Контроль доступа субъектов к объектам в ОС Windows

Программно-аппаратная защита операционных систем

Наиболее известными объектами ОС Windows, к которым можно ограничить доступ являются:

- файлы;

- дисковые каталоги - директории, расположенные на логических дисках;

- ключи реестра;

- процессы - экземпляры программ, выполняющихся в данный момент на данном компьютере.

- диспетчер сервисов - объект Windows NT, используемый для управления сервисами,

- сервисы - исполняемые модули, управляемые диспетчером сервисов.

Типы субъектов доступа, которые поддерживает операционная система Windows:

1. Пользователи - как обычные пользователи, так и псевдопопьзо-ватели. К псевдопользователям в стандартной конфигурации Windows относится например SYSTEM - операционная система локального компьютера; Local Service; Network Service.

2. Группы пользователей (постоянные). В Windows группы пользователей могут пересекаться, т.е. каждый пользователь Windows NT может входить в несколько групп.

3. Специальные (временные) группы. В отличие от обычных групп членство пользователя в таких группах определяется операционной системой в зависимости от действий пользователя. Например, группа INTERACTIVE (интерактивные) включает в себя пользователя, работающего с системой интерактивно, группа NETWORK (сеть) - пользователей, работающих с системой через сеть.

При инсталляции Windows автоматически создает следующих встроенных обычных пользователей:

- Администратор

- Гость.

Встроенные пользовательские группы:

- Все - группа, в которую входят все пользователи и псевдопользователи;

- Администраторы - администраторы имеют полные, ничем неограниченные права доступа к компьютеру.

- Гости - гость операционной системы, пользователь с минимальными правами. Если политика безопасности, принятая в операционной системе, допускает анонимный вход пользователей в систему, эти пользователи входят в систему под именем Гость.

- Пользователи - группа пользователей операционной системы. При создании нового пользователя он по умолчанию включается в эту группу. Пользователи не имеют прав на изменение параметров системы.

- Операторы архива - группа операторов резервного копирования. Пользователи, входящие в эту группу, автоматически получают привилегии, необходимые для создания резервных копий информации, а также для восстановления информации с резервных копий. Операторы архива могут перекрывать ограничения доступа только в целях копирования и восстановления файлов. (ntbackup. СЛУЖЕБНЫЕ -> АРХИВАЦИЯ ДАННЫХ).

- Операторы настройки сети - члены этой группы могут иметь некоторые административные права для управления настройкой сетевых параметров.

- Опытный пользователи - опытные пользователи обладают большинством прав, но с некоторыми ограничениями.

- Репликатор - поддержка репликации файлов в домене (синхронизация данных, измененных в различных узлах распределенной информационной системы. При падении одного контроллера домена, второй будет спокойно работать)

- Debugger Users – пользователи, которые могут отлаживать процессы.

Операционная система Windows поддерживает 22 метода доступа субъектов к объектам.

Часть из них является стандартными и поддерживаются для объектов всех типов (например, удаление объектов).

Кроме этого, для каждого из объектов поддерживаются до 16 специфичных методов доступа (показать в ОС списки контроля доступа). Возможные методы доступа для различных объектов представлены в таблице.

Объект доступа	Методы доступа
Файл	1. Чтение. 2. Запись. 3. Добавление информации в конец. 4. Выполнение. 5. Получение атрибутов. 6. Изменение атрибутов. 7. Получение расширенных атрибутов. 8. Изменение расширенных атрибутов
Дисковая директория	1. Просмотр (наследуется только папками). 2. Создание нового файла. 3. Создание поддиректории. 4. Обзор папки (наследуется файлами и папками). 5. Удаление файла или поддиректории. 6. Получение атрибутов. 7. Изменение атрибутов. 8. Получение расширенных атрибутов. 9. Изменение расширенных атрибутов
Ключ реестра	1. Чтение значений. 2. Изменение значений. 3. Создание подключа. 4. Перечисление подключей. 5. Требование оповещения при доступе к ключу другого потока. 6. Создание символической связи
Процесс	1 Завершение. 2. Создание нового потока. 3. Изменение атрибутов страниц адресного пространства. 4. Чтение адресного пространства. 5. Запись в адресное пространство. 6. Дублирование дескриптора. 7. Получение приоритета. 8. Изменение приоритета.
Сервис	1. Запуск 2. Останов. 3. Приостановка/возобновление. 4. Получение текущего состояния. 5. Обновление текущего состояния. 6. Перечисление зависимых сервисов. 7. Получение конфигурации. 8. Изменение конфигурации

Дата добавления: 2014-01-11