¿Cómo limitar los permisos de los usuarios normales?

Encontré información sobre Wangwang, que puede resultarle útil.

========

Explicación detallada. configuración de permisos en Windows

p>

Con el uso generalizado de los foros de Dongwang y el descubrimiento de las vulnerabilidades de carga de Dongwang y el uso cada vez mayor de ataques de inyección SQL, webshell ha hecho que los firewalls sean inútiles incluso si uno tiene todos. Los parches de Microsoft sólo permiten que los servidores web con el puerto 80 abiertos al mundo exterior no puedan escapar al destino de ser pirateados. ¿Realmente no podemos hacer nada? De hecho, siempre que comprenda el problema de configuración de permisos en el sistema ntfs, podemos decirles a los crackers: ¡no!

Para construir un servidor web seguro, este servidor debe usar ntfs y windowsnt/2000. /2003. Como todos sabemos, Windows es un sistema operativo que admite múltiples usuarios y tareas múltiples. Esta es la base para la configuración de permisos. Todas las configuraciones de permisos se basan en usuarios y procesos. . DOS es un sistema operativo de una sola tarea y un solo usuario. ¿Pero podemos decir que dos no tiene permisos? ¡no puedo! Cuando abrimos una computadora con un sistema operativo DOS, tenemos derechos de administrador para el sistema operativo y esta autoridad está en todas partes. Por lo tanto, solo podemos decir que dos no admite configuraciones de permisos, pero no podemos decir que no tiene permisos. Con la mejora de la conciencia de seguridad de las personas, la configuración de permisos nació con el lanzamiento de ntfs.

En Windows NT, los usuarios se dividen en muchos grupos y los grupos tienen diferentes permisos. Por supuesto, los usuarios de un grupo también pueden tener diferentes permisos. Hablemos de los grupos de usuarios comunes en nt.

administradores, grupo de administradores, de forma predeterminada, los usuarios del grupo administradores tienen acceso completo sin restricciones a la computadora/dominio. Los permisos predeterminados asignados a este grupo permiten un control total de todo el sistema. Por lo tanto, sólo las personas de confianza pueden ser miembros de este grupo.

Usuarios avanzados, grupo de usuarios avanzados, los usuarios avanzados pueden realizar cualquier tarea del sistema operativo excepto aquellas reservadas para el grupo de administradores. Los permisos predeterminados asignados al grupo de usuarios avanzados permiten a los miembros del grupo de usuarios avanzados modificar la configuración de toda la computadora. Pero los usuarios avanzados no tienen permiso para agregarse al grupo de administradores. En la configuración de permisos, los permisos de este grupo ocupan el segundo lugar después de los administradores.

Usuarios: grupo de usuarios ordinarios. Los usuarios de este grupo no pueden realizar cambios intencionales o no. Por lo tanto, los usuarios pueden ejecutar aplicaciones verificadas pero no la mayoría de las aplicaciones heredadas. El grupo de usuarios es el grupo más seguro porque los permisos predeterminados asignados a este grupo no permiten a los miembros modificar la configuración del sistema operativo o los perfiles de usuario. El grupo de usuarios proporciona el entorno de ejecución de programas más seguro. En volúmenes con formato ntfs, la configuración de seguridad predeterminada está diseñada para evitar que los miembros de este grupo comprometan la integridad del sistema operativo y los programas instalados. Los usuarios no pueden modificar la configuración del registro del sistema, los archivos del sistema operativo ni los archivos de programa. los usuarios pueden apagar las estaciones de trabajo, pero no los servidores. los usuarios pueden crear grupos locales, pero solo pueden modificar los grupos locales que crean.

Invitados: grupo de invitados, de forma predeterminada, los invitados tienen los mismos derechos de acceso que los miembros de los usuarios normales, pero la cuenta de invitado tiene más restricciones.

Todos: Como su nombre indica, todos los usuarios, todos los usuarios de este ordenador pertenecen a este grupo.

De hecho hay otro grupo que también es muy común. Tiene los mismos permisos o incluso mayores que los administradores, pero este grupo no permite que ningún usuario se una. no se mostrará, es el grupo del sistema. Este otorga todos los permisos necesarios para el funcionamiento normal del sistema y los servicios a nivel del sistema. Dado que el grupo solo tiene un usuario, el sistema, puede ser más apropiado clasificar al grupo como usuario.

