Безопасность операционной системы windows 7 презентация

1

2


Платформа 2010 Технологии безопасности Windows 7 Microsoft Бешков Андрей

3


Платформа 2010 Прочный фундамент безопасности Защита пользователей и инфраструктуры Фундамент Windows Vista User Account Control Расширенный аудит Безопасный повсеместный доступ Безопасность в Windows 7 Построенная на фундаменте Windows Vista, Windows 7 предоставляет мощные, управляемые и простые в использовании механизмы защиты Защита данных Сетевая безопасность Network Access Protection DirectAccessTM AppLockerTM Internet Explorer 8 Восстановление данных RMS EFS BitLockerTM

4


Платформа 2010 Прочный фундамент безопасности Защита пользователей и инфраструктуры Фундамент Windows Vista User Account Control Расширенный аудит Безопасный повсеместный доступ Безопасность в Windows 7 Построенная на фундаменте Windows Vista, Windows 7 предоставляет мощные, управляемые и простые в использовании механизмы защиты Защита данных Сетевая безопасность Network Access Protection DirectAccessTM AppLockerTM Internet Explorer 8 Восстановление данных RMS EFS BitLockerTM

5


Платформа 2010 User Account Control

6


Платформа 2010 User Account Control (UAC) Цель Пользователь должен работать в системе со стандартным набором прав Проблема Очень часто пользователи работают под административной учетной записью Некоторые приложения запускаются только под административной учетной записью Решение Разрешить определенные операции для неадминистративных учетных записей, например, изменение часового пояса Создать для приложений виртуальное представление каталогов файловой системы и разделов реестра Реализовать удобное переключение к административным полномочиям

7


Платформа 2010 Сеанс администратора При входе создаются два маркера доступа: административный и обычный При повышении полномочий Происходит переключение в режим «Защищенный рабочий стол» для предотвращения спуфинг-атак Для приложения используется административный маркер доступа

8


Платформа 2010 Сеанс пользователя При входе создается маркер доступа с обычными привилегиями Для запуска приложения, которому необходимы административные права Происходит переключение в режим «Защищенный рабочий стол» для предотвращения спуфинг-атак Запрашивается пароль административной учетной записи Для приложения формируется административный маркер доступа

9


Платформа 2010 Виртуализация в UAC Имидж виртуализуется, если обратное не указано в его манифесте Виртуализация осуществляется в режиме ядра Файловая система: фильтром-драйвером luafv.sys Реестр: встроенными средствами Перенаправляемые каталоги файловой системы: Program Files, Windows, WindowsSystem32 Исключения Защищенные от записи системные.EXE и DLL Файлы с исполняемыми расширениями (.exe,.bat,.vbs,.scr и пр.) Перенаправляемые разделы реестра HKLMSoftware Исключения Некоторые ключи подраздела Microsoft

10


Платформа 2010 Виртуализация в UAC Запись: перенаправляется в специальную зону конкретного пользователя Users AppDataLocal Virtual Store HKCUSoftwareClassesVirtualStore Чтение: сначала используется зона пользователя, затем глобальное расположение

11


Платформа 2010 Повышение полномочий Исполняемый файл может быть помечен признаком повышения полномочий следующими способами: В манифесте В системной базе совместимости приложений Эвристически инсталлятором Явным запросом пользователя

12


Платформа 2010 Развитие User Account Control Усовершенствования UACУсовершенствования UAC Необходимо явное указание на повышение привилегий Отключение UAC снижает защищенность системыПроблемы Пользователи могут выполнять расширенный набор задача Окно UAC появляется режеПреимущества Снижено количество приложений и задач ОС, требующих привилегий администратора Приложения разделены на части, требующие/не требующие привилегий Настройка запросов на повышение привилегий По умолчанию все пользователи работают с обычными привилегиями, включая администраторов Администраторы используют привилегии только для административных задач и приложений

13


Платформа 2010 Бешков Андрей Эксперт Microsoft Демонстрация User Account Control

14


Платформа 2010Bitlocker

15


Платформа 2010 Назначение и особенности Предотвращает несанкционированный доступ к данным Обеспечивает полное шифрование всего тома, включая: Файл подкачки, временные файлы и пр. Использует Trusted Platform Module (TPM) v1.2 для хранения ключа и проверки целостности системы на этапе загрузки Поддерживает защиту нескольких томов/устройств Начиная с Windows Vista SP1

16


Платформа 2010 Используемые ключи Загрузочный раздел: Зашифрованная ОС Зашифрованный файл подкачки Зашифрованные временные файлы Зашифрованные данные Зашифрованный файл гибернации Где хранятся ключи? SRK (Storage Root Key) хранится в TPM SRK шифрует VMK (Volume Master Key) VMK шифрует FVEK (Full Volume Encryption Key), используемый для шифрования данных FVEK и VMK хранятся в загрузочном разделе Системный раздел: MBR Загрузчик Утилиты загрузки Системный раздел FVEK 3 4 Загрузочный раздел SRK 1 VMK 2

17


Платформа 2010 BitLocker в Windows Vista *Начиная с Windows Vista SP1

18


Платформа 2010 BitLocker в Windows 7 Раздел ОС

19


Платформа 2010 Windows RE 250 МБ NTFS Системный том 200 МБ NTFS Раздел ОС (Загрузочный раздел) NTFS Замечание: дополнительные 50 МБ в разделе восстановления необходимы для моментального снимка при создании полной резервной копии Системный том/Windows RE 400 МБ NTFS Раздел ОС (Загрузочный раздел) NTFS BitLocker в Windows 7 Разбиение жесткого диска

20


Платформа 2010 BitLocker в Windows 7 Установка и управление Установка При обновлении с Windows Vista раздел ОС остается зашифрованным Поддерживается EFI Управление и восстановление Manage-BDE – теперь исполняемый файл Manage-BDE и утилита восстановления входят в состав Windows PE, Windows RE и Windows 7 Интерфейс Дублировать ключ/пароль восстановления Сбросить ПИН-код Дублировать ключ запуска

21


Платформа 2010 Защита данных Использование BitLocker на съемных носителях Принудительное шифрование устройств через групповые политики Упрощенная конфигурация BitLocker для жестких дисков BitLocker To Go TM + Gartner Forecast: USB Flash Drives, Worldwide, September 2007, Joseph Unsworth Gartner Dataquest Insight: PC Forecast Analysis, Worldwide, 1H08 18 April 2008, Mikako Kitagawa, George Shiffler III Мировой объем продаж (тыс.)

