پیشرفت های اخیر در فناوری شبکه مانند امکان اتصال دائم به اینترنت، فرصت های زیادی را در اختیار انواع شرکت ها و سازمان ها و حتی کاربران عادی قرار داده است. اما متأسفانه اتصال به هر نوع شبکه ای و مخصوصاً اینترنت، خطر حملات بدافزاری را افزایش می دهد و در همین حال که متخصصان امنیتی مشغول مدیریت خطرات موجود هستند، خطرات جدیدی ایجاد و کشف می شوند. یکی از فاکتورهای اصلی که خطر بدافزارها را به میزان چشمگیری افزایش می دهد، ارتقا حق دسترسی کاربران به سطح مدیر سیستم است. زمانی که یک کاربر با حق دسترسی مدیر یا Administrator وارد سیستم می شود، تمام برنامه هایی که اجرا می کند مانند مرورگرها، برنامه های ایمیل و برنامه های پیام فوری نیز حق دسترسی مدیر سیستم را پیدا می کنند. در صورتی که این برنامه ها یک بدافزار را فعال سازند، آن بدافزار خود را نصب و خدمات برنامه های آنتی ویروس را دستکاری کرده و حتی ممکن است خود را از دید سیستم عامل پنهان سازد. از طرف دیگر کاربران نیز ممکن است به صورت ناخواسته (برای مثال از طریق بازدید از یک وب سایت آلوده شده و یا با کلیک بر روی پیوست ایمیل) برنامه های خرابکار را اجرا کنند. برنامه های خرابکار مذکور می توانند بسیار خطرناک بوده و کارهایی از قبیل دستکاری اطلاعات حساس، به دست آوردن کلمات عبور از طریق نصب ثبت کننده ضربات صفحه کلید (keystroke logger)، به دست گرفتن کنترل کامل رایانه قربانی و حتی شبکه ها را انجام داده و کاری کنند که وب سایت ها بالا نیایند و یا حتی دیسک سخت را فرمت کنند. در برخی موارد هزینه تحمیل شده بر اثر خرابکاری های مذکور غیر قابل جبران است. برای برخورد با تهدیدات مذکور، یک استراتژی دفاع چند لایه لازم است که راهکار حساب های کاربری با حداقل دسترسی (LUA-least-privileged user account)، یکی از بخش های مهم استراتژی دفاعی را تشکیل می دهد. راهکار LUA تضمین می کند که کاربران از اصول حداقل حق دسترسی پیروی کرده و با حساب های کاربری محدود شده وارد شبکه شوند. از طرف دیگر هدف LUA، اعطای حق دسترسی مدیریتی تنها به مدیران شبکه و تنها برای انجام کارهای مدیریتی است. برای کسب اطلاعات بیشتر در مورد LUA و اصل حداقل حق دسترسی به مقاله حداقل حق دسترسی در ویندوز XP مراجعه فرمایید. در این مقاله در مورد چگونگی پیاده سازی LUA در ویندوز XP صحبت خواهیم کرد.
پیاده سازی LUA
پیاده سازی راهکار LUA در واقع اجرای قوانین زیر در رایانه هایی است که ویندوز XP را اجرا می کنند:
کاربرانی که مدیر نیستند همواره باید به عنوان کاربران محدود شده (Limited Users) وارد سیستم شوند.
مدیران باید زمانی از حساب کاربری Administrator استفاده کنند که قصد انجام کارهای مدیریتی را دارند.
برای پیاده سازی قوانین فوق، موارد خاصی باید بررسی شوند، به خصوص زمانی که یک سازمان در گذشته دسترسی های مدیریتی را به کاربران خود داده است و حال درصدد استفاده از راهکار LUA است. در زیر ملاحظاتی که در زمان اجرای LUA در نظر گرفته می شوند، توضیح داده شده اند.
