Sadržaj

1. Uvod ................................................................................................................................... 1

2. Princip rada sandbox programa ........................................ Error! Bookmark not defined.

3. Faronics Deep Freeze ....................................................... Error! Bookmark not defined.

3.1. Instalacija programa Deep Freeze .............................................................................. 6

3.2. Deep Freeze Configuration Administrator ................................................................. 8

3.2.1. Kreiranje instalacijskog i Seed programa za radne stanice ................................. 12

3.3. Deep Freeze Enterprise Console ............................ 1Error! Bookmark not defined.

3.3.1. Komunikacija između Enterprise konzole i radnih stanica13 ............................. 15

3.3.2. Udaljene konzole i spajanje na udaljene konzole ................................................ 16

3.3.3. Upravljanje Deeep Freeze programom putem konzole ....................................... 17

3.3.4. Instalacija programa Deep Freeze na radne stanice ............................................ 19

3.3.5. Upravljanje računalima (radnim stanicama) sa Deep Freeze programom .......... 21

4. Mogućnost primjene na računalni sustav Pomorskog fakulteta ....................................... 23

5. Zaključak .......................................................................................................................... 26

Literatura .................................................................................................................................. 27

1

1. Uvod

Pored anti virusnih, anti spyware alata i vatrozida kao danas najčešće upotrebljavanih alata za

sigurnosnu zaštitu računala i računalnih sustava, sve više susrećemo i tzv. sandbox alate koji

itekako mogu povećati ukupnu sigurnost sustava.

Samu riječ, odnosno pojam sandbox možemo definirati kao dio prostora (okoline) u kojem

(kojoj) je izvršavanje određenih funkcija zabranjeno.

Upravo iz te definicije proizlazi i osnovna namjena sandbox alata. Oni stvaraju ograničeni

prostor na disku ili memoriji računala, te vrše dodjelu određenih pravila procesima u

izvođenju, kako bi se izvršavanje istih moglo odvojiti od jezgre operacijskog sustava

računala.

To ima velikih prednosti prilikom testiranja raznih programskih alata i dijelova programskog

koda, bilo u istraživačke svrhe, ili kada nismo sigurni u podrijekto i namjenu korištenog

programa.

Sandbox alati danas svoju primjenu nalaze unutar edukacijskih ustanova (računalni

laboratoriji i knjižnice), korporacija i državnih službi (uredska računala, trening centri i

mobilna računala), te bolnica, knjižnica ostalih javnih ustanova čijim računalnim resursima

pristupa velik broj različitih korisnika.

Cilj ovoga rada je reći nešto više o načinu primjene i konfiguracije sandbox alata, koristeći

program Deep Freeze razvijen od strane softverske kompanije Faronics.

U poglavljima koja slijede biti će općenito opisan način rada sandbox alata, zatim praktičan

rad sa programom Deep Freeze i na kraju će biti dan osvrt na mogućnost primjene tih alata

unutar računalnog sustava Pomorskog fakulteta u Rijeci.

2

2. Princip rada sanbox programa

Kao što je već u uvodu rečeno sandbox možemo smatrati sigurnosnim mehanizmom koji

odvaja procese u izvođenju od same jezgre operacijskog sustava, čineći ga time manje

ranjivim s obzirom na moguće posljedice koje ti procesi mogu prouzročiti.

Najčešće se upotrebljava prilikom izvršavanja programskog koda u čije performanse i

sigurnosne postavke nismo u potpunosti sigurni.

Sandox alati određuju strogo kontrolirane uvjete pod kojima se gostujući program može

izvršavati, kao što je izdvojeni prostor unutar diska i memorije računala. Pristup mreži,

mogućnost provjere sistemskih resursa i datoteka računala, te učitavanje podataka sa vanjskih

prijenosnih medija obično su onemogućeni za programe koji rade unutar sanbox okruženja. S

obzirom na tako kontrolirano okruženje sandbox možemo u neku ruku smatrati i specifičnim

oblikom virtualizacije.

Prvi uvjet koji je potrebno ispuniti da bi se stvorilo sandbox okruženje je kreiranje zasebnog i

ograničenog prostora na čvrstom disku i memoriji, unutar kojega će se pohranjivati

promgramski kod i svi podaci koje generira proces čije resurse želimo ograničiti pomoću

sanbox alata.

Slika 1. Zapisivanje podataka na čvrsti disk sa i bez upotrebe sandbox alata

Dobro je poznato da se podaci na čvrsti disk zapisuju nasumično i da ne postoji nikakvo

ograničenje gdje će se ti podaci pohraniti.

3

Samim tim, bilo koji proces koji se odvija na nezaštićenom računalu u mogućnosti je

pristupiti resursima i datotekama operacijskog sustava. Kod upotrebe sandbox alata podaci se

zapisuju unutar točno definiranog i ograničenog područja, unaprijed definiranim redosljedom

i potpuno su izolirani od drugih programskih datoteka kao što se može vidjeti na slici 1.

Sam princip rada sandbox mehanizma može se objasniti pomoću slike 2.

