Что может сделать непривилегированный пользователь с файлом если на него установлены права 400

Обновлено: 19.05.2024

Управление привилегированным доступом (Privileged Account Management, PAM) помогает:

уменьшить площадь атаки,
смягчить воздействия кибератак,
повысить производительности работы,
снизить риска от ошибок пользователя.

Главной целью PAM является ограничение прав доступа и разрешенных действий для учетных записей, систем, устройств (таких, как IoT), процессов и приложений.

PAM рассматривается многими аналитиками как один из наиболее важных проектов безопасности для снижения рисков. Ведь PAM обеспечивает детальный обзор, контроль и аудит над привилегированными доступами и действиями.

Что такое привилегии и зачем они?

Привилегия в информационных технологиях – это полномочие, которое учетная запись или процесс имеет в вычислительной системе.

Включать в себя разрешения на выполнение следующих действий:

выключение систем,
загрузка драйверов устройств,
настройка сетей или систем,
подготовка и настройка учетных записей,
подготовка и настройка облачных экземпляров и т. п.

Сотрудникам можно дать привилегии, основанные на ролях (например, маркетинг, менеджмент или IT-отдел) и других параметрах (стаже работы, времени суток и т. д.).

Примеры привилегированных учетных записей:

Локальные административные учетные записи – неличные учетные записи, обеспечивающие административный доступ только к локальному хосту или экземпляру.
Административные учетные записи домена – привилегированный административный доступ ко всем рабочим станциям и серверам в домене.
Аварийные учетные записи – непривилегированные пользователи с административным доступом к защищенным системам в случае чрезвычайной ситуации.
Сервисные аккаунты – привилегированные локальные или доменные учетные записи, которые используются приложением или службой для взаимодействия с операционной системой.
Учетные записи приложений – для доступа к базам данных, запуска пакетных заданий или сценариев или предоставления доступа к другим приложениям.

Привилегии позволяют пользователям, приложениям и другим системным процессам права доступа к определенным ресурсам. В то же время возможность злоупотребления со стороны как внутренних, так и внешних злоумышленников создает для организаций серьезную угрозу безопасности.

Внешние и внутренние угрозы привилегированных доступов

Хакеры, вредоносные программы, партнеры, инсайдеры, пользовательские ошибки представляют собой наиболее распространенные векторы привилегированных угроз.

Преимущества управления привилегированным доступом:

Чем больше привилегий и доступа к пользователю, учетной записи или процессу накапливается, тем больше вероятность злоупотребления, эксплойта или ошибки. Реализация управления привилегиями не только минимизирует вероятность возникновения нарушения безопасности, но также ограничит область нарушения в случае его возникновения.
PAM может демонтировать несколько точек цепочки кибератак, обеспечивая защиту как от внешних атак, так и от внутренних атак, совершаемых в сетях.
Ограничение привилегий для людей, процессов и приложений уменьшит площадь атаки, защищая от внешних и внутренних угроз.
С PAM уменьшится распространение вредоносных программ, ведь многие их разновидности нуждаются в повышенных привилегиях для установки или запуска. Удаление чрезмерных привилегий, таких как принудительное применение наименьших привилегий в масштабах предприятия, помешает вредоносному ПО закрепиться в системе.
Снизится вероятность возникновения проблем несовместимости между приложениями или системами и сам риск простоев.
Управление привилегированным доступом поможет создать менее сложную и, следовательно, более простую для аудита среду.

Представление рабочего процесса привилегированного управления паролями.

Как осуществляется защита PAM

Автоматизированные, предварительно упакованные решения PAM способны масштабироваться на миллионы привилегированных учетных записей и активов для повышения безопасности и соответствия требованиям.

Решения PAM могут автоматизировать обнаружение, управление и мониторинг, чтобы устранить пробелы в привилегированном покрытии учетных записей и учетных данных, одновременно оптимизируя рабочие процессы и значительно уменьшая административную сложность.

Управление привилегированными доступами поможет повысить безопасность с помощью:

Ведения полного списка всех активных привилегированных учетных записей в сети и обновления этого списка при каждом создании новой учетной записи.
Хранения привилегированных идентификаторов, таких как пароли, ключи SSH и сертификаты SSL, в безопасном хранилище.
Применения строгих политик безопасности, охватывающих сложность пароля, частоту его сброса, создания надежных пар ключей SSH и так далее.
Предоставления привилегированного доступа с минимальными разрешениями, необходимыми для выполнения задания.
Аудита всех операций с идентификацией, таких как вход для привилегированных пользователей, общие пароли, попытки доступа к паролю, действия по сбросу и т. д. привилегированных пользователей в режиме реального времени.

Компания CloudNetworks занимается внедрением PAM-систем. После консультации мы подберем наилучший вариант для защиты вашего бизнеса.

Кто знает, почему в XP запись CD/DVD разрешена кому угодно? Обычный непривилегированный пользователь может писать с помощью "левых" утилит, например burn.exe из рескита или Small CD-Wrter.

Сервис imapi выключен, в GPO установлен запрет на запись CD/DVD. Однако на "левые" программы записи дисков перечисленное не действует.

Замечу ещё, что право записи CD/DVD появляется у обычных пользователей при вводе машины в домен AD, причём вывод машины из домена этих прав уже не отменяет.

Буду благодарен тем, кто подскажет, что именно необратимо меняется в правах при вводе машины в домен. В политиках в "Параметрах безопасности" и "Назначении прав пользователя" ничего подходящего не нашлось.

Ответы

Видимо это из тех вещей, которые нельзя понять, а нужно просто знать.

Все ответы

Админовских (или Power User) у этих пользователей случаем нет?
И ещё, надо посмотреть с помощью rsop.msc на локальном компьютере применяются ли на нём необходимое GPO, нет ли конфликтов с каким-то другим GPO?

Админовских (или Power User) у этих пользователей случаем нет?

Точно нет. Могу gpresult показать. Что интересно, после ввода машины в домен права на запись CD/DVD появляются даже у локального юзера этой машины (не заведенного в домене).

И ещё, надо посмотреть с помощью rsop.msc на локальном компьютере применяются ли на нём необходимое GPO, нет ли конфликтов с каким-то другим GPO?

Я смотрю обычно из gpmc. А о каком именно необходимом GPO идет речь?

Запрет на запись CD/DVD в GPO (User Configuration\Administrative Templates\Windows Components\Windows Explorer\Remove CD Burning Features) касается только записи средствами explorer.

GPMC вы смотрите как должны разливаться выбранные вами политики со стороны сервера. RSOP.msc (Resultant Set of Policy) запускается на целевом компьютере и "смотрит" какие именно политики применяются на выбранном компьютере (доменные и локальные). Т.е. именно с помощью RSOP можно убедиться в том какие политики в данный момент действуют на компьютере.
Необходимое GPO - в данном случае политика созданная вами и содержащая Remove CD Burning Features.
У вас нетипичный случай. Компьютер при подключении его к домену не должен раздавать права всем пользователям на запись CD.
Может помочь следующее действие на локальном компьютере:
Управление компьютером -> Запоминающие устройства -> правой кнопкой Съемные ЗУ -> Свойства -> Безопасность -> снять галочки "Изменить" и "Элемент управления" для группы Пользователи (Users). Но как это сделать централизованно для всех компьютеров я, увы, не могу подсказать. MCSA

GPMC вы смотрите как должны разливаться выбранные вами политики со стороны сервера. RSOP.msc (Resultant Set of Policy) запускается на целевом компьютере и "смотрит" какие именно политики применяются на выбранном компьютере (доменные и локальные). Т.е. именно с помощью RSOP можно убедиться в том какие политики в данный момент действуют на компьютере.

Почему же. В gpmc есть "group policy results", оно запрашивает реальную картину с целевого компа. Но не об этом сейчас речь.

Политика Remove CD Burning Features прекрасно применилась, возможность записи CD/DVD средствами explorer пропала. Но вопрос-то был не о ней, а о сторонних средствах записи.

У вас нетипичный случай. Компьютер при подключении его к домену не должен раздавать права всем пользователям на запись CD.

Я совершенно согласен, что не должен. Вопрос был - почему так происходит и как с этим бороться?

Может помочь следующее действие на локальном компьютере:
Управление компьютером -> Запоминающие устройства -> правой кнопкой Съемные ЗУ -> Свойства -> Безопасность -> снять галочки "Изменить" и "Элемент управления" для группы Пользователи (Users). Но как это сделать централизованно для всех компьютеров я, увы, не могу подсказать.

Компьютеры, работающие под управлением операционных систем Windows, могут работать с различными файловыми системами, такими как FAT32 и NTFS. Не вдаваясь в подобности можно сказать одно, что отличаются они главным – файловая система NTFS позволяет настраивать параметры безопасности для каждого файла или папки(каталога). Т.е. для каждого файла или папки файловая система NTFS хранит так называемые списки ACL(Access Control List), в которых перечислены все пользователи и группы, которые имеют определенные права доступа к данному файлу или папке. Файловая система FAT32 такой возможности лишена.

В файловой системе NTFS каждый файл или папка могут иметь следующие права безопасности:

Чтение — Разрешает обзор папок и просмотр списка файлов и подпапок, просмотр и доступ к содержимому файла;
Запись — Разрешает добавление файлов и подпапок, запись данных в файл;
Чтение и Выполнение — Разрешает обзор папок и просмотр списка файлов и подпапок, разрешает просмотр и доступ к содержимому файла, а также запуск исполняемого файла;
Список содержимого папки — Разрешает обзор папок и просмотр только списка файлов и подпапок. Доступ к содержимому файла это разрешение не дает!;
Изменить — Разрешает просмотр содержимого и создание файлов и подпапок, удаление папки, чтение и запись данных в файл, удаление файла;
Полный доступ — Разрешает просмотр содержимого, а также создание, изменение и удаление файлов и подпапок, чтение и запись данных, а также изменение и удаление файла

Перечисленные выше права являются базовыми. Базовые права состоят из особых прав. Особые права — это более подробные права, из которых формируются базовые права. Использование особых прав дает очень большую гибкость при настройке прав доступа.

Список особых прав доступа к файлам и папкам:

. Все базовые и особые права являются как разрешающими так и запрещающими.

Все разрешения файлов и папок делятся на два вида: явные и наследуемые. Механизм наследования подразумевает автоматическую передачу чего-либо от родительского объекта дочернему. В файловой системе это означает, что любой файл или папка могут наследовать свои права от родительской папки. Это очень удобный механизм, избавляющий от необходимости назначать явные права для всех вновь создаваемых файлов и папок. Представьте, что у вас на каком-то диске несколько тысяч файлов и папок, как им всем раздать права доступа, сидеть и каждому назначать? Нет. Тут работает механизм наследования. Создали папку в корне диска, папка автоматически получила точно такие же права, как и корень диска. Изменили права для вновь созданной папки. Потом внутри созданной папки создали еще вложенную папку. У этой вновь созданной вложенной папки права унаследуются от родительской папки и т.д. и т.п.

Старайтесь не пользоваться назначением прав, непосредственно, на файлы, назначайте права на папки.

. Старайтесь назначать права только для групп, это значительно упрощает администрирование. Назначение прав для конкретных пользователей не рекомендуется фирмой Microsoft. Не забывайте, что в группу могут входить не только пользователи, но и другие группы.

Не расстраивайтесь если все описанное выше сразу не очень понятно. Примеры и самостоятельная работа быстро исправят положение!

Переходим к конкретике.

Все примеры я буду показывать на примере окон Windows XP. В Windows 7 и выше сущность осталась идентичной, только окон стало немного больше.

Все, теперь вам доступны все свойства файловой системы NTFS.

. Все примеры будут идти с нарастанием сложности. Читайте и разбирайтесь с ними в такой же последовательности как они идут в тексте. Однотипные действия в последующих примерах буду опускать, чтобы сократить объём текста. 🙂

Пример 1. Предоставление права доступа к папке определенной локальной группе безопасности только на чтение.

Данная ситуация очень распространена. Предположим у вас есть локальная папка, содержимым которой вы хотите поделиться с определенным количеством пользователей. Причем доступ к данной папке перечисленным пользователям должен быть только на чтение. Как это сделать?

В результате у меня получается вот такая картина.

Пример 2. Предоставление персонального доступа пользователям к своим подпапкам в папке.

Данная ситуация тоже распространена на практике. Например, у вас есть папка для новых сканированных документов. В этой папке для каждого пользователя создана своя отдельная подпапка. После сканирования документ забирается пользователем из свой подпапки. Задача назначить права так, чтобы каждый пользователь видел содержимое только своей подпапки и не мог получить доступ в подпапку коллеги.

Все. Теперь остается настроить персональные права на каждую подпапку. Сделать это придется для каждой подпапки, права-то персональные для каждого пользователя.

Все нужные действия вы уже делали в первом примере, повторим пройденное 🙂

Пример 3. Предоставление персонального доступа пользователю к своей подпапке на запись, с одновременным запретом изменения или удаления.

Понимаю, что тяжело звучит, но постараюсь пояснить. Такой вид доступа я называю защелка. В быту мы имеем аналогичную ситуацию с обычным почтовым ящиком, в который бросаем бумажные письма. Т.е. бросить письмо в ящик можно, но вытащить его из ящика уже нельзя. В компьютерном хозяйстве такое может пригодиться для ситуации, когда вам кто-то записывает в папку отчет. Т.е. файл записывается пользователем, но потом этот пользователь уже ничего не может с этим файлом сделать. Таким образом, можно быть уверенным, что создатель уже не сможет изменить или удалить переданный отчет.

В открывшемся окне мы видим стандартные права на чтение

А как же полная аналогия с реальным почтовым ящиком ?

При этом у пользователя не остается права на чтение или копирование файла.

Все. Теперь аналогия с физическим почтовым ящиком почти полная. Он сможет только видеть названия файлов, их размер, атрибуты, но сам файл увидеть не сможет.

Просмотр действующих прав.

Хочу сказать сразу, имеющаяся возможность просмотреть действующие права для папки или файла, является полной фикцией. В моем представлении такие инструменты должны давать гарантированную информацию. В данном случае это не так. Майкрософт сама признается в том, что данный инструмент не учитывает много факторов, влияющих на результирующие права, например, условия входа. Поэтому, пользоваться подобным инструментом – только вводить себя в заблуждение относительно реальных прав.

Описанный в самом начале статьи случай, с запретом на удаление файла из папки в данном случае является очень красноречивым. Если вы смоделируете подобную ситуацию и посмотрите на права файла, защищенного от удаления, то вы увидите, что в правах файла на удаление стоит запрет. Однако, удалить этот файл не составит труда. Почему Майкрософт так сделала — я не знаю.

В заключении хочу сказать, что тема прав файловой системы NTFS очень обширна, приведенные выше примеры лишь очень малая часть того, что можно сделать. Поэтому, если возникают вопросы, задавайте их в комментариях к этой статье. Постараюсь на них ответить.

Объект "Роли" предназначен для определения набора прав (совокупности разрешений) пользователей конфигурации (ограничения прав доступа в прикладных решениях). Роль определяет, какие действия, над какими объектами метаданных может выполнять пользователь, выступающий в этой роли.

