Windows Erişim Kontrol Modeli

0
243
views
Windows işletim sistemi erişimlerin kontrolü için bir takım kısıtlamalar getirmektedir. Bu yazıda Windows ortamında erişim kontrol modeli incelenecektir.

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

Windows erişim kontrol modeli iki temel parçadan oluşur. Birincisi “Access Token” adı verilen kullanıcı oturum açtığında oluşturulan ve oturum açan kullanıcı hakkında bilgi barındıran parça; ikincisi “Security Descriptors” adı verilen, korunabilen nesneler (securable object) hakkında bilgi bulunduran parçalardır.

Bir kullanıcı oturum açmaya çalıştığında sistem kullanıcı adı ve parolası ile kullanıcının kimlik doğrulamasını gerçekleştirir. Eğer oturum açma denemesi başarılıysa, sistem bu kullanıcı için bir Access Token oluşturur. Bu kullanıcı adına çalıştırılan tüm prosesler oluşturulan jetonun (token)bir örneğini bulundururlar. Jetonda kullanıcıyı tanımlanayan SID (Security Identifier) değeri, kullanıcının üye olduğu grupların SID değerleri bulunur. Ayrıca kullanıcıya veya kullanıcı grubuna atanmış ayrıcalıklar (privileges) da jeton içerisinde bulunur. Sistem bu jetonu ilgili kullanıcıyı korunabilen bir nesneye erişmeye çalıştığında tanımlamada ya da ayrıcalık gerektiren bir yönetici görevini yerine getirmede kullanır.

Security Descriptor atanan nesnelerin tümüne korunabilen nesne (Securable Object) adı verilir. Korunabilen nesnelere; dosya veya klasörler (NTFS üzerinde), prosesler ve iş parçacıkları (thread), kayıt anahtarları (registry), windows servisleri, yerel veya ağ yazıcıları, ağ paylaşımları, dizin servis nesneleri örnek olarak verilebilir. Bir korunabilen nesne oluşturulduğunda sistem bu nesneye bir Security Descriptor atamasında bulunur. Security Descriptor içerisinde bu nesnenin sahibi, nesne sahibi tarafından tanımlanabilen izin bilgileri bulunur. Varolan bir nesnenin Security Descriptor içeriğinde bulunan verileri düzenleyebilecek uygulamalar mevcuttur ve doğrudan müdahale edilmesi tavsiye edilmemektedir. Bir nesnenin Security Descriptor kapsamında aşağıdaki bilgiler bulunur:

  • Nesne sahibinin SID değeri
  • Erişimine izin verilen veya engellenen kullanıcıları veya grupları tanımlayan DACL (Discretionary Access Control List)
  • Erişim denemeleri için denetim kayıt bilgisi üretmede kullanılan SACL (System Access Control Lists)
  • Security Descriptor tanımlamada kullanılan bazı kontrol bitleri.

 

Kaynak:

https://www.bilgiguvenligi.gov.tr/microsoft-sistemleri-guvenligi-dokumanlari/index.php

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

CEVAP VER

Yorumunuzu giriniz
İsminizi giriniz

Bu site, istenmeyenleri azaltmak için Akismet kullanıyor. Yorum verilerinizin nasıl işlendiği hakkında daha fazla bilgi edinin.