Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
EmailMakale numarası: 914392 - Son Gözden Geçirme: 15 Şubat 2007 Perşembe - Gözden geçirme: 1.4 Hizmetlerin isteğe bağlı erişim denetim listelerini yazanlar için en iyi uygulama örnekleri ve öneriler
Bu Sayfada™zetİsteğe bağlı hizmet erişim denetim listeleri (DACL) iş istasyonunun ve sunucu güvenliğinin önemli bileşenleridir. Bu Microsoft Bilgi Bankası makalesinde hizmetlerdeki DACL'lerin nasıl yorumlanacağı açıklanmaktadır. Bu makale aynı zamanda, programlarının güvenliğini geliştiren ve üzerinde değerlendirme yapan hizmet DACL'si yazarları için en iyi uygulama önerileri sağlar. GİRİŞBu Microsoft Bilgi Bankası makalesini, isteğe bağlı hizmet erişim denetim listelerinin (DACL) güvenliğini değerlendirmeye yardımcı olan bir kılavuz olarak kullanabilirsiniz. Daha fazla bilgiBir hizmetin DACL'lerini görüntülemek için, sc komutunu aşağıdaki örnekte gösterildiği gibi sdshow değişkeniyle birlikte kullanın, burada hizmet_adı DACL'lerini görüntülemek istediğiniz hizmetin adıdır: sc sdshow hizmet_adı Bu komut şunlara benzer sonuçlar üretir: (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS) sc komutunun bu örnek çıktısı, bir hizmetin güvenlik açıklamasını Güvenlik Tanımlayıcısı Tanım Dili (SDDL) sözdiziminde gösterir. SDDL sözdizimi hakkında bilgi için, aşağıdaki Microsoft Web sitesini ziyaret edin:http://msdn2.microsoft.com/en-us/library/aa379567.aspx
(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)
Bir hizmet DACL'sinin savunmasız olup olmadığını belirlemek için bakılması gereken birkaç şey vardır. Aşağıdaki tablolar sc komutunun sonuçlarının nasıl okunacağını, her bir izin dizesinin ve iznin kime verildiğinin nasıl yorumlanacağını açıklar.Aşağıdaki anahtarı kullanarak ayraç içindeki her bir karakter dizesini bağımsız olarak değerlendirebilirsiniz: (İzin Ver/Engelle;;İzin dizesi;;;Yerleşik hesabın veya grubun SID değeri ya da kısa adı) İzin dizesindeki iki harften oluşan her çift belirli bir hakka veya izne karşılık gelir: Bu tabloyu kapa
ChangeConf (DC) iznini çok dikkatli kullanın. Hizmetinizin ayrıcalık yükselmesi saldırısına açık olup olmadığını belirlerken ChangeConf iznine bakın. Bu izin, bir yetkilinin, hizmet başladığında çalıştırılan ikili dosyayı içerecek şekilde hizmetin yapılandırmasını değiştirmesine olanak tanır. İzinleri LocalSystem'a yükseltmede kullanılabilecekleri için WDac (WD) ve WOwn (WO) izinlerinin ikisinde de son derece dikkatli olun. Bu hakların düşük düzeyli izinleri olan bir kullanıcıya verilmediğinden emin olun. Bu tablo, SDDL sözdiziminde izin verilen kullanıcı türünü tanımlamada kullanılan kodları listeler. Bu tabloyu kapa
SDDL biçimindeki bir DACL dizesi nasıl yorumlanırBu bilgiler, bu makalenin başında listelenen örnek DACL dizesinin nasıl yorumlanacağını açıklar. Bu yorum, her bir erişim denetim girdisini (ACE) ayrı ayrı listeler.
Aşağıdaki örnek DACL, kimliği doğrulanmış kullanıcılara ChangeConf izinleri vermez: (A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO) Bu DACL'de, kimliği doğrulanmış kullanıcılara (AU) yalnızca aşağıdaki izinler verilmiştir:
LocalSystem (SY, Yerel Sistem) grubuna Power Users (Uzman Kullanıcılar) grubuyla aynı izinler verilir, ancak ayrıca Stop ve Pause izinleri de verilir. Bu uygun görünmektedir. Kısa olan sonraki iki erişim denetim girdisi, (ACE) Local Service (Yerel Hizmet) ve Network Service (Ağ Hizmeti) hesaplarına hizmeti duraklatma izinleri verir. Local Service (Yerel Hizmet) ve Network Service (Ağ Hizmeti) hesaplarının ikisi de güçlü yerel hesaplar olduğu için, bu da uygun görünmektedir. Ancak, Network Configuration Operators (NO, Ağ Yapılandırma İşletmenleri) grubuna ChangeConf izinleri verilmektedir. Network Configuration Operators (Ağ Yapılandırma İşletmenleri) grubu, güvenilen kullanıcıların tam yönetici izinleri olmadan ağ ayarlarını değiştirmesine izin vermek için Windows XP'ye eklenmişti. Varsayılan olarak, Network Configuration Operators (Ağ Yapılandırma İşletmenleri) grubu boştur. Bu grup bazen belirli kullanıcılara ağ yapılandırma izinleri vermede kullanılır. Örneğin, taşınabilir bilgisayar sahibine bu izin verilebilir. Network Configuration Operators (Ağ Yapılandırma İşletmenleri) grubundaki kullanıcılar sıkça bilgisayarın fiziksel denetimine sahip olur. Ancak, bu grubun oluşturulmasındaki amaç, bu kullanıcılara tam yönetici izinleri vermemektir. Bu nedenle, bu hizmet DACL'si Network Configuration Operators (Ağ Yapılandırma İşletmenleri) grubuna ChangeConf izinleri vermemelidir. En iyi uygulamalarHizmet DACL'lerini yalnızca belirli bir erişim türüne gerek duyan kullanıcılarla sınırlayın. Özellikle aşağıdaki hakları verirken dikkatli olun. Bu haklar düşük düzeyli izinleri olan bir kullanıcı veya gruba verilirse, bilgisayardaki LocalSystem'a (Yerel Sistem) yükselmek için kullanılabilirler:
http://msdn2.microsoft.com/en-us/library/ms685981.aspx
(http://msdn2.microsoft.com/en-us/library/ms685981.aspx)
Bu makaledeki bilginin uygulandığı durum:
| Diğer Kaynaklar Diğer Destek Siteleri
ToplulukHemen Yardım AlMakale çevirileri
|
Üste