ملاحظات پیاده سازی
پیاده سازی راهکار LUA، ممکن است منجر به برخی مسائل فنی، مدیریتی و سیاستی در درون سازمان شود که باید به دقت بررسی و رسیدگی شوند. مهمترین مسائلی که باید مورد توجه قرار گیرند به طور خلاصه عبارتند از:
کنترل رایانه
نصب سخت افزار
نصب برنامه ها
اجرای برنامه ها
به روز رسانی سیستم عامل
تنظیمات سیستم عامل
هزینه ها
در زیر هر یک از موارد فوق را به تفصیل توضیح می دهیم:
کنترل رایانه
احتمالاً مشکل ترین مسئله سیاستی سازمان برای پیاده سازی LUA، تغییر ذهنیت کارمندان در مورد تحت کنترل داشتن رایانه ای است که گمان می کنند متعلق به آنها است. بسیاری از مدیران ارشد و مشاوران انتظار دارند که کنترل کامل رایانه خویش را در اختیار داشته باشند ولی نسبت به خطرات چنین اختیاراتی ناآگاه هستند. اینگونه افراد نظر خوبی نسبت به پیغام هایی که به آنها می گوید چه کاری را نمی توانند انجام دهند، ندارند و در هر بار مواجهه با چنین پیغام هایی با اصرار از مدیر شبکه می خواهند کنترل کامل رایانه را در اختیارشان بگذارد. همچنین کارمندان شروع به شکایت و مبالغه کردن در مورد مشکلاتی می کنند که به علت در اختیار نداشتن کنترل کامل رایانه با آن مواجه شده اند. برای برخورد با چنین مشکلی باید به کارمندان و مدیران در مورد امنیت در اینترنت و اینکه چگونه اختیارات مدیریتی، ریسک امنیتی بالایی را به سازمان تحمیل می کند، آموزش داد و همچنین لازم است در مورد پیامدهای قانونی یک هک یا سرقت اطلاعات ناخواسته برای آنها توضیح داد.
نصب سخت افزار
کارمندانی که در دفتر ثابت کار می کنند هرگز نیازی به دسترسی های مدیریتی برای نصب سخت افزار ندارند، اما کارمندانی که از رایانه های قابل حمل استفاده می کنند، ممکن است نیاز به نصب سخت افزارهایی مانند پرینتر و DVD writer پیدا کنند. در این موارد ممکن است بتوان از قوانین LUA چشم پوشی کرد و یا از روش های مدیریت سخت افزار استفاده کرد.
نصب برنامه ها
بسیاری از برنامه ها برای نصب نیازمند دسترسی مدیریتی هستند. نکته مثبت این ویژگی، جلوگیری از نصب برنامه های تأیید نشده است ولی از طرف دیگر اجازه نصب برنامه ها و به روز رسانی های تأیید شده را هم به حساب های کاربری غیر مدیریتی نمی دهد. این موضوع زمانی بیشتر مشکل ساز می شود که رایانه کاربر به شبکه سازمان وصل نباشد و یا فقط برخی اوقات وصل شود. برای برطرف کردن مشکل نصب برنامه های تأیید شده و به روز رسانی های امنیتی ممکن است نیاز به تغییر در دو مقوله رویه های عملیاتی و استفاده از ابزارها باشد. برای مثال می توان به انتشار برنامه های کاربردی از طریق Active Directory، حقوق ارتقا یافته در Deployment Tool در Systems Manager Server(SMS) مایکروسافت و Remote Desktop اشاره کرد. همچنین برخی وب سایت ها تنها زمانی درست کار می کنند که برخی نرم افزارهای اضافی و یا کنترل های Active X را بر روی رایانه کاربر نصب نمایند. برخی ابزارهای مدیریتی مانند Internet Explorer Administration Kit و Group Policy می توانند چنین اجازه ای را به وب سایت های مذکور بدهند، البته فقط در صورتی که نیاز به وب سایت مذکور برای شرکت ضروری باشد و این کار به خطرهایی که نصب نرم افزار از وب سایت مذکور، به شرکت تحمیل می کند، بیارزد.
