Windows Ortamında Erişim Kontrol Listeleri (Access Control List – ACL)

Windows ortamında erişim kontrol kayıtlarına göre bir kullanıcı ya da gruba erişim hakkı verilmesi, erişimin engellemesi veya erişim denetimlenmesi sırasında Erişim Kontrol Listeleri kullanılır. Bu yazıda Windows ortamında erişim kontrol listeleri incelenecektir.

Erişim Kontrol Listeleri (Access Control List – ACL), erişim Kontrol Kayıtları’nın (Access Control Entry – ACE) değerlerinin bir araya gelmesi ile oluşurlar. ACL içerisindeki her bir ACE nesnesi bir kullanıcı ya da grubuna erişim hakkı vermede, erişimi engellemede veya erişim denetiminde kullanılır. DACL ve SACL olmak üzere iki türde ACL vardır.

 

1) Discretionary Access Control List (DACL)

Korunabilen bir nesneye bir kullanıcının veya grubun erişimine izin vermede ya da engellemede kullanılır. Bir proses, bir nesneye erişmeye çalıştığında gerekli izninin olup olmadığı DACL içinde bulunan ACE nesneleri sistem tarafından kontrol edilerek belirlenir. Eğer bir nesne üzerinde herhangi bir DACL bulunmuyorsa, system bu nesne üzerinde tüm kullanıcılara tam kontrol (full control) izni verir. Eğer nesnenin DACL değerinde herhangi bir ACE nesnesi bulunmuyorsa, sistem nesneye erişmeye çalışan tüm denemeleri engelleyecektir. Çünkü DACL, herhangi bir ACE bulundurmadığı için herhangi bir erişim hakkı da söz konusu olamayacaktır. Sistem nesne erişimlerinde, erişilmeye çalışılan nesnenin DACL’inde erişime izin veren herhangi bir ACE nesnesini bulana kadar aramaya devam edecektir, böyle bir nesne bulamazsa nesne erişimine izin verilmeyecektir.

 

2) System Access Control List (SACL)

System Access Control List (SACL) ise korunabilen bir nesneye erişme girişiminde bulunan tüm girişimlerin kayıt bilgisinin tutulmasında kullanılır. Her bir ACE nesnesi burada erişilmeye çalışılan nesne için hangi kullanıcı veya grubun hangi erişim türü için (başarılı – başarısız) güvenlik kayıt bilgileri (security event log) ekranına kayıt girileceğini tanımlamada kullanılır. SACL ile başarılı, başarısız ya da her iki durum için de kayıt bilgisi üretilmesi sağlanabilir.

 

Kaynak:

https://www.bilgiguvenligi.gov.tr/microsoft-sistemleri-guvenligi-dokumanlari/index.php