22


Платформа 2010 Windows 7 BitLocker To Go

23


Платформа 2010 Windows 7 BitLocker To Go Новые методы доступа Применение паролей Отсутствие особых требований к оборудованию Легкое перемещение носителей внутри предприятия и за его пределами Управление длиной и сложностью паролей с помощью групповых политик

24


Платформа 2010 Windows 7 BitLocker To Go Новые методы доступа Применение смарт-карт Использование инфраструктуры PKI Наличие соответствующего оборудования Перемещение на любой компьютер с Windows 7 или Windows Server 2008 R2 Более стойкая защита по сравнению с паролями

25


Платформа 2010 Windows 7 BitLocker To Go Новый механизм восстановления Data Recovery Agents (DRA) Используется механизм цифровых сертификатов Открытый ключ распространяется через групповые политики и применяется при монтировании любого тома Закрытый ключ хранится DRA ИТ-отдел может получить доступ к любому зашифрованному носителю организации Базируется на инфраструктуре PKI Один ключ для всех устройств – экономия места в базе AD Применяется к любым разделам (ОС и данных)

26


Платформа 2010 Windows 7 BitLocker To Go Обязательное шифрование Обязательное включение BitLocker для съемных носителей Запись на носитель возможна только, если для этого носителя включен BitLocker Доступ на запись появится только после полного завершения шифрования При появлении нового носителя в системе, можно либо включить для него BitLocker, либо получить доступ «Только чтение»

27


Платформа 2010 Бешков Андрей Эксперт Microsoft Демонстрация BitLocker в Windows 7

28


Платформа 2010AppLocker

29


Платформа 2010 Контроль за приложениями Устранение нежелательного или неизвестного ПО Стандартизация ПО предприятия Управление на основе гибких правил в объектах групповых политиках AppLocker TM Пользователи могут устанавливать и запускать нестандартные приложения Даже члены группы Users могут устанавливать некоторые типы ПО Неавторизованное ПО: Повышает риск заражения вирусами Увеличивает количество обращений в ИТ Снижает эффективность работы Нарушает соответствие требованиям

30


Платформа 2010AppLocker Наборы (типы) правил Исполняемы файлы (.exe), инсталляционные файлы (.msi), скрипты, DLL Структура правила Действие, пользователь/группа, условие, исключения Мастер создания правил Режим аудита Автоматическая генерация правил

31


Платформа 2010 Наборы правил Типы правил Executable Installer Script DLL (по умолчанию выключен) Позволяют создавать более гибкие правила, основанные не только на исполняемых файлах Разрешить устанавливать подписанные обновления для приложений Microsoft Office версии 12.*Разрешить устанавливать подписанные обновления для приложений Microsoft Office версии 12.*

32


Платформа 2010 Структура правила Действие Allow – запускать указанные приложения, блокировать остальные Deny – блокировать указанные приложения, запускать остальные На кого распространяется Пользователь или группа Условие Издатель (Publisher) Путь (Path) Хэш файла (File hash) Исключения Запускать подписанные приложения Microsoft Office версии 12 и выше за исключением Microsoft AccessЗапускать подписанные приложения Microsoft Office версии 12 и выше за исключением Microsoft Access

33


Платформа 2010 Условие «Издатель» Основывается на цифровых подписях приложений Позволяет указывать атрибуты приложения Обеспечивает корректность правила для приложения и его обновлений Запускать подписанные приложения пакета Microsoft Office версии 12 и вышеЗапускать подписанные приложения пакета Microsoft Office версии 12 и выше

34


Платформа 2010Итоги Windows Vista содержит фундаментальные изменения в системе безопасности Этот фундамент определяет вектор развития технологий безопасности в последующих версиях Windows, включая Windows 7 Безопасность – ключевое направление инвестиций как для Microsoft, так и для заказчиков

35


Платформа 2010Ресурсы Мой блог: Технический центр Springboard по Windows Client: Русскоязычный блог о Windows Client для IT-специалистов: Центр разработки для Windows:

36


Платформа 2010Вопросы Бешков Андрей Эксперт Вы сможете задать вопросы докладчику в зоне «Спроси эксперта» в течение часа после завершения этого доклада

37

Дата выхода и популярность.

Операционная система поступила в продажу 22 октября 2009 года- меньше, чем через три года после выпуска предыдущей операционной системы Windows Vista. Партнёрам и клиентам, обладающим лицензией Volume Licensing, доступ к RTM был предоставлен 24 июля 2009 года. В интернете оригинальные установочные образы финальной версии системы были доступны с 21 июля 2009 года.

На ноябрь 2015 года доля Windows 7 среди используемых в мире операционных систем для доступа к сети Интернет составила 45,2 %. По этому критерию она находится на первом месте, превзойдя в августе 2011 предыдущего лидера — Windows XP. В настоящее время, главной конкурирующей c Windows 7, является новая операционная система Windows 10, до которой возможно прямое и пока бесплатное обновление.

Основные особенности.

Все версии ОС включают 50 новых шрифтов. Существующие шрифты доработаны для корректного отображения всех символов. Windows 7 — первая версия Windows, которая включает больше шрифтов для отображения нелатинских символов, чем для отображения латинских.

Панель управления шрифтами также подверглась улучшению — по умолчанию, в ней будут отображаться только те шрифты, раскладка для которых установлена в системе. Дополнительным преимуществом Windows 7 можно считать более тесную интеграцию с производителями драйверов.

Большинство драйверов определяются автоматически, при этом в 90 % случаев сохраняется обратная совместимость с драйверами для Windows Vista.

В Windows 7 была также улучшена совместимость со старыми приложениями, некоторые из которых было невозможно запустить на Windows Vista. Особенно это касается старых игр, разработанных под Windows XP. Также в Windows 7 появился режим Windows XP Mode, позволяющий запускать старые приложения в виртуальной машине Windows XP, что обеспечивает практически полную поддержку старых приложений.

Слайд 1
Безопасность в ОС Windows

---

Слайд 2
Если вы подключаетесь к Интернету, разрешаете другим людям пользоваться своим

компьютером или открываете общий доступ к файлам, необходимо принять меры по защите компьютера от угроз. Почему? Потому что существуют компьютерные злоумышленники, которые атакуют компьютеры других людей. Эти преступники могут атаковать напрямую, проникая в компьютер пользователя через Интернет и воруя личные данные, или косвенно, создавая вредоносные программы, разработанные для причинения вреда компьютеру.

Защита личных данных пользователя является первостепенной задачей для всех современных операционных систем. Microsoft стремится снабдить свои операционные системы самыми передовыми средствами защиты, совершенствуя их с каждой новой своей операционной системой.

---

Слайд 3
Существуют различные способы защиты компьютера от возможных угроз безопасности.
Брандмауэр
 Брандмауэр защищает

компьютер, предотвращая доступ к нему злоумышленников и вредоносных программ.
Защита от вирусов 
Антивирусное программное обеспечение поможет защитить компьютер от вирусов, вирусов-червей и других угроз безопасности.

---

Слайд 4
Брандмауэр — это программное или аппаратное обеспечение, которое проверяет информацию,

входящую в компьютер из локальной сети или Интернета, а затем либо отклоняет ее, либо пропускает в компьютер, в зависимости от параметров брандмауэра. Таким образом, брандмауэр помогает предотвратить атаки хакеров и вредоносных программ на компьютер.
Брандмауэр Windows встроен в Windows и включается автоматически.

Как работает брандмауэр
Если на компьютере используются такие программы, как программа передачи мгновенных сообщений или сетевые игры, которым требуется принимать информацию из Интернета или локальной сети, брандмауэр запрашивает пользователя о блокировании или разрешении подключения. Если пользователь разрешает подключение, брандмауэр Windows создает исключение, чтобы не тревожить пользователя запросами, когда в будущем этой программе понадобятся данные.

