13. В чому суть системи захисту та розмежування доступу, які надає файлова система ntfs?

NTFS содержитмножествосредствразграничения прав объектов - естьмнение, чтоэтосамаясовершеннаяфайловая система извсехнынесуществующих. В теорииэто, без сомнения, так, но в текущихреализациях, к сожалению, система прав достаточно далека от идеала и представляетсобойхоть и жесткий, но не всегдалогичный набор характеристик. Права, назначаемые любому объекту и однозначно соблюдаемыесистемой, эволюционируют - крупныеизменения и дополнения прав осуществлялись уже несколько раз и к Windows 2000 все-таки они пришли к достаточноразумному набору.

Права файловойсистемы NTFS неразрывносвязаны с самойсистемой - то естьони, вообщеговоря, необязательны к соблюдениюдругойсистемой, еслиейдатьфизический доступ к диску. Для предотвращенияфизическогодоступа вWindows2000 (NT5) всё же ввели стандартнуювозможность - об этом см. ниже. Система прав в своемтекущемсостояниидостаточносложна, и я сомневаюсь, что смогу сказать широкому читателючто-нибудьинтересное и полезноеему в обычнойжизни. Если вас интересуетэта тема - вы найдете множество книг по сетевойархитектуре NT, в которыхэто описано болеечемподробно.

На этомописаниестроениефайловойсистемыможнозакончить, осталось описатьлишьнекотороеколичество просто практичныхилиоригинальныхвещей.

14. Роль файлу sam у системі захисту windows 2k. Які мери по обмеженню доступу до нього Ви знаєте?

Информация о паролях, занесенная в базу данных SAM, служит для аутентификациипользователей Windows NT/2000. При интерактивномилисетевом входе в систему введенный пароль сначалахешируется и шифруется, а затемсравнивается с 16-байтовой последовательностью, записанной в базеданных SAM. Еслиэтивеличинысовпадают, пользователюразрешаетсявход в систему. Обычно в базеданных SAM хранятся в зашифрованномвидеобахешированных пароля. Однако в некоторыхслучаях ОС вычисляеттолько один из них. Например, еслипользовательдомена Windows NT/2000/2003 изменитсвой пароль, работая на компьютере с Windows for Workgroups, то в егоучетной записи останетсятолько пароль LanManager. А еслипользовательский пароль содержитболее 14 символовилиони не входят в так называемый набор поставщикаоборудования (originalequipmentmanufacturer, сокращенно OEM), то в базу данных SAM будетзанесентолько пароль Windows NT/2000/ХР.

Защита Windows NT/2000/ХР от парольныхвзломщиков

Вывододнозначен: одна изглавных задач системного администратора Windows NT/2000/ХР состоит в защитеинформации, котораяхранится в базеданных SAM, от несанкционированногодоступа. С этойцельюемунеобходимо:  " ограничитьфизический доступ к компьютерам сети и, преждевсего, - к контроллерамдоменов;  " установить пароли BIOS на включениекомпьютеров и на изменениеихнастроек BIOS;  " рекомендуетсяотключить загрузку компьютеров с гибких и компакт-дисков;  " для обеспеченияконтролядоступа к файлам и папкам Windows NT/2000/ХР системныйразделжесткого диска должениметь формат NTFS;  " каталог \winnt_root\repairсредствами ОС необходимозакрыть для доступавсехпользователей, включаяадминистраторов, и разрешать к ней доступ толькововремяработыутилиты RDISK, котораясоздает в этомкаталогеархивныекопии системного реестра Windows NT/2000;  " следить за тем, где и какхранятсядискетыаварийноговосстановления (EmergencyRepairDisks) и архивныекопии на магнитныхлентах, если на последнихприсутствуетдубликат системного реестра Windows NT/2000/ХР.

15-16.Структура файлу облікових записів SAM.

15. Яка структура облікових записів у файлі SAM?

16. Поняття RID. Принципи призначення RID користувачам. Який RID завжди має адміністратор?

На відміну від свого попередника – файлу парольних кешей PWL для ОС Windows 9x, файл SAM має більш складну структуру і більш досконалу систему захисту. Для кожного користувача формується обліковий запис наступної структури:

“Ім`яКористувача:RID:LM-хеш:NT-хеш:ПовнеІм`я,Опис:ОсновнийКаталогКористувача:”

• RID - (relative identifier.) - відносний ідентифікатор, призначений для кожного користувача. Ідентифікатори облікових записів Administrator (адміністратор) і Guest (гість) привласнюються самою ОС і дорівнюють відповідно 500 і 501. Інші користувачі в процесі їхньої реєстрації і створення облікових записів одержують RID від 1000 і вище;

• LM-хеш - (Lan Manager) 16-байтный хеш 14-символьного пароля, сумісного з Windows 9x;

• NT-хеш - 16-байтный хеш 128-символьного пароля, використовуваного тільки в ОС Windows 2k;

• вміст інших полів – дані про користувача і його робочий каталог.