27.02.26. - PRD 20 Loģiskās aizsardzība

Tēma: Loģiskās aizsardzības sistēmas izveide un konfigurēšana

Darba mērķis: Praktiski pielietot loģiskās aizsardzības pamatprincipus, konfigurējot lietotāju kontus, tiesības, grupu politikas, datu šifrēšanu, kā arī analizējot drošības žurnālus un izveidojot pamata monitoringu.

Nepieciešamais aprīkojums:

• Dators vai virtuālā mašīna ar Windows 10 Pro / 11 Pro vai Windows Server OS.

• Administratora tiesības sistēmā.

Scenārijs: Jūs esat IT administrators uzņēmumā "SIA DrošiDati". Uzņēmuma vadība ir pieprasījusi sakārtot viena darba datora (vai failu servera) drošību atbilstoši Least Privilege (mazāko privilēģiju) principam, aizsargāt sensitīvus datus un nodrošināt incidentu izsekojamību.

________________________________________

Darba gaita un uzdevumi

1. daļa: Lietotāju konti, paroles un grupas (Lietotāju autorizācija)

Drošības mērķis: Identitāšu nošķiršana un lomu (RBAC) izveide.

1. Atveriet Computer Management -> Local Users and Groups.

2. Izveidojiet divas jaunas lietotāju grupas:

• Vadiba

• Darbinieki

3. Izveidojiet divus jaunus lietotājus:

• Lietotājs 1: A_Berzins (pievienojiet grupai Vadiba).

• Lietotājs 2: J_Kalnins (pievienojiet grupai Darbinieki).

4. Paroļu drošība: Abiem lietotājiem iestatiet pagaidu paroli (piem., Start123!) un atzīmējiet izvēlni User must change password at next logon.

2. daļa: Grupu politika un paroļu politika (Local Security Policy / GPO)

Drošības mērķis: Centralizēta kontrole un bruteforce uzbrukumu novēršana.

1. Atveriet Local Security Policy (secpol.msc) vai Group Policy Management (ja izmantojat AD domēnu).

2. Konfigurējiet paroļu politiku (Account Policies -> Password Policy):

• Minimum password length: 12 simboli.

• Password must meet complexity requirements: Enabled.

• Maximum password age: 60 dienas.

3. Konfigurējiet konta bloķēšanas politiku (Account Policies -> Account Lockout Policy):

• Account lockout threshold: 3 nederīgi mēģinājumi.

• Account lockout duration: 15 minūtes.

• Reset account lockout counter after: 15 minūtes.

4. Auditēšanas ieslēgšana (Local Policies -> Audit Policy):

• Audit logon events: Ieslēdziet gan Success, gan Failure.

• Audit object access: Ieslēdziet gan Success, gan Failure.

3. daļa: Lietotāju tiesības un failu atļaujas (NTFS autorizācija)

Drošības mērķis: Ierobežot piekļuvi informācijai atbilstoši darba pienākumiem.

1. C: diskā (vai citā brīvā diskā) izveidojiet mapi Uznemuma_Dati.

2. Mapē izveidojiet divas apakšmapes: Finanses un Kopejie_dokumenti.

3. Konfigurējiet NTFS tiesības (Labais klikšķis -> Properties -> Security -> Advanced, atslēdziet mantojamību (Disable inheritance)):

• Mapei Kopejie_dokumenti: Grupai Vadiba un Darbinieki piešķiriet Read & Execute un Write tiesības.

• Mapei Finanses: Grupai Vadiba piešķiriet Modify tiesības. Grupai Darbinieki piekļuvi noņemiet pilnībā (vai iestatiet Deny Read).

4. Pārbaude: Ielogojieties ar lietotāju J_Kalnins un mēģiniet atvērt mapi Finanses. Piefiksējiet kļūdas paziņojumu (Ekrānuzņēmums 1).

4. daļa: Datu šifrēšana (EFS / BitLocker)

Drošības mērķis: Aizsargāt datus no fiziskas nozagšanas vai nesankcionētas nolasīšanas.

1. Ielogojieties ar lietotāju A_Berzins.

2. Mapē Finanses izveidojiet teksta failu Algas_2026.txt un ierakstiet tajā informāciju.

3. Izmantojot EFS (Encrypting File System), nošifrējiet šo failu (Labais klikšķis -> Properties -> Advanced -> atzīmējiet Encrypt contents to secure data).

4. Failam vajadzētu parādīties ar slēdzenes ikonu vai zaļā krāsā.

5. Pārbaude: Ielogojieties ar administratora kontu vai izveidojiet vēl vienu vadības lietotāju. Mēģiniet atvērt failu Algas_2026.txt. (Piefiksējiet rezultātu – logam būtu jāparāda Access Denied pat tad, ja failam ir NTFS lasīšanas tiesības, jo jums nav šifrēšanas atslēgas) (Ekrānuzņēmums 2).

