Разграничение доступа в NT

Операционная система NT поддерживает 22 метода доступа субъектов к объектам. Шесть из них представляют собой стандартные методы доступа и поддерживаются для объектов всех типов.

· Удаление объекта.

· Получение и изменение атрибутов защиты объекта

· Изменение владельца объекта.

· Получение и изменение параметров аудита в отношении объекта.

· Синхранизация – ожидание сообщения от объекта.

Для каждого типа объекта поддерживается до 16 специфичных методов доступа.

Следующие методы доступа в NT требуют наличия у субъектов доступа специальных превилегий.

· Создание нового сервиса.

· Блокирование списка сервисов.

· Запуск сервиса.

· Останов сервиса.

· Приостановка/возобновление сервиса.

· Назначение процессу маркера доступа.

· Получение или изменение параметров аудита в отношении объекта.

Привилегии субъектов в NT.

В NT каждый субъект доступа обладает некоторым набором привилегий. Привилегии представляют собой права на выполнение субъектом действий, касающихся системы в целом, а не отдельных ее объектов. Назначать привилегии субъектам доступа может только администратор.

Существуют следующие привилегии:

· Привилегия завершать работу ОС и перезагружать компьютер.

· Привилегия устанавливать системное время.

· Привилегия анализировать производительность одного процесса.

· Привилегия анализировать производительность всей ОС.

· Привилегия создавать постоянные объекты в ОЗУ.

· Привилегия создавать резервные копии информации, хранящей на жестких дисках.

· Привилегия восстанавливать информацию из резервных копий.

· Привилегия назначать процессам и потокам высокие приоритеты.

· Привилегия изменять системные переменные среды.

· Привилегия отлаживать программы.

· Привилегия загружать и выгружать системные драйверы и сервисы.

· Привилегия аудита.

· Привилегия объявлять себя владельцем любого объекта.

· Привилегия добавлять записи в журнал аудита.

· Привилегия создавать маркеры доступа.

· Привилегия назначать процессам маркеры доступа.

· Привилегия выступать как часть ОС.

· Привилегия получать оповещения от файловых систем.

Назначать привилегии нужно очень осмотрительно. Некоторые из перечисленных привилегий позволяют обойти подсистемы защиты.

· Привилегия создавать в оперативной памяти постоянные объекты позволяет пользователю отключать механизм автоматического освобождения оперативной памяти при завершении процесса.

· Привилегия создавать резервные копии информации и восстанавливать ее позволяет пользователю игнорировать разграничение доступа по чтению/записи и т.д.

· Привилегия назначения процессам высокого уровня приоритета позволяет ему завесить ОС, создав процесс с высоким приоритетом и введя его в вечный цикл.

· Пользователь, обладающий привилегией изменять системные переменные среды, может изменив значения переменных path и windir добиться того, чтобы поиск ОС исполняемых модулей начинался с его директории и поместить туда программную закладку.

· Привилегия отлаживать программы позволяет пользователю обращаться к любому процессу по любому методу доступа, что присваивает ему неограниченные полномочия.

· Привилегия загружать и выгружать драйверы и сервисы позволяет пользователю выполнять произвольный код от имени и с правами ОС. Пользователь может внедрить программную закладку под видом драйвера или сервиса. Так как драйверы могут игнорировать большинства защитных функций NT, то эта возможность дает неограниченные полномочия.

· Привилегия аудитора дает пользователю возможность маскировать свои несанкционированные действия.

· Привилегия выступать как часть ОС позволяет пользователю выполнять потенциально опасные воздействия, брать на себя функции ОС, связанные с идентификацией, аутентификацией и авторизацией пользователя.

Лекция № 17