---

Слайд 5
Вирусы, черви и троянские кони — это программы, созданные хакерами,

использующими Интернет для заражения уязвимых компьютеров. Вирусы и черви могут размножаться от компьютера к компьютеру, тогда как троянские кони попадают в компьютер, прячась в предположительно легальных программах, таких как заставки. Деструктивные вирусы, вирусы-черви и троянские программы могут стереть информацию с жесткого диска или полностью вывести компьютер из строя. Другие программы не наносят прямой урон, но ухудшают быстродействие и стабильность компьютера.
Антивирусные программы проверяют электронную почту и другие файлы компьютера на наличие вирусов, червей и троянских программ. При обнаружении вредоносной программы антивирусная программа либо отправляет вирус в карантин (изолирует), либо полностью удаляет его до нанесения ущерба компьютеру и файлам.

Вирусы

---

Слайд 6
Microsoft регулярно предлагает важные обновления Windows для защиты компьютера от

новых вирусов и других угроз безопасности. Для скорейшего получения обновлений включите автоматическое обновление. В этом случае не нужно волноваться, что критические обновления Windows могут быть пропущены.
Обновления загружаются в фоновом режиме при подключении к Интернету. Обновления устанавливаются в 03:00, если не задано другое время. Если пользователь выключает компьютер раньше, можно установить обновления перед выключением. В противном случае Windows установит обновления в следующий раз при запуске компьютера.

Для того, чтобы включить автоматическое обновление Windows откройте Центр обновления Windows. В группе Рекомендуемые обновления установите флажок Получать рекомендуемые обновления таким же образом, как и важные обновления и нажмите кнопку ОК.

---

Слайд 7
Windows Hello с биометрической альтернативой паролям поможет решить эту проблему.

Вы сможете мгновенно получать защищенный доступ к устройствам с Windows 10 и онлайн-сервисам Microsoft. Windows узнает ваш отпечаток пальца или лицо и тут же приветствует по имени: вы сможете войти в систему быстро, безопасно и без всяких паролей. А благодаря бесплатным автоматическим обновлениям у вас будут новейшие функции и обновления безопасности в течение всего срока поддержки устройства.

Windows Hello

---

Слайд 8
Microsoft Edge — принципиально новый браузер, с который быстрее чем

Enternet Explorer, а главное безопаснее. Благодаря ему возрастает эффективность и безопасность работы Интернете, потому что обмен данными, чтение, изучение информации и т. п. стали проще. Microsoft Edge заявлен как самый безопасный браузер Microsoft: его передовая технология «песочницы» позволяет работать в Интернете изолированно от личной информации и данных, а также от самой системы Windows.

Собирать информацию об интернет угрозах Microsoft помогает Microsoft SpyNet – онлайн сообщество, которое консультирует пользователей в вопросах безопасности, а так же осуществляет сбор информации о вредоносно ПО и останавливает распространение инфекций

---

Слайд 9
Технология Microsoft SmartScreen защищает от фишинговых сайтов, пытающихся украсть ваши

пароли и личные данные. Microsoft SmartScreen проверяет репутацию каждого посещаемого сайта и блокирует потенциально опасные. Эта технология также защитит вас от загрузок вредоносного ПО, навязанного вам обманным путем. Для этого используется облачный сервис репутации приложений, который непрерывно оценивает миллиарды новых образцов ПО.

Интернет-фишинг — один из способов получения обманным путем личной информации о пользователях компьютера через сообщение электронной почты или веб-сайт. Обычно интернет-фишинг начинается с сообщения электронной почты, похожего на официальное уведомление из надежного источника. В сообщении электронной почты содержится ссылка на поддельный веб-сайт, где требуется ввести личную информацию, например номер банковского счета или пароль. Эта информация впоследствии используется с целью кражи.

---

1. Лекция 7. Средства защиты информации в ОС Windows

2.
Дискреционное, мандатное и ролевое разграничение
доступа к объектам компьютерных систем.
Подсистема безопасности ОС Windows.
3.
4.
Разграничение доступа к объектам в ОС Windows.
Аудит событий безопасности в ОС Windows.
1.

2. Дискреционное разграничение доступа

• Все субъекты и объекты компьютерной системы должны быть
однозначно идентифицированы;
• Для любого объекта информационной системы определен
пользователь-владелец;
• Владелец объекта обладает правом определения прав доступа к
объекту со стороны любых субъектов информационной системы;
• В компьютерной системе существует привилегированный
пользователь, обладающий правом полного доступа к любому
объекту (или правом становиться владельцем любого объекта).

3. Дискреционное разграничение доступа

Последнее свойство определяет невозможность
существования в компьютерной системе потенциально
недоступных объектов, владелец которых отсутствует.
Но реализация права полного доступа к любому
объекту посредством предварительного назначения
себя его владельцем не позволяет привилегированному
пользователю (администратору) использовать свои
полномочия скрытно от реального владельца объекта.

4. Дискреционное разграничение доступа

Реализуется обычно в виде матрицы доступа, строки
которой соответствуют субъектам компьютерной
системы, а столбцы – ее объектам.
Элементы матрицы доступа определяют права доступа
субъектов к объектам.
В целях сокращения затрат памяти матрица доступа
может задаваться в виде списков прав субъектов (для
каждого из них создается список всех объектов, к
которым разрешен доступ со стороны данного субъекта)
или в виде списков контроля доступа (для каждого
объекта информационной системы создается список
всех субъектов, которым разрешен доступ к данному
объекту).

5. Дискреционное разграничение доступа

Достоинства:
• относительно простая
реализация (проверка прав
доступа субъекта к объекту
производится в момент
открытия этого объекта в
процессе субъекта);
• хорошая изученность (в
наиболее распространенных
операционных системах
универсального назначения
типа Microsoft Windows и Unix
применяется именно эта
модель разграничения
доступа).
Недостатки:
• статичность разграничения
доступа;
• возможность при разрешении
доступа к объекту для
некоторого субъекта
нарушения в дальнейшем
безопасности информации в
объекте;
• автоматическое назначение
прав доступа субъектам;
• недостаточная защищенность
от вредоносных программ.

6. Мандатное разграничение доступа

• Все субъекты и объекты компьютерной системы должны
быть однозначно идентифицированы;
• Имеется линейно упорядоченный набор меток
конфиденциальности и соответствующих им степеней
допуска (нулевая метка или степень соответствуют
общедоступному объекту и степени допуска к работе
только с общедоступными объектами);
• Каждому объекту информационной системы присвоена
метка конфиденциальности;
• Каждому субъекту информационной системы
присваивается степень допуска;

7. Мандатное разграничение доступа

• В процессе своего существования каждый субъект имеет свой
уровень конфиденциальности, равный максимуму из меток
конфиденциальности объектов, к которым данный субъект
получил доступ;
• Понизить метку конфиденциальности объекта может только
субъект, имеющий доступ к данному объекту и обладающий
специальной привилегией;
• Право на чтение информации из объекта получает только тот
субъект, чья степень допуска не меньше метки
конфиденциальности данного объекта (правило «не читать
выше»);
• Право на запись информации в объект получает только тот
субъект, чей уровень конфиденциальности не больше метки
конфиденциальности данного объекта (правило «не записывать
ниже»).

8. Мандатное разграничение доступа

• Основной целью является предотвращение утечки
информации из объектов с высокой меткой
конфиденциальности в объекты с низкой меткой
конфиденциальности (противодействие созданию
каналов передачи информации «сверху вниз»).
• Формально доказано следующее важное утверждение:
если начальное состояние компьютерной системы
безопасно и все переходы из одного состояния системы
в другое не нарушают правил разграничения доступа, то
любое состояние информационной системы также
безопасно.

