Melhores pr�ticas e orienta��es para os autores do servi�o de Listas de Controle de Acesso Condicional

ID do artigo: 914392 - Exibir os produtos aos quais esse artigo se aplica.

As Listas de Controle de Acesso Condicional (DACLs) s�o componentes importantes da esta��o de trabalho e da seguran�a do servidor. Este artigo da Base de Dados de Conhecimento da Microsoft descreve como interpretar as DACLs nos servi�os. Tamb�m recomenda uma orienta��o para os autores do servi�o DACLs quando eles estiverem desenvolvendo e acessando a seguran�a de seus programas.

Voltar para o in�cio | Submeter coment�rios

INTRODU��O

� poss�vel usar esse artigo da Base de Dados de Conhecimento da Microsoft como um guia para ajud�-lo a avaliar a seguran�a das Listas de Controle de Acesso Condicional (DACLs).

Voltar para o in�cio | Submeter coment�rios

Mais Informa��es

Para exibir as DACLs para um servi�o use o comando sc com o argumento sdshow conforme mostrado no seguinte exemplo onde, nome_do_servi�o � o nome do servi�o que cont�m as DACLs, as quais deseja desativar:

sc sdshow nome_do_servi�o

O comando gera um resultado similar a:

(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS)

Esse exemplo obtido do comando sc mostra uma descri��o de seguran�a do servi�o na sintaxe Security Descriptor Definition Language (SDDL). Para obter informa��es sobre a sintaxe SDDL, visite o seguinte site da Microsoft (em ingl�s):

http://msdn2.microsoft.com/en-us/library/aa379567.aspx

(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)

Existem diversos elementos a serem pesquisados para determinar se o servi�o DACL � vulner�vel. As seguintes tabelas descrevem como ler os resultados do comando sc, como interpretar cada seq��ncia de permiss�o e, para quem a permiss�o � concedida.

Pode-se avaliar, independentemente, cada seq��ncia de caracteres que est� entre par�nteses usando a seguinte chave:

(Allow/Deny;;String of permissions;;;SID ou, uma sigla para cota ou grupo interno)

Cada par de letras na seq��ncia de permiss�o corresponde a um direito espec�fico ou a uma permiss�o:

Recolher esta tabelaExpandir esta tabela

Par	Direito ou permiss�o
CC	QueryConf
DC	ChangeConf
LC	QueryStat
SW	EnumDeps
RP	Start
WP	Stop
DT	Pause
LO	Interrogate
CR	UserDefined
GA	GenericAll
GX	GenericExecute
GW	GenericWrite
GR	GenericRead
SD	Del
RC	RCtl
WD	WDac
WO	WOwn

Tenha muito cuidado com a permiss�o ChangeConf (DC). Procure-a quando estiver determinando se seu servi�o � vulner�vel a um ataque de aumento de privil�gio. Essa permiss�o possibilita que uma pessoa designada modifique a configura��o do servi�o para incluir o arquivo bin�rio que for executado quando o servi�o inicia. Tamb�m � necess�rio ter um extremo cuidado com as permiss�es WDac (WD) e WOwn (WO), pois elas podem ser usadas para escalar permiss�es ao Sistema local. Verifique se esses direitos n�o s�o concedidos a um usu�rio que possui permiss�es baixas. A seguinte tabela lista os c�digos usados para identificar o tipo de usu�rio que possui acesso na sintaxe SDDL.

Recolher esta tabelaExpandir esta tabela

C�digo	Tipo de usu�rio
DA	Administradores de dom�nio
DG	Convidados de dom�nio
DU	Usu�rios do dom�nio
ED	Controladores de dom�nio de empresa
DD	Controladores de dom�nio
DC	Computadores de dom�nio
BA	Administradores internos (locais)
BG	Convidados internos (locais)
BU	Usu�rios internos (locais)
LA	Conta de administradores local
LG	Conta de convidado local
AO	Operadores de conta
BO	Operadores de backup
PO	Operadores de impress�o
SO	Operadores do servidor
AU	Usu�rios autenticados
PS	Si mesmo
CO	Propriet�rio criador
CG	Grupo criador
SY	Sistema local
PU	Usu�rios avan�ados
WD	Todos (mundial)
RE	Replicador
IU	Usu�rio de logon interativo
NU	Usu�rio de logon de rede
SU	Usu�rio de logon de servi�o
RC	C�digo restrito
WR	Escrever c�digo restrito
AN	Logon an�nimo
SA	Administradores de esquema
CA	Administradores do servi�o de certificados
RS	Grupo de servidores de acesso remoto
EA	Administradores de empresas
PA	Administradores de Diretivas de grupo
RU	Alias para permitir o Windows 2000 mais antigo
LS	Conta de servi�o local (para servi�os)
NS	Conta do servi�o de rede (para servi�os)
RD	Usu�rios da �rea de trabalho remota (para servi�os de terminal)
NO	Operadores de configura��o de rede
MU	Usu�rios do monitor de desempenho
LU	Usu�rios de log de desempenho
IS	Usu�rios de Internet an�nimos
CY	Operadores de criptografia
OW	SID de direitos de propriet�rios
RM	Servi�o RMS

Como interpretar uma seq��ncia DACL no formato SDDL

As seguintes informa��es descrevem como interpretar a seq��ncia de exemplo DACL que est� listada no in�cio desse artigo. Essa interpreta��o lista individualmente cada Entrada de Controle de Acesso (ACE).

(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)

Essa Entrada de Controle de Acesso (ACE) concede os seguintes direitos ao Sistema local (SY):
- QueryConf
- ChangeConf
- QueryStat
- EnumDeps
- Start
- Stop
- Pause
- Interrogate
- UserDefined
- Delete
- RCtl
- WDac
- WOwn
A Entrada de Controle de Acesso (ACE) � restrita ao Sistema local. Isso � favor�vel para a seguran�a pois o Sistema local j� � o contexto de seguran�a mais sofisticado da esta��o de trabalho. Portanto, n�o existe eleva��o de risco.
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)

Essa Entrada de Controle de Acesso (ACE) � aplicada nos administradores locais internos (BA). Essa Entrada de Controle de Acesso (ACE) concede a todos os administradores locais, os mesmos direitos que a Entrada de Controle de Acesso (ACE) anterior. Isso tamb�m � um contexto de seguran�a muito sofisticado da esta��o de trabalho. Portanto, novamente, n�o existe eleva��o de risco.
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)

Essa Entrada de Controle de Acesso (ACE) concede todos os direitos anteriores a qualquer usu�rio autenticado (AU).

Na �ltima Entrada de Controle de Acesso (ACE) o usu�rio de um grupo com poucos direitos, como um usu�rio autenticado, pode modificar a configura��o do servi�o. A configura��o inclui o arquivo bin�rio que for executado quando o servi�o inicia e, a conta na qual ele for executado.

O seguinte exemplo DACL n�o concede direitos ChangeConf aos usu�rios autenticados:

(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO)

Nesta DACL, os usu�rios autenticados recebem apenas os seguintes direitos:

QueryConf
QueryStat
EnumDeps
Interrogate
UserDefined
RCtl

N�o existe risco potencial de escala��o por meio do grupo Usu�rios autentificados que recebeu esses direitos. O grupo Usu�rios avan�ados (PU) j� pode escalar ao sistema local, por isso n�o deve ser considerado um risco de escala��o. Neste exemplo, o grupo Usu�rios avan�ados possui todos os direitos do grupo Usu�rios autenticados, com exce��o de que o primeiro grupo tamb�m pode iniciar o servi�o (RP). O pr�ximo grupo � Administradores locais (BA). Este grupo e o seguinte, o grupo Operadores do servidor (SO), possuem as permiss�es ChangeConf, WDac e WOwn. Isto � aceit�vel pois, apenas os usu�rios mais confi�veis devem estar nos grupos Administradores locais ou Operadores do servidor.

O grupo Sistema local (SY) recebe as mesmas permiss�es do grupo de Usu�rios avan�ados, al�m das permiss�es Stop e Pause. Isso parece ser apropriado. As duas pr�ximas pequenas Entradas de Controle de Acesso (ACEs) concedem permiss�es �s contas de Servi�o local e do Servi�o de rede para pausar o servi�o. Tamb�m parece apropriado pois o Servi�o local e o Servi�o de rede s�o contas locais sofisticadas.

No entanto, o grupo Operadores de configura��o de rede (NO) recebe permiss�es ChangeConf. Ele foi inclu�do no Windows XP para permitir que os usu�rios confi�veis modifiquem as configura��es de rede sem possuir permiss�es totais de administrador. Por padr�o, o grupo Operadores de configura��o de rede est� vazio. �s vezes, ele � usado para conceder permiss�es de configura��es de rede a usu�rios espec�ficos. Por exemplo, o propriet�rio de um computador port�til pode receber essa permiss�o. Os usu�rios do grupo Operadores de configura��o de rede freq�entemente possuem o controle f�sico do computador. No entanto, a inten��o desse grupo n�o � conceder permiss�es totais de administradores a esses usu�rios. Portanto, o servi�o DACL n�o deve conceder permiss�es ChangeConf ao grupo Operadores de configura��o de rede.

Recomenda��es

Limite o servi�o DACLs apenas aos usu�rios que precisam de um tipo de acesso particular. Tenha um cuidado especial com os seguintes direitos. Se eles forem concedidos a um usu�rio ou a um grupo que possui poucos direitos, eles podem ser usados para elevar ao Sistema local de um computador.