اجرای برنامه ها
برخی برنامه ها برای اجرا نیازمند دسترسی های مدیریتی هستند. معمولاً این محدودیت از خطاهای برنامه نویسی و پیاده سازی ضعیف برنامه یا سیاست های امنیتی ناشی می شود. برای مثال، ممکن است برنامه ای کلید خود را در رجیستری ذخیره کند که برای کاربر محدود شده غیر قابل دسترسی است. در بسیاری از موارد، می توان این مشکل را با ارتقای حق دسترسی گروه کاربران محدود شده حل کرد. البته این مجوز دسترسی باید تنها برای محلی صادر شود که عدم دسترسی به آن منجر به از کار افتادن برنامه می شود. برای حل مسائل مشابه می توان از Microsoft Windows Application Compatibility Toolkit (ACT) که در ادامه درباره آن بیشتر صحبت خواهیم کرد، استفاده کرد. دقت شود که مدیران شبکه نباید به راحتی به علت اینکه یک برنامه خاص نیازمند مجوزهای مدیریتی است، تسلیم شده و همه کاربران را administrator کنند.
به روز رسانی سیستم عامل
نصب دستی به روز رسانی های سیستم عامل از وب سایت Microsoft Update نیازمند حق دسترسی مدیریتی است، اما به روز رسانی اتوماتیک چنین مشکلی ندارد. در صورتی که سیستم برای نصب اتوماتیک به روز رسانی های سیستم عامل و برنامه ها تنظیم شود، به ندرت نیازمند حق دسترسی مدیریتی می شود. برنامه SMS 2003 و نسخه های جدیدتر آن دارای ویژگی هایی برای شناسایی و نصب به روز رسانی های سیستم عامل و برنامه ها است که نیازمند حق دسترسی مدیریتی نیست. سازمان هایی که SMS را نصب نکرده اند می توانند از Windows Software Update Services(WSUS) که مدیریت به روز رسانی ها را به شکل ساده و در عین حال امنی پیاده سازی کرده است، استفاده کنند.
تنظیمات سیستم عامل
سیاست فناوری اطلاعات سازمان باید به روشنی تعریف کند که کاربران محدود شده چه اعمالی را می توانند بر روی رایانه های خود انجام دهند. برای مثال می توان به کاربران غیر ثابت (متحرک) اجازه داد ساعت رایانه خود را تغییر دهند. در ادامه ابزارهایی را معرفی خواهیم کرد که برای مدیریت تنظیمات مذکور به کار می روند.
هزینه ها
برنامه ریزی، پیاده سازی و مدیریت راهکار LUA می تواند هزینه بر باشد. در صورتی که شما از برنامه های نرم افزاری آماده استفاده می کنید و یا شرکت دیگری متولی مدیریت فناوری اطلاعات شما است، این هزینه ها می تواند چشمگیر باشد. برای مثال می توان به موردی اشاره کرد که سازمان شما برنامه ای را از یک تولید کننده نرم افزار خریداری کرده است که با راهکار LUA سازگار نیست و تنها با دسترسی های مدیریتی کار می کند. در این وضعیت با توجه به منابعی که تولید کننده نرم افزار در اختیار شما گذاشته است می توان اقدامات زیر را انجام داد:
برنامه را در محیط LUA تست کرد.
یک پروسه کاهش خطر را تعیین کرد که در صورت اجرا نشدن برنامه از آن استفاده کرد:
مجوزهای رجیستری را تغییر داد و یا به چندین رایانه دسترسی های ویژه داد.
حقوق دسترسی را تغییر داد.
از ابزارهایی که مشکل تنظیمات را حل می کنند، استفاده کرد.
برنامه را از ابتدا ایجاد کرد. در صورتی که شرکت به هر حال قصد دارد برنامه های خود را تبدیل به احسن کند، هزینه های پیاده سازی LUA چندان قابل توجه نخواهد بود.