9. Мандатное разграничение доступа

Достоинства :
• более высокая надежность
работы самой компьютерной
системы, так как при
разграничении доступа к
объектам контролируется и
состояние самой системы, а не
только соблюдение
установленных правил;
• большая простота
определения правил
разграничения доступа по
сравнению с дискреционным
разграничением (эти правила
более ясны для разработчиков
и пользователей
компьютерной системы).
Недостатки:
• сложность программной
реализации;
• снижение эффективности
работы компьютерной
системы;
• создание дополнительных
неудобств работе
пользователей компьютерной
системы (особенно с высокой
степенью допуска).

10. Ролевое разграничение доступа

Основано на том, что в реальной жизни организации
ее сотрудники выполняют определенные
функциональные обязанности не от своего имени, а в
рамках некоторой занимаемой ими должности (или
роли).
Реализация ролевого разграничения доступа к
объектам компьютерной системы требует разработки
набора (библиотеки) ролей, определяемых как набор
прав доступа к объектам информационной системы
(прав на выполнение над ними определенного набора
действий).
Этот набор прав должен соответствовать выполняемой
работником трудовой функции.

11. Ролевое разграничение доступа

Наряду с пользователями (субъектами доступа) и объектами
доступа оперирует следующими понятиями:
• привилегии (операции) – минимально возможные действия
пользователя, требующие разрешения или запрещения этого
действия;
• правила (задачи) – объединение привилегии, подмножества
объектов, для которых может быть определена такая привилегия,
и признака разрешения или запрещения этой привилегии;
• роль – набор правил, определяющих какими привилегиями по
отношению к каким объектам будет обладать пользователь,
которому будет назначена эта роль;
• сессия – подмножество ролей, которые активировал пользователь
после своего входа в систему в течение определенного интервала
времени.

12. Ролевое разграничение доступа

Реализация сводится к следующим шагам:
• разработчики приложений, в которых над объектами системы
выполняются определенные действия, совместно с
администратором и конструктором ролей составляют список
привилегий и множество правил;
• конструктор ролей разрабатывает библиотеку ролей для данной
системы;
• диспетчер ролей каждому пользователю системы статическим
образом присваивает набор возможных для данного
пользователя ролей (при этом могут использоваться статические
ограничения на назначение ролей);
• после авторизации пользователя в системе для него создается
сессия (при этом могут использоваться динамические
ограничения на использование ролей).

13. Ролевое разграничение доступа

• Примеры статических ограничений на назначение ролей
пользователям системы – возможность назначения роли главного
администратора (суперпользователя) только одному
пользователю, ограничение количества пользователей, которым
может быть назначена определенная роль, запрет совмещения
одним пользователем определенных ролей (например, роли
конструктора и диспетчера ролей)
• Пример динамического ограничения на использование ролей –
ограничение количества пользователей, одновременно
выполняющих определенную роль (например, администратора).

14. Ролевое разграничение доступа

Достоинства :
• сочетает элементы мандатного
разграничения (объединение
субъектов и объектов доступа
в одном правиле) и
дискреционного
разграничения (назначение
ролей отдельным субъектам).
• жесткость правил
разграничения доступа и
гибкость настройки механизма
разграничения на конкретные
условия применения
• проявляются при организации
коллективного доступа к
ресурсам сложных
компьютерных систем с
большим количеством
пользователей и объектов.
Недостатки:
• отсутствие формальных
доказательств безопасности
компьютерной системы,
• возможность внесения
дублирования и избыточности
при предоставлении
пользователям прав доступа,
• сложность конструирования
ролей.

15. Подсистема безопасности ОС Windows

Ctrl+Alt+Delete
Пользователь
Отказ
Диспетчер
учетных
записей
Процесс
входа
ID, P
Провайдер
аутентификации
Процесс
инициализации
AT
AT
AT
Объект
ID, P
ID, P
SID
Локальная служба
безопасности
R
SD
SID
Пакет аутентификации
(провайдер безопасности)
AT
AT
Проводник
ID,
H(P)
ID, P
База данных
учетных записей
(Active Directory)
R
Монитор
безопасных ссылок
Файл
аудита

16. Подсистема безопасности ОС Windows

• Ядром подсистемы безопасности является локальная
служба безопасности (Local Security Authority, LSA),
размещающаяся в файле lsass.exe.
• После загрузки операционной системы автоматически
запускается процесс входа (winlogon.exe), который
остается активным до перезагрузки операционной
системы или выключения питания компьютера, а его
аварийное завершение приводит аварийному
завершению и всей операционной системы. Этим
обеспечивается практическая невозможность подмены
процесса входа при функционировании системы.

17. Подсистема безопасности ОС Windows

• После нажатия пользователем комбинации клавиш
Ctrl+Alt+Delete процесс входа обращается к провайдеру
аутентификации (динамически компонуемой
библиотеке функций, DLL) для приема от пользователя
его логического имени (ID) и аутентифицирующей
информации (P).
• Стандартный провайдер аутентификации размещается в
файле msgina.dll и в качестве аутентифицирующей
информации использует пароли пользователей.

18. Подсистема безопасности ОС Windows

• Введенные пользователем логическое имя и пароль
передаются процессом входа в LSA, которая обращается
к пакету аутентификации (или провайдеру безопасности)
для подтверждения подлинности пользователя. Если
пользователь зарегистрирован на локальном
компьютере, то пакет аутентификации вычисляет хешзначение пароля H(P) и обращается к диспетчеру
учетных записей (Security Account Manager, SAM) для
проверки правильности введенного пароля и
возможности для пользователя с введенным логическим
именем начать работу в системе (не истек ли срок
действия пароля, не заблокирована ли учетная запись
пользователя и т.п.).

19. Подсистема безопасности ОС Windows

• Если пользователь зарегистрирован в домене, то
провайдер безопасности (Secure Service Provider, SSP)
отправляет запросы на начальный мандат и мандат на
доступ к рабочей станции (по протоколу Kerberos)
службе Active Directory для аутентификации
пользователя на контроллере домена (сервере
аутентификации группы компьютеров, разделяющих
общую политику безопасности и информацию об
учетных записях пользователей).

20. Подсистема безопасности ОС Windows

• Если хеш-значение введенного пользователем пароля не
совпадает с эталоном, извлеченным из базы данных
учетных записей, или работа пользователя в системе
невозможна, то в LSA возвращается код ошибки,
который локальная служба безопасности передает
процессу входа для выдачи пользователю сообщения об
отказе в доступе к системе.
• Если проверка подтвердила подлинность пользователя и
отсутствие препятствий для начала его работы в КС, то в
LSA передается уникальный идентификатор
безопасности пользователя SID (security identifier).

21. Подсистема безопасности ОС Windows

LSA создает для пользователя маркер доступа AT (access token),
который идентифицирует субъект во всех его действиях с
объектами КС. В маркере доступа содержится следующая
информация:
SID пользователя;
идентификаторы безопасности его групп;
полномочия пользователя;
идентификаторы безопасности пользователя и его первичной
группы, которые будут использованы при создании пользователем
новых объектов в КС;
дискреционный список контроля доступа по умолчанию для вновь
создаваемого объекта;
источник выдачи маркера доступа;
тип маркера доступа – первичный (созданный при входе
пользователя в КС) или используемый для олицетворения (см.
далее);
текущий уровень олицетворения и др.

