынке присутствуют инструменты сторонних производителей для создания образов, однако в большинстве своем они носят узкоотраслевой характер. Инструменты в составе пакета автоматической установки Windows (Windows AIK) и пакета Microsoft Deployment Toolkit (MDT) 2008 поддерживают создание файловых образов ОС Windows XP, однако структура этих образов не позволяет ИТ-специалистам развертывать драйверы, обновления и другие пакеты в автономном режиме. Как правило, это приводит к тому, что ОС Windows XP приходится часто обновлять.

ОС Windows Vista распространяется в новом файловом формате образов Windows (WIM). Этот формат поддерживает упаковку нескольких образов в один файл с высокой степенью сжатия.

Основное преимущество файлового формата WIM в ОС Windows Vista заключается в том, что он не зависит от конкретных аппаратных средств. Это обстоятельство позволяет радикально сократить число образов, которые корпоративным клиентам приходится поддерживать и развертывать. Кроме того, файловый формат WIM позволяет ИТ-специалистам обслуживать образы в автономном режиме, добавляя дополнительные компоненты (например, драйверы устройств и обновления) без постоянного переформирования и создания новых образов. Эта возможность кардинально повышает эффективность обслуживания и сокращает затраты.

·         ОС Windows Vista распространяется в виде файла образа WIM и устанавливается посредством процедуры IBS. В результате процесс установки проходит быстрее и проще, а число необходимых образов ОС сокращается.

·         ОС Windows XP не распространяется в виде образов WIM. Инструменты корпорации Майкрософт позволяют упаковывать ОС Windows XP в образы WIM, но при этом возможности обслуживания в автономном режиме, предоставляемые образами Windows Vista, отсутствуют.

Инструменты развертывания, обеспечения совместимости и инвентаризации ПО

Инструменты развертывания ОС Windows XP в корпоративной среде (deploy.cab) поставляются на носителях Windows XP и доступны в Центре загрузки Майкрософт. Кроме того, создавать и развертывать образы ОС Windows XP позволяют пакет MDT 2008 и веб-узел Microsoft System Center.

Для развертывания ОС Windows XP клиенты могут обращаться к самым разным инструментам, в том числе к имеющимся в составе пакета Windows AIK. В частности, в качестве средств развертывания ОС Windows XP применяются среда предустановки Windows (Windows PE) 2.1, ImageX, службы развертывания Windows, инструмент Microsoft Deployment, а также набор средств для обеспечения совместимости приложений (ACT) 5.0. В то же время применение этих инструментов с ОС Windows XP не дает того объема возможностей, который предусмотрен для ОС Windows Vista.

Для ОС Windows Vista был разработан новый набор инструментов развертывания. Некоторые из них – например, программа Sysprep – в настоящее время поставляются в качестве базовых компонентов операционной системы. Остальные инструменты входят в состав пакета Windows AIK (среде предустановки Windows 2.1, диспетчере установки Windows (Windows SIM) и ImageX. Эти инструменты оптимизированы с тем, чтобы сократить число образов, которые необходимо поддерживать, а обслуживать эти образы стало проще. Пакет MDT 2008 – новая версия инструментария Microsoft Business Desktop Deployment (BDD) – полностью реализует возможности развертывания, появившиеся в ОС Windows Vista. Имеются и другие инструменты для упрощения развертывания ОС Windows Vista:

·         сервер развертывания Windows;

·         набор средств ACT;

·         пакет автоматизированных инструментов и инструкций Мicrosoft Assessment and Planning Solution Accelerator.

·         Средства создания образов и установки ОС Windows Vista поддерживают формат WIM и полностью реализуют его потенциал. Таким образом, повышается стабильность и надежность в широком диапазоне сценариев развертывания. Кроме того, при помощи среды предустановки Windows PE 2.1 администраторы могут единообразно управлять ОС Windows Vista и Windows XP, а значит, эффективность управления в гетерогенных средах повышается.

Программа установки Windows

В ОС Windows XP установка и настройка компонентов в компьютерах производится посредством программы установки Windows . При этом процесс IBS не применяется, а что касается сценариев, которые организации практикуют при развертывании ОС Windows, то поддерживаются далеко не все из них. В частности, это касается сценариев, предполагающих недеструктивную установку (например обновление компьютера или местная очистка и загрузка, когда файлы и параметры пользователя остаются на локальном  ПК).

В ОС Windows XP на различных этапах установки применяются многочисленные файлы ответов, каждый из которых обладает собственным форматом и синтаксисом. К примеру, файл unattend.txt применяется для установки с носителя, а sysprep.inf – для установки из образа. Применение многочисленных файлов ответов со схожими параметрами усложняет обслуживание.

Установка ОС Windows Vista основана на процессе IBS, который делает ее более быстрой, стабильной и удобной.  Поддерживаются все сценарии развертывания, применяемые при развертывании ОС Windows, и в том числе те, которые предполагают недеструктивную установку. Процесс  IBS делает установку Windows Vista быстрее аналогичной процедуры в  Windows XP.

На всех этапах настройки программа установки Windows задействует файл ответов в формате XML (unattend.xml). Это делает процедуру установки более цельной и логичной. Кроме прочего, ОС Windows Vista предусматривает большее число параметров в файле unattend.xml, чем ОС Windows XP в файле unattend.txt, поэтому для развертывания нужной конфигурации требуется лишь должным образом настроить файл ответов.

Диспетчер установки Windows помогает создавать и редактировать файлы unattend.xml и дистрибутивные общие ресурсы при помощи простого графического пользовательского интерфейса. Диспетчер установки Windows помогает создавать общие дистрибутивные ресурсы и управлять ими.

·         ОС Windows Vista предусматривает применение процесса IBS и поддерживает больше сценариев развертывания, чем ОС Windows XP.

·         Развертывание ОС Windows Vista производится на основе одного XML-файла ответов, что делает процедуру установки более последовательной; установка ОС Windows XP, напротив, основывается на многочисленных текстовых файлах ответов.

·         Диспетчер установки Windows поддерживает все параметры, которые ОС Windows Vista делает доступными для развертывания на всех этапах настройки, в то время как поддерживается лишь часть параметров ОС Windows XP.

Развертывание из одного образа в любом месте

В ОС Windows XP возможности сокращения числа образов, которые организациям необходимо поддерживать, минимальны. К примеру, программа Sysprep подготавливает образы для компьютеров с разнообразными запоминающими устройствами. В то же время в организациях приходится подготавливать по одному образу для каждого типа слоя абстрагирования оборудования (HAL) в рабочей среде. Мало того, организациям приходится подготавливать по одному образу для каждого языка.

Пакет MDT 2008 помогает организациям, в которых установлены ОС Windows XP, приблизиться к реализации принципа «тонкого» образа. В этом пакете имеются инструкции и инструменты, позволяющие сократить число образов, однако ограничения, связанные с зависимостью от слоев HAL и языков, остаются актуальными.

ОС Windows Vista содержит ряд расширенных функций, помогающих организациям сократить число образов, которые необходимо поддерживать. В первую очередь, ОС Windows Vista независима от оборудования. Поэтому организациям не придется создавать образы для каждого типа слоя HAL в рабочей среде. Во-вторых, выпуски Windows Vista Enterprise и Windows Vista Ultimate позволяют организациям развертывать один образ с пользовательским интерфейсом на разных языках на всевозможных клиентских компьютерах вне зависимости от их географического положения.

Пакет MDT 2008 позволяет организациям реализовывать принцип «тонких» образов и методики настройки времени развертывания. Это, в свою очередь, помогает в развертывании и настройке единого, независимого от географических характеристик образа. К примеру, в ходе развертывания можно настроить установку ПО для организации виртуальной частной сети (VPN) на портативных компьютерах и бухгалтерского ПО на компьютерах бухгалтерии.

·         ОС Windows Vista позволяет организациям создавать и развертывать единый, независимый от географических характеристик образ, в то время как для развертывания ОС Windows XP в разных регионах зачастую требуется множество разных образов.

·         Пакет MDT 2008 позволяет компаниям реализовать принцип «тонкого» образа, тем самым сократив число образов ОС Windows XP и Windows Vista.

Центр мобильности Windows

В ОС Windows XP отсутствует централизованный пункт управления стандартными параметрами мобильности. Для управления такими параметрами пользователи вынуждены обращаться к различным программам и элементам панели управления.

Центр мобильности Windows, допускающий настройку силами изготовителей оборудования (OEM), группирует наиболее распространенные параметры портативного компьютера. Теперь пользователям значительно удобнее изменять и синхронизировать яркость экрана, громкость, схемы управления питанием, настройки беспроводной сети, фоновые рисунки рабочего стола, внешний дисплей (сетевой проектор или второй монитор), так как все эти параметры расположены вместе.

Работая в режиме презентации, пользователи могут быстро отключить заставку и системные уведомления, а также и запретить переход портативн