Recommended
More Related Content
Viewers also liked
Similar to Microsoft. Александр Худяков "Windows 10 - защита от современных угроз безопасности"
Similar to Microsoft. Александр Худяков "Windows 10 - защита от современных угроз безопасности" (20)
More from Expolink
More from Expolink (20)
Microsoft. Александр Худяков "Windows 10 - защита от современных угроз безопасности"
- 2. План
- 3. Выпуски Windows 10 для настольных компьютеров Выпуск Аудитория Преимущества Потребители и сотрудники, использующие личные устройства для работы 1. Для устройств под управлением Windows 7/8.1 в течение года после выпуска Windows 10, с доступом через Центр обновления Windows 2. Требуется участие в программе Software Assurance Доступность Windows 10 Домашняя • Знакомый, персонализированный интерфейс • Новый браузер отлично подходит для работы в Интернете • Новые способы организации работы и повышения эффективности • Предоставление последних обновлений безопасности и компонентов OEM Розница/ESD Бесплатное обновление1 Windows 10 Pro Малые предприятия и нижний сегмент среднего бизнеса • Управление устройствами и приложениями • Поддержка сценариев удаленной и мобильной работы • Облачные технологии для организаций • Гарантированное качество обновлений благодаря проверке среди широкой потребительской аудитории OEM Розница/ESD Корпоративное лицензирование Бесплатное обновление1 Windows 10 Корпоративная Средние и крупные предприятия • Повышенная безопасность • Расширенное управление устройствами и приложениями • Гибкость развертывания ОС и управления обновлениями2 • Пакет Microsoft Desktop Optimization Pack (MDOP)2 Корпоративное лицензирование Windows 10 для образовательных учреждений Образовательные учреждения, учащиеся, преподаватели и администраторы • Все возможности ОС Windows 10 Корпоративная • Упрощенный переход с Windows 10 Домашняя Корпоративное лицензирование
- 4. Microsoft User Experience Virtualization (UE-V) Microsoft Application Virtualization (App-V) Microsoft BitLocker Administration & Monitoring (MBAM) Расширенное управление групповыми политиками (AGPM) Microsoft Diagnostic and Recovery Toolset (DaRT) MDOP как средство виртуализации, управления и восстановления Права перехода на новые версии для будущих и прошлых отрезков LTSB Права на использование Windows To Go Права виртуализации Круглосуточная и расширенная поддержка с предоставлением исправлений Ваучеры на обучение и онлайн-обучение Преимущества TechNet Право перехода на новые версии, фундаментальные преимущества и поддержка Доступ к программам Long Term Servicing Branch (10-летняя поддержка) Возможность выбора и комбинированного использования: - Current Branch - Current Branch for Business - Long Term Servicing Branch (LTSB) Гибкость при развертывании и использовании Windows Детальное управление пользовательским интер- фейсом и его блокировка Противодействие атакам типа «Pass-the-Hash» Телеметрический контроль при помощи групповой политики и MDM Device Guard DirectAccess Windows To Go AppLocker BranchCache Уникальные возможности корпоративного выпуска Windows 10 Корпоративная с Software Assurance Доступ к текущим уникальным возможностям корпоративного выпуска Новое Теперь входит в SA
- 5. Особые системы Long Term Servicing Branch Потребительские устройства Current Branch Установка обновлений через Центр обновления Windows по мере их появления Регулярное предоставление обновлений сотням миллионов пользователей Обширная и неоднородная база пользователей помогает повысить качество обновлений ОС Обновление и защита личных устройств, используемых в работе На протяжении отрезка долгосрочного обслуживания новые возможности не предоставляются Регулярные обновления безопасности Управление через службы WSUS Примеры: командно- диспетчерские пункты, реанимационные отделения Бизнес-пользователи Current Branch for Business Обновление устройств после проверки возможностей на рынке Windows как услуга
- 7. Эволюция атак Количество и Влияние Самоучки BLASTER, SLAMMER Мотив: Развлечение 2003-2004
- 8. Эволюция атак 2005-Нынешний день Орг. преступность RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT Мотив: Выгода Самоучки BLASTER, SLAMMER Мотив: Развлечение 2003-2004
- 9. Эволюция атак 2005-Нынешний день Орг. преступность RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT Мотив: Выгода Самоучки BLASTER, SLAMMER Мотив: Развлечение 2012 – и далее Государства, Активисты, Террористы НАГЛО, СЛОЖНО, ПРИЦЕЛЬНО Мотив : Кража ИС, Вред, Выведение из строя 2003-2004
- 10. Windows Hello Microsoft Passport BitLocker Enterprise Data Protection Device Guard Windows Defender UEFI Secure Boot TPM 2.0, Virtualization
- 13. Пароли и логины в Интернет Пользователь Везде один пароль Слабое место сайт Злоумышленник 1 Social .com Bank .com Network .com LOL .com Obscure .com 1 2
- 14. логины и пароли Пользователь 1 3 5 Устройство IDP IDP IDP 2 4 Сетевой ресурс Слабое место пользователь и устройство Злоумышленник
- 15. Решение для предприятий Просто внедрять Снижение затрат на обслуживание
- 16. MICROSOFT PASSPORT Ваше устройство один из факторов аутентификации ЗАЩИЩАЕТСЯ АППАРАТНО Удостоверение пользователя Пара ассиметричных ключей Создается PKI или локально Windows 10
- 17. IDP Active Directory Azure AD Google Facebook Microsoft Account 1 Пользователь 2 Windows10 3Intranet Resource 4 4Intranet Resource Новый подход
- 18. PIN Простой вариант Не требует доп. оборудования Знаком пользователю Windows Hello Улучшенная безопасность Простота использования Невозможно забыть и потерять Доступ к удостоверениям Sample design, UI not final
- 19. WINDOWS HELLO
- 22. DEVICE GUARD Поддержка как универсальных так и Win32 приложений Запуск только доверенных приложений, аналогично мобильным ОС (например: Windows Phone) Приложения должны быть подписаны специальным образом Ненадежные приложения и исполняемые файлы не могут быть запущены Необходимы устройства, специально сконфигурированные ОЕМ Безопасность на аппаратном уровне (TPM) Настраиваемая проверка целостности (code integrity) Безопасность на основе виртуализации Управление через групповые политики, решения MDM или PowerShell
- 23. 2HIPPA Secure Now, “A look at the cost of healthcare data breaches,” Art Gross, March 30, 2012 Случайно отправляли важную информацию не тому человеку1 58% …старших менеджеров признают что регулярно загружают рабочие файлы в личную почту или облако1 87% Средняя стоимость утечки данных по индустриям2 $240 Каждая запись 1Stroz Friedberg, “On The Pulse: Information Security In American Business,” 2013
- 24. Enterprise Data Protection Различает личные и корпоративные данные. Позволяет выборочное удаление Защищает данные при хранении, обработке, передаче Интегрировано в платформу. Может встраиваться в сторонние приложения Предотвращает неавторизованный доступ сторонних приложений Защищает от ошибочных действий пользователя Работает одинаково на Windows, iOS, Android
Editor's Notes
- Для начала рассмотрим различные выпуски Windows 10 и каналы их распространения. Затем обсудим значение предложения «Windows как услуга» для коммерческих организаций, поговорим подробно о механизмах безопасности вместе с компанией ЗСНС и ее директором, сделаем демо.
- Для продажи доступны четыре выпуска Windows, распространяемые по трем разным каналам. Windows 10 Домашняя — выпуск Windows 10, предназначенный для массового потребителя. Он предоставляет знакомый, персонализированный интерфейс с регулярными обновлениями системы безопасности. Windows 10 Домашняя будет предустанавливаться на новых устройствах, а также распространяться через розничные каналы. Windows 10 Pro — предназначена для малых и средних предприятий, позволяет им управлять устройствами и приложениями, обеспечивать защиту корпоративных данных, поддерживать сценарии удаленной и мобильной работы и использовать преимущества облачных технологий. Windows 10 Pro подойдет организациям, реализующим программы CYOD («выбери свое устройство»), и пользователям профессионального уровня. Клиенты с устройствами под управлением Windows 10 Pro будут регулярно получать последние обновления безопасности и компонентов, а также смогут устанавливать обновления компонентов после их проверки среди широкой потребительской аудитории. Windows 10 Pro будет предустанавливаться на новых устройствах, распространяться через розничные каналы и предлагаться по модели корпоративного лицензирования в качестве лицензии на обновление. Windows 10 Корпоративная — выпуск, в основе которого лежит Windows 10 Pro, с дополнительными возможностями, предназначенными для средних и крупных организаций. Примерами таких возможностей являются расширенная защита от современных угроз безопасности, самый большой выбор вариантов для развертывания и обновления ОС, а также комплексное управление устройствами и приложениями. Клиенты с устройствами под управлением Windows 10 Корпоративная будут регулярно получать последние обновления безопасности и компонентов, а также смогут внедрять новые технологии в удобном для себя темпе. Windows 10 Корпоративная будет предлагаться исключительно по модели корпоративного лицензирования. Windows 10 для образовательных учреждений содержит основные возможности Windows 10 Pro плюс дополнительные компоненты, предназначенные для обеспечения повышенной безопасности и комплексного управления устройствами. Этот выпуск предлагается сотрудникам, администраторам и учащимся в рамках программы корпоративного лицензирования для учебных заведений. Он упрощает развертывание, позволяя напрямую перевести множество устройств с выпусков Windows 10 Домашняя или Windows 10 Pro на Windows 10 для образовательных учреждений, не удаляя и не перезагружая ОС. Windows 10 для образовательных учреждений будет предлагаться исключительно по модели корпоративного лицензирования.
- Windows 10 Корпоративная включает все функции Windows 10 Pro, Windows 8.1 Корпоративная, а также новые возможности: Детальное управление пользовательским интерфейсом. ИТ-отдел может настраивать и блокировать пользовательский интерфейс устройства под управлением Windows для рутинных задач, киосков, возможностей Интернета вещей и функций встроенного типа (включая настройки для образовательных учреждений) при помощи политик управления устройствами для выполнения конкретной задачи (пример — киоск для самостоятельной регистрации в аэропорту). Противодействие атакам типа «Pass-the-Hash». Возможность сохранять извлеченные учетные данные (например, хэши NTLM и билеты Kerberos) и процесс для управления ими (например, LSASS) в защищенной среде Hyper-V. Эта возможность называется виртуальным безопасным режимом (VSM). Режим VSM обеспечивает аппаратную изоляцию и защиту извлеченных учетных данных и предотвращает их кражу или злоупотребление ими даже в случае полного взлома ядра Windows. Такая возможность позволяет избежать атак типа «Pass-the-Hash» (PtH), при которых злоумышленник может выдать себя за пользователя в сети. Device Guard. Device Guard обеспечивает революционную защиту от вредоносного ПО на устройствах под управлением Windows для настольных систем. Device Guard — это аппаратная функция на основе Windows, которая блокирует на устройстве любой исполняемый код (например, EXE-, DLL-файлы), кроме поступившего из надежного источника (это означает, что код подписан доверенным центром сертификации). Приложения, подписанные Майкрософт и предоставляемые через Магазин Windows, изначально считаются надежными, хотя организации могут добавлять любые подписи в список доверия для устройств. Device Guard можно использовать в сочетании с AppLocker. В таком случае Applocker позволяет определить, какие приложения от поставщика, подпись которого добавлена в список доверия, могут выполняться на устройстве. MDOP MDOP — это набор продуктов, которые помогают использовать возможности виртуализации, управления и восстановления. С выпуском Windows 10 MDOP уже не нужно приобретать отдельно — теперь этот пакет включается как преимущество SA. Компании могут дать пользователям возможность менять свои устройства, сохраняя привычный интерфейс. Для этого внедряется решение по виртуализации пользовательских сред, которое обеспечивает персонализацию работы с Windows, легко развертывается и интегрируется в существующую инфраструктуру с помощью Microsoft User Experience Virtualization (UE-V). При помощи Microsoft Application Virtualization (App-V) компании могут предоставить конечным пользователям повсеместный доступ практически к любым приложениям, не устанавливая их непосредственно на пользовательских компьютерах. Microsoft Enterprise Desktop Virtualization (MED-V) виртуализирует Windows, устраняя препятствия к обновлению ОС благодаря решению проблемы несовместимости приложений с Windows 7. MDOP также помогает в администрировании, мониторинге и развертывании основных компонентов Windows. Microsoft BitLocker Administration and Monitoring (MBAM) упрощает развертывание BitLocker и восстановление ключей, обеспечивает централизованную подготовку и минимизирует расходы на поддержку. Расширенное управление групповыми политиками (AGPM) улучшает возможности контроля групповых политик путем управления изменениями, что снижает риск масштабных сбоев, связанных с ошибками в конфигурациях на основе политик. Наконец, Microsoft Diagnostics and Recovery Toolset (DaRT) помогает перейти к профилактическому планированию восстановления настольных систем, сокращая время поиска и устранения неполадок. Гибкость и фундаментальные преимущества Программа SA обеспечивает клиентам большую гибкость в использовании Windows. SA предоставляет эксклюзивный доступ к программам Current Branch/Current Branch for Business для корпоративного выпуска. Подписку SA можно приобрести на каждого пользователя, обеспечив доступ к корпоративному выпуску и преимуществам SA на всех пользовательских устройствах. Наконец, все перечисленные возможности предлагаются вместе с базовыми ресурсами для подготовки и поддержки, которые помогают клиентам улучшить планирование, развертывание и администрирование работы с Windows. В число полезных ресурсов входят круглосуточная поддержка, расширенная поддержка с предоставлением исправлений, а также обучение конечных пользователей и ИТ-специалистов в формате онлайн-обучения и с использованием ваучеров на обучение.
- Windows как услуга 4 мая 2015 г. корпорация Майкрософт объявила о следующих грядущих усовершенствованиях Центра обновления Windows, в результате чего будет создан новый вариант развертывания — через Центр обновления Windows для бизнеса. Отсрочка обновлений компонентов: клиенты смогут настроить в Центре обновления Windows отсроченное получение обновлений на срок до восьми месяцев. Возможность создавать внутренние группы развертывания: клиенты смогут поэтапно развертывать обновления, создавая корпоративные группы. Оптимизация для экономии полосы пропускания: клиенты смогут настроить кэширование обновлений и распространять обновления путем их размножения. Сегодня многие потребители рассчитывают, что их устройства будут автоматически получать обновления и новые возможности. Однако Майкрософт понимает, что компаниям нужен более пристальный контроль за тем, как и в каком темпе доставляются обновления. Например, системы, под управлением которых работают реанимационные отделения больниц, командно-диспетчерские пункты, заводские цеха, системы для финансовых торгов и другие важные системы, обычно предусматривают очень строгие правила управления изменениями, которые могут действовать длительное время. Чтобы обеспечить поддержку устройств под управлением Windows 10 в этих критически важных средах, мы будем внедрять возможность долгосрочного обслуживания Long Term Servicing на протяжении определенных отрезков времени. В течение такого отрезка устройства клиентов будут получать корпоративную поддержку на уровне, необходимом для критически важных систем: на них будут устанавливаться новейшие обновления безопасности и критические обновления. При этом изменения будут минимальны, поскольку мы не будем добавлять новые возможности в фазу основной (5 лет), а затем расширенной (еще 5 лет) поддержки. В рамках программ Long Term Servicing клиенты смогут самостоятельно выбирать, как получать обновления безопасности и исправления ошибок — через службы Windows Server Update Services (WSUS) или автоматически, через Центр обновления Windows. Службы WSUS позволяют полностью управлять распространением обновлений внутри компании с помощью уже имеющихся решений, таких как System Center Configuration Manager. Специалисты Майкрософт также узнали у клиентов, что, хотя контроль над критически важными средами просто необходим, к таким средам относятся далеко не все пользовательские устройства. Более того, излишний контроль над ними безосновательно увеличивает расходы и сложность среды, а корпоративные пользователи лишаются доступа к новейшему функционалу. Многие ИТ-организации сообщают Майкрософт, что они предпочли бы полностью отказаться от управления пользовательскими устройствами. Им хотелось бы поддерживать актуальность этих устройств, но делать это осторожнее, чем при обновлении обычных потребительских устройств. В этой связи Майкрософт предлагает новую программу для коммерческих клиентов — Current Branch for Business. Устройства, участвующие в этой программе, будут получать обновления компонентов только после того, как их качество и совместимость с приложениями пройдут проверку среди потребителей. При этом обновления безопасности будут устанавливаться сразу. Благодаря этому ИТ-отделы смогут в своих средах постепенно проверять обновления с того дня, как они будут предоставлены широкой потребительской аудитории (а иногда и раньше, если среди пользователей организации есть участники Программы предварительной оценки Windows). К моменту обновления устройств в рамках программы Current Branch for Business новые компоненты будут уже проверены миллионами участников Программы предварительной оценки Windows и потребителей, а также в рамках внутренних процессов тестирования в организациях клиентов. Поэтому уверенность в качестве таких обновлений будет выше. Предприятия смогут сами решать, будут ли они получать обновления через Центр обновления Windows и Центр обновления Windows для бизнеса автоматически или же через службы WSUS, чтобы с помощью средств управления контролировать распространение обновлений в своих средах. Компании, которые захотят подключить пользовательские компьютеры к Центру обновления Windows, смогут снизить расходы на управление, ускорить доступ к обновлениям безопасности и критическим исправлениям, а также регулярно получать новейшие технологии от Майкрософт.
- Мы должны подстраиваться под изменения. Мы раотаем с большими данными, все больше используем облачные технологиии, наши пользователи постоянно взаимодействую, а кол-во устройств как корпоративных так и личных пост растет. Перед нами встают новые угрозы безопасности и МС создает вин 10, которая отвечает всем этим вызовам. Если мы говорим про мобильность – то мы уже не говрим просто про мобильность рабочего места, мы говорим про мобильность взаимодействия – данных, приложений, устройств наших пользователей. Здесь возникают вопросы – как обезопасить данные на моб.устройсвах, как управлять этими данными, как отделять корп данные от личных, при этом как ИТ администратор может предоставить доступ к данным к любому сотруднику , в любео время суток, места и с любого устройства?
- Сейчас мы явл свид рев киберугр Если проанал атаки за посл 10 лет 2003 мотив желание выделится хулиг
- 2005 вкл преступники для мат выгоды
- 2012 на полк вышли государства и нет фин органичений
- В 10 безопасность реализована на уровне платформы Методы взаимосвязи образ целостную систему Если посмотреть на то какие изменения произошли по сравнению с 7 то эти изм можно выделить для каждой из категрий Проблема исп паролей и взлома парольных хэшей Паспорт – это двухфакторная система аутентификации для внешних сервисов или внешних систем ---- Для защиты файлов давно исп раз методы шифрования. Однако оно не обеспечивает защиту от утечки информации намеренной или непреднамеровнной и компании приходят к необходимости настройки и установки DLP систем – системы предотвращения утечки данных. В 10 реализованы инструмент enterprise data protection – простое в настройке и управлении решение для защиты потери данных. Защита корпоративных данных (EDP) помогает отделить и защитить корпоративные приложения и данные от рисков как на корпоративных устройствах, так и на пользовательских ---- с тзрения защиты угроз, на машинах орг как правило исп тот или иной антивирус. Но сложно угнатьяс за появл атак и главное треб время от момента появления до момента обнаружения и прим метод брьбы Как? Сделать так чтобы подобные атаки в принципе невозможно было вып в системе Все прил априори доверенные Device guard. ----- ЦЕЛОСТНОСТЬ УСТРОЙСТВА - Запуск Windows на надежном устройстве С выходом 8 в программе сертификации desighned for win появилось обязательное требование поддержки uefi вместо старого биоса и и такой спецификации uefi как secure boot. Что дает Secure Boot? Безопасноая загрузка позволяет проверять цифровую подпись загрузчика ос и только если при вкл устройства удалось проерить эту цифровую подпись и убедитья что все в порядке, только в этом случае загрузчик ос загружается в память и ему передается управление – так мы можем предоствратить различные атаки типа руткит. Он защищает от выполнения неподписанного кода не только на этапе загрузки, но и на этапе выполнения ОС, например, проверяются подписи драйверов/модулей ядра, таким образом, вредоносный код в режиме ядра выполнить будет нельзя. ПРИГЛАШАЮ САШУ
- еще одна проблема, которую мы пытаемся победить с вин 10 – и я думаю мы успешно это сделаем это аутентификация пользователей. Почему с ней проблема?
- Потому что по умолчанию в индустрии ИБ используются симметричные алгоритмы – это пароли, токены, билеты и все ост. Чем они плохи? Если я взял ваш пароль, то могу им пользоваться или если перезватил токин или билет, то я могу спользовать это чтобы представится вами. Работа с любой системой начинается с аутентификации, в вин 10 появилось 2 компонента 2 новых компонена компонента Microsoft passport система управления идентификационными данными нового поколения Hello подсистема биометрической аутентификации работающая поверх паспорта Microsoft passport и windows Hello призваны решить одну из фундаментальных проблем современных информационных систем: проблему использования паролей Доля фишинговых атак, направленных на похищение финансовых данных пользователей в России, составила 20% – об этом говорят результаты исследования, проведенного «Лабораторией Касперского» в 2014 году Более того безоп система равна безопасности самого уязвимого компонента
- Типичный пример атаки на домашнего пользователя: польз.не любит зап.пароли и использует везде один пароль – примеры использования. Утекали уже пароли. Люди не хотят использовать пароли.
- СБ борется с этим, заставляет менять, но польз.изобретательны, пишут под клавой. И т.д. Рассказать по картинке. И затем все эти вещи (украденные) можно использовать, чтобы представляться пользователем и работать с его правами.
- Любая система ИБ это баланс между уровнем безопасности и удобством работы пользователя. Мы хотели создать систему, котрую просто внедрять и обсулуживать и избавиться от симметричности алгоритмов.
- Мы пришли к такой штуке как МС Паспорт. Паспорт – это двухфакторная система аутентификации для внешних сервисов или внешних систем. Один фактор – это устройство, кот.вы владете. Второй – пара ассиметричных ключей – приватный ключ, публичный ключ. Как это работает? Избавляет пользователя от необходимости запоминать и применять какие либо пароли Для того паспорт использует ассиметричную криптографию: закрытый и открытый ключ При этом закрытый ключ генерируется хранится в аппаратном модуле TPM расположенном на устройстве Доспуп к закрытому ключу возможен только если пользователь предпринял какое либо из дополнительных действий user gesture это может быть ввод пина или биометрическая аутентификация на основе win hello Т.е. переход не сложен для ит Для кон пользователя: берет вкл устр, исп пин или биометрическую аутентификацию, кот может выглядет как сканирование с помощью камер – скан лица если сканирование выполнено, пользователь входит в устройство без каких-либо дополнительных вопросов или ввода пароля Для получения доступа к корпоративным ресурсам необходимо сначала пройти проверку подлинности в копр среде для этого могут использоваться практически любые протоколы применяемые в системах отп формфактор Если проверка подлинности выполнена успешно пара ключей паблик и правате ассоциируются с учетной записью этого пользователя в корп среде Закр кл внутри тпм модуля на устройстве и никогда отттуда никуда не передается Паблик ключ передается всем системам с которыми мы должны взаимодействовать например контроллеру домена Обмен информацией, которую пользо водсписывает с помощью ключа хранящегося в тпм Помимо тпм возможно использование программной реализации ассиметричных ключей В 10 встроена технология с помощью которой можно выполнить атестацию ключей Благодаря этой технологии контроллер домена или любой другой объект информационной сети может убедиться в том что предоставляемый ключ был сгенерирован аппаратным модулем тпм или программным способом И в зависимости от этой аттаестации к устройству пользователя могут применятся разные политики доступа Если ресь о аппар сген ключей то одна политика, если нет аттести=ация не была пройдена то др политика кот может ограндоступ к рес Внутри тпм может хранится информация для доступа к разным системам Если необх доступ к веб приложениям и сип браузера, то работа с пассортом реализована в виде api js поддерживаемы во всех современных браузерах –идет работа над тем чтобы исп паспорта во всех браузерах выглядело одинаково для конечного пользователя Если посмотреть, как именно реализован этот компонент Windows 10, то ИТ-специалисты и специалисты по безопасности обнаружат, что лежащие в его основе технологии им хорошо знакомы. Учетные данные могут формироваться одним из двух способов. Это может быть пара ключей шифрования (закрытый и открытый ключи), которая сгенерирована Windows. Или это может быть сертификат, предоставленный устройству одной из имеющихся инфраструктур PKI. Благодаря поддержке обоих вариантов Windows 10 будет удобна для организаций, у которых уже имеется своя инфраструктура PKI. В то же время она подойдет для работы с веб-службами и для отдельных пользователей, когда защита учетных данных с помощью PKI не нужна и нецелесообразна. Active Directory, Azure Active Directory и учетные записи Майкрософт будут поддерживать новый формат работы с учетными данными без какой-либо дополнительной конфигурации, а это значит, что индивидуальные пользователи веб-служб Майкрософт смогут быстро уйти от использования паролей. Эта технология специально проектировалась таким образом, чтобы ее можно было использовать на разных платформах, в разных типах инфраструктур и для разных сценариев работы с веб-службами.
- Например завели польз в АД, он пытается первый раз войти. Создается некое цифровое удостоверение. Польз генерит у себя на машине автоматически приватный ключ, кладет его в TPM. А в IDP (Identity provider), т,е. по сути в центр цифровых удостоверений, которым может быть AD, гугл, FB , МС акаунт он может отправлять свой публичный ключ. (3)—Между ними происходит обмен по защищенному каналу, (4) система выдает токен авторизации пользовательскому устройству и затем уже на основе этого токена можно сторить доступ. ЧЕМ ИНТЕРЕСНО? Перехват токена, который получает клиентское устройство не приведет ни к чему! Ключи привязаны к тому самому пользовательскому устройству на ктором он их генерировал, когда он пользовался МС паспорт. Т.о. Паспорт использует асиметричную криптографию и управление сертификатами и хорошо знакомы ит, т.к. теже подходы лежат в основе pki Учетные данные могут формироваться одним из двух способов. Это может быть пара ключей шифрования (закрытый и открытый ключи), которая сгенерирована Windows. Или это может быть сертификат, предоставленный устройству одной из имеющихся инфраструктур PKI. Благодаря поддержке обоих вариантов Windows 10 будет удобна для организаций, у которых уже имеется своя инфраструктура PKI. Инфраструктура открытых ключей (ИОК, англ. PKI - Public Key Infrastructure)
- Возникает вопрос, как вынуть ключ из TPM - тут помагает либо пин или биометрия. Это помагает вынуть ключ и использовтаь Windows 10 поддерживает три типа биометрии: Отпечаток пальца Изображение лица (ИК камера по теплым участкам лица) Рисунок радужной оболочки глаза Данные по вашему лицу хранятся в TMP (чип) Нужно 100 тыс человек чтобы найти похожего с вами человека
- Перер вход в ос вклю биом аутен То сейчас такие как Не только аут польз и авт разбл ком при появл польз перед кам но и отсл польз в процессе Система биометрической аутентификации встоенная в вин 10 и рабо на базе майврософт паспорт Хелло предоставляет второй фактор аутентификации в целом повышающий защищеность устройства В качетсве биом факт вин хело поддерж скан лица с пмощью камеры, скан отпечатков и рад оболочки глаза как персп. Пин + биом в целом существенным образом пов без инф среды При этом можно создаь приложение использующие api win 10 которые будут запрашивать эти дополнительные факторы например при запуске конкр приложения Все факторыбазируются на едином подходе или фреймворке Для того чтобы восп системой аутентификации необходимо выполнить ряд шагов, процедур Регистр – настройка необх факторов аутентификации Исп биометрии в проц работы или при аут при запуске приложения Задаа мониторинг присктс что за сист ребжив чел и восстан
- Для настройки сканирования лица нужно нажать в настройках кнопку и посмотреть в камеру устройства Камера скан лицон, заем наход отличительные черты – до 60 таких точек на лице используются Система отслеживает насколько чел подвижен в момент сканирования и двидения допустимы на 15-20 град Затем соз шаьлон безопасности векторов набора отличительных черт Используется спец алгоритм для форм шаьл затем шаблон сохр в системе Собранные данных хранятся на устройстве и никуда не передаются Есть опре спец на камеру – доп сьемка и поним инфракрасного диап Тем тела не вадна но это один из пров парам Счит лицо в неск диап Если кам не сраб то вход по пину
- В ос есть несколько принципиально важных компонентов кот играют ключевую роль в обеспечении безопасности. Если сист скомпром на уровне ядра, то злоум может получить доступ к любым компонентам ос. Противостояь таким атакам тяжело, даже обнар факт компром не всегда возможно Тут на помощь прих технологии вирт гипервизор Некот компоненты ос помещаются внутрь вирт машины, у кот свое ядро и кот поддерживется на уровне гипервизора и внутр этой вирт маш помещаются такие компонеты как лса – фактически брокер аутентификации, которая манип любыми данным аут пользователя Если в ос код получил привелигированный доступ и ядро скомпрометированно то как правило злоумышленник получает контроль над этим модулем, сейчас эта компонента изолир от ост части ос и взаимод возможно только с помощью опред вызовов Вторая комп – вирт тпм – ип возможности аппаратного модуля тпм так чтобы его возможности были досупны внутри виртуальной машины – шифр битлокер для виртуалок в том числе Компонента обеспечения целостности кода – отвечает в том числе за операцию распределения памяти. Это позволяет противостоять атакам на переполнение буфера – злоумышленик может встывать код в адресное пространство другого проуесса откуда этот код может быть запущен. Данный же модль выделяет память процессу, помещает туда необходимы данные а затем требуемые участки памяти стано доступны тольк для чтения чтобы туду невом было проп что-либо другое Даже компроментация ядра не позволит злоумышленнику повлять на распре памяти в системе
- Еще один момент. Большинство ОС стало ломать тяжело и Злоумышленики стали атаковать через приложения. Сейчас растет кол-во атак через уязвимости в приложениях – флэш, винамп. Злоум.ищут широко распро.софт, чтобы пробраться к вам. Applocker – какой код мы считаем доверенным и что мы разрешим запускать пользователям. По умолчаю приложение должно доказать что онодостойно запука. Device Guard — это функция, с помощью которой организации смогут держать устройства под контролем, обеспечивая передовую защиту от новых и неизвестных версий вредоносного ПО и постоянных угроз повышенной сложности (APT). Эта функция еще надежнее защищает Windows 10 от вредоносных программ и угроз «нулевого дня»: она блокирует все приложения, кроме доверенных, т. е. приложений, подписанных поставщиками ПО, Магазином Windows или даже вашей организацией. Вы сможете сами определять, какие источники Device Guard будет считать надежными. А с помощью сопутствующих инструментов можно легко подписать универсальные и классические (Win32) приложения, у которых нет подписи поставщика ПО. Расмотрим приложения ведь именно для запуска их нужны те или иные устройства Проблемы мы по опред все прилож считаем надежными и разрешаем их запускать что порождает сложнообнаружимые атаки В 10 можно реализовать 2 подхода работы с приложениями Один из них концептуально новый девайс гард, второй традиционный кот мы применяем сейчас и будем в силу специфики приложений кот мы исп в корп среде Чем же они прин отл, что в основер реализации ---- Один из подходов реал в 10 что приложение прежде чем его можно будет запускать в ос должно быть довереннным, т.е. оно должно содержать цифровую подпись и только убедившись в том что эту цифр подпись мы можем проверить и система доверят сер с пом кот подпи приложение Сейчас для моб устр исп именно этот подход Прил прох проверки перед поп в стор Windows 10 также предоставляет организациям возможность ограничивать функциональность устройств, что обеспечивает дополнительную защиту от угроз и вредоносного ПО. Зачастую пользователи сами по неосторожности устанавливают вредоносное ПО на свои устройства. Windows 10 решает эту проблему, позволяя настроить на устройствах запуск только доверенных приложений, то есть приложений, подписанных службой подписи Майкрософт. Доступ к службе подписи будет контролироваться посредством процесса проверки, аналогичного процессу контроля публикации приложений независимых поставщиков ПО в Магазине Windows, а функциональность самих устройств будет ограничена изготовителем оборудования. Процедура ограничения функциональности, которую будут использовать изготовители устройств, аналогична той, которую мы используем для устройств на платформе Windows Phone. Организации смогут выбирать, какие приложения считать доверенными: только приложения, подписанные ими самими; приложения, определенным образом подписанные независимыми поставщиками ПО; приложения из Магазина Windows или все вышеперечисленное. В отличие от платформы Windows Phone, доверенные приложения также могут включать классические приложения (Win32). Это означает, что все приложения, которые можно запустить на компьютере с ОС Windows, также могут быть запущены на таких устройствах. В итоге эта возможность ограничения функциональности устройств, доступная в Windows 10, дает организациям эффективный и гибкий инструмент для борьбы с современными угрозами, который можно использовать в большинстве сред.
- (пример – пришло по емайл укаание от реководтсва срочно установить приложение, но пользв не смодет это сделать т.к. Это приложение не заапрувленго ИТ-шниками) Чтобы при использовании этой тенологии можно было запустить какое-либо прил нужно сначала настроить список тех сертификатов компаний кот мы доверяем. Напрмер если речь идет об установки прил в вин стор, то это прил кот уже подписано мс и запуск в виде отд изод контейнера Что делать если необходимо запуск свои бизнес приложен: Если они уже имеют подпись, то в список дов приложений вы допавляете соотв сертификат с помощью кот прил можно дов Не сод подпись, то можно исп спец инструмент кот предоставит майукрософт, с помощью него можно обработать файлы приложения, фактически кадый файл будет пропущен через функцию хеширования, система соберет хэш со всех бинарных файлов сост это приложение. Информация о хешах будет занесена в файл каталога, который будет подписан цифровым сертификатом мс либо серти предоставленый производ по или серт орг Каждый раз когда с системе происх попытка запуска приложения, любой используемый файл проверяется на соотв хэш – есть ли в каталоге, каталог подписан серт кот доверяем прил норм запускается Никакой иной исп код запустить нельзя Device Guard. HP, Acer, Lenovo, Toshiba, Fujitsu
- Один из важных вопросов – а что организации защизаают? В итоге защищают все одинаково плохо, тк. Если все, то ничего. Видим что утечки происходят – люди выкладывают инфу публично, рассылают не тем людям. С расп моб устр вер утечки инфы выше Раз исслед показ что причиной риска Утечка непреднамер, чел делает ошибку случайно Чаще всего причиной риска являются НЕ внешние атаки Он возникает ВНУТРИ 87 % руководителей высшего звена признали, что регулярно отправляют рабочие файлы на личную электронную почту или загружают их в облачную службу хранения данных, а 58 % пользователей признались, что хотя бы раз случайно отправляли конфиденциальную информацию не тому адресату. ---- основное внимание уделяется предотвращению утечки данных на персональных устройствах, в то время как при использовании корпоративных устройств этот риск присутствует в той же или большей мере На альт платф есть много вар р Решение закры этот пробел сущ и их дост много на рынке Однако если проанализировать, то сущ проблемы в том числе и при исп подобных решений переключение между режимами и контейнерами смена приложений пользователями для более безопасной работы несоответствие между мобильными и локальными приложениями дорогостоящие решения БЕЗ НАДЛЕЖАЩЕЙ ИНТЕГРАЦИИ НА УРОВНЕ ПЛАТФОРМЫ НЕВОЗМОЖНО НАЙТИ БАЛАНС МЕЖДУ ПРОСТОТОЙ РАЗВЕРТЫВАНИЯ, ЦЕНОЙ И УДОБСТВОМ ИСПОЛЬЗОВАНИЯ Интеграция на уровне платформы решений по обеспечению безопасности для защиты корпоративных данных от непреднамеренного разглашения неавторизованным пользователям и службам через ЭЛЕКТРОННУЮ ПОЧТУ, СОЦИАЛЬНЫЕ СЕТИ И ОТКРЫТЫЕ ОБЛАЧНЫЕ ХРАНИЛИЩА Суть edp поддержка корп информации на уровне платформы – от файловой сис до приложений Edp – защитить данные, чтобы они не ух неавт пользователям через эл почту и т.д. Непреднамеренно К такой системе защиты данные предьявляются опред требования ТРЕБОВАНИЯ Повсеместное обеспечение безопасности (в местах хранения, при передаче, на всех устройствах) Возможность удаления и управления данными Поддержка всеми используемыми приложениями, удобный интерфейс
- Мы придумади новую итерацию EFS, Applocker, Bitlocker,RMS. Мы можем пометить все данные с названием компании – корпоративными, и тогда автоматом эти файлы будут шифроваться. Позволяет разделить приватно от корпоративного. Как только польователь уволился, мы отзываем его сертификат и он ничего причитать не может. Например, копи паст из корп документа – будет предупреждение при попытке скопировать в другое место (твитер) Первый результат появления edp закл в том что целый ряд технологий существующий в ос работает теперь совместно С помощью шифрующей файловой сист efs мы можем зашифровать файлы и папки В апл локер ит адм могут соз список доверенных приложений Если польз пытется открыть зашифр файл с помощью приложения которое не входит в список корп прил файл сист не даст того сделать Все дан с кот раб кор прил счит данными прин компании и к ним прим защита Исп сет техн мы можем указать что то дом имя или этот набор ип адресов это и есть наша корп сеть и если попытка копи за пред границ то система считает что потенц утечка – предупр или запрет У ит должны бвть средства конроля и прим политик вне зависимости от доменная машина или перс устройство и блакодаря поддерки мдм понятны тенологии Epd предлагает и новые технологически решения В Windows 10 мы решаем эту проблему с помощью компонента по защите от потери данных (DLP), который позволяет отделить корпоративные данные от личных данных пользователей и помогает защитить корпоративные данные за счет помещения их в контейнеры. Мы интегрировали этот функционал в платформу и пользовательский интерфейс, чтобы защиту можно было активировать без перебоев в работе, которые часто возникают при использовании других решений. Вашим пользователям не потребуется переключаться между режимами или приложениями, чтобы защитить корпоративные данные. То есть пользователи смогут обеспечить безопасность данных, не меняя свое привычное поведение. Защита корпоративных данных в Windows 10 включает автоматическое шифрование корпоративных приложений, данных, сообщений электронной почты, содержимого веб-сайтов и другой конфиденциальной информации при ее поступлении из корпоративной сети на устройство пользователя. А когда пользователи создают новое содержимое, наше решение помогает им разграничить корпоративные и личные документы. При необходимости компания может настроить политику, согласно которой все новое содержимое, созданное на устройстве, будет рассматриваться как корпоративное. Также можно настроить дополнительные политики, которые позволят предотвратить копирование данных из корпоративных документов в некорпоративные или во внешние места хранения, например, в социальные сети. Доп политика 10 опшионал – как раз настривает 10 на особый режим работы – система прим асим криптограф и данные кот необх расшифр исп прайва ключ – как только слип из опер памяти ключ изымается Дополнительная политика блокировки экрана Система сбрасывает закрытый ключ при блокировке устройства Чтение корпоративных данных невозможно при заблокированном экране Шифрование новых файлов и данных возможно с помощью открытого ключа При входе закрытый ключ восстанавливается, восстанавливается доступ к бизнес-данным Помогает предотвратить атаки на уровне систем