22. Подсистема безопасности ОС Windows

• Созданный LSA маркер доступа AT передается процессу
входа, который с помощью провайдера аутентификации
завершает процесс авторизации пользователя в КС,
запуская процесс его инициализации (userinit.exe) и
передает его в AT.
• Процесс инициализации на основе содержащегося в AT
идентификатора безопасности пользователя загружает
из реестра Windows его профиль и загружает
программную оболочку – Проводник Windows
(explorer.exe), передавая ему маркер доступа
пользователя. После этого процесс инициализации
завершает свою работу.

23. Подсистема безопасности ОС Windows

• Только процессы, окна которых расположены на одном Рабочем
столе, могут взаимодействовать между собой, используя средства
графического интерфейса пользователя Windows (GUI).
• Процесс входа (winlogon) выполняется на отдельном Рабочем
столе.
• Никакой другой процесс, в том числе и программная закладка для
перехвата паролей, не имеет доступа к этому Рабочему столу.
Поэтому приглашение пользователю на вход в систему,
выводимое закладкой, может располагаться только на Рабочем
столе прикладных программ.
• Переключение экрана компьютера с одного Рабочего стола на
другой производится при нажатии комбинации клавиш
Ctrl+Alt+Delete. В ОС Windows сообщение о нажатии
Ctrl+Alt+Delete посылается только процессу входа.
• Для всех других процессов (в частности, для всех прикладных
программ, запущенных пользователем) нажатие этой комбинации
клавиш совершенно незаметно.

24. Механизм олицетворения

• При взаимодействии клиентов и серверов в
операционной системе Windows может использоваться
механизм олицетворения (impersonation).
• В этом случае при необходимости обратиться с запросом
к серверу в процессе клиента создается поток (thread),
которому назначается маркер доступа пользователя,
инициировавшего этот запрос.
• Этот механизм позволяет серверу действовать от лица
клиента при доступе к объектам, к которым сам сервер
не имеет доступа.

25. Разграничение доступа к объектам

С объектом разграничения доступа связывается
дескриптор безопасности SD (security descriptor),
содержащий следующую информацию:
• идентификатор безопасности (SID) владельца объекта;
• идентификатор безопасности первичной группы
владельца;
• дискреционный список контроля доступа (discretionary
access control list, DACL);
• системный список контроля доступа (system access
control list, SACL).

26. Списки управления доступом

1. Список SACL управляется администратором системы и
предназначен для аудита безопасности.
2. Список DACL управляется владельцем объекта и предназначен
для идентификации пользователей и групп, которым
предоставлен или запрещен определенный тип доступа к
объекту. Каждый элемент списка DACL (access control entry, ACE)
определяет права доступа к объекту одному пользователю или
группе. Каждый ACE содержит следующую информацию:
• идентификатор безопасности SID субъекта, для которого
определяются права доступа;
• маска доступа (access mask, AM), которая специфицирует
контролируемые данным ACE права доступа;
• тип ACE;
• признак наследования прав доступа к объекту, определенных
для родительского объекта.

27. Разграничение доступа к объектам

• Элементы списка DACL могут быть двух типов – элементы,
запрещающие специфицированные в них права доступа (Accessallowed ACE), и элементы, запрещающие определенные в них
права доступа (Access-denied ACE). Элементы для запрещения
субъектам использования определенных прав доступа должны
размещаться в «голове» списка, до первого из элементов,
разрешающих использование субъектом тех или иных прав
доступа.
• В операционной системе Windows различаются специальные,
стандартные и общие (generic) права доступа к объектам.
• Специальные права доступа определяют возможность обращения
к объекту по свойственному только данной категории объектов
методу – чтение данных из объекта, запись данных в объект,
чтение атрибутов объекта, выполнение программного файла и т.д.
• Стандартные права доступа определяют возможность доступа к
объекту по методу, применимому к любому объекту, – изменение
владельца объекта, изменение списка DACL объекта, удаление
объекта и т.д.

28. Разграничение доступа к объектам

Каждое из общих прав доступа представляет собой комбинацию
специальных и стандартных прав и предоставляет возможность
обращения к объекту с помощью некоторого набора методов
доступа.
Примеры общих прав доступа:
• чтение, включающее в себя чтение DACL объекта, чтение данных
из объекта, чтение его атрибутов и расширенных атрибутов,
использование объекта для синхронизации;
• запись, включающая в себя чтение DACL объекта, запись и
добавление данных в объект, запись его атрибутов и
расширенных атрибутов, использование объекта для
синхронизации;
• выполнение, включающее в себя чтение DACL объекта, чтение его
атрибутов, выполнение программного файла и использование
объекта для синхронизации.

29. Разграничение доступа к объектам

• Маркер доступа субъекта, обращающегося к некоторому объекту,
поступает в локальную службу безопасности LSA.
• От LSA маркер доступа поступает к монитору безопасных ссылок
(security reference monitor, SRM), который просматривает DACL из
дескриптора безопасности SD соответствующего объекта и
принимает решение R о предоставлении доступа субъекту или
отказе в доступе.
• Получив от SRM результат R, LSA передает его субъекту,
запросившему доступ к объекту.

30. Разграничение доступа к объектам

Субъект
Объект
Дескриптор
безопасности
Маркер доступа
SID пользователя
SID группы
Привилегии
Другая
информация для
доступа
SID владельца
SID группы
DACL
ACE
Проверка
прав доступа
ACE
ACE

31. Алгоритм проверки прав доступа к объекту

1.
2.
3.
Если SID из маркера доступа субъекта AT не совпадает с SID,
содержащемся в элементе ACE списка контроля доступа к
объекту, то осуществляется переход к следующему ACE, иначе
переход к п. 2.
Если в элементе ACE запрещается доступ к объекту для
субъекта с данным SID, но этот субъект является владельцем
объекта и запрашиваемая маска доступа содержит только
попытку доступа к объекту по методу «чтение (или) изменение
дискреционного списка контроля доступа к объекту», то доступ
субъекта к объекту разрешается, иначе осуществляется переход
к п.3.
Если в элементе ACE запрещается доступ к объекту для
субъекта с данным SID, то сравниваются запрашиваемая маска
доступа и маска доступа, определенная в ACE. Если при
сравнении находится хотя бы один общий метод доступа, то
попытка доступа субъекта к объекту отклоняется, иначе
происходит переход к следующему ACE.

32. Алгоритм проверки прав доступа к объекту

4.
Если в элементе ACE разрешается доступ к объекту для
субъекта с данным SID, то также сравниваются
запрашиваемая маска доступа и маска доступа,
определенная в ACE. Если при этом маски доступа полностью
совпадают, то доступ субъекта к объекту разрешается, иначе
происходит переход к следующему ACE.
5.
Если достигнут конец списка DACL из дескриптора
безопасности объекта, то попытка доступа субъекта к объекту
отклоняется.

33. Алгоритм проверки прав доступа к объекту

• Если DACL объекта пуст, то любой доступ к нему запрещен всем
субъектам, за исключением владельца объекта, которому
разрешены чтение и (или) изменение списка контроля доступа к
объекту.
• Если у объекта нет дескриптора безопасности (например, у папок
и файлов, размещенных на дисках под управлением файловой
системы FAT), то любые пользователи и группы могут получить
любые права доступа к данному объекту.