Slika 2. Princip rada sanbox mehanizma

Ukoliko neki proces X koji na računalu radi bez ograničenja pokrene pod proces Y unutar

sandbox okruženja, taj pod proces će imati samo dio ovlasti procesa X i to one koje su

određene (definirane) pomoću samog procesa X. Proces X je pokrenut na računalu u

normalnom modu, dakle bez ograničenja pristupa resursima razmatranog računala. Procesu Y

je pak omogućen pristup samo resursima koji se nalaze unutar istog sandbox okuženja (imaju

ista ograničenja), što znači da on nema nikakvog utjecaja na operacijski sustav i kao takav ne

može prouzročiti štetu na računalu. Ukoliko pod proces Y pokrene neki svoj pod proces, šteta

koju bi on eventualno izazvao ograničena je samo na prostor i datoteke unutar sandboxa.

To vrijedi i uslučaju preuzimanja bilo kakvog malicioznog sadržaja sa interneta, lokalne

mreže i prijenosnih medija za pohranu podataka, jer će se u tom slučaju i taj kod izvršiti samo

unutar sandbox okruženja bez dodira sa datotekama operacijskog sustava.

Na kraju treba još spomenuti i neke od najčešće upotrebaljavanih mehanizama koje koriste

sandbox alati, a susrećemo ih gotovo svakodnevno prilikom rada na računalu. To su aplet

programi, zatvor (eng. jail), pokretanje određeno pravilima (eng. rule-based execution),

4

virtualna računala, sandbox mehanizmi na stvarnim računalima i sustavi mogućnosti (eng.

capability systems). [1]

Pregled tih mehanizama i njihovih značajki dan je u tablici 1.

Tablica 1. Mehanizmi rada sandbox alata (preuzeto sa CARNet-ovog javnog dokumenta CCERT-

PUBDOC-2009-03-259)

MEHANIZAM UPOTREBA ZAŠTITA

Applet programi Pokretanje programskih kodova

sa web stranica

Zaštita od zlonamjernih

programskih kodova koji se nalaze

na web stranicama.

Zatvor Odvajanje više web domena na

istom poslužitelju

Zaštita od širenja neispravnog

djelovanja jednog procesa na druge

procese.

Pokretanje određeno pravilima Ograničavanje mogućnosti

programa na računalu

Sprječavanje djelovanja i „zaraze“

zlonamjernim programima.

Virtualna računala Virtualno pokretanje i/ili

ispitivanje programa i

operacijskih sustava

Zaštita od nepoželjnog djelovanja

ispitivanih alata na operacijski

sustav računala.

Sandbox na stvarnim računalima Analiza ponašanja programa Zaštita od „zaraze“ zlonamjernim

programima i mijenjanja postavki

na računalu.

Sustavi mogućnosti Određivanje razine ovlasti nekog

programa

Zaštita od nedozvoljenog

pokretanja programa nepoznatih

autora.

5

3. Faronics Deep Freeze

Faronics Deep Freeze jedan je od ponajboljih sandbox programa za primjenu u ustanovama

gdje velik broj korisnika raznih profila ima pristup računalnim resursima. To su u prvom redu

edukacijske i javne ustanove, gdje se on najčešće i koristi. Program je pisan za više platformi i

postoje verzije za operacijske sustave Windows, Linux i Mac OS X, te dolazi u dvije verzije

Standard i Enterprise. Ključne osobine koje su zajedničke za obje verzije su:

Garancija 100 postotnog povratka radne stanice u prvobitno stanje nakon restartanja

Omogućena zaštita pomoću zaporke i kompletna sigurnost

Mogućnost zaštite višestrukih diskova i/ili particija

Podrška za multi-boot

Kompatibilnost sa Fast User Switching mogućnostima modernih operacijskih sustava

(prebacivanje između korisničkih računa bez zatvaranja pokrenutih aplikacija)

Podrška za SCASI, ATA, SATA i IDE diskove

Jedinstvena instalacija za sve novije verzije Windows operacijskog sustava (2000, XP,

Vista i 7)

Podrška za FAT, FAT32 i NTFS datotečne sustave

Omogućena opcija ˝tihe˝ instalacije preko mreže

Omogućena opcija primjene na višestrukim radnim stanicama kao dio iste presllike

diska (disk imagea)

Unitar Enterprise inačice uključeno je još mnoštvo dodatnih opcija, prvenstveno za udaljenu

administraciju preko lokalnih mreža, no nabrajanje istih prešlo bi izvan okvira ovoga rada.

Kompletna lista ključnih osobina za obje verzije može se naći na web adresi

http://www.faronics.com/html/DFFeatures.asp.

Primarni zadatak programa Deep Freze je spriječavanje zastoja rada i oštećenja računala tako

da se postavke računalne konfiguracije učine praktički neuništivima.

Jednom kada je instaliran na računalo Deep Freeze se ponaša kao drajver na nivou kernela

koji štiti integritet podataka na čvrstom disku tako da preusmjerava nove podatke na zasebnu

particiju ili disk, ostavljajući originalne podatke netaknutima [2].

6

Nakon restartanja računala sve preusmjerene informacije više nemaju nikakvog utjecaja i

sistem se vraća u svoje originalno stanje na nivou štićenog diska ili particije, dakle onako

kako je prvotno bio podešen od strane administratora. To omogućuje korisniku da nesmetao

radi na računalu i pri tom po volji vrši izmjene postavki sustava (koje su u stvari samo

virtualne), čak i onih koje mogu naškoditi samom radu operacijskog sustava i blokirati

računalo. Nakon ponovnog pokretanja operacijski sustav će se opet vratit u prvotno

˝zamrznuto˝ stanje. Ukoliko se pak želi napraviti određene izmjene unutar štićene particije

(instalirati neki program, nadograditi sustav i slično), sve što administrator treba učiniti je

privremeno onesposobiti Deep Freeze, napraviti potrebne izmjene i zatim ponovo ˝zamrznuti˝

štićenu particiju. Dobra stvar kod ovog programa je ta da gore opisane radnje nije potrebno

vršiti na svakoj radnoj stanici zasebno, već je to moguće izvršiti sa jednog mjesta (centralne

konzole) ukoliko koristimo ˝Enterprise˝ inačicu.

