Select the product you need help with
Βέλτιστες πρακτικές και οδηγίες για συντάκτες λιστών διακριτικού ελέγχου πρόσβασης (DACL) σε υπηρεσίεςΑναγν. άρθρου: 914392 - Δείτε τα προϊόντα στα οποία αναφέρεται το συγκεκριμένο άρθρο. Σε αυτήν τη σελίδαΠερίληψηΟι λίστες διακριτικού ελέγχου πρόσβασης (DACL) σε υπηρεσίες είναι σημαντικά στοιχεία της ασφάλειας σταθμών εργασίας και διακομιστών. Αυτό το άρθρο της Γνωσιακής Βάσης της Microsoft (Knowledge Base) περιγράφει τον τρόπο ερμηνείας των λιστών διακριτικού ελέγχου πρόσβασης (DACL) σε υπηρεσίες. Αυτό το άρθρο παρέχει επίσης οδηγίες βέλτιστων πρακτικών για συντάκτες λιστών διακριτικού ελέγχου πρόσβασης (DACL) σε υπηρεσίες, κατά την ανάπτυξη και την αξιολόγηση της ασφάλειας των προγραμμάτων τους. ΕΙΣΑΓΩΓΗΜπορείτε να χρησιμοποιήσετε αυτό το άρθρο της Γνωσιακής
Βάσης της Microsoft (Knowledge Base) ως οδηγό, για να σας βοηθήσει να
αξιολογήσετε την ασφάλεια των λιστών διακριτικού ελέγχου πρόσβασης (DACL) σε
υπηρεσίες. Περισσότερες πληροφορίεςΓια να εμφανίσετε τις λίστες διακριτικού ελέγχου πρόσβασης
(DACL) για μια υπηρεσία, χρησιμοποιήστε την εντολή sc μαζί με το όρισμα sdshow όπως φαίνεται στο παρακάτω παράδειγμα, όπου
όνομα_υπηρεσίας είναι το όνομα της υπηρεσίας της
οποίας τις λίστες διακριτικού ελέγχου πρόσβασης (DACL) θέλετε να εμφανίσετε: sc sdshow όνομα_υπηρεσίας Η εντολή δημιουργεί αποτελέσματα που είναι παρόμοια
με τα παρακάτω: (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS) Αυτό το δείγμα αποτελεσμάτων από την εντολή sc δείχνει την περιγραφή ασφαλείας μιας υπηρεσίας σε σύνταξη SDDL
(Security Descriptor Definition Language). Για πληροφορίες σχετικά με τη
σύνταξη SDDL, επισκεφθείτε την ακόλουθη τοποθεσία της Microsoft στο Web (στα
αγγλικά):http://msdn2.microsoft.com/en-us/library/aa379567.aspx Υπάρχουν πολλά σημεία που πρέπει να ελέγξετε για να προσδιορίσετε
αν μια λίστα διακριτικού ελέγχου πρόσβασης (DACL) υπηρεσίας είναι ευάλωτη. Οι
παρακάτω πίνακες περιγράφουν τον τρόπο ανάγνωσης των αποτελεσμάτων της εντολής sc, τον τρόπο ερμηνείας κάθε συμβολοσειράς δικαιώματος και τον τρόπο
ερμηνείας του χρήστη στον οποίο έχει εκχωρηθεί το δικαίωμα.
(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)
Μπορείτε να αξιολογήσετε χωριστά κάθε συμβολοσειρά χαρακτήρων που περικλείεται σε παρενθέσεις χρησιμοποιώντας το ακόλουθο υπόδειγμα:
(Αποδοχή/Άρνηση;;Συμβολοσειρά δικαιωμάτων;;;SID ή αρκτικόλεξο για ενσωματωμένο λογαριασμό ή ομάδα) Κάθε ζεύγος δύο γραμμάτων στη συμβολοσειρά δικαιωμάτων αντιστοιχεί
σε συγκεκριμένο δικαίωμα: (Allow/Deny;;String of permissions;;;SID or acronym for built-in account or group) Σύμπτυξη αυτού του πίνακα
Να είστε ιδιαίτερα προσεκτικοί με το δικαίωμα ChangeConf (DC). Αναζητήστε το δικαίωμα ChangeConf όταν προσδιορίζετε αν η υπηρεσία σας είναι ευάλωτη σε επίθεση μέσω προβιβασμού δικαιωμάτων. Αυτό το δικαίωμα επιτρέπει στον κάτοχό του να αλλάξει τις ρυθμίσεις παραμέτρων της υπηρεσίας ώστε να περιλαμβάνουν το δυαδικό αρχείο που εκτελείται κατά την εκκίνηση της υπηρεσίας. Πρέπει επίσης να είστε ιδιαίτερα προσεκτικοί με τα δικαιώματα WDac (WD) και WOwn (WO), επειδή και τα δύο μπορούν να χρησιμοποιηθούν για την ανύψωση των δικαιωμάτων σε LocalSystem. Βεβαιωθείτε ότι αυτά τα δικαιώματα δεν έχουν εκχωρηθεί σε χρήστη με χαμηλά δικαιώματα πρόσβασης. Ο παρακάτω πίνακας περιέχει τους κωδικούς που χρησιμοποιούνται για τον προσδιορισμό του τύπου χρήστη στον οποίο εκχωρείται πρόσβαση στη σύνταξη SDDL. Σύμπτυξη αυτού του πίνακα
Τρόπος ερμηνείας μιας συμβολοσειράς λίστας διακριτικού ελέγχου πρόσβασης (DACL) σε μορφή SDDLΑυτές οι πληροφορίες περιγράφουν τον τρόπο ερμηνείας του δείγματος συμβολοσειράς λίστας διακριτικού ελέγχου πρόσβασης (DACL) που παρατίθεται στην αρχή αυτού του άρθρου. Αυτή η ερμηνεία εμφανίζει κάθε καταχώρηση ελέγχου πρόσβασης (ACE) χωριστά.