34. Контейнерные и неконтейнерные объекты

Контейнерный объект, например папка, имеет логические
связи с другими объектами (вложенными папками и файлами),
которые могут наследовать определенные права доступа от
своего родительского объекта.
По умолчанию, изменение прав доступа к папке автоматически
распространяется на права доступа к файлам этой папки, но не на
вложенные в нее другие папки.
При наследовании права доступа, установленные для дочерних
объектов, могут добавляться к правам доступа, установленным
для родительского объекта, или полностью заменяться ими.

35. Назначение дескрипторов безопасности вновь создаваемым объектам

1.
2.
3.
На основе явно заданного субъектом и корректного по форме
дескриптора безопасности (например, при вызове системных
функций CreateFile или CreateDirectory при создании файлов
или папок, при вызове системной функции RegCreateKeyEx при
создании раздела реестра и т.п.);
На основе механизма наследования (если при создании
объекта дескриптор безопасности не задается);
Из маркера доступа субъекта, создающего объект (если
наследование невозможно).

36. Назначение аудита безопасности

• Определение истинных виновников компьютерных
правонарушений и причин, способствовавших их
возникновению.
• Обнаружение подготовительных действий к совершению
компьютерного правонарушения.
• Немедленная реакция на событие, связанное с
безопасностью компьютерной системы (в ОС Windows
не реализовано).

37. Основные требования политики аудита

• Ассоциирование пользователя с любым событием аудита;
• Обязательность аудита стандартного набора событий –
идентификации и аутентификации пользователя, размещения
объектов в адресном пространстве процессов, уничтожения
объектов, действий привилегированного пользователя и др.;
• Наличие необходимого набора атрибутов записи журнала аудита
– даты и времени события, логического имени инициировавшего
событие пользователя, типа события, признака успешного или
неудачного завершения вызвавшего событие действия, имени
связанного с событием объекта;
• Возможность фильтрации записей журнала аудита;
• Поддержка и защита от несанкционированного доступа к журналу
аудита.

38. Аудит безопасности в ОС Windows

Журнал аудита содержится в файлеwindows System32 Config secevent.evt, а доступ к нему
осуществляется с помощью административной функции
«Просмотр событий» Панели управления Windows.

39. Аудит безопасности в ОС Windows

Возможна регистрация следующих событий:
вход пользователей в систему;
доступ субъектов к объектам;
доступ к службе каталогов Active Directory;
изменение политики безопасности;
использование привилегий;
отслеживание процессов;
системные события;
попытки входа в систему;
управление учетными записями пользователей и групп;
доступ к глобальным системным объектам;
использование прав на архивацию и восстановление объектов.

40. Аудит безопасности в ОС Windows

• Для каждой категории регистрируемых событий
администратор может указать тип события (успешное и
(или) неудачное завершение) либо отменить его
регистрацию в журнале аудита.
• При аудите использования привилегий регистрируются
попытки использования не всех возможных привилегий,
а лишь тех, которые считаются потенциально опасными
с точки зрения разработчиков подсистемы безопасности
защищенных версий Windows (например, создание
маркерного объекта или создание журналов
безопасности). Следует отметить, что не все объективно
опасные привилегии входят в этот список.

41. Аудит безопасности в ОС Windows

К системным событиям, которые могут
регистрироваться в журнале аудита, относятся:
• перезагрузка операционной системы;
• завершение работы операционной системы;
• загрузка пакета аутентификации;
• запуск процесса входа (Winlogon);
• сбой при регистрации события в журнале аудита;
• очистка журнала аудита;
• загрузка пакета оповещения об изменении в списке
пользователей.

42. Другие параметры аудита

• Максимальный размер журнала аудита.
• Реакция операционной системы на его переполнение:
• затирать старые события при необходимости (реакция по
умолчанию);
• затирать старые события, которые произошли ранее
установленного количества дней (в этом случае новые события
не регистрируются, пока не истечет заданное количество дней
с момента регистрации самого старого события);
• не затирать события (очистка журнала вручную).

43. Аудит доступа к объектам

• Используется системный список контроля доступа SACL,
содержимое которого формируется администратором системы.
• Элементы ACE списка SACL имеют один и тот же тип и содержат
заголовок ACE, маску регистрируемых в журнале аудита прав
доступа и SID пользователя или группы, чьи попытки доступа к
объекту должны регистрироваться (если в ACE не указан SID, то
регистрируются попытки доступа к объекту всех пользователей).

44. Администраторы и аудиторы

Для обеспечения безопасности информации в КС целесообразно
разделить полномочия администраторов КС и аудиторов
(пользователей с правами доступа к файлу аудита).
Если этого не сделать, то возникнет ситуация, при которой
установка параметров политики безопасности и проверка ее
соблюдения сосредоточатся в одних руках.

45. Администраторы и аудиторы

• В ОС Windows можно сделать так, что просматривать и очищать
журнал аудита, а также управлять списками SACL объектов
доступа смогут только члены группы аудиторов компьютерной
системы.
• Но полномочия на изменение значений параметров политики
аудита при этом сохранятся у членов группы администраторов
компьютерной системы.

Часть 2: Вопросы совместимости, быстродействия, стабильности и безопасности

Мы продолжаем разговор о Windows 7. В первой части материала были рассмотрены интерфейс и навигационные возможности новой системы Microsoft, теперь же мы поговорим о тех вопросах, которые больше всего волнуют продвинутых пользователей, равнодушных к красивостям и «фишкам» Aero, но требовательных к функциональной стороне ОС.

Совместимость

Одной из главных причин неприятия Windows Vista был тот факт, что большинство программ, созданных для XP или более ранних систем Microsoft, не работали с Vista. И если крупные компании (Ahead, Adobe…) довольно быстро представили обновленные версии своих продуктов, имеющие заветную наклейку Vista Compatible, то производители мелких утилит и каких-то узкоспециальных приложений не так торопились оптимизировать код под Vista. И поэтому до сих пор многие пользователи, сидящие на XP, аргументируют это тем, что нужные им программы не идут на Vista. Специально для них Microsoft подготовила в старших версиях Windows 7 режим совместимости, позволяющий запускать приложения Windows XP (XP Mode). Фактически, это не что иное, как виртуальная машина. И для запуска режима XP Mode необходимо установить Microsoft Virtual PC.

После инсталляции Microsoft Virtual PC вы создаете виртуальную среду Windows XP и устанавливаете XP Mode. При этом приложения в XP Mode вы можете запускать прямо с рабочего стола Windows 7, как если бы они были установлены в самой системе Windows 7. Также можно совместно использовать буфер обмена, USB-устройства (накопители, принтер, сканер), основные папки на диске C (Мои документы, Рисунки, Рабочий стол, Музыка и Видео).

Правда использование XP Mode и вообще виртуальных машин существенно повышает требования к конфигурации компьютера. Необходима аппаратная поддержка технологий виртуализации Intel VT или AMD-V, оперативная память от 1,25 ГБ (а для комфортной работы рекомендуется не меньше 2 ГБ), 15 ГБ на винчестере и, как уже было сказано, старшие версии Windows 7: Профессиональная, Максимальная и Корпоративная (к отличиям между выпусками Windows 7 мы еще вернемся). Подробнее о вопросах совместимости приложений Windows XP и Vista / 7 можно почитать здесь.