Los permisos se dividen en niveles altos y bajos. Los usuarios con permisos altos pueden operar con usuarios con permisos bajos, pero, a excepción de los administradores, los usuarios de otros grupos no pueden acceder a otros datos de usuario en el volumen ntfs a menos que estén autorizados. por estos usuarios. Los usuarios con permisos bajos no pueden realizar ninguna operación con usuarios con permisos altos.

Cuando usamos computadoras normalmente, no sentiremos que los permisos le impidan hacer algo. Esto se debe a que cuando usamos computadoras, todos iniciamos sesión como usuarios en los administradores. Esto tiene ventajas y desventajas. La ventaja es, por supuesto, que puedes hacer lo que quieras sin encontrar restricciones de permisos. La desventaja es que ejecutar una computadora como miembro del grupo de administradores hace que el sistema sea vulnerable a troyanos, virus y otros riesgos de seguridad. El simple hecho de visitar un sitio de Internet o abrir un archivo adjunto de correo electrónico puede dañar su sistema. Los sitios de Internet desconocidos o los archivos adjuntos de correo electrónico pueden contener código troyano que se puede descargar al sistema y ejecutar. Si inicia sesión como administrador de la computadora local, el caballo de Troya puede usar derechos de acceso administrativo para reformatear su disco duro, causando daños inmensurables. Por lo tanto, es mejor no iniciar sesión como usuario en administradores a menos que sea necesario. Hay un usuario predeterminado entre los administradores, administrador, que se crea durante la instalación del sistema. La cuenta de administrador tiene permisos de control total en el servidor y puede asignar derechos de usuario y permisos de control de acceso a los usuarios según sea necesario. Por lo tanto, se recomienda encarecidamente configurar esta cuenta para que utilice una contraseña segura. La cuenta de administrador nunca se puede eliminar del grupo de administradores, pero se puede cambiar el nombre de la cuenta o desactivarla. Dado que se sabe que el "Administrador" existe en muchas versiones de Windows, cambiar el nombre o deshabilitar esta cuenta hará que sea más difícil para los usuarios malintencionados intentar acceder a la cuenta. Un buen administrador del servidor normalmente cambiará el nombre o desactivará esta cuenta. En el grupo de usuarios invitados, también hay un usuario predeterminado: invitado, pero está deshabilitado de forma predeterminada. No es necesario activar esta cuenta si no existe una necesidad especial. Podemos ver el grupo de usuarios y los usuarios del grupo a través del "Panel de control" - "Herramientas administrativas" - "Administración de computadoras" - "Usuarios y grupos de usuarios".

Hacemos clic derecho en un volumen ntfs o en un directorio debajo de un volumen ntfs y seleccionamos "Propiedades" - "Seguridad" para establecer permisos en un volumen o un directorio debajo de un volumen. Esto veremos los siguientes siete. permisos: control total, modificación, lectura y ejecución, directorio de carpetas de lista, lectura, escritura y permisos especiales. "Control total" significa tener acceso total y sin restricciones al volumen o directorio. El estado es como el estado de los administradores en todos los grupos. Con "Control total" seleccionado, las siguientes cinco propiedades se seleccionarán automáticamente. "Modificar" es como los usuarios avanzados. Si se selecciona "Modificar", los siguientes cuatro atributos se seleccionarán automáticamente. Cuando no se selecciona alguno de los siguientes elementos, la condición "modificar" ya no será verdadera. "Leer y ejecutar" permite leer y ejecutar cualquier archivo en este volumen o directorio. "Listar directorio de carpetas" y "leer" son condiciones necesarias para "leer y ejecutar". "Listar directorio de carpetas" significa que solo puede explorar los subdirectorios del volumen o directorio, pero no puede leerlos ni ejecutarlos. "Leer" significa poder leer los datos en el volumen o directorio. "Escribir" significa poder escribir datos en el volumen o directorio. "Especial" subdivide los seis permisos anteriores. Los lectores pueden realizar una investigación en profundidad sobre "especial" por su cuenta, por lo que no entraré en detalles aquí.

Ahora realizaremos un análisis exhaustivo del sistema de un servidor web y sus permisos en el que acabamos de instalar el sistema operativo y el software de servicio. El servidor utiliza la versión de servidor Windows 2000, con sp4 y varios parches instalados. El software del servicio web utiliza iis 5.0 que viene con Windows 2000 y se eliminan todas las asignaciones innecesarias.

Todo el disco duro está dividido en cuatro volúmenes ntfs. La unidad c es el volumen del sistema y solo el sistema y los controladores están instalados en la unidad d; La unidad e es el volumen del programa web, el sitio web Todos los programas están en el directorio www de este volumen; la unidad f es el volumen de datos del sitio web, y todos los datos llamados por el sistema del sitio web se almacenan en el directorio de la base de datos www de este volumen. Esta clasificación es relativamente consistente con los estándares de un servidor seguro. Espero que todos los administradores novatos puedan clasificar razonablemente los datos de su servidor. Esto no solo facilitará la búsqueda, sino que, lo que es más importante, mejorará en gran medida la seguridad del servidor, porque podemos clasificar cada volumen o directorio según sea necesario. Los permisos pueden minimizar las pérdidas una vez que ocurre un incidente de seguridad de la red. Por supuesto, los datos del sitio web también se pueden distribuir en diferentes servidores para formar un grupo de servidores. Cada servidor tiene un nombre de usuario y contraseña diferentes y proporciona diferentes servicios. Pero las personas que están dispuestas a hacer esto tienen una característica: son ricas :). Bien, volvamos al tema. La base de datos de este servidor es ms-sql. El software de servicio sql2000 de ms-sql está instalado en el directorio d:\ms-sqlserver2k. Se ha establecido una contraseña lo suficientemente segura para la cuenta sa. y se ha instalado el parche sp3. Para facilitar a los desarrolladores de páginas web la administración de páginas web, el sitio web también ha habilitado el servicio ftp. El software del servicio ftp utiliza serv-u 5.1.0.0 y está instalado en el directorio d:\ftpservice\serv-u. El software antivirus y el firewall utilizados son norton antivirus y blackice respectivamente. Las rutas son d:\nortonav y d:\firewall\blackice respectivamente. La base de datos de virus se ha actualizado a la última versión. La base de reglas del firewall define que solo los puertos 80 y 21. están abiertos al mundo exterior. El contenido del sitio web es un foro que utiliza Dongwang 7.0 y el programa del sitio web se encuentra en e:\www\bbs. Los lectores atentos pueden haber notado que no utilicé la ruta predeterminada para instalar este software de servicio o simplemente cambié la ruta predeterminada de la letra de la unidad. Esto también es un requisito de seguridad, porque si un pirata informático ingresa a su computadora por algún medio, servidor, pero. no ha obtenido derechos de administrador, lo primero que hará será ver qué servicios tienes abiertos y qué software tienes instalado, porque necesita utilizarlos para elevar sus derechos. Un camino difícil de adivinar combinado con buenos permisos lo mantendrán fuera. Creo que el servidor web configurado de esta manera es suficiente para resistir a la mayoría de los piratas informáticos que no tienen habilidades. Los lectores pueden volver a preguntar: "¡Esto no requiere ninguna configuración de permisos! He realizado todos los demás trabajos de seguridad, ¿aún es necesaria la configuración de permisos?" Un hombre sabio siempre cometerá errores después de una cuidadosa consideración. Incluso si ya ha perfeccionado la seguridad del sistema, debe saber que siempre se descubren nuevas vulnerabilidades de seguridad. ¡Los permisos serán tu última línea de defensa! Ahora realicemos un ataque simulado en este servidor, que no ha sido sometido a ninguna configuración de permisos y utiliza todos los permisos predeterminados de Windows, para ver si es realmente inexpugnable.

Supongamos que el nombre de dominio externo del servidor es [imga]/jyjbbs/pic/url.gif[/imga]. Después de escanearlo con el software de escaneo, se encuentra que los servicios www y ftp están abiertos. , y se usa su software de servicio. Los que usé son iis 5.0 y serv-u 5.1. Usé algunas herramientas de desbordamiento para ellos y descubrí que no eran efectivas, así que abandoné la idea del desbordamiento remoto directo. Cuando abrí la página del sitio web, descubrí que estaba usando el sistema de foro de Dongwang, así que agregué /upfile.asp después del nombre de dominio y encontré una vulnerabilidad de carga de archivos, así que capturé el paquete y envié el troyano asp modificado usando. nc. Me indicó que la carga se realizó correctamente. Obtuve el webshell y abrí el troyano ASP que acabo de cargar. Descubrí que ms-sql, norton antivirus y blackice se estaban ejecutando. Consideré que había restricciones en el firewall y sql. El puerto de servicio estaba bloqueado. Revisé los pids de norton antivirus y blackice a través del troyano asp y cargué un archivo que puede finalizar el proceso a través del troyano asp. Después de ejecutarlo, eliminó norton antivirus y blackice.

Escanee nuevamente y descubra que el puerto 1433 está abierto. En este punto, hay muchas formas de obtener derechos de administrador. Puede verificar conn.asp en el directorio del sitio web para obtener el nombre de usuario y la contraseña de SQL y luego iniciar sesión en SQL para ejecutar. agregar usuarios y aumentar permisos de administradores. También puede tomar servudaemon.ini en serv-u, modificarlo y cargarlo para obtener derechos de administrador del sistema. También puede pasar la herramienta serv-u de desbordamiento local para agregar usuarios directamente a los administradores, etc. Como puede ver, una vez que un pirata informático encuentra un punto de entrada, sin restricciones de permisos, obtendrá fácilmente privilegios de administrador.

Ahora echemos un vistazo a la configuración de permisos predeterminada de Windows 2000. Para el directorio raíz de cada volumen, el grupo de todos tiene control total de forma predeterminada. Esto significa que cualquier usuario que entre al ordenador podrá hacer lo que quiera en estos directorios raíz sin restricciones. Hay tres directorios especiales en el volumen del sistema. El sistema les otorga permisos restringidos de forma predeterminada. Estos tres directorios son documentos y configuraciones, archivos de programa y winnt. Para documentos y configuraciones, los permisos predeterminados se asignan de la siguiente manera: los administradores tienen control total; todos tienen permisos de lectura, ejecución, columnas y lectura; los usuarios avanzados tienen permisos de lectura, ejecución, columnas y lectura; tiene permisos de lectura y ejecución, columna y lectura. Para los archivos de programa, los administradores tienen control total; el propietario creador tiene permisos especiales; los usuarios avanzados tienen control total; los usuarios del servidor de terminal tienen control total, y los usuarios tienen permisos de lectura y ejecución, de columna y de lectura. Para winnt, los administradores tienen control total; el propietario creador tiene permisos especiales; los usuarios avanzados tienen control total; los mismos administradores tienen permisos de lectura y ejecución, de columna y de lectura. Todos los directorios bajo el volumen que no es del sistema heredarán los permisos de sus directorios principales, ¡lo cual es control total del grupo de todos!

Ahora todo el mundo sabe por qué pudimos obtener derechos de administrador sin problemas durante la prueba, ¿verdad? ¡Los permisos están establecidos demasiado bajos! Cuando una persona visita el sitio web, automáticamente se le asignará el usuario iusr, que pertenece al grupo de invitados. Originalmente, los permisos no eran altos, pero los derechos de control total otorgados por el sistema al grupo Todos de forma predeterminada duplicaron su valor y al final pudo obtener administradores. Entonces, ¿cómo configurar permisos para que este servidor web sea seguro? Todos deben tener en cuenta una frase: "Servicios mínimos + permisos mínimos = seguridad máxima". Para los servicios, no los instale a menos que sea necesario. Debe saber que los servicios se ejecutan a nivel del sistema, simplemente distribuya. según principio. Para el servidor web, tome el servidor ahora, configuré los permisos de esta manera. Puede consultarlo: el directorio raíz de cada volumen, documentos y configuraciones, y archivos de programa, solo le doy al administrador el control total, o simplemente coloque el. programa directamente, elimine los archivos; agregue derechos de lectura y escritura para todos en el directorio raíz del volumen del sistema y otorgue derechos de lectura y escritura al directorio e:\www, que es el directorio del sitio web. Finalmente, necesitamos desenterrar el archivo cmd.exe y darle control total solo al administrador. Después de tales configuraciones, es imposible invadir este servidor mediante el método que acabo de usar. Quizás en este momento algunos lectores preguntarán: "¿Por qué todos deberían tener derechos de lectura y escritura en el directorio raíz del volumen del sistema? ¿No necesita permisos de ejecución el archivo ASP en el sitio web? Buena pregunta, muy oportuna". -profundidad. Este es el caso si el volumen del sistema no otorga a todos derechos de lectura y escritura, cuando se inicia la computadora, la computadora informará un error y le indicará que la memoria virtual es insuficiente.

Por supuesto, existe un requisito previo para esto: la memoria virtual está asignada en el disco del sistema. Si la memoria virtual está asignada en otro volumen, entonces debe otorgar a todos derechos de lectura y escritura en ese volumen. El modo de ejecución del archivo asp es ejecutarse en el servidor, y solo el resultado de la ejecución se transmite al navegador del usuario final. Esto es cierto, pero el archivo asp no es un archivo ejecutable en el sentido del sistema, lo proporciona la web. proveedor de servicios-- --iis se utiliza para interpretar y ejecutar, por lo que su ejecución no requiere permisos de ejecución.

Después de la explicación anterior, debes tener una comprensión preliminar de los permisos, ¿verdad? Si desea tener una comprensión más profunda de los permisos, debe conocer algunas de las características de los permisos: herencia, acumulación, prioridad y transversales.

Herencia significa que el directorio de nivel inferior tiene la configuración de permisos del directorio de nivel superior antes de restablecerse. Hay otra situación que explicar aquí. Al copiar directorios o archivos dentro de una partición, los directorios y archivos copiados tendrán la configuración de permisos del directorio de nivel superior donde se encuentran ahora. Sin embargo, al mover directorios o archivos dentro de una partición, los directorios y archivos pasados ​​tendrán sus configuraciones de permisos originales.

Acumulación significa que si hay dos usuarios, usuario1 y usuario2, en un grupo grupo1, y sus derechos de acceso a un archivo o directorio son "lectura" y "escritura" respectivamente, entonces el grupo grupo1 tendrá los derechos de acceso de un archivo o directorio es la suma de los derechos de acceso del usuario1 y del usuario2, que en realidad es el más grande, es decir, "leer" + "escribir" = "escribir". Otro ejemplo es que un usuario usuario1 pertenece a los grupos grupo1 y grupo2, y el permiso de acceso del grupo1 a un determinado archivo o directorio es de "solo lectura", mientras que el permiso de acceso del grupo2 a este archivo o carpeta es "control total, luego usuario". Los permisos de acceso del usuario1 al archivo o carpeta son la suma de los permisos de los dos grupos, es decir: “solo lectura” + “control total” = “control total”.

Prioridad, esta característica de permisos incluye dos subcaracterísticas. Una es que los permisos de acceso a archivos tienen prioridad sobre los permisos de directorio, lo que significa que los permisos de archivos pueden anular los permisos de directorio, independientemente de la configuración de la carpeta de nivel superior. . Otra característica es que el permiso "denegar" tiene prioridad sobre otros permisos, lo que significa que el permiso "denegar" puede anular todos los demás permisos. Una vez que se selecciona el permiso "denegar", otros permisos no tendrán ningún efecto, lo que equivale a no. ajustes.

Interseccionalidad significa que cuando la misma carpeta tiene permisos compartidos establecidos para un usuario y los permisos de acceso de la carpeta se establecen para el usuario al mismo tiempo, y los permisos establecidos son inconsistentes, su El principio de comercio -off es elegir la intersección de dos permisos, es decir, el permiso más estricto y el más pequeño. Por ejemplo, si el permiso compartido establecido para el directorio a para el usuario1 es "solo lectura" y el permiso de acceso establecido para el usuario1 en el directorio a es "control total", entonces el permiso de acceso final del usuario1 es "solo lectura".

Eso es todo por el tema de la configuración de permisos. Al final, me gustaría recordarles a los lectores que la configuración de permisos debe implementarse en la partición ntfs no admite la configuración de permisos. Al mismo tiempo, me gustaría dar algunas sugerencias a todos los administradores:

1. Desarrollar buenos hábitos, clasificar claramente el disco duro del servidor al particionar, bloquear el servidor cuando no esté en uso y actualizar varios con frecuencia. Parches y actualizaciones de software antivirus.

2. Establecer una contraseña con suficiente seguridad Esto es un cliché, pero siempre hay administradores que establecen contraseñas débiles o incluso contraseñas vacías.

3. Intente no instalar varios programas en la ruta predeterminada.

4. Cuando el dominio del inglés no sea un problema, intente instalar una versión en inglés del sistema operativo.

5. No instale software aleatorio o servicios innecesarios en el servidor.

6. Recuerda: Ningún sistema es siempre seguro, actualiza tus conocimientos con frecuencia.

1. El origen de la autoridad

Al pie de cierta montaña a lo lejos, hay un pastizal rodeado de bosques. En el borde del pastizal vive un grupo de pastores. que se ganan la vida pastoreando ovejas. En el bosque al borde de la pradera hay varios animales, incluidos lobos salvajes.

Dado que las ovejas son la principal fuente de sustento de los pastores, su valor es especialmente valioso. Para evitar que las ovejas se escapen y sean atacadas por las bestias salvajes, cada pastor ha cercado sus ovejas únicamente. Se deja una pequeña puerta para que las ovejas puedan salir a una determinada extensión de pastizal todas las noches, logrando una cierta escala de efectos de protección y manejo.

Al principio, los lobos salvajes sólo sabían sobrevivir cazando conejos y otros animales salvajes en el bosque, y no encontraron a las ovejas en el borde de la pradera en la distancia. estuvieron en paz unos con otros por un tiempo, hasta que un día, un lobo que corría hacia el borde del bosque persiguiendo a un conejo usó su sensible olfato para oler el leve aroma del cordero asado en la distancia.

Esa noche, una manada de lobos apareció de repente y atacó a la mayoría de las ovejas criadas por los pastores en la pradera. Ignoraron por completo las cortas vallas construidas por los pastores que sólo podían detener a las ovejas y atravesaron las barreras. valla con un solo salto. Línea de defensa… Aunque los pastores que acudieron tras conocer la noticia cooperaron para repeler a los lobos, las ovejas ya habían sufrido ciertas pérdidas.

Después, los pastores comprendieron que la valla no era sólo una muralla de la ciudad para evitar que las ovejas escaparan. Cada familia de pastores estaba ocupada elevando y fortaleciendo la valla...

Ahora usando. Windows 2000 Los usuarios de sistemas operativos como /XP han oído hablar más o menos del concepto de "privilegios", pero puede que no haya muchos usuarios domésticos que realmente lo comprendan. Entonces, ¿qué son los "privilegios" para los usuarios comunes? Puede entenderlo como restricciones adicionales establecidas por el sistema sobre las operaciones funcionales que los usuarios pueden realizar, que se utilizan para restringir aún más las funciones del sistema y el alcance del acceso al contenido que los usuarios de computadoras pueden operar. En otras palabras, los permisos se refieren a ciertos usuarios específicos. derechos específicos para utilizar los recursos del sistema.

Los lectores que dominan el concepto de "nivel de anillo" pueden preguntarse, en el ahora popular modo de protección 80386, ¿no ha establecido el procesador un límite de "nivel de ejecución" para la ejecución de instrucciones? Sabemos que en comparación con el nivel Ring 0 que se ejecuta en el kernel del sistema, las transacciones que pueden ser procesadas directamente por el nivel Ring 3 que enfrenta las operaciones del usuario se han reducido considerablemente. ¿Por qué todavía necesitamos controlar el nivel Ring 3 que se ejecuta con "? "Pocos permisos"? ¿A nivel del sistema operativo, la interfaz de interacción persona-computadora también establece un conjunto de conceptos de "permisos" para restringir aún más las operaciones del usuario? Esto se debe a que el primero apunta a los permisos del código de instrucción que la máquina puede ejecutar, mientras que el El último objetivo es el usuario sentado frente a la computadora.

Para las computadoras, el código ejecutado por el sistema puede dañarlo, por lo que el procesador tiene el concepto de Anillo, que limita la parte "expuesta" para la interfaz de interacción persona-computadora. instrucciones dañinas en un momento de entusiasmo; en cuanto a la parte de la interfaz de operación, cada paso de la operación del usuario aún puede dañarse a sí mismo y al sistema subyacente; aunque se le ha prohibido ejecutar muchos códigos dañinos, algunas funciones aún no se pueden prohibir. Esta capa del sistema de seguridad, como operaciones de formateo, eliminación y modificación de archivos, etc. A los ojos de la computadora, estas operaciones son simplemente funciones de procesamiento de archivos de disco "no serias". Sin embargo, ignora un punto: el sistema operativo en sí. Archivos que residen en el disco. Por lo tanto, para protegerse, el sistema operativo necesita generar una valla específicamente para restringir a los usuarios según la interfaz operativa restringida por las jaulas Ring 3. Este es el permiso que vamos a discutir ahora. Existe para restringir a los usuarios, y las restricciones no son las mismas para todos los usuarios. Bajo la guía de esta idea, algunos usuarios pueden operar en un rango relativamente grande, algunos solo pueden operar sus propios archivos y otros ni siquiera pueden hacer nada. ..

Debido a esto, los usuarios de computadoras tienen clasificaciones: administradores, usuarios comunes, usuarios restringidos, invitados, etc...

¿Recuerdas los antiguos Windows 9x y MS -DOS? Solo tiene protección de permisos de Ring básica (DOS en modo real ni siquiera tiene clasificación de Ring. En esta arquitectura del sistema, todos los usuarios tienen los mismos derechos, todos son administradores y el sistema no tiene seguridad ambiental que proporciona una pequeña garantía, no la tiene). Incluso proporciona una interfaz de inicio de sesión realmente útil, solo una restricción de "pseudo inicio de sesión" que le permite ingresar al sistema normalmente y realizar cualquier operación presionando ESC.

Para un sistema de este tipo, los usuarios que no están familiarizados con las computadoras a menudo destruyen el sistema accidentalmente y, naturalmente, los virus y troyanos no dejarán de lado un pedazo de pastel tan "suave". En la era actual de promover la seguridad de la información, Windows 9x se convirtió en un verdadero. sistema inútil y finalmente desapareció de la vista de la gente. Fue reemplazado por Windows 2000 y Windows XP, que fueron desarrollados a partir de la familia Windows NT. Además, también hay sistemas Linux que se han comprometido a desarrollarse para usuarios de escritorio en los últimos años. Son el sistema que puede cumplir con los requisitos de privacidad personal y seguridad de los datos en esta era de crisis de seguridad.

El sistema Win2000/XP es producto de la tecnología Microsoft Windows NT y es un sistema puro de 32 bits construido basándose en la idea de un entorno de seguridad de servidor. La tecnología NT ha estado a la altura del desarrollo de Microsoft. Es estable, segura y proporciona un entorno multiusuario relativamente completo. Lo más importante es que realiza la asignación de permisos del sistema, eliminando así los posibles hábitos operativos inseguros provocados por la era Win9x. consecuencias más graves.

2. Asignación de permisos

1. Permisos ordinarios

Aunque Win2000/XP y otros sistemas proporcionan la función "permisos", esto también trae una nueva pregunta. : ¿Cómo distribuir los permisos de manera razonable? Si todos tienen los mismos permisos, significa que todos no tienen restricciones de permisos. ¿Cuál es la diferencia entre usar Win9x? Afortunadamente, el sistema lo ha configurado de forma predeterminada. Grupo), los usuarios solo necesitan ser agregados al grupo correspondiente para tener los permisos de operación otorgados por este grupo. Esta práctica se llama asignación de permisos.

De forma predeterminada, el sistema divide a los usuarios en 6 grupos y otorga a cada grupo diferentes permisos operativos, en orden: Grupo de administradores (Administradores), Grupo de usuarios avanzados (Usuarios avanzados), Grupo de usuarios comunes (Usuarios), grupo de operaciones de respaldo (Operadores de respaldo), grupo de replicación de archivos (Replicador) y grupo de usuarios invitados (Invitados) El grupo de operaciones de respaldo y el grupo de replicación de archivos están configurados para el mantenimiento del sistema y no se usarán normalmente.

A los grupos predeterminados del sistema se les asignan permisos basados ​​en ciertas credenciales administrativas, en lugar de generarse aleatoriamente. El grupo de administradores tiene la mayoría de los permisos de operación de la computadora (no todos) y puede modificar, eliminar y modificar todos los archivos. a voluntad. El siguiente es el grupo de usuarios con altos privilegios. Este grupo de usuarios también puede hacer la mayoría de las cosas, pero no pueden modificar la configuración del sistema ni ejecutar algunos programas relacionados con la administración del sistema. El grupo de usuarios ordinario está vinculado a su propio territorio por el sistema y no puede procesar archivos de otros usuarios ni ejecutar programas relacionados con la administración. El grupo de usuarios invitados tiene los mismos permisos de operación de archivos que el grupo de usuarios normal, pero no puede ejecutar más programas.

Esta es la descripción del permiso asignado por el sistema a cada grupo. Los usuarios cuidadosos pueden descubrir por qué la regla "no puedo procesar archivos de otros usuarios" descrita en ella no es válida. , es solo que la configuración del sistema no se puede modificar. ¿Hay algún problema con la configuración de permisos en sí? De hecho, algunas funciones de la tecnología NT deben depender de la partición única "NTFS" (sistema de archivos NT) para lograrse y la asignación de permisos. para las operaciones con archivos es la parte más sensible, y las particiones de la mayoría de los usuarios domésticos están en formato FAT32, que no admite las funciones de seguridad de la tecnología NT. Por lo tanto, en dicha partición del sistema de archivos, incluso los usuarios invitados pueden explorar y modificar archivos libremente. creado por el administrador del sistema (excepto el acceso compartido que restringe las operaciones de escritura), esto no significa que los permisos del sistema no funcionen. Solo necesitamos cambiar la partición a NTFS.

2. Permisos especiales

Además de los 6 grupos de permisos predeterminados mencionados anteriormente, también hay algunos miembros con permisos especiales en el sistema. Estos miembros están configurados para propósitos especiales, a saber: SISTEMA (Sistema), Todos (propietario), CREADOR PROPIETARIO (creador), etc. Estos miembros especiales no son absorbidos por ningún grupo de usuarios integrado y son cuentas completamente independientes.

(Figura. Miembros con permisos especiales)

Cuando mencioné los permisos del grupo de administradores anteriormente, no usé "todos" para describirlos. Este es el secreto. "Permisos completos sin restricciones" "Derechos de acceso", no será tan estúpido como para entregarse completamente a los humanos. El grupo de administradores también está sujeto a ciertas restricciones, pero no es tan obvio. Solo hay un miembro que realmente tiene "todos". derechos de acceso": SISTEMA. Este miembro es generado por el sistema. Es una cuenta que realmente tiene permisos de administración para toda la computadora. Las operaciones normales no pueden obtener permisos equivalentes.

El permiso "Todos" es similar a los permisos de los grupos de usuarios normales. Existe para permitir a los usuarios acceder a archivos marcados como "públicos". Este es también el permiso de acceso necesario para el funcionamiento normal de algunos programas. - Cualquiera Todos pueden acceder a los archivos a los que se les haya concedido el permiso "Todos" normalmente, incluidos los miembros del grupo de invitados.

Solo el usuario que creó el archivo puede acceder a los archivos marcados con permisos de "creador", logrando un cierto grado de protección de la privacidad.

Sin embargo, los usuarios del grupo de administradores y los miembros del SISTEMA pueden ignorar todos los permisos de acceso a archivos, a menos que el usuario utilice cifrado NTFS.

Ya sean permisos ordinarios o permisos especiales, se pueden usar "superpuestos". "Superpuesto" significa que se usan múltiples permisos al mismo tiempo. Por ejemplo, una cuenta originalmente pertenecía al grupo de Usuarios. y luego agregamos el grupo Administradores, entonces esta cuenta ahora tiene dos identidades de permiso al mismo tiempo, en lugar de usar permisos de administrador para sobrescribir la identidad original. La superposición de permisos no tiene sentido. En algunas situaciones que requieren acceso a una identidad específica, los usuarios solo pueden acceder si han establecido una identidad específica para ellos. En este momento, el uso de "superposición" puede reducir parte de la carga de trabajo.

3.NTFS y permisos

Mencioné el sistema de archivos NTFS anteriormente. Los usuarios que hayan instalado Win2000/XP deberían notar el mensaje "Convertir formato de partición a NTFS", ¿y qué? ¿Qué es NTFS?

NTFS es un formato de disco especialmente diseñado para funciones de seguridad de administración como cuotas de red y disco, cifrado de archivos, etc. Solo los sistemas que utilizan tecnología NT lo admiten directamente. En otras palabras, si el sistema falla. , el usuario no podrá utilizar las populares herramientas de arranque de CD ordinarias para reparar el sistema. Por lo tanto, si utilizar FAT32 tradicional o NTFS siempre ha sido un tema controvertido, pero si el usuario desea utilizar la función de permisos completos del sistema o si. Si desea instalarlo como servidor, se recomienda utilizar el formato de partición NTFS.

En comparación con las particiones FAT32, las particiones NTFS tienen una característica de "seguridad" adicional, en la que los usuarios pueden establecer aún más permisos de acceso a archivos relevantes, y los permisos de archivos asignados por los grupos de usuarios relevantes mencionados anteriormente son solo los que pueden. sólo se reflejará en particiones formateadas NTFS. Por ejemplo, los usuarios del grupo de invitados ya no pueden acceder a ningún archivo en la partición de formato NTFS. Esto puede reducir las pérdidas por intrusión del sistema generalmente causadas por los servidores de sitios web, porque los derechos de acceso de la cuenta IIS al sistema son solo a nivel de invitado. Si no puede aumentar sus privilegios, entonces su intrusión puede ser en vano.

Al utilizar particiones NTFS, los usuarios serán conscientes de las restricciones establecidas por el sistema para los usuarios del grupo de administradores: ni siquiera los administradores pueden acceder a algunos archivos porque fueron creados por miembros del SISTEMA y establecieron permisos.