5. daļa: Sistēmas žurnālu lietojums (Event Viewer)

Drošības mērķis: Spēt atrast un izanalizēt incidentu pēdas.

1. Simulējiet uzbrukumu: Apzināti mēģiniet ielogoties ar lietotāju J_Kalnins, 4 reizes ievadot nepareizu paroli. Kontam ir jātiek bloķētam.

2. Ielogojieties ar Administratora kontu.

3. Atveriet Event Viewer (eventvwr.msc) -> Windows Logs -> Security.

4. Izmantojiet filtru (Filter Current Log), lai atrastu šādus notikumus:

• Event ID 4625 (Failed Logon). Atrodiet mēģinājumus ielogoties ar kontu J_Kalnins.

• Event ID 4740 (Account Locked Out).

5. Atveriet ierakstu (Event ID 4740) un piefiksējiet, kurš konts un cikos tika bloķēts. (Ekrānuzņēmums 3).

6. daļa: Pārraudzības (monitoringa) izveide

Drošības mērķis: Izveidot agrīnās brīdināšanas mehānismu incidentu gadījumos.

1. Palieciet Event Viewer sadaļā pie notikuma Event ID 4740.

2. Uzklikšķiniet uz šī notikuma ar labo peles pogu un izvēlieties Attach Task To This Event (Piesaistīt uzdevumu šim notikumam).

3. Izveidojiet uzdevumu:

• Name: Brīdinājums par konta bloķēšanu.

• Action: Display a message (vai Start a program, izvēloties vienkāršu scriptu, piemēram, PowerShell skriptu, kas ieraksta brīdinājumu failā vai parāda msg). Piezīme: Jaunākajās Windows versijās "Display a message" ir deprecated, tāpēc izvēlieties "Start a program" un norādiet: powershell.exe, argumentā: -Command "Out-File -FilePath C:\Uznemuma_Dati\Alerts.txt -InputObject 'UZMANĪBU: Lietotāja konts bloķēts!' -Append"

4. Atbloķējiet J_Kalnins kontu (Active Directory vai Local Users noņemot atzīmi Account is locked out).

5. Atkārtojiet 5. daļas 1. punktu (noblokējiet kontu vēlreiz) un pārbaudiet, vai iedarbojas jūsu izveidotais monitorings (vai parādās teksts failā Alerts.txt). (Ekrānuzņēmums 4).

________________________________________

Atskaites prasības izglītojamajam (Kā nodot darbu)

Sagatavojiet PDF dokumentu ar nosaukumu PD_LogiskaAizsardziba_Vards_Uzvards, kurā iekļauta šāda informācija:

1. Darba īss apraksts: (3-4 teikumi par to, kāpēc uzņēmumam vajadzīga loģiskā aizsardzība).

2. Ekrānuzņēmums 1 ar komentāriem: NTFS tiesību kļūdas paziņojums, mēģinot atvērt Finanses mapi bez tiesībām.

3. Ekrānuzņēmums 2 ar komentāriem: Šifrētā EFS faila kļūdas paziņojums vai faila atribūtu logs, kur redzams, kas failu šifrējis.

4. Ekrānuzņēmums 3 ar komentāriem: Event Viewer logs ar Event ID 4740 (redzams bloķētais lietotājs un laiks).

5. Ekrānuzņēmums 4 ar komentāriem: Pierādījums par iedarbināto monitoringa Task Scheduler uzdevumu (vai skripta ģenerēto rezultātu failu).

6. Secinājumi: Atbildiet uz 2 jautājumiem:

• Kāpēc datu šifrēšana (EFS/Bitlocker) ir nepieciešama pat tad, ja mapēm ir iestatītas stingras NTFS atļaujas?

• Kā automātiska paziņojumu izveide (monitorings) atvieglo administratora ikdienu?

________________________________________

Vērtēšanas kritēriji (Kopā 10 punkti)

Kārtas nr. Vērtēšanas kritērijs Punkti

1. Izveidoti lietotāji un grupas, atbilstoši konfigurēta GPO (paroļu sarežģītība, bloķēšana). 2

2. Pareizi iestatītas NTFS atļaujas, ievērojot lomas (Least Privilege) (Ekrānuzņēmums 1). 2

3. Sekmīgi pielietota failu šifrēšana un pārbaudīta faila pieejamība (Ekrānuzņēmums 2). 2

4. Izmantots Event Viewer, izfiltrēts bloķēšanas notikums un noteikts incidenta cēlonis (Ekrānuzņēmums 3). 2

5. Izveidots un sekmīgi notestēts agrīnās brīdināšanas mehānisms (Task Scheduler/Monitorings) (Ekrānuzņēmums 4). 1

6. Sniegti pamatoti secinājumi atskaites nobeigumā. 1