ابزارها
بسیاری از ابزارهای مایکروسافت و دیگر تولید کنندگان نرم افزار برای کمک به مدیریت محیطی که از راهکار LUA استفاده می کند، در دسترس هستند. در این بخش به معرفی سه ابزارهای پیشنهاد شده توسط مایکروسافت می پردازیم:
Secondary Logon Service
این نرم افزار به کاربران اجازه می دهد برنامه ها را با حقوق دسترسی متفاوت اجرا کنند و یک مجوز امنیتی جدید برای اعضای گروه صادر می کند. این مجوز امنیتی جدید به کاربران مذکور اجازه می دهد برنامه هایی را اجرا کنند که برای اجرای صحیح، نیازمند دسترسی به منابع خاصی هستند. البته استفاده از این سرویس ممکن است منجر به محدودیت های زیر شود:
کاربران باید اطلاعات ورود به حساب کاربری دوم را بدانند.
برخی برنامه ها نمی توانند یک نسخه دیگر را با اطلاعات ورود متفاوت، از نسخه جاری اجرا کنند
ممکن است حساب کاربری دوم دارای درایوها یا پرینتر نصب شده مطابق با حساب کاربری اول نباشد.
Application Compatibility Toolkit
این ابزار که اختصاراً ACT نامیده می شود در واقع مجموعه ای از ابزارها و پرونده ها است که به متخصصان IT و توسعه دهندگان نرم افزار کمک می کند تا به بالاترین سطح تطابق برنامه ها با سیستم عامل های ویندوز برسند. ابزارهای مجتمع شده عبارتند از:
Application Analyzer : این ابزار امکان فهرست بندی برنامه های کاربردی و تست تطابق پذیری را فراهم می سازد.
Compatibility Administrator : این پایگاه داده، لیست اصلاحات تطابق پذیری ضروری را برای برنامه های تاریخ گذشته ویندوز نشان می دهد.
Internet Explorer Compatibility Evaluator: این ابزار به تفصیل مشکلات تطابق پذیری برنامه ها با مرورگر IE را ثبت می کند.
Systems Management Server) SMS)
این نرم افزار یک سیستم مدیریتی با امکانات بسیار برای شرکت های متوسط و بزرگ است و شبکه های مرکزی و یا گسترده را نیز پوشش می دهد. SMS از راهکار LUA پشتیبانی کرده و اجازه نصب به روز رسانی های نرم افزارها و سیستم عامل را بدون نیاز به دسترسی های مدیریتی می دهد.
کاهش اختیارات مدیریتی
در صورتی که سازمانی قادر به پیاده سازی راهکار LUA به طور کامل نیست، می تواند خطرات دادن حق دسترسی مدیریتی به کاربران را کاهش دهد. برای این کار باید مطمئن شد که هر برنامه ای که به منابع شبکه دسترسی دارد تحت حقوق کاربر محدود شده اجرا می شود. درست است که این کار با اصول حق دسترسی محدود شده سازگاری ندارد ولی حداقل به هر کسی اجازه نمی دهد همه برنامه ها را با حق دسترسی مدیریتی اجرا کند. برای تأمین امنیت مؤثر، زمانی که کاربران شبکه دارای حق دسترسی مدیریتی هستند باید موارد زیر در نظر گرفته شود:
از ابزارهایی برای کاهش خطرات اجرای برنامه ها با حق دسترسی مدیریتی استفاده شود.
باید برنامه هایی که با اینترنت در ارتباطند مانند ایمیل، مرورگرها و نرم افزارهای پیام فوری تحت حق دسترسی کاربر محدود شده اجرا شوند. دادن مجوز مدیریتی به چنین برنامه هایی متداول ترین روش نفوذ بدافزارها به سیستم است.
می توان از ابزارهای زیر برای کاهش خطرات، زمانی که کاربران با حق دسترسی مدیریتی وارد سیستم می شوند، استفاده کرد:
Secondary Logon Service
Software Restriction Policies
DropMyRights
در پایان باید گفت که راهکار LUA به تنهایی یک راه حل امنیتی کامل نیست و باید همراه با دیگر استراتژی های دفاعی همچون آموزش کاربران، به کارگیری فایروال ها، به روز رسانی های امنیتی منظم و استفاده از آنتی ویروس های به روز، به کار گرفته شود.
منبع: مرکز ماهر
