windows系统安全5(访问控制)解析

保护位

如果主体很多，可以在访问控制列表中使用组

ACLs 很长，所以合并用户 UNIX: 三级用户: owner, group, rest rwx rwx rwx rest group owner
访问控制策略类型

强制访问控制（Mandatory access control）
系统独立于用户行为强制执行访问控制，用户不能改变他们的安全级 别或对象的安全属性。这种访问控制规则通常对数据和用户按照安全 等级划分标签，访问控制机制通过比较安全标签来确定授予还是拒 绝用户对资源的访问。强制访问控制进行了很强的等级划分，所以经 常用于军事用途。
2 Windows安全模型

安全主体的访问令牌<客体的安全描述

用户登录时，系统为其创建访问令牌 用户启动程序时，线程获取令牌的拷贝 程序请求访问客体时，提交令牌。 系统使用该令牌与客体的安全描述进行比较来执行访问 检查和控制

2.1 保护客体对象—安全描述符

Windows 2000可保护的对象列表

自主访问控制（Discretionary access control）
自主访问控制机制允许对象的属主来制定针对该对象的保护策略。通 常DAC通过授权列表（或访问控制列表）来限定哪些主体针对哪些 客 体可以执行什么操作。如此将可以非常灵活地对策略进行调整。由于 其易用性与可扩展性，自主访问控制机制经常被用于商业系统。
主流操作系统(Windows Server, UNIX系统)，防火墙（ACLs） 等都是基于自主访问控制机制来实现访问控制。


基于角色的访问控制（Role based access control ） 基于任务的访问控制（Task based access control）
许可 用户 角色 操作 客体
DACL（discretionary access-control list）:用来做访问 控制，决定用户是否有相关权限 SACL (security access-control list):用于审计的列表
2.1 保护客体对象
客体的 安全描述


当在授权用户安全环境中执行的线程创建对象 时，安全描述中就会被填入访问控制信息。 访问控制信息的来源：


执行线程（主体线程）直接把访问控制信息分配给对象。 系统从父对象中检查可继承的访问控制信息，并将其分配 给对象。（如果有冲突，下级的优先权更高） 系统使用对象管理器所提供的默认访问控制信息，并将其 分配给对象。（如果前两种权限不存在，就用这项，可能 性不大）
2.1 保护客体对象

访问控制列表（ACL） 是访问控制项(ACE)的有序列表
Hale Waihona Puke Baidu
访问控制矩阵的列
file1 Andy rx Betty rwxo Charlie rx
ACLs:


file2
r r rwo
file3
rwo w
file1: { (Andy, rx) (Betty, rwxo) (Charlie, rx) } file2: { (Andy, r) (Betty, r) (Charlie, rwo) } file3: { (Andy, rwo) (Charlie, w) }
安全策略

安全策略是一种声明，它将系统的状态分成两个集合： 已授权的，即安全的状态集合；未授权的，即不安全 的状态集合。任何访问控制策略最终均可被模型化为 访问矩阵形式。
目标 用户 用户a 用户b
用户c 用户d
目标x
读、修改、管理
目标y
目标z
读、修改、管理
读、修改、管理
读 读
读、修改 读、修改
访问矩阵实例
第五章：访问控制
内容



1 访问控制概述 2 访问控制机制 3 用户和组基础 4 内置本地组 默认组成员 默认的访问控制设置
1 访问控制概述

访问控制的目的： 限制访问主体（用户、进程、服务等）对 访问客体（文件、系统等）的访问权限， 从而使计算机系统在合法范围内使用。

描述一个保护系统的最简单框架模型是使 用访问控制矩阵模型，这个模型将所有用 户对于文件的权限存储在矩阵中。
访问控制矩阵模型

客体集O是所有被保护实体的集合（所有于 系统保护状态相关的实体）。 主体集S是所有活动对象的集合，如进程和 用户。 所有的权限的类型用集合R来表示。 在访问控制矩阵模型中，客体集O和主体集 S之间的关系用带有权限的矩阵A来描述，A 中的任意元素a [s , o ]满足sS, oO, a [s , o ]R。元素a [s , o ]代表的意义是主体s 对于客体o具有权限a [s , o ]。
C-Lists: Andy: { (file1, rx) (file2, r) (file3, rwo) } Betty: { (file1, rwxo) (file2, r) } Charlie: { (file1, rx) (file2, rwo) (file3, w) }
访问控制列表（ACL）

矩阵中的许多元素常常为空。在实现自主 访问控制机制时，常常是基于

1 矩阵的行来表达访问控制信息。 2 矩阵的列来表达访问控制信息

基于访问控制列表 基于保护位

访问控制矩阵的行
file1 Andy Betty Charlie
rx rwxo rx
file2
r r rwo
file3
rwo w



文件和文件夹 网络共享 打印机 管道 进程和线程 服务

每一个安全性对象都有一个安全性描述符与之相连
2.1 保护客体对象

一个安全描述符包含以下信息


对象所有者的SID 基本所有组的SID 自定义的访问控制列表（DACL:discretionary access control list） 系统访问控制列表（SACL:system access control list）
2.1 保护客体对象

“空DACL”和”无DACL”

空DACL

在列表中没有任何ACE的存在，因此也就不允许任何 用户进行访问。 指的是对于该对象没有任何保护，发出请求的任何用 户都被允许访问该对象。

无DACL