А вот стоит ли заботиться о совместимости пользователям Windows Vista, собирающимся переходить на Windows 7? Можем ли мы быть полностью уверены, что все приложения Windows Vista пойдут на Windows 7? И можно ли утверждать, что если написанное для Vista приложение не идет на «семерке», значит, код был с ошибками? Чтобы прояснить эту ситуацию и получить ответы на все вопросы, мы обратились за комментарием к специалисту Microsoft Александру Ильичеву. Приводим его ответ полностью.

«Гарантировать работоспособность под Windows 7 ВСЕХ программ, написанных для Vista невозможно, т.к., во-первых, очень сложно составить достоверный и актуальный список всех программ, а, во-вторых, мы не можем гарантировать качество труда сторонних разработчиков. Впрочем, по статистике более 95% приложений, написанных для Vista, действительно работают на Windows 7 без каких-либо проблем. Проблемными приложениями, как правило, могут быть только те, которые работают с низкоровневым кодом, т.е. любые антивирусы, а так же программы напрямую работающее с оборудованием системы и/или использующие собственные драйверы. Низкоуровненвый код работает ниже уровня подсистемы Windows, то есть, например, на уровне ядра, где какие-то, пусть даже самые минимальные, изменения неизбежны с каждым новым выходом Windows. Из-за этого некоторые драйверы приходится адаптировать к новой архитектуре, так как некорректная работа таких драйверов может привести к критическим ошибкам и синим экранам Windows. Однако, еще раз повторю, более 95% приложений работают без проблем, так как низкоуровневый код они не используют. На основании лишь того факта, что написанная для Vista программа не работает под Windows 7, мы, конечно, не можем сказать, что она была написана некорректно. Существует целый ряд рекомендаций к разработчикам, которые необходимо соблюдать для обеспечения высокого уровня совместимости приложений на разных платформах. К сожалению, стопроцентной безоговорочной гарантии работоспособности приложения на всех версиях Windows  это не дает, так как с каждой новой Windows многие вещи меняются, в том числе и на уровне, например, Windows API. Но все эти изменения документируются на нашем портале MSDN, так что разработчики всего мира обычно знают о них еще до выхода самой системы и имеют возможность заранее внести изменения в свои приложения».

По-моему, исчерпывающий ответ! Добавлю лишь, что, действительно, за полгода использования Windows 7 лишь один раз у меня были проблемы с совместимостью. На Windows 7 не устанавливалось программное обеспечение HP Photosmart Essential, включающее в себя драйверы для МФУ (то есть как раз тот случай, о котором говорил Ильичев). Впрочем, сразу после официального релиза Windows 7 компания HP выпустила версию Photosmart Essential для новой ОС, решив все проблемы. А самим устройством можно было пользоваться и до этого — соответствующие драйверы уже были в системе.

Подключение устройств и интернета

В принципе, по части подключения периферийных устройств, все неплохо было и у «Висты» — большинство принтеров, сканеров, копиров и тому подобных девайсов работали безо всяких драйверов. Однако в Windows 7 решили сделать работу с устройствами еще понятнее для пользователя, поэтому теперь система отображает реальную фотографию подключенного устройства. Например, если вы подключили iPhone, то у вас будет иконка не какого-то абстрактного телефона, а именно iPhone.

То же самое касается фотоаппаратов, мышек, веб-камер и т.п. Вот только, что любопытно, тип устройства Windows 7 определяет не всегда корректно. В частности, iPhone он почему-то считает цифровой камерой

В целом, повторюсь, с подключаемыми устройствами проблем на Windows 7 нет. И, в общем-то, никакие дополнительные драйверы не требуются. Аналогично и с интернетом. Если вы подключаетесь через беспроводное соединение Wi-Fi или кабелем к роутеру (уже настроенному), то никаких настроек или дополнительных утилит не понадобится.

Быстродействие

Быстродействие Windows 7 — один из главных аргументов Microsoft в призывах переходить на новую ОС. И действительно, повышение производительности по сравнению с Vista чувствуется сразу: новая система загружается заметно быстрее, чем Vista. Быстрее происходит и выключение, но до скорости выключения Mac OS X Snow Leopard и Leopard (которые выключаются почти моментально) здесь, конечно, далеко. Что же касается работы в системе, то никаких подтормаживаний не было заметно даже при открытии большого количества окон. В подтверждение этого Microsoft приводит следующую диаграмму.

Из диаграммы можно сделать вывод, что Windows 7 гораздо более экономно работает с памятью компьютера, чем Windows Vista. Что же касается сравнения быстродействия со Snow Leopard на ресурсоемких приложениях, то ряд западных IT-изданий действительно проводил подобные тесты, но результаты у всех получались неоднозначными (в каких-то приложениях побеждала ОС Microsoft, в каких-то — Apple), а кроме того надо понимать, что создать оптимальный тестовый стенд для подобного тестирования очень проблематично. Сравнивать на компьютере Mac Snow Leopard и 64-битную версию Windows 7, запуская последнюю через BootCamp, — не лучший вариант, поскольку для Mac «родной» является все-таки Mac OS X, да и 64-битные режимы в этих системах реализованы по-разному. Запускать Snow Leopard на Mac, а Windows 7 — на PC аналогичной комплектации можно, но здесь на результаты могут повлиять слишком много побочных факторов. Да и вообще, это вопрос, находящийся скорее не в практической, а в имиджевой плоскости, потому что в реальности человек вряд ли будет выбирать между Snow Leopard и Windows 7 — он работает либо на PC, либо на Mac. А при выборе нового (и тем более первого) компьютера доминировать будут совсем другие соображения. Так что для нас главное констатировать, что Windows 7 существенно производительнее, чем Windows Vista, и что это достойный конкурент новейшей ОС от Apple, находящийся в одной «весовой категории».

Стабильность и безопасность

Windows 7 позиционируется как самая стабильная и безопасная система Microsoft. И действительно, за все время использования Windows 7 мной не было замечено ни одной серьезной ошибки, а сочетание клавиш Ctrl+Alt+Del приходилось использовать всего пару раз (и то на сборке Release Candidate, финальная же сборка пока работает без зависаний). Если же все-таки какая-то системная ошибка произойдет, то вы можете записать свои действия с помощью специального инструмента, встроенного в систему Windows 7, после чего послать запись в службу технической поддержки Microsoft или IT’шникам вашей компании.

Запустить его можно либо через поиск в меню Пуск, либо через Панель управления. Панель управления, кстати, стала немножко удобнее, а возможности управления компьютером через нее — шире. В частности, появилось единое меню для управления всеми настройками безопасности, резервирования и обновления — Центр поддержки.

Выйти в Центр поддержки можно не только через панель управления, но и через трей в Панели задач. Там для этого есть специальный значок — флажок.

Щелкаем по флажку — и открывается окошко, где перечислены все оповещения безопасности. Там же можно и открыть центр поддержки. Если же вы считаете, что оповещений слишком много, то это можно изменить в Настройке центра поддержки.

Кстати, что касается системных уведомлений: думаю, вы не будете со мной спорить, что одной из самых раздражающих особенностей Windows Vista были постоянные предупреждения безопасности и связанные с этим ограничения. Например, в Adobe Dreamweaver мне приходилось при каждом запуске заново вводить логин и пароль для доступа к FTP — несмотря на опцию «Запомнить пароль». В Windows 7 эта ситуация исправлена. Не бойтесь сохранять пароль в системе — сохраняйте на здоровье!