Το ακόλουθο δείγμα λίστας διακριτικού ελέγχου πρόσβασης (DACL) δεν δίνει δικαιώματα ChangeConf σε χρήστες των οποίων έχει ελεγχθεί η ταυτότητα: (A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO) Σε αυτήν τη λίστα διακριτικού ελέγχου πρόσβασης (DACL), στους χρήστες των οποίων έχει ελεγχθεί η ταυτότητα (AU) εκχωρούνται μόνο τα παρακάτω δικαιώματα:
Στην ομάδα LocalSystem (SY) εκχωρούνται τα ίδια δικαιώματα με την ομάδα Power Users, αλλά της εκχωρούνται επίσης τα δικαιώματα Stop και Pause. Αυτό είναι λογικό. Οι δύο μικρές καταχωρήσεις ελέγχου πρόσβασης (ACE) που ακολουθούν δίνουν στο λογαριασμό Local Service και στο λογαριασμό Network Service δικαιώματα για παύση της υπηρεσίας. Αυτό είναι επίσης λογικό, καθώς οι λογαριασμοί Local Service και Network Service είναι και οι δύο ισχυροί τοπικοί λογαριασμοί. Στην ομάδα Network Configuration Operators (NO), ωστόσο, εκχωρούνται δικαιώματα ChangeConf. Η ομάδα Network Configuration Operators προστέθηκε στα Windows XP για να επιτρέπεται σε αξιόπιστους χρήστες να αλλάξουν τις ρυθμίσεις δικτύου χωρίς να έχουν πλήρη δικαιώματα διαχειριστή. Από προεπιλογή, η ομάδα Network Configuration Operators είναι κενή. Η ομάδα χρησιμοποιείται μερικές φορές για να εκχωρούνται δικαιώματα ρύθμισης παραμέτρων δικτύου σε συγκεκριμένους χρήστες. Για παράδειγμα, μπορεί να εκχωρηθεί αυτό το δικαίωμα στον ιδιοκτήτη ενός φορητού υπολογιστή. Οι χρήστες στην ομάδα Network Configuration Operators συχνά έχουν τον φυσικό έλεγχο του υπολογιστή. Ωστόσο, ο σκοπός αυτής της ομάδας είναι να μην εκχωρούνται σε αυτούς τους χρήστες πλήρη δικαιώματα διαχειριστή. Επομένως, αυτή η λίστα διακριτικού ελέγχου πρόσβασης (DACL) υπηρεσίας δεν πρέπει να εκχωρεί δικαιώματα ChangeConf στην ομάδα Network Configuration Operators. Βέλτιστες πρακτικέςΠεριορίστε τις λίστες διακριτικού ελέγχου πρόσβασης (DACL) υπηρεσίας μόνο στους χρήστες που χρειάζονται συγκεκριμένο είδος πρόσβασης. Να είστε ιδιαίτερα προσεκτικοί με τα παρακάτω δικαιώματα. Εάν αυτά τα δικαιώματα εκχωρηθούν σε χρήστη ή ομάδα με χαμηλά δικαιώματα, τα δικαιώματα αυτά είναι δυνατό να χρησιμοποιηθούν για προβιβασμό σε LocalSystem στον υπολογιστή:
http://msdn2.microsoft.com/en-us/library/ms685981.aspx
(http://msdn2.microsoft.com/en-us/library/ms685981.aspx)
ΙδιότητεςΑναγν. άρθρου: 914392 - Τελευταία αναθεώρηση: Πέμπτη, 15 Φεβρουαρίου 2007 - Αναθεώρηση: 1.4 Οι πληροφορίες σε αυτό το άρθρο ισχύουν για:
| Μεταφράσεις άρθρων
 |
Επιστροφή στην αρχή