3.1. Instalacija programa Deep Freeze

Deep Freeze je komercijalni program koji se naplaćuje prema broju izdanih licenci. Pored

komercijalne postji i probna, tj. demo verzija koja omogućuje rad sa programom bez bilo

kakvih ograničenja u periodu od 30 dana i ona je sasvim dovoljna za potrebe ovog rada.

Probnu verziju je moguće preuzeti sa faronicsovih službenih web stranica

http://www.faronics.com.

Slika 3. Instalacija programa Deep Freeze Enterprise

7

Sam postupak instalacije (slika3) je vrlo jednostavan i od korisnika ne zahtjeva previše

intervencije. Enterprise inačica programa se satoji od dva dijela: Configuration Administrator

i Enterprise Console.

Configuration Administrator je alat koji se upotrebljava za kreiranje prilagođenih Deep Freeze

instalacijskih paketa sa unaprijed konfiguriranim postavkama kao što su zaporke, planirane

radnje, mrežne postavke i slično. Enterprise Console služi za kontrolu i nadzor radnih stanica

koje su spojene na istu mrežu.

Potrebno je samo kliknuti na datoteku ˝DF65Ent.exe˝ unutar instalacijskog paketa i slijediti

upute. Nakon završetka instalacije potrebno je pokrenuti Configuration Administrator iz

izbornika Start (Start menu: Start > Programs > Faronics > Deep Freeze 65 Enterprise > Deep

Freeze Administrator) i unjeti tzv. Customization kod, koji se sastoji od minimalno osam

alfanumeričkih znakova (slika 4).

Slika 4. Inicijalizacija Configuration Administrator alata pomoću Customization koda

Pomoću toga koda vrši se inicijalizacija Configuration Administrator alata. Taj kod nije

zaporka već jedinstveni identifikacijski kod koji služi za enkripciju Configuration

Administratora i svih njemu pripadajućih programa.

Customization kod je potrebno zapamtiti i pažljivo ga čuvati jer je jednom izgubljeni, ili

zaboravljeni kod nemoguće povratit.

Nakon što su gore opisane radnje izvršene program je spreman za upotrebu.

8

3.2. Deep Freeze Configuration Administrator

Kao što smo već ranije spomenuli Configuration Administrator pokrećemo preko izbornika

Start i to na sljedeći način: Start menu: Start > Programs > Faronics > Deep Freeze 65

Enterprise > Deep Freeze Administrator.

Slika 5. Sučelje, alatna traka, izbornici i dijaloški prozori (tabovi) Configuration Administrator alata

Izgled sučelja sa alatnom trakom, izbornicima i dijaloškim prozorima prikazan je na slici 5.

Alatna traka nam omogućuje kreiranje nove konfiguracijske .rtf datoteke (New), otvaranje

snimljene konfiguracijske datoteke (Open), snimanje konfiguracijske datoteke (Save ili Save

As) i pristup sustavu pomoći (Help). Naredba Create iz alatne trake kreira izvršnu datoteu

(.exe) instalacijskog programa za radne stanice prema postavkama koje su namještene unutar

pojedinih dijaloških okvira.

Izbornik ˝File˝sadrži iste opcije kao i traka sa alatima uz dodatak mogućnosti izbora jezika i

kreiranja zaštitne zaporke.

Dijaloški okvir ˝Password˝ (slika 6) omogućuje korisniku kreiranje do petnaest fiksnih

zaporki. Da bismo kreirali zaporku potrebno je izvršiti sljedeće radnje:

1. Aktivirati opciju Enable u odabranom retku

2. Iz padajućeg izbornika odabrati željeni tip zaporke (Worksatation, Command Line, ili

LANDesk)

3. Opcionalno omogućiti korisniku izmjenu zaporke aktiviranjem opcije User Change

4. Unijeti željenu zaporku i po želji odrediti vrijeme trajanja iste (opcija Timeout)

9

Slika 6. Dijaloški okvir Password

Pomoću Dijaloškog okvira ˝Drives˝ (slika 7) se odabire koji će disk, ili particija biti zaštićena

pomoću programa Deep Freeze (Frozen stanje), ili pak nezaštićena (Thawed stanje). Ovdje

takođe možemo kreirati i tzv. Thaw Space, odnosno virtualnu particiju na štićenom disku

gdje se mogu spremiti podaci za koje ne želimo da budu izbrisani od strane Deep Freeze

programa nakon restartanja računala.

Slika 7. Dijaloški okvir Drives

10

Svi diskovi i particije su prema zadanoj (default) vrijednosti u stanju Frozen (štićeno stanje).

Da bismo disk, ili particiju prebacili u stanje Thawed (neštićeno) potrebno je maknutu

kvačicu iz okvira za provjeru pored imena odabranog diska.

