Типы субъектов и объектов защиты ОС Windows

В теории информационной безопасности любая компьютерная система, в том числе и ОС Windows, рассматривается как совокупность активных сущностей (субъектов защиты), инициирующих доступ к информации, и пассивных сущностей (объектов защиты), содержащих информацию. Как субъект, так и объект защиты представляет собой именованную системную сущность, которая однозначно идентифицируется в подсистеме защиты посредством атрибутов безопасности. В ОС Windows такие принципы нашли отражение в виде объектной модели.

Совокупность всех субъектов и объектов защиты, а также значений их атрибутов безопасности образует множество настроек безопасности, устанавливаемых администратором и влияющих на функционирование средств защиты ОС. По своей сути процесс администрирования безопасности заключается в установке тех или иных значений настроек безопасности.

В терминах ОС Windows присутствует понятие " участники безопасности ", которое характеризует субъекты защиты. Известны два основных типа участников безопасности, инициирующих запросы на доступ:

· пользователи;

· группы пользователей.

В ОС Windows определены встроенные и пользовательские учетные записи.

Встроенные пользователи подразделяются на встроенные пользовательские и встроенные системные. Встроенные пользовательские записи (например, Администратор, Гость) обеспечивают базовые, часто административные, функции доступа к ресурсам. Такие учетные записи создаются при установке ОС, имеют фиксированный идентификатор защиты. Имена таких пользователей могут быть изменены, но не могут быть удалены.

Для персонификации процессов в ОС могут использоваться также системные учетные записи (SYSTEM и т.д.). Такие учетные записи создаются при установке ОС и имеют фиксированный идентификатор защиты. Имена системных учетных записей не могут быть ни изменены, ни удалены из системы.

Пользовательские и системные учетные записи обеспечивают функции групповой политики, распределение полномочий и доступ произвольных пользователей к ресурсам. Пользовательские учетные записи обычно создаются/удаляются в процессе эксплуатации системы другими пользователями ОС, имеющими на то право.

Для представления пользователя в системе защиты ОС применяется специальный объект, называемый маркером доступа (access token). В процессе регистрации пользователя в ОС создается начальный маркер доступа, представляющий пользователя, который входит в систему, и сопоставляет его с процессом оболочки, применяемой для регистрации пользователя. После этого все программы, запускаемые данным пользователем, наследуют копию этого маркера.

Объекты защиты (в ОС Windows) — системные сущности, содержащие или позволяющие обрабатывать информацию, доступ пользователей (групп) к которым регламентируется посредством списков DACL. Поскольку пользователи могут иметь доступ к объектам, множество типов которых ограничено возможностями предоставляемых пользовательским режимом (набор функций Win32 API), то список объектов защиты ОС Windows составляют следующие сущности: элементы файловой системы NTFS; элементы системного реестра; разделяемые (общедоступные) ресурсы; сервисы; объекты ядра: каталоги диспетчера объектов, процессы и потоки, оконные станции, рабочие столы; принтеры; COM/DCOM- объекты; объекты WMI.

Среди субъектов и объектов защиты можно выделить наиболее критичные с точки зрения обеспечения безопасности хранящихся в ОС пользовательских данных и системной информации. К таким сущностям относятся файлы и каталоги файловой системы, элементы реестра, сервисы и разделяемые ресурсы файловой системы, а также пользователи и их группы. Среди атрибутов безопасности наиважнейшее значение имеют права доступа, поскольку именно они определяют возможность доступа, а также привилегии пользователей и групп и членство пользователей в группах, поскольку привилегии могут часто превалировать над правами, обеспечивая даже запрещенный правами доступ к объектам. Членство пользователей в группах также является критичным с точки зрения администрирования безопасности, так как косвенно — через группу — позволяет субъектам обладать правами, которые они явно не имеют.

Таким образом, в ОС Windows множество настроек безопасности состоит из совокупности защищаемых сущностей и связанных с ними атрибутов, определяющих безопасность этих ресурсов. При этом пользователи и группы составляют множество субъектов защиты, остальные сущности образуют множество объектов защиты.

Контрольные вопросы

1. Что хранится в дискреционном списке контроля доступа?

2. Перечислите базовые компоненты подсистемы защиты ОС семейства Windows.

3. Перечислите типы защищаемых объектов ОС семейства Windows.

4. Что понимается под термином " участники безопасности "?

5. Какова структура маски доступа?

Лекция 6.

ОРГАНИЗАЦИЯ КОНТРОЛЯ БЕЗОПАСНОСТИ
В ОС СЕМЕЙСТВА WINDOWS

Дата добавления: 2014-12-07