13.1.2 Остальные субъекты локальной безопасности

Некоторые субъекты безопасности — ACL, списки управления аудитом, полномочия администратора, системные службы — работают независимо от SAM.

Списки контроля доступа (ACL). Для доступа к файлам и каталогам используются разрешения на объектном уровне. Каждый объект обладает списком разрешений, называемым ACL, который определяет, какие пользователи и группы имеют право обращаться к объекту и как именно. Не путайте разрешения (permissions) с правами (rights) — в NT это совсем не одно и то же. Назначение прав осуществляется через User Manager, как было сказано выше, тогда как разрешения настраиваются на объектном уровне через списки контроля доступа — ACL.

• Списки управления аудитом (Audit control lists).

Каждый объект имеет список управления аудитом, описывающий тип событий, которые система регистрирует в журнале Security при обращении к объекту. Для каждого типа доступа (Read, Write, Delete) можно указать, следует ли регистрировать успешные и неуспешные события. Например, для регистрации случаев обращения пользователя к конфиденциальному документу, который пользователь не имеет право просматривать, достаточно включить для этого документа аудит с тем, чтобы NT фиксировала попытки неуспешного запроса на чтение (разрешение Read) членов группы Everyone. Для отслеживания изменений в документе включается аудит использования разрешения Write.

Для просмотра списка управления аудитом следует запустить Windows Explorer, открыть контекстное меню объекта и выбрать Properties. Затем нужно открыть вкладку Security и щелкнуть Auditing. Для просмотра списка управления аудитом, соответствующего разделу реестра, требуется запустить regedt32.exe, указать нужный раздел, а затем выбрать в меню Security, Permissions or Security, Auditing.

Административные полномочия (Administrative authority). Чтобы понять смысл административных полномочий, рассмотрим встроенные группы Administrators и Power Users. Члены группы Administrators могут помечать для совместного использования каталоги и принтеры, создавать и обслуживать локальные учетные записи SAM, назначать права пользователям и устанавливать политики аудита. В отличие от группы Administrators, члены Power Users не могут устанавливать политики аудита.

Системные службы (System services). Системные службы — это дверь в систему NT, поэтому необходимо понять назначение каждой из них и установить, должна ли быть запущена та или иная служба. Для просмотра локальных системных служб нужно открыть модуль Services в Control Panel. Чтобы просмотреть системные службы удаленного компьютера, следует запустить Server Manager, выбрать нужный компьютер, затем выбрать в меню Computer, Services (если на локальной станции отсутствует Server Manager, можно просто скопировать файл srvmgr.exe с контроллера домена).

13.2 Безопасность на уровне домена

Хотя системы NT могут независимо и достаточно безопасно функционировать и вне домена, полагаться только на систему безопасности хоста при наличии большого числа сетевых пользователей не следует. Когда станция не входит в состав домена, пользователи должны для регистрации в системе вводить локальные учетные записи SAM. Вне домена на каждой станции, к ресурсам которой обращается пользователь, приходится держать такую учетную запись. Наличие нескольких учетных записей для одного пользователя порождает множество проблем. Возникают трудности с синхронизацией паролей. Когда сотрудник покидает компанию, приходится на всех станциях удалять учетные записи, под которыми он работал в различных системах. Пропустив одну такую запись, в дальнейшем можно столкнуться с несанкционированным доступом (т. е. пользователь по-прежнему может зарегистрироваться в системе, хотя он уже не работает в компании). Чтобы этого не произошло, нужно организовать домен и для каждого пользователя создать одну учетную запись, которая будет действительна на всех серверах домена, к которым он обратится.

Когда станция или сервер становятся членами домена, не теряется ни одна из специфичных локальных настроек безопасности. Более того, система становится более защищенной в связи с участием в домене. Станция — член домена — «доверяет» выполнение процедуры аутентификации пользователей домена контроллерам домена. Значит, пользователь может регистрироваться в системе как с помощью локальной учетной записи, так и с помощью записи в домене. Для станции, которая является членом домена, в списках ACL для файлов и других объектов могут присутствовать пользователи и группы домена. NT автоматически добавляет группу Domain Admins в состав локальной группы Administrators (поэтому члены Domain Admins имеют административные полномочия на всех станциях — членах домена).

Базы данных SAM серверов и рабочих станций ограничены рамками локального компьютера, тогда как SAM контроллера домена не имеет этого ограничения. SAM основного контроллера домена (PDC) — это SAM всего домена, и программа User Manager for Domains, запущенная с любой станции домена, открывает SAM на PDC. Когда пользователь или группа создаются с помощью User Manager for Domains, изменения записываются в SAM на PDC. Через короткое время PDC реплицирует эти изменения SAM на резервные контроллеры — BDC. Следовательно, с учетом задержки на репликацию, все контроллеры домена совместно используют SAM и обладают одинаковым набором пользователей, групп и политик. Например, при активизации аудита через User Manager for Domains включается аудит для PDC. После репликации NT включает аудит для каждого сервера BDC.