О чем еще стоит сказать в данном разделе нашего материала — так это о функциях родительского контроля (хотя это и не совсем безопасность компьютера — скорее, безопасность ребенка от компьютера :-)). Windows 7 позволяет настраивать такие вещи, как время нахождения ребенка за компьютером (например, вы можете предоставить ему такую возможность только по определенным дням и не более двух часов), список программ и игр, которые ему позволено запускать, а также, при наличии пакета Windows Live, контролировать его веб-серфинг.

И последнее к вопросу о безопасности: несмотря на то, что Windows 7 (как и Vista SP2) является одной из самых безопасных ОС на сегодняшний день, антивирус ставить все же необходимо (хотя Windows 7 и не кричит об этом так же активно, как Windows Vista, которая могла просто достать своими постоянными предупреждениями о том, что антивирус не установлен). И здесь логично задаться вопросом: почему же Microsoft не встроит антивирус в саму операционную систему? Возможно из-за претензий антимонопольщиков (пришлось же в Европе выпустить Windows без Internet Explorer!), а возможно и по каким-то коммерческим соображениям. Но, так или иначе, в Windows 7 «штатного» антивируса (который мог бы сканировать файлы и в системе, и, скажем, на съемных носителях) нет. Тема эта, кстати, уже поднималась на нашем сайте.

Вскоре, однако, ситуация может измениться. В конце сентября Microsoft выпустила бетаверсию антивируса под названием Microsoft Security Essentials. И не исключено, что когда это приложение будет полностью доработано, Microsoft либо встроит его в Windows, либо будет рекомендовать скачать (бесплатно или за деньги) в качестве основного антивируса для Windows Vista / Windows 7. Увы, пока для России бетаверсия этого продукта недоступна, поэтому мы пока отложим разговор о Microsoft Security Essentials, да и, к тому же, это выходит за рамки нашей темы. В данном случае нам важен сам факт того, что корпорация Microsoft решила выпустить полноценный антивирус.

Стандартные приложения Windows 7

Итак, антивируса в Windows 7 нет (пока?), а что есть? Изменились стандартные приложения? Изменились — и весьма существенно. Прежде всего это касается Paint, WordPad и Калькулятора. Им полностью обновили как внешний вид, так и функционал. В чем это проявилось? Скажем вкратце пару слов о каждой программе.

Paint

Прежде всего, Paint получил новый «ленточный» интерфейс Ribbon (как в Office 2007). Теперь пользоваться программой стало гораздо удобнее.

Что касается функционала, то разработчики увеличили количество кистей (Brush) до девяти, а библиотеку фигур расширили до 23. Кроме того, появились новые виды заливки.

Еще два немаловажных добавления — функция преварительного просмотра перед печатью и возможность импорта изображений со сканера или камеры.

WordPad

Встроенный текстовый редактор WordPad тоже претерпел некоторые изменения — но, в основном, по части интерфейса. WordPad стал очень похож на Microsoft Word 2010. Разумеется, это очень сильно упрощенная версия Word, но сходство интерфейса налицо.

В принципе, WordPad вполне подойдет для работы над простенькими текстовыми документами и, что-то мне подсказывает, что большинство «юзеров» используют в Microsoft Word только те простейшие функции, которые есть в WordPad (о существовании которого они могут вообще не знать). Но у WordPad в Windows 7 есть один очень серьезный недостаток (который затрагивает как раз самых неопытных пользователей) — это отсутствие поддержки формата .doc. WordPad поддерживает файлы с расширениями .docx, .rtf, .odt и .txt, но самый популярный текстовый формат .doc — нет.

И здесь логично провести сравнение с TextEdit — аналогичным текстовым редактором Apple, встроенным в операционную систему MacOS X Snow Leopard. Так вот, ему WordPad проигрывает по всем статьям. Во-первых, TextEdit поддерживает .doc (причем, и чтение, и сохранение), во-вторых, в TextEdit вы можете создавать таблицы (а в WordPad эта функция недоступна), в-третьих, у TextEdit имеется небольшая база символов (валюты, математические знаки и т.п.), а у WordPad даже это отсутствует. А в-четвертых, у приложения Apple есть возможность сохранения в PDF.

Таким образом, Microsoft, стимулируя пользователей Windows 7 покупать полноценный пакет Microsoft Office, совершенно забывают о конкурентах. А те в свою очередь пользуются этим и обыгрывают Microsoft на их же поле, предлагая пользователям скромный внешне, но куда более функциональный инструмент.

Калькулятор

Еще одно приложение, без которого невозможно представить Windows — это Калькулятор.

И здесь тоже не обошлось без нововведений. Помимо усовершенствования внешнего вида Microsoft добавила два новых режима (помимо существовавших в прежних версиях Обычного и Инженерного). Это Программист и Статистика. Любопытно, что в аналогичном приложении Apple (в системах Mac OS X Leopard и Snow Leopard) режим для программистов был задолго до выхода Windows 7. Появился ли этот режим в калькуляторе Windows 7 под влиянием Mac OS X или без оного — вопрос открытый, и мы, конечно, воздержимся от сравнений, а просто приведем соответствующие скриншоты.

Впрочем, у калькулятора Windows 7 есть режим статистики, которого нет у калькулятора Mac OS X. Кроме того, приложение Microsoft теперь приобрело дополнительные функции, такие как расчет расхода бензина, платежей по ипотеке и вычисление даты.

Записки

Последнее стандартное приложение, которое мы рассмотрим, — это Записки (Sticky Notes). Оно появилось в Windows Vista, но в Windows 7 этот простейший, на первый взгляд, инструмент стал чуть более эффективным. Во-первых, к Запискам теперь есть доступ прямо из основного меню Пуск. Во-вторых, можно менять цвет записок. Это удобно, когда у вас много записок и вы хотите их как-то рассортировать, чтобы сразу видеть, например, где срочные дела, а где не очень.

Также можно менять размер листочков. А размещать записки можно в любом месте рабочего стола. Все вроде бы прекрасно, и лично я записками в Windows 7 действительно пользуюсь очень часто. Но давайте посмотрим, как обстоят дела у конкурентов! В операционных системах Apple аналогичный инструмент (Заметки) присутствует уже много лет. В текущей версии Mac OS X (10.6 Snow Leopard) в записках можно делать все то же, что и в виндусовском Sticky Notes, а помимо этого — менять шрифт и сворачивать записки в узенькую полоску (чтобы не слишком загромождать рабочий стол).

Правда, с Заметками в Mac OS X немного сложнее работать: чтобы изменить размер, надо ухватиться мышкой за крошечный уголок внизу, а чтобы создать новую заметку — идти в меню Файл и кликнуть там Новая заметка. Тогда как в Windows 7 достаточно просто нажать на плюсик (достаточно крупный) в верхнем левом углу записки.

А что же с такими приложениями, как Mail (почтовый клиент), Photo Gallery и Movie Maker? А вот их-то как раз в Windows 7 и нет. С одной стороны, это решение вполне логичное и смотрящее в будущее, поскольку Microsoft предлагает все это в составе Windows Live Essentials. Но с другой стороны, многие ли рядовые (неопытные) пользователи будут скачивать Windows Live? И как они узнают, что привычные программы теперь именно там?