4.4. Разграничение прав доступа к объектам компьютерных систем

4.4.1. Разграничение прав доступа к объектам в защищенных версиях ос Windows

• дескриптор безопасности

• DACL

• схема предоставления прав доступа

• алгоритм предоставления прав доступа

• объекты, доступом к которым можно управлять

Любой объект разграничения доступа имеет дескриптор безопасности SD (Security Descriptor):

• SID (ID безопасности) владельца,

• SID первичной группы,

• DACL (управляется владельцем),

• SACL (системный список контроля доступа, управляется администратором).

DACL– Discretionary Access Control List,списокACE (Access Control Entry)двухтипов– AllowedиDenied. ACE содержит:

• SID объекта,

• тип(Allowed/Denied),

• маска доступа (Access Mask).

Схема предоставления прав доступа

SRM – Security Reference Monitor (монитор безопасныхссылок).

LSA – Local Security Authority

R – результатпроверкиправдоступа.

AT – Access Token

Алгоритм предоставления доступа:

1. найти ACE с SID, совпадающим с SID_AT;

2. если не найдено, то доступ запрещается;

3. если тип ACE – Denied ???;

4. если тип ACE – Denied и есть хотя бы одно совпадение в AM_AT == AM_ACE, то доступ запрещается;

5. если тип ACE – Allowed и AM_AT == AM_ACE, то доступ разрешается.

Объекты, доступом которых можно управлять:

• файлы и папки (NTFS),

• разделы реестра,

• принтеры.

4.4.2. Аудит событий безопасности в защищенных версиях Windows

• задачи аудита

• файл аудита

• политика аудита

• события

• реакция на переполнение файла аудита

• роли

Задачи аудита:

• обнаружение попыток НСД, подготовок к таким попыткам,

• расследование фактов НСД.

Файл аудита: Windows\System32\config\secevent.evt.

Политика аудита:

• определение событий,

• определение параметров файла аудита: размер, реакция на переполнение.

События:

• вход/выход субъектов,

• изменение в политике безопасности,

• использование привилегий,

• системные события,

• доступ к объектам.

Реакция на переполнение файла аудита:

• затирать автоматически самые старые события,

• затрать события, если они старее указанного количества дней,

• блокирование работы системы до ручной очистки журнала аудита.s

Роли: администратор, аудитор.

4.4.3. Разграничение прав пользователей в ос Unix

• учетная запись

• ограниченная оболочка

• разграничение доступа к объектам

• маска доступа

• 4-й бит

• назначение прав доступа вновь создаваемым объектам

Учетная запись:

• UID,

• GID,

• начальный каталог(HOME$),

• командная оболочка (Shell).

Ограничение доступа с помощью ограниченной оболочки:

• запрет выхода из домашнего каталога,

• запрет изменения значений переменной окружения PATH,

• запрет перенаправления ввода/вывода,

• запрет использоваиня в именах файлов ‘/’?

• использование только программ из PATH.

Недостаток: некоторые программы допускают выход в оболочку. Есть ограничение на количество терминалов, с которых может войти root.

Разграничение доступа к объектам

Структура раздела. на котором установлена ОС:

• программа-загрузчик ОС,

• суперблок,

• область индексов,

• область файлов,

• область, недоступная для ФС.

Индекс файла:

• UID,

• GID,

• маска доступа,

• временные характеристики.

Маска доступа – массив контроля доступа, имеющий постоянную длину. 3 части:

• владелец,

• другие члены его группы,

• все остальные.

Например: rwxr-xr--.

В каждой группе можно определить 4-й бит:

• владелец: SUID (Set UID) – выполнение программы не с правами пользователя, который ее запустил, а с правами ее владельца;

• группа: SGID – аналогично SUID, только выполняется с правами группы;

• sticky bit (создание файла в чужом каталоге).

Назначение прав доступа вновь создаваемым объектам – переменная среды UMASK.