Da bismo kreirali Thaw Space pomoću ConfigurationAdministratora potebno je prvo odabrati

oznaku (slovo) diska. Ukoliko se odabrano slovo već koristi na računalu gdje je instaliran

Deep Freeze, automatski će se odabrati prvo sljedeće slobodno slovo. Nakon toga potrebno je

unesti željenu veličinu Thaw Spacea (u polje Size) i odabrati disk domaćin (Host Drive) na

kojem želimo smjestiti Thaw Space. Minimalna veličina toga prostora je 16 MB, a

maksimalna 1024 GB (1TB). Pomoću padajućeg izbornika Visibility odaberemo da li želimo

da Thaw Space bude prikazan, ili skriven. Kada smo podesili sve parametre kako želimo,

tipkom Add dodajemo Thaw Space unutar odabranog diska.

Sve gore navedeno može se primjeniti i na vanjske USB, ili IEEE 1394 (FireWire) diskove.

Ukoliko želimo unaprijed planirati i automatizirati izvršavanje određenih radnji koristit ćemo

dijaloški okvir ˝Embedded Events˝ (slika 8).

Slika 8. Dijaloški okvir Embedded Events

Ovdje možemo odabrati tip događaja (radnje) koju želimo automatizirati pomoću padajućeg

izbornika Event Type i potom odabrani događaj jednostavno dodati unutar liste putem tipke

Add. Radnje koje možemo automatizirati su redom: ponovno startanje (restart), gašenje

(shutdown), održavanje (maintenance) i vrijeme bez rada (idle time).

11

U dijelu Event Properties određujemo željene parametre za svaku odabranu radnju (vrijeme i

interval izvršenja, dozvolu korisniku da obustavi izvršenje zadatka, itd.).

Preostali su još dijaloški okviri ˝Maintenance˝i ˝Advanced Options˝ (slika 9).

Slika 9. Dijakoški okviri Maintenance i Advanced Options

Unutar Dijalškog okvira Maintenance specificiramo postavke SUS (Microsoft Software

Update Service) i WSUS (Windows Software Update Service) servisa, kao i opcije Batch

datoteka za planirano održavanje.

Dijaloški okvir Advanced Options služi za konfiguriranje mrežnih postavki koje se rabe kod

komunikacije između radnih stanica i administratorske konzole, konfiguriranje raznih

sigurnosnih opcija i licencnih ključeva.

Postoje dva moda za komunikaciju između administratorske konzole i radnih stanica: LAN i

LAN/WAN.

LAN mod koristimo kada želimo da Deep Freeze svu komunikaciju vrši unutar LAN (Local

Area Network) mreže. To je samokonfigurirajući mod koji zahtjeva samo unos broja porta

koji se koristi. Deep Freeze koristi unaprijed zadani port 7725, ali se on može po želji

mijenjati.

LAN/WAN mod koristimo kada želimo da se komunikacija odvija bilo unutar LAN ili WAN

(Wide Area Network) mreže. Kada odeberemo taj mod komunikaciju je moguće vršiti i putem

interneta, pa se stoga koristi i IP (Internet Protocol) adresa uz broj porta da bi se omogućila

komunikaija između administratorske konzole i radnih stanica. Konzolu možemo identificirati

na dva načina: tako da specificiramo IP adresu konzole koja u tom slučaju mora biti statička,

ili ime konzole, u kojem slučaju IP adresa može biti dinamička.

12

3.2.1. Kreiranje instalacijskog i Seed programa za radne stanice

Ukoliko želimo kreirati prilgođene Deep Freeze instalacijske programe sa postavkama koje

smo unaprijed definirali unutar Configuration administrator konzole potrebno je kliknuti na

˝Create˝gumb unutar alatne trake (slika 10) i izabrati Create Workstation Install Program

opciju.

Slika 10. Odabir opcije za kreiranje instalacijskog i Seed programa

Pomoću izvršne datoteke instalacijskog programa Deep Freeze možemo instalirati na radnu

stanicu na tri načina:

Klasična instalacija (zahtjeva interakciju s korisnikom)

Tiha instalacija (ne zahtjeva korisničku intervenciju i ne prikazuje prozore s porukama

tokom instalacije. Pogodna za instalaciju putem mreže).

Ciljana instalacija (instalacija programa kreiranih purem Enterprise konzole za

primjenu na ciljanim računalima).

Odabirom opcije Create Workstation Seed kreiramo tzv. Seed program za radne stanice. To je

u biti mali pomoćni program koji omogućuje administratorima da vrše kontrolu, instalaciju

programa i potrebne izmjene na udaljenim računalima direktno sa Enterprise konzole.

Seed program može biti implementiran unutar glavne preslike (master image) i zatim

instaliran putem imaging programa kao što su Norton Ghost i Acronis True Image. Sva

računala koja imaju instaliran Workstation Seed program, a nalaze se unutar LAN mreže

mogu se vidjeti na Enterprise konzoli.

13

3.3. Deep Freeze Enterprise Console

Deep Freeze Enterprise konzola služi za prikaz statusa svih računala na mreži (frozen,

thawed, target) i omogućuje administratorima vršenje specifičnih radnji nad tim računalima

kao što su redom:

Ciljana instalacija

Selektivno određivanje stanja jednog ili više računala

Zaključavanje i otključavanje jednog ili više računala

Dinamičko ažuriranje postavki održavanja

Restartanje ili gašenje računala

Zaustavljanje planiranih radnji

Uključivanje računala koja imajuWake-On-LAN mogućnost

Ažuriranje Deep Freeze programa

Planiranje i automatizacija radnji direktno sa Enterprise konzole

Slanje poruka na udaljena računala

Uvoz grupa iz aktivnih direktorija

Generiranje jednokratnih zaporki

Planiranje akcija

Prilagođavanje Enterprise konzole

Ažuriranje licencnih ključeva

Enterprise konzola je instalirana u istom direktoriju gdje i Configuration Administartor i da

bismo ju pokrenuli potrebno je takođe koristiti izbornik Start; Start > Programs > Faronics >

Deep Freeze 65 Enterprise > Deep Freeze Console.

Unutar Deep Freeze Enterprise programa implementirana je sigurnosna značajka koja

onemogućuje neautoriziranu upotrebu Enterprise konzole. Kada se ˝DFConsole.exe˝ izvršna

datoteka kopira na na neko novo računalo, konzola mora biti aktivirana. Prilikom prvog

pokretanja na novom računalu prikazuje se prozor u kojem se traži unos OTP (One Time

Password) tokena. Taj token je potrebno generirati pomoću Configuration Administrator alata

(File -> One Time Password) i zatim ga unjeti u prozor za unos kako bi se Enterprise konzola

pokrenula.

Sučelje Enterprise konzole prikazano je na slici 11.

14

Slika 11. Sučelje Enterprise konzole

Kako bismo mogli pratiti status računala na mreži potrebno je dobro poznavati značenje

statusnih ikona koje se pojavljuju uz ime, ili iznad imena računala ovisno o izabranom načinu

prikaza. To su sljedeće ikone:

Računala koja imaju instaliran Workstation Seed program, ali nemaju instaliran Deep

Freeze. To znači da Deep Freeze može biti daljinski instaliran samo na računala koja

imaju tu ikonu

Računala sa instaliranim Deep Freeze programom koja su u štićenom (Freeze) stanju.

Računala sa instaliranim Deep Freeze programom koja su u neštićenom (Thawed)

stanju.

Računala sa instaliranim Deep Freeze programom koja su u zaključanom neštićenom

(Thawed Locked) stanju.

Računala koja su trenutno ugašena.

15

Računala koja su trenutno u režimu održavanja (Maintenance mode).

Računala čija je komunikacija sa konzolom iz nekog razloga prekinuta.

Računala koja su zaključana (locked).

3.3.1. Komunikacija između Enterprise Console i radnih stanica

Postoje dva osnovna tipa konekcije između Enterprise konzole i radnih stanica, te između

dviju ili više konzola. To su:

Lokalne konekcije kojima je moguće pristupiti samo putem konzole koja je domaćin

tim konekcijama

Konekcije sa omogućenom daljinskom kontrolom kojima je moguće pristupiti kako

putem konzole koja je domaćin, tako i putem drugih konzola koje su spojene na

daljinu

Da bismo postavili i održavali konekcije među računalima potrebno je konfigurirati lokani

servis (local service). Prema zadanim podtavkama lokalni servis bi trebao biti instaliran i

omogućen prilikom prvog pokretanja konzole. Ukoliko je nekim slučajem došlo do

onesposobljavanja ili deinstalacije lokalnog servisa vrlo ga je lako ponovo pokrenuti putem

izbornika Tools (Tools -> Network Configuration) tako da označimo Enable local service

boks (slika 12).

Slika 12. Konfiguracija lokalnog servisa

16

Ukoliko tu oznaku pokušamo ponovo maknuti biti će ponuđen izbor između dvije opcije:

onesposobljavanja (disable) i deinstalacije (uninstall) lokalnog servisa.

Da bismo dodali konekciju potrebno je opet koristiti izbornik Tools (Tools -> Network

Configuration). Kada nam se otvori Configure Local Service prozor kliknemo na dugme Add

i unesemo željeni broj porta (slika 13). Ukoliko želimo imati mogućnost pristupa konzoli sa

udaljene lokacije potrebno je označiti Allow Remote Control opciju i unjeti odgovarajuću

zaporku.

Slika 13. Dodavanje konekcije

Svakoj dodanoj konekciji moguće je na jednostavan način mjenjati parametre pomoću

naredbe Edit ili ju maknuti iz lokalnog servisa putem naredbe Remove. Korištenje naredbe

Remove ne briše unos iz Enterprise konzole nego ga samo miče iz liste konekcija lokalnog

servisa.

3.3.2. Udaljene konzole i spajanje na udaljene konzole

Udaljena konzola je konzola koja je domaćin jednoj ili više konekcija koje omugućuju drugim

konzolama da se spoje na nju. Postojeće konekcije moraju imati uljučenu mogućnost pristupa

sa udaljene lokacije kao što je to objašnjeno u prethodnom poglavlju (slika 13).

Jednom kada je udaljena konzola upostavljena pomoću konzole domaćina (host konzole)

može joj se pristupiti putem drugih konzola koje su instalirane na različitim računalima na

sljedeći način:

Klikom na Connect to Remote Console ikonu u alatnoj traci sa lijeve strane otvaramo

Connect to Remote Console dijalog (slika 14) i zatim je potrebno ispuniti odgovarajuća polja

da bismo definirali ime, IP adresu i broj porta udaljene konzole (slika 14).

