Slik forstår du de forvirrende Windows 7 fil- / delmottakene

2024 Forfatter: Geoffrey Carr | [email protected]. Sist endret: 2023-12-17 10:53

Sikkerhetsidentifikatoren

Windows-operativsystemene bruker SID-er til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde med alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL (Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak scenen lagres SIDene på samme måte som alle andre dataobjekter, i binære. Men når du ser et SID i Windows, vises det med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows, det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slettes deres brukerkonto, så vises den som et SID i ACL. Så kan vi se på det typiske formatet der du vil se SIDer i Windows.

1. Et 'S' prefiks
2. Strukturrevisjonsnummer
3. En 48-biters identifiserings autorisasjonsverdi
4. Et variabelt antall 32-biters sub-autorisasjon eller relative identifikator (RID) -verdier

Ved å bruke mitt SID i bildet nedenfor, vil vi bryte opp de forskjellige seksjonene for å få en bedre forståelse.

The SID Structure:

‘S’ – The first component of a SID is always an ‘S’. This is prefixed to all SIDs and is there to inform Windows that what follows is a SID. ‘1’ – The second component of a SID is the revision number of the SID specification, if the SID specification was to change it would provide backwards compatibility. As of Windows 7 and Server 2008 R2 the SID specification is still in the first revision. ‘5’ – The third section of a SID is called the Identifier Authority. This defines in what scope the SID was generated. Possible values for this sections of the SID can be:

1. 0 – Null Authority
2. 1 – World Authority
3. 2 – Local Authority
4. 3 – Creator Authority
5. 4 – Non-unique Authority
6. 5 – NT Authority

’21’ – The forth component is sub-authority 1, the value ’21’ is used in the forth field to specify that the sub-authorities that follow identify the Local Machine or the Domain. ‘1206375286-251249764-2214032401’ – These are called sub-authority 2,3 and 4 respectively. In our example this is used to identify the local machine, but could also be the the identifier for a Domain. ‘1000’ – Sub-authority 5 is the last component in our SID and is called the RID (Relative Identifier), the RID is relative to each security principle, please note that any user defined objects, the ones that are not shipped by Microsoft will have a RID of 1000 or greater.

Sikkerhetsprinsipper

Et sikkerhetsprinsipp er alt som har et SID knyttet til det, det kan være brukere, datamaskiner og til og med grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved hjelp av Local Users og Groups snap-in, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.

Del Tillatelser og NTFS Tillatelse

I Windows er det to typer fil- og mappegodkjenninger, for det første er det Del Tillatelser, og for det andre er det NTFS Tillatelser også kalt Sikkerhetsstillatelser. Legg merke til at når du deler en mappe som standard, er "Alle" -gruppen gitt lesetillatelsen. Sikkerhet på mapper utføres vanligvis med en kombinasjon av Del og NTFS-tillatelse dersom dette er tilfelle, er det viktig å huske at det mest restriktive gjelder alltid, for eksempel hvis delrettelsen er satt til Alle = Les (som er standard) men NTFS-tillatelsen tillater brukere å gjøre endringer i filen, vil Del Tillatelsen foretrekke, og brukerne får ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS (Local Security Authority) tilgang til ressursen. Når du logger på, får du et tilgangstoken med ditt SID på det, når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL (Access Control List), og hvis SID er på ACL, bestemmer det om tillat eller nekt tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, slik at vi kan ta en titt for å få en bedre forståelse av når vi skal bruke det.

Del Tillatelser:

1. Gjelder kun brukere som har tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
2. Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjoner, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
3. Hvis du har noen formaterte FAT- eller FAT32-volumer, vil dette være den eneste form for begrensning som er tilgjengelig for deg, da NTFS-tillatelser ikke er tilgjengelige på disse filsystemene.

NTFS Tillatelser:

1. Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
2. Husk at NTFS er kumulative, noe som betyr at brukerens effektive tillatelser skyldes å kombinere brukerens tildelte tillatelser og tillatelsene til alle grupper brukeren tilhører.

The New Share Tillatelser

Windows 7 kjøpt sammen med en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til. Les og les / skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte mennesker. Dette gjøres via kontekstmenyen og deler enkelt med hjemmegruppen din.

1. Read permission is the “look, don’t touch” option. Recipients can open, but not modify or delete a file.
2. Read/Write is the “do anything” option. Recipients can open, modify, or delete a file.

The Old School Way

Den gamle delingsdialogen hadde flere alternativer og ga oss muligheten til å dele mappen under et annet alias, det tillot oss å begrense antall samtidige tilkoblinger samt konfigurere caching. Ingen av denne funksjonaliteten går tapt i Windows 7, men er gjemt under et alternativ kalt "Avansert deling". Hvis du høyreklikker på en mappe og går til sine egenskaper, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.

1. Read permission allows you to view and open files and subdirectories as well as execute applications. However it doesn’t allow any changes to be made.
2. Modify permission allows you to do anything that Read permission allows, it also add the ability to add files and subdirectories, delete subfolders and change data in the files.
3. Full Control is the “do anything” of the classic permissions, as it allows for you to do any and all of the previous permissions. In addition it gives you the advanced changing NTFS Permission, this only applies on NTFS Folders

NTFS-tillatelser

NTFS-tillatelse tillater veldig granulær kontroll over dine filer og mapper. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappegrunnlag. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til fileneegenskapene der du må gå til sikkerhetsfanen.

1. Full Control allows you to read, write, modify, execute, change attributes, permissions, and take ownership of the file.
2. Modify allows you to read, write, modify, execute, and change the file’s attributes.
3. Read & Execute will allow you to display the file’s data, attributes, owner, and permissions, and run the file if its a program.
4. Read will allow you to open the file, view its attributes, owner, and permissions.
5. Write will allow you to write data to the file, append to the file, and read or change its attributes.

NTFS-tillatelser for mapper har litt forskjellige alternativer, så vi kan se på dem.

1. Full Control allows you to read, write, modify, and execute files in the folder, change attributes, permissions, and take ownership of the folder or files within.
2. Modify allows you to read, write, modify, and execute files in the folder, and change attributes of the folder or files within.
3. Read & Execute will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder, and run files within the folder.
4. List Folder Contents will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder.
5. Read will allow you to display the file’s data, attributes, owner, and permissions.
6. Write will allow you to write data to the file, append to the file, and read or change its attributes.

I Microsofts dokumentasjon står det også at "List Folder Contents" lar deg kjøre filer i mappen, men det må du fortsatt aktivere "Read &Execute" for å gjøre det. Det er en veldig forvirrende dokumentert tillatelse.

Sammendrag

Sammendrag, brukernavn og grupper er representasjoner av en alfanumerisk streng kalt SID (sikkerhetsidentifikator), del og NTFS-tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS-tillatelser bare er gyldige på de lokale maskinene. Jeg håper at du alle har en god forståelse for hvordan fil- og mappesikkerhet i Windows 7 er implementert. Hvis du har spørsmål, kan du ikke høres ut i kommentarene.