Компьютерная безопасность. Криптографические методы защиты - Петров А.А.
ISBN 5-89818-064-8
Скачать (прямая ссылка):
• поддержка нескольких файловых систем. Помимо возможности выполнения приложений, написанных для других операционных систем (DOS, 16-разрядные приложения Windows, 16-разрядные текстовые приложения OS/2, POSIX-приложения), Windows NT поддерлсивает несколько файловых систем: стандартную FAT и собственную NTFS;
• многоцелевые функциональные возможности. Сервер Windows NT поддерживает следующие типы услуг:
- файл-сервер;
- сервер печати;
- сервер приложений;
- сервер удаленного доступа;
- intranet-сервер;
- сервер архивирования.
Основная задача подсистемы безопасности Windows NT состоит в отслеживании и управлении порядком доступа к тому или иному объекту, а также фиксации и контроле попыток несанкционированной эксплуатации пользователями системных объектов (файлов, каталогов, разделяемых принтеров, баз данных реестра и т.д.). Подсистема безопасности хранит определенную информацию о каждом пользователе, группе пользователей и каждом защищенном объекте, а также идентифицирующую информацию
Защита локальной рабочей станции
223
о каждом пользователе и каждой группе пользователей. На ее основе проверяются права пользователя на доступ к объекту, и, если таковые отсутствуют, подсистема защиты отказывает ему в разрешении.
В целом подсистема безопасности ОС Windows NT состоит из следующих компонентов (рис. 3.3):
• процессы входа в систему (logon-процессы), принимающие запросы на вход от пользователей. Они включают интерактивный (локальный) logon, показывающий окно для ввода пароля, а также удаленный logon, который позволяет получать доступ удаленным пользователям к процессам сервера Windows NT;
• компонент локальной авторизации (Local Security Authority), который определяет, имеет ли пользователь право доступа к системе. Этот компонент является центральным в подсистеме безопасности Windows NT. Он генерирует маркер доступа, управляет локальной политикой безопасности и предоставляет интерактивный сервис администратору. Локальная авторизация также управляет регистрацией событий и записывает в журнал регистрации события аудита, генерируемые диспетчером доступа;
• менеджер управления счетами пользователей (Security Account Manager, SAM), который строит базу данных счетов пользователей. Эта база данных содержит информацию обо всех счетах пользователей и группах пользователей. Менеджер SAM предоставляет сервис по их полномочиям, используемый компонентом локальной авторизации;
• диспетчер доступа. В его функции входит проверка права пользователя на доступ к объекту для выполнения затребованных им операций. Этот компонент реализует политику управления доступом и следит за выполнением требований по регистрации, определенных подсистемой локальной авторизации. Он предоставляет сервисное обслуживание как в пользовательском режиме, так и в режиме ядра при попытках пользователей и процессов получить доступ к объекту. Этот компонент также генерирует соответствующие сообщения регистрации.
Организация управления доступом
В основе этой подсистемы лежит избирательная политика управления доступом, в соответствии с которой регламентируется доступ субъектов к объектам. Защищенные объекты Windows NT подразделяются на:
• файлы и каталоги на NTFS-разделах;
• объекты пользователя (окна, ресурсы приложений и т.д.);
224 Компьютерная безопасность и практическое применение криптографии
• объекты ядра ОС;
• объекты реестра;
• частные (private) объекты. Частные объекты создаются и обрабатываются прикладными программами (СУБД, электронными таблицами и т.д.) и служат для реализации в прикладных программах собственного механизма разграничения доступа. Частными объектами являются, например, защищенные поля таблиц Microsoft Access.
С каждым объектом системы связаны возможные выполняемые операции и типы доступа к экземплярам объекта, а также атрибуты безопасности объекта.
Атрибуты безопасности каждого защищаемого объекта задаются в специальной структуре - так называемом дескрипторе безопасности (security descriptor). Он связан с объектом и содержит информацию о владельце и группе владельцев объекта, а также списки управления доступом к данному объекту (Access Control List, ACL).
Дескриптор безопасности включает в себя всю информацию о владельце объекта и правах доступа пользователей к объекту. Он может содержать идентификатор безопасности (SID, см. ниже) владельца объекта, идентификатор безопасности его первичной группы и список управления доступом (ACL), разъясняющий права различных пользователей и групп пользователей по доступу к данному защищаемому объекту.
Список управления доступом к объекту состоит из элементов управления доступом (Access Control Entry, АСЕ). Каждый защищенный объект может иметь два списка управления доступом: пользовательский и системный.
Пользовательский список управляется владельцем объекта и определяет права доступа конкретных пользователей и групп к объекту. Когда этот список имеется у объекта, но не содержит ни одного элемента управления доступом, считается, что доступ к объекту запрещен. Однако если избирательный список у объекта отсутствует, это означает отсутствие защиты у объекта (доступ к объекту разрешен в любой форме).