17

Slika 14. Spajanje na udaljenu konzolu

3.3.3. Upravljanje Deep Freeze programom putem konzole

Kao što je već u prethodnim poglavljima spomenuto Enterprise konzola nam primarno služi

kao sučelje prema računalima u zajedničkoj mreži na kojima je instaliran Deep Freeze

program. Da bismo mogli vršiti određene radnje nad tim računalima putem programa Deep

Freeze, potrebno je poznavati određene ikone koje se nalaze na alatnoj traci (slika 15), ili

unutar kontekstualnog izbornika.

Slika 15. Alatna traka Deep Freeze Enterprise konzole

Značenje pojedinih ikona je sljedeće:

Restartanje računala

Gašenje (shutdown) računala

18

Uključivanje putem LAN mreže (Wake-On-LAN)

Rebootanje neštićenog (thawed) računala

Rebootanje zaključanog neštićenog (thawed locked) računala

Rebootanje štićenog (frozen) računala

Završetak održavanja

Zaključavanje

Otključavanje

Slanje poruke

Ažuriranje konfiguracije

Ažuriranje ugrađenih događaja (embedded events)

Instalacija

Ažuriranje Deep Freeze programa

Deinstalacija (seed program ostaje na računalu)

Prikaz bilješki (log)

Micanje iz grupe

Micanje iz povijesti

Detaljno objašnjenje postupaka za svaku od ovih radnji pojedinačno izašlo bi izvan okvira

koji je predviđen ovim radom, a ono s može pronaći unutar sustava pomoći programa Deep

Freeze Enterprise, ili u službenom manualu u .pdf formatu koji se može preuzeti sa web

adrese http://www.faronics.com/doc/DF6Ent_Manual.pdf.

19

3.3.4. Instalacija programa Deep Freeze na radne stanice

U poglavlju 3.2.1 (str.12) objašnjen je postupak kreiranja prilagođenog instalacijskog

programa pomoću Configuration Administrator alata. Pomoću tog programa Deep Freeze se

može instalirati na odabrana računala (radne stanice) putrem nadzirane, tihe, ili ciljane

instalacije. Prije instalacije potrebno je isključiti antivirsni program ukoliko je isti instliran

kao i sve aktivne pozadinske servise kako bismo osugurali da Deep Freeze pravilno radi

nakon instalacje. Nakon što je instalacija završena potrebno je restartati računalo. Ukoliko pak

želimo deinstalirati Deep Freeze, tada on mora biti u neštićenom (thawed) stanju, inače

deinstalacija neće biti moguća. Bilo koji postojeći Thaw Space prostor na disku će takođe biti

izbrisan nakon deinstalacije programa ukoliko prethodno nije bila aktivirana opcija da se

postojeći Thaw Space zadrži.

Nadzirana instalacija/deinstalacija:

Da bismo instalirali Deep Freeze na ovaj način potrebno je najprije pokrenutu izvršnu

datoteku instalacijskog programa (DFWks.exe) koji smo prethodno kreirali putem

Configuration Administratora. Nakon toga pojavit će se prozor kao na slici 16.

Slika 16. Nadzirana instalacija proframa Deep Freeze na radnu stanicu

Sve što je potrebno je kliknuti na tipku next, prihvatiti licencni ugovor i nakon instalacije

restartati računalo. Nakon toga program je instaliran na radnu stanicu.

20

Depp Freeze je moguće instalirati na radnu stanicu i pomoću konzole ukoliko je na radnoj

stanici instaliran Workstation Seed program.

Tiha instalacija/deinstalacija:

Deep Freeze se može instalirati preko mreže na više radnih stanica odjednom pomoću tzv.

tihe (silent) instalacije. Bilo koje razvojno okruženje koje omogućuje izvršavanje komandno

linijskih naredbi na udaljenom računalu može se koristiti za implementaciju tihe instalacije.

Nakon što je instalacija gotova računalo se automatski restarta kao i u prethodnom primjeru.

Za instalaciju putem komandne linije koriste se sljedeće naredbe:

[/Install] instalacija Deep Freezea upotrebom instalacijske datoteke

[/Install /Seed] instalacija samo određene Workstation Seed datoteke

[/Uninstall] deinstalacija Deep Freezea

[/Uninstall /Seed] deinstalacija Deep Freezea i ostavljanje Workstation

Seeda instaliranim

[/PW=password] postavljanje zaporke tjekom instalacije

[/AllowTimeChange] omogućuje promjenu sistemskog sata

[/Freeze=C,D,...] postavlja selektirane diskove u štićeno (freeze) stanje, a sve

ostale u neštićeno (thaw) stanje

[/Thaw=C,D,...] postavlja selektirane diskove u neštićeno (thaw) stanje, a sve

ostale u štićeno (freeze) stanje

[/USB] izuzima vanjske USB diskove iz štićenog stanja

[/FireWire] izuzima vanjske FireWire diskove iz štićenog stanja

Primjer upotrebe komandne linije bio bi DFWks.exe /Install /Freeze=E

/PW=password

Tu možemo vidjeti da je ime izvršne datoteke instalacijskog programa DFWks.exe, da će

samo E: disk biti štićen. Ostali diskovi ukoliko ih ima biti u neštićenom (thawed) stanju.

Takođe će biti kreirana i zaporka za pristup Deep Freeze programu. Nakon izvršenja komande

Deep Freeze će birti instaliran sa zadanim postavkama. Tiha instalacija može se izvršiti i

upotrebom prečaca, tako da kreiramo prečac na izvršnu datoteku instalacijskog programa i

zatim odaberemo osobine (properties) te izmjenimo put do ciljane aplikacije.

