Улучшения межсетевого экрана Windows

Как и в Windows XP SP2, межсетевой экран в Windows Vista включен по умолчанию и начинает защищать пользовательский компьютер с момента загрузки операционной системы. Теперь межсетевой экран способен фильтровать и входящий, и исходящий трафик. Он помогает также защититься от вредного воздействия системных ресурсов, если они ведут себя непредсказуемо (возможно в случае работы вредоносного кода). Например, если системная служба сконфигурирована таким образом, чтобы посылать сообщения в сеть через определенный порт, но пытается это сделать через другой, межсетевой экран Windows, может запретить отправку данных сообщений, тем самым обеспечивая защиту от распространения вредоносного ПО.

Защита данных

BitLocker Drive Encryption (Шифрованиетома)

BitLocker Drive Encryption – инструмент, позволяющий защитить конфиденциальную информацию на диске, путем его шифрования. В случае, если диск, защищенный с помощью технологии BitLocker украден или, например, списан, то информацию на нем прочесть не удастся, поскольку все содержимое диска зашифровано.

Технология BitLocker использует TPM (Trusted Platform Module) – специальный чип, который необходим для безопасного хранения ключевой информации, а также для разграничения доступа к системе. Во время загрузки Windows проверяется целостность системных файлов и данных. Если файлы были изменены, ОС не загрузится. BitLocker поддерживает централизованное хранение ключей в Active Directory, в то же время позволяя системным администраторам хранить ключи шифрования и на USB-устройствах.

BitLocker позволяет изменить стандартный процесс загрузки ОС. Дело в том, что загрузка ОС может блокироваться до тех пор, пока пользователь не введет PIN-код или не вставит USB-устройство с ключами дешифрования. Эти дополнительные меры безопасности обеспечивают так называемую мультифакторную аутентификацию (многоуровневую).

BitLocker Drive Encryption будет доступен для клиентских машин в версиях Windows Vista Enterprise и Ultimate.

Улучшенияв EFS (Encrypting File System)

В Windows Vista EFS поддерживает хранение пользовательских ключей и ключей восстановления на смарт-картах. Кроме того, EFS в Windows Vista может быть использована для шифрования файла подкачки (эта опция может быть активирована системным администратором через групповую политику). Кэш на стороне клиента, в котором сохраняются копии документов с сервера также может быть зашифрован с помощью EFS. В этом случае даже локальный администратор, не обладая пользовательским секретным ключом, не сможет расшифровать файлы пользователя.

В Групповую Политику был добавлен ряд опций, по поддержке EFS. К ним относятся опции включения возможности шифрования файла подкачки, сохранения ключей на смарт-картах, ограничения минимальной длины ключа и т.д.

Кроме вышеперечисленного, существует возможность шифрования пользовательских файлов «на лету» при сохранении их на сервере Longhorn. Такая операция необходима, когда нет доверия к серверу.

EFS будет доступна в версиях Windows Vista Business, Enterprise и Ultimate.

Контроль USB -устройств

Не секрет, что бесконтрольное использование USB-накопителей может привести к утечке конфиденциальной информации из организации, к заражению компьютера вредоносным ПО и другим малоприятным последствиям. Именно поэтому в ОС Windows Vista реализован механизм контроля использования USB-устройств.

Посредством Групповой Политики Windows Vista позволяет системным администраторам блокировать установку неавторизованных USB-устройств в компьютер. Данная политика может применяться как к отдельному компьютеру, так и к множеству компьютеров по всей сети. У администраторов в руках находятся весьма гибкий инструмент по настройке политики запрета USB-устройств. Например, можно разрешить установку только определенного класса устройств, таких как принтеры, запретить установку любых типов USB-накопителей или запретить установку любых неавторизованных устройств. Данные политики можно перекрывать путем ввода пароля администратора для установки того или иного устройства. И, наконец, можно открывать доступ по чтению / записи к устройствам для определенных пользователей или компьютеров.

Заключение

Что ж, можно сказать, что Microsoft идет по правильному пути, повышая безопасность своих ОС. На словах все выглядит довольно хорошо, однако на деле мы сможем проверить безопасность новой ОС только после ее официального выхода. Будет ли система безопасности удобна, незаметна для пользователя и эффективна? Пока мы можем сказать, что она неудобна для пользователя из-за обилия ненужных сообщений от UAC, появляющихся на экране. Хоть Microsoft и работает над этой проблемой, все равно, думаю, часть недовольств останется. Будет ли ПО от Microsoft менее дырявым благодаря SDL? Вопрос остается открытым. Какие выводы можно сделать из этой статьи?

1. Microsoft действительно пытается повысить безопасность новой ОС.

2. Эффективность вышеперечисленных методов защиты пока не доказана.