Разрешения на доступ к разделам реестра
Рис. 2.2. Задание разрешений для папок
Для каждого раздела и подраздела создается отдельный объект со своим отдельным ACL (DACL и SACL). У каждого раздела реестра есть владелец (owner) – либо конкретный пользователь, либо группа Administrators или операционная система (Owner - SYSTEM). Возможны следующие стандартные разрешения на доступ к разделу:
- читать;
- полный доступ;
В Windows XP в списке стандартных разрешений в явной форме появились особые разрешения (рис. 2.2).
При нажатии в окне «Разрешения» кнопки дополнительно можно просмотреть полный дискреционный список контроля доступа DACL (рис. 2.3).
Нажав кнопку «Добавить» или выбрав одну из записей списка и нажав «Изменить» можно задать особые разрешения (рис. 2.4).
Рис. 2.3. Окно дополнительных параметров безопасности
В этом окне могут быть выборочно установлены права доступа к соответствующему разделу, приведенные в таблице 2.1.
Рис. 2.4. Разрешения/запрет для доступа к объекту
Таблица 2.1
Права доступа и их возможности
| Право доступа | Возможности |
| Запрос значения | Чтение значения параметров раздела, времени последнего изменения параметров раздела |
| Задание значения | Запись в раздел новых параметров, изменение значения существующих |
| Создание подраздела | Создание подраздела в данном разделе |
| Перебор подразделов | Просмотр списка подразделов |
| Уведомление | Получение оповещения об изменениях в данном разделе |
| Создание связи | Создание в разделе символической ссылки на другой раздел |
| Продолжение таблицы 2.1 | |
| Удаление | Удаление раздела целиком или отдельных его параметров |
| Запись DAC | Изменение списка прав доступа к разделу |
| Смена владельца | Стать владельцем раздела |
| Чтение разрешений | Просмотр информации о разрешениях на доступ к разделу |
Разрешения на доступ к разделам реестра, установленные в системе Windows 2000/XP по умолчанию, не позволяют обычным пользователям модифицировать его части, наиболее важные для функционирования омой операционной системы, ее системы безопасности и большинства приложении. Некоторые разделы ветви HKEY LOCAL MACHINE, в частности SAМ и SECURITY, по умолчанию недоступны для просмотра и модификации даже администратору (хотя последний может просмотреть и изменить ACL к ним).
Аудит реестра
Аудит представляет собой процесс, который операционные системы Windows NT/2000/XP используют для обнаружения и регистрации событий, связанных с системой безопасности. К таким событиям относятся, например, попытки создания или удаления системных объектов, а также попытки получения доступа к таким объектам. Обратите внимание, что в объектно-ориентированных системах в качестве объекта может рассматриваться все что угодно — файлы, папки, ключи реестра и т. д. Все эти и другие подобные им события регистрируются в файле, известном под названием журнала безопасности (security log). По умолчанию аудит в системе не активизирован. Таким образом, если вам необходимо контролировать события, относящиеся к безопасности, то требуется его активизировать. После того как это будет сделано, операционная система начинает регистрировать события, связанные с системой безопасности, и зарегистрированные данные можно просмотреть с помощью специального средства просмотра — утилиты Просмотр событий (Event Viewer). При установке аудита можно указать типы событий, подлежащих регистрации в обнале безопасности, и операционная система будет создавать в журнале безопасности запись о событии каждый раз, когда событие указанного типа происходит в системе. Запись в журнале безопасности содержит описание события, имя пользователя, который выполнил соответствующие этому событию действия, а также дату и время события. Аудит можно установить как на успешные, так и на неудачные попытки выполнения операций, и журнал безопасности, соответственно, будет отображать имена пользователей, совершивших успешные попытки, и имена пользователей, пытавшихся выполнить запрещенные действия.
Вначале надо проверить, включен ли в политике безопасности аудит доступа к объектам. Для регистрации событий, связанных с доступом к тому или иному разделу реестра, в частности HKEY_LOCAL MACHINE\SECURITY и \SAM, надо внести соответствующие записи в SACL к нужному разделу. Для этого в листе «Дополнительные параметры безопасности» (рис. 2.5) выбрать лист «Аудит» и нажать кнопку «оббавить» или «Изменить» и в окне элемент аудита произвести настройку записи аудита (ACE) (рис. 2.6).
Рис. 2.5. Дополнительные параметры безопасности