21

To radimo na način da na kraju prečaca dodamo /install ili /uninstall ( npr.

C:\Documents and Settings\DFWks.exe /install).

Ukoliko pak želimo izvršiti tihu instalaciju na više računala odjednom (preko mreže), to

činimo pomoću tzv. logon skripti koje moraju biti omogućene na radnim stanicama gdje

želimo provesti instalaciju.

3.3.5. Upravljanje računalima (radnim stanicama) sa instaliranim Deep

Freeze programom

Da bismo pristupili programu Deep Freeze potrebno je istovremenu držati pritisnutu tipku

SHIFT i ljevom tipkom miša dvostruko kliknuti na Deep Freeze ikomu u sistemskoj traci,

kako bismo dobili prozor za logiranje putem zaporke (slika 17).

Slika 17. Deep Freeze prozor za logiranje

Tek nakon što se unese administratorska zaporka, moguće je logiranje u Deep Freeze.

Ukoliko se zaporka krivo unese 10 puta za redom, računalo se automatski restarta. Nakon

uspješnog logiranja pojavljuje se glavno sučelje programa Deep Freeze koje nam nudi izbor

između četri dijaloška okvira.

Dijaloški okvir Status (slika 18) služi za namještanje statusa programa nakon sljedećeg

restartanja sustava. Računalo nakon restartanja može ostati u štićenom stanju (Boot Frozen),

preći u nezaštićeno stanje nakon proizvoljnog broja restartanja (Boot Thawed on Next), ili

potpuno preći u nezaštićeno stanje (Boot Thawed).

22

Slika 18. Dijaloški okvir Status

Klikom na Set Clone Flag dugme vrši se priprema preslika (image) za instalaciju pomoću

imaging softvera. U polje Licence unosimo ključ dobiven prilikom kupnje programa. Ukoliko

se to polje ostavi prazno Deep Freeze prestaje raditi nakon 30 dana (probna verzija).

Ukoliko želimo izmjeniti zaporku koristit ćemo dijaloški okvir Password. Sve što je potrebno

je unjeti novu zaporku i još jednom ju potvrditi. Nakon restartanja računala nova će zaporka

biti aktivirana.

Mrežne postavke se uređuju unutar dijaloškog okvira Network (slika 19). Tu možemo

odabrati preferiranu metodu komunikacije (LAN ili WAN), unesti broj porta koji želimo

koristiti kao i IP adresu i ime konzole.

Slika 19. Dijaloški okvir Network

Unutar dijaloškog okvira Thaw Space (postoji samo ako je Thaw Space kreiran) određujemo

da li će se taj prostor prikazati na stablu direktorija računala, ili će biti skriven [3].

23

4. Mogućnost primjene na računalni sustav Pomorskog

Fakulteta u Rijeci

Deep Freeze je jedan od češće korištenih alata kada je u pitanju zaštita računalnih laboratorija

u edukacijskim ustanovama, pa je stoga razumljivo da svoju primjenu može pronaći i unutar

računalnog sustava Pomorskog Fakulteta u Rijeci.

Na web adresi http://www.faronics.com/html/library.asp mogu se naći brojne studije o

primjeni programa Deep Freeze unutar raznih javnih ustanova, među kojima se nalaze brojna

sveučilišta i srednje škole. Može se vidjeti da su gotovo svugdje bili prisutni isti, ili slični

problemi. Tu se prvenstveno misli na česte izmjene stanja sustava i brisanje važnih datoteka

od strane studenata koji računala svakodnevno koriste za rad i laboratorijske vježbe, te kao

posljedicu toga povećan broj radnih sati i ljudstva potrebnih za otklanjanje nastalih problema.

Nakon instalacije Deep Freeze programa, potreba za stručnom podrškom se u velikoj mjeri

smanjila. Kao primjer možemo uzeti istraživanje provedeno na sveučilištu u Kentucky

(University of Kentucky) gdje je nakon instalacije programa Deep Freeze broj poziva službi

za IT podršku pao za cijelih 90 %. [4]

Svi mi koji svakodnevno koristimo resurse računalnog laboratorija Pomorskog fakulteta

svjedoci smo sličnih problema, za koje je vrlo izgledno da bi se mogli riješiti upotrebom alata

Deep Freeze (ili nekog sličnog sandbox rješenja).

Unutar Pomorskog fakulteta trenutno se nalaze tri računalna laboratorija, knjižnica i prostorije

s računalima za pristup internetu. Ukupan broj instaliranih računala (radnih stanica) je 56, a

raspodjeljena su na sljedeći način:

Laboratorij (soba 418) – 15 računala

Laboratorij (soba 401) – 20 računala

Laboratorij (soba 301) – 20 računala

Knjižnica – 5 računala

Internet (kraj dvorane) – 16 računala

Ukoliko bi Deep Freeze bio instaliran na gore navedena računala, najoptimalnija

konfiguracija za primjenu unutar Pomorskog fakulteta bila bi ona sa upotrebom višestrukih

podmreža (subnet) i višestrukih lokalnih servisa (slika 20).