Роль в конфигурации может соответствовать:

должностям групп пользователей или
видам деятельности групп пользователей,

для работы которых предназначена данная конфигурация (например, "Администратор" или "Продавец").

В процессе ведения списка пользователей прикладного решения каждому пользователю ставится в соответствие одна или несколько ролей (т.е. в версии 1C 8.х каждый пользователь может иметь несколько ролей).

Для каждого из объектов (справочники, документы) разработчик устанавливает свой набор прав — чтение, запись, изменение, и т.д.

В 1С общая логика управления доступом - это логика разрешений (нет никаких механизмов запрета доступа, а есть только механизмы выдачи доступа).

По умолчанию доступ ко всем данным запрещен. Настройка доступа заключается в выдаче каждому пользователю нужных ему прав: если какой-то ролью пользователю дано право на просмотр, например, документов "Накладная", то никакими способами нельзя это право отнять (другими ролями или любыми другими механизмами платформы и конфигурации). Т.е. если доступ уже выдан, то забрать его другими ролями нельзя. Поэтому при ограничении ролями доступа пользователям к справочнику очень важно проверять, что пользователю не назначена никакая другая роль на тот же справочник.

Можно изначально выдать не полный доступ к справочнику, а отфильтровать с помощью RLS данные, на которые мы даем доступ.

При попытке пользователя выполнить действие, на которое у него нет разрешения, действие выполнено не будет, а система выдаст окно предупреждения "Нарушение прав доступа".

Настройка объекта "Роли" 1С

Окно настройки объекта "Роли" содержит две вкладки:

Права (основная)
Шаблоны ограничений (для настройки прав на уровне записей - RLS, Row Level Security).

Настройка объекта "Роли" на вкладке "Права"

Вкладка "Права" окна настройки объекта "Роль" содержит:

Список "Объекты" — список метаданных, на которые могут устанавливаться права доступа.
Список "Права" — список доступных для настроек прав.
Табличную часть "Ограничение доступа к данным" — поля роли для настройки RLS (настроек прав на уровне записей).
Флаг "Устанавливать права для новых объектов" — если флаг установлен, на новые объекты метаданных будут автоматически установлены разрешающие права.
Флаг "Устанавливать права для реквизитов и табличных частей по умолчанию" — если флаг установлен, реквизиты и табличные части будут наследовать права владельца (справочника, документа и т.д.).
Флаг "Независимые права подчиненных объектов" — если флаг установлен, то права родительского объекта не учитываются. Если флажок снят, то при определении права подчиненного объекта анализируется соответствующее право родительского объекта: если у родительского объекта право отсутствует, у подчиненного объекта также отсутствует право, вне зависимости от состояния права у подчиненного объекта.

Список прав на всю конфигурацию 1С:

Чтение — чтение (программное).
Добавление — добавление (программное).
Изменение — изменение (программное).
Удаление — удаление (программное).
Просмотр — просмотр.
Интерактивное добавление — интерактивное добавление.
Редактирование — редактирование.
Интерактивная пометка удаления — интерактивная пометка на удаление.
Интерактивное снятие пометки удаления — снятие пометки на удаление.
Интерактивное удаление помеченных— удаление помеченных объектов.
Ввод по строке — использование режима ввода по строке.
Интерактивное удаление — непосредственное удаление (shift +del).

Интерактивное проведение — проведение.
Отмена проведения — отмена проведения документов.
Интерактивное проведение неоперативное — проведение (стандартными командами форм) документа в неоперативном режиме.
Интерактивная отмена проведения — интерактивная отмена проведения.
Интерактивное изменение проведенных — право на редактирование проведенного документа. Если право у роли не установлено, то форма такого документа открывается в режиме просмотра и пользователь не может:
- удалить проведенный документ,
- установить пометку удаления,
- перепровести или
- сделать непроведенным.

УправлениеИтогами — управление итогами регистра бухгалтерии и регистра накопления (установка периода, по который рассчитаны итоги, и пересчет итогов).

Читайте также: