Безопасность сервера SMB. Microsoft Windows 95 и Windows for Workgroups. Диалекты протокола SMB, страница 7

Связь сервера с системой безопасности

Сервер 8MB тесно интегрирован с системой безопасности Windows NT. Здесь он выполняет роль процесса входа (logon process). Напомним, что в Windows NT с каждым процессом должен быть связан маркер доступа, предъявляемый Монитору безопасности при выполнении операций с файлами, папками и другими объектами операционной системы. LAN Manager-сервер использует множество таких маркеров доступа, связанных с разными сеансами. Открывая сеанс по запросу клиента, сервер получает от него параметры пользователя и передает для проверки Локальному администратору безопасности имя учетной записи, имя домена, переданный клиенту «вызов» и возвращенный клиентом «ответ» — производится сетевой вход пользователя. Подлинность указанных параметров проверяется при помощи базы учетных записей либо на том же компьютере, либо на контроллере домена при сквозной проверке подлинности. Если проверка прошла успешно, система безопасности возвращает серверу маркер доступа для данного пользователя. Сервер связывает этот маркер с открываемым сеансом и с его помощью выполняет все запросы к операционной системе, производимые в рамках данного сеанса.

Какими же средствами располагает администратор для управления SMB-сервером? Прежде всего это средства контроля доступа к сетевым ресурсам, являющиеся точками входа в систему по сети.

Контроль доступа к сетевым ресурсам

LAN Manager-сервер Windows NT поддерживает только один из предусмотренных протоколом SMB механизм контроля доступа — на уровне пользователя. С каждым сетевым ресурсом сервера связан список контроля доступа. Когда клиент SMB запрашивает подключение дерева, т.е. открывает сетевой ресурс, сервер сравнивает маркер доступа, соответствующий сеансу, со списком контроля доступа, связанным с сетевым ресурсом, и определяет разрешенный для данного сеанса тип доступа через эту точку входа.

Для вновь созданного сетевого ресурса список контроля доступа полностью открывает ресурс для всех пользователей (Everyone — Full Control). Разработчики Windows NT в качестве основного средства защиты информации рекомендуют разрешения NTFS, а к разрешениям на сетевой ресурс предлагают относиться как к дополнительной страховке. Однако правильно ли игнорировать страхование?

Записи списка контроля доступа через сетевой ресурс включают идентификатор учетной записи и установленное для этой учетной записи разрешение. В качестве разрешения может фигурировать одно из четырех значений:

Не рекомендуется использовать в списках разрешений группу Everyone, так как она включает гостевого и анонимного пользователей, которых администраторы обычно не имеют в виду. Гораздо лучший выбор — группа Users, в которую автоматически попадают все обычные пользователи Windows NT, и Administrators (встроенная учетная запись администратора не входит в группу Users). Еще одна альтернатива — специальная группа Authenticated Users, которая отличается от Everyone только тем, что в нее не входят ни гостевой, ни анонимный пользователи. Эта группа имеется только в Windows NT 4.0 с установленным третьим пакетом обновления.

Разрешения на сетевые ресурсы позволяют администратору достичь и нетривиальных целей. Далеко не всем администраторам нравится дискреционный принцип контроля доступа, т. е. контроль доступа, управляемый владельцем ресурса. Некоторые пользователи, увлекающиеся управлением доступом к своим файлам и папкам на NTFS, только мешают работать администратору. Если же для доступа через сетевой ресурс к файлам NTFS установлено лишь разрешение Change, пользователи, даже становясь владельцами файлов и папок, не могут по сети изменять разрешения NTFS.