24

Slika 20. Primjer optimalne mrežne konfiguracije za primjenu programa Deep Freeze unutar

računalnog sustava Pomorskog falulteta

U primjeru konfiguracije na slici 20 imamo dvije udaljene lokacije koje su međusobno

udaljene i imaju minimalne, ili gotovo nikakve potrebe za međusobnom komunikacijom. Za

svaku lokaciju postoji zasebna udaljena (remote) konzola, kako bi lokalni administratori imali

pristup računalima na lokacijama za koje su odgovorni (npr. profesori za laboratorije koje

koriste). Sa centralne konzole može se upravljati sa svim udaljenim (remote) konzolama.

Lokacija 1 koja pretstavlja računalne laboratorije unutar fakulteta koristi port A za

komunikaciju među računalima i sa konzolom, dok se unutar lokacije 2 koja sadrži javne

službe (knjižnica i internet) komunikacija odvija putem porta B.

Prednost ovakve konfiguracije je ta da se administrator lokacije 1 može spojiti na bilo koje

računalo unutar te lokacije, ali se ne može spojiti na neku drugu lokaciju (u ovom slučaju 2)

jer nezna zaporku za pristup lokalnom servisu te lokacije. Također svi paketi koji su poslani

od strane klijent računala unuar neke od lokacija i ostaju unutar te iste lokacije. Time je

dodatno povećana robusnost i sigurnost sustava u odnosu na najjednostavniju konfiguraciju

kod koje se sa svim računalima upravlja pomoću samo jedne centralne konzole.

Za namještanje komunikacijskih postavki vidjeti poglavlje 3.2 (Deep Freeze Configuration

Administrator) i 3.3.1. ( Komunikacija između enterprise konzole i radnih stanica).

Cijena programa Deep Freeze Enterprise sa licencom za 56 radnih stanica i uključenim

jednogodišnjim paketom održavanja, iznosi 1154,50 eura, ondnosno preračunato u hrvatske

kune, otprilike 8500 kuna (slika 21). [izvor www.faronics.com].

25

Slika 21. Cijena Deep Freeze Enterprise inačice s brojem licenci potrebnih na Pomorskom Fakultetu

[www.faronics.com]

Iz svega do sad navedenog može se vidjeti da bi se instalacijom sandbox riješenja baziranog

na programu Deep Freeze povećala sigurnost, fleksibilnost i otpornost na zastoje i kvarove

uzrokovane nestručnom upotrebom, nepažnjom ili zlonamjernim pobudama unutar

računalnog sustava Pomorskog fakulteta. U prethodnim poglavljima izneseno je dovoljno

činjenica na temelju kojih bi se mogla donjeti odluka o isplativosti upotrebe ovakvog riješenja

na Pomorskom fakultetu. Ukoliko bi se došlo do zaključka da je nabava jednog ovakvog, ili

sličnog sandbox riješenja baziranog na nekom drugom programskom paketu isplativa,

korištenje istoga na Pomorskom fakultetu donjelo bi neospornu korist, kako po pitanju

sigurnosti, tako i rasterećenja osoblja zaduženog za IT podršku.

26

5. Zaključak

O ovom radu prikazan je osnovni princip rada sandbox mehanizma na kojem se uz neke

manje razlike baziraju gotovo svi danas dostupni programi za primjenu sandbox riješenja na

računalima. Nakon toga je detaljno opisan program Deep Freeze i to njegova Enterprise

inačica koja je prilagođena upotrebi unutar sustava sa većim brojem umreženih računala.

Svaki pojedini alat i modul utar Deep Freeze Enterprise paketa je zasebno obrađen i objašnjen

je način upotrebe i namještanja pojedinih postavki potrebnih za ispravan rad. Na bazi

činjenica navedenih u radu, na kraju je pokušano dati osvrt na mogućnost primjene sandbox

riješenja baziranog na programu Deep Freeze unutar računalnog sustava Pomorskog fakulteta

u Rijeci.

Iz svega iznesenog u ovom radu može se zaključiti da sandbox alati svakako imaju budućnost.

Iako se još uvijek ne nalaze instalirani na dovoljno velikom broju računala stalan porast

sigurnosnih incidenata svakako će pridonjeti njihovom širenju. Kako niti jedan sistem zaštite,

pa tako ni sandbox ne pruža sam po sebi dovoljnu zaštitu, potrebno uz njega imati i dodatnu

zaštitu (vatrozid, antivirus, antispyware) kako bi se u potpunosti otklonila mogućnost da neki

zlonamjerni program zaobiđe sandbox i napravi štetu na računalu. Iako je teško predvidjeti

razvoj nekog alata u budućnosti za sandbox mehanizme se može reći da su svakako na

dobrom putu da postanu široko prihvaćeni i kao takvi implementirani unutar integriranih

riješenja za zaštitu računala, kakve već duže vrijeme nude vodeće tvrtke na polju računalne

sigurnosti.

27

Literatura

[1] Grupa autora: "Usporedba ˝sandbox˝ programskih alata – CCERT-PUBDOC-2009-03-

259", CARNet – hrvatska akademska istraživačka mreža, 2009.

[2] Wikipedia: "Deep Freeze (software)", s Interneta, URL:

http://en.wikipedia.org/wiki/Deep_Freeze_%28software%29, 05.12. 2009.

[3] Faronics Corporation: "Faronics Deep Freeze Enterprise user guide", s Interneta, URL:

http://www.faronics.com/doc/DF6Ent_Manual.pdf , 05.12. 2009.

[4] Faronics Corporation: "Faronics Deep Freeze and the University of Kentucky case

study", s Interneta, URL: http://www.faronics.com/doc/cs/CaseStudy_UK.pdf , 05.12.

2009.