1. Настройка разрешений файловой системы

Администраторы могут передавать права владения. Администратор может завладеть любым файлом или папкой. Затем он, как владелец, может изменить разрешения доступа к ресурсу и предоставить разрешение Смена владельцадругому пользователю, который, в свою очередь, может завладеть этим ресурсом.

ПривилегияВосстановление файлов и каталогов(RestoreFilesAndDirectories) разрешает передачу прав владения. Пользователь с такими полномочиями может передать права владения файлом другому пользователю. Если вам дана привилегия Восстановление файлов и каталогов, вы можете щелкнуть кнопку Иные пользователи или группы (OtherUsersOrGroups) и выбрать нового владельца. Эта функция ОС WindowsServer 2003 позволяет администраторам и операторам архивирования управлять правами владения объектом и передавать их без вмешательства пользователя.

• Разрешения NTFS настраивают редактором ACL, который состоит из трех диалоговых окон: вкладки Безопасность (Security), а также окон Дополнительные параметры безопасности (AdvancedSecuritySettings) и Элемент разрешения для (PermissionEntryFor).

• Разрешения можно предоставлять и отменять, явно или в результате наследования. Запрет разрешения приоритетнее его позволения, а явное разрешение перекрывает унаследованное. В итоге предоставление явного разрешения может перекрыть унаследованный запрет.

• Наследование позволяет администратору управлять разрешениями из одной родительской папки, содержащей файлы и папки, которые удовлетворяют одинаковым требованиям доступа. По умолчанию ACL нового объекта содержит разрешения, унаследованные от родительской папки.

• Существует несколько способов изменить влияние унаследованных разрешений на объект. Можно изменить исходное (родительское) разрешение и позволить объекту его унаследовать; можно назначить объекту явное разрешение, которое приоритетнее унаследованного; можно отменить наследование и указать в ACL явные разрешения, определяющие доступ к объекту.

• Вкладка Действующие разрешения (EffectivePermissions) диалогового окна Дополнительные параметры безопасности (AdvancedSecuritySettings) позволяет определить приближенные права доступа для пользователя или группы путем анализа разрешений учетной записи, а также разрешений групп, которым она принадлежит.

• Пользователь вправе в любое время изменить ACL объекта, которым владеет. Пользователь с разрешением Смена владельца(TakeOwnership) может стать владельцем объекта, а администратор — завладеть любым объектом в системе. Группы Администраторы(Administrators), Операторы архивирования(BackupOperators) и другие учетные записи с привилегией Восстановление файлов и каталогов(RestoreFilesAndDirectories) могут передать право владения файлом или папкой любому другому пользователю или группе.

2. Аудит доступа к файловой системе

Многие организации используют аудит доступа к файловой системе для оценки использования ресурсов и определения потенциально слабых мест в системе защиты. WindowsServer 2003/2008 поддерживает подробный аудит на основе учетных записей пользователей или групп и определенных действий этих записей. Для настройки аудита необходимо указать его параметры, включить политику и изучить события в журнале безопасности.

• Элементы аудита содержатся в дескрипторе безопасности файлов и папок на томах NTFS. Они настраиваются с помощью Проводника Windows: откройте окно свойств файла или папки и перейдите в диалоговое окно Дополнительные параметры безопасности (AdvancedSecuritySettings).

• Элементы аудита сами по себе не приводят к заполнению журналов аудита. Для формирования журналов также необходимо включить политику Аудит доступа к объектам (Audit Object Access) в политиках Локальная политика безопасности (LocalSecurityPolicy) или Политика безопасности контроллера домена (DomainControllerSecurityPolicy), либо сделать это на уровне ОГП.

• Журнал безопасности можно просмотреть с помощью оснастки Просмотр событий (EventViewer), которая позволяет найти и изучить события доступа к объекту.

3. Задание к работе: