Роман Клименко - Windows Vista. Для профессионалов

Например, Icacls c: \windows\system32\* /remove administrator /С. Удаляет DACL, упоминающий SID учетной записи Администратор, для всех файлов и папок каталога %systemroot%\system32.

Вы также можете сбросить DACL всех файлов определенного каталога или только определенного файла. В этом случае для него будет применяться наследуемый DACL. Для этого применяется команда icacls.ехе <���путь к файлу и его имя или путь к каталогу> /reset.

Программа смены владельца takeown.exe

Наверное, вам знакома ситуация, когда после запрещения полного доступа к файлу вы больше не можете изменить его DACL, так как это запрещено вами же. В этом случае можно попробовать заново получить файл во владение, чтобы сбросить все элементы DACL. Для этого можно использовать программу takeown.ехе.

С помощью данной программы администраторы могут сменить владельца определенного файла или каталога локального или удаленного компьютера на группу Администраторы или пользователя, от имени которого было выполнено подключение к компьютеру.

Синтаксис данной программы следующий: takeown /s <���удаленный компьютер> /и <���пользователь, от имени которого выполняется подключение к компьютеру> /р <���пароль> /F <���путь к файлу или каталогу, владельца которых нужно изменить> – <���дополнительные параметры>.

• /А – по умолчанию владельцем указанных в команде файлов становится пользователь, от имени которого выполнено подключение к компьютеру. Если же вы укажете этот параметр, то владельцем станет группа Администраторы.

• /R – по умолчанию владелец файлов сменяется только в файлах указанного в команде каталога. Если же нужно, чтобы владелец сменился для всех файлов, каталогов и содержимого вложенных каталогов, необходимо использовать данный параметр.

• /D – если значение данного параметра равно Y, то в случае отказа в доступе к файлу будет выполняться смена разрешений. Иначе данный файл будет пропущен.

Работа с SACL объекта

Как вы, наверное, уже знаете, включить аудит доступа к различным категориям объектов операционной системы можно с помощью оснастки Редактор объектов групповой политики, которая также входит в стандартную консоль gpedit.msc. Для этого нужно перейти в ее подраздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Политика аудита.

После этого можно указать определенный файл или ветвь реестра , аудит доступа к которым будет отслеживаться (если соответствующий тип аудита установлен в групповых политиках). Например, включить аудит для файла можно следующим образом. После отображения окна Свойства файла нужно перейти на вкладку Безопасность и нажать кнопку Дополнительно. Это приведет к отображению нового окна, содержащего вкладку Аудит. Вам достаточно перейти на нее и нажать кнопку Добавить. После этого отобразится окно Выбор: «Пользователь» или «Группа» для выбора учетной записи пользователя, для которого нужно установить аудит доступа к файлу. А после этого отобразится окно Элемент аудита для, с помощью которого можно выбрать действия над файлом, сведения о выполнении которых пользователем будут заноситься в стандартный журнал Windows Vista. Похожим образом устанавливается аудит доступа к ветвям реестра.

Просмотреть же события аудита можно в стандартном журнале операционной системы Безопасность, отображаемом в оснастке Просмотр событий (входит в консоль eventvwr.msc).

Однако это не единственный способ работы с функциями аудита операционной системы.

В состав операционной системы Windows Vista входит программа командной строки, назначением которой является аудит доступа к объектам и его настройкам. Эта программа является нововведением операционной системы Windows Vista, однако мы не будем полностью описывать ее параметры, так как о них всегда можно прочитать, введя в командной строке auditpol.ехе /? или auditpol.ехе <���команда> /?. Рассмотрим лишь основные способы применения данной программы.

Просмотр состояния аудита доступа к компонентам операционной системы

С помощью данной программы можно определить, включен или нет аудит доступа к тем или иным категориям или подкатегориям доступа операционной системы.

Для просмотра состояния аудита подкатегорий определенной категории доступа используется команда auditpol.ехе /get /Category: «категория». Здесь вместо категории можно использовать следующие значения.

• Account Logon – определяет аудит событий аутентификации пользователей в системе. В нее входят следующие подкатегории:

– Kerberos Ticket Events – аудит использования билетов Kerberos;

– Other Account Logon Events – аудит других событий;

– Credential Validation – аудит входа в систему с использованием учетных записей.

• Account Management – определяет аудит событий изменения параметров настройки учетных записей пользователей. Например, изменения членства в группах, создание и удаление новых учетных записей. В нее входят следующие подкатегории:

– Computer Account Management – изменение системных учетных записей;

– Security Group Management – смена системных групп пользователей;

– Distribution Group Management – изменение в распределении групп пользователей;

– Application Group Management – смена групп приложений;

– Other Account Management Events – изменение других групп пользователей;

– User Account Management – смена пользовательских учетных записей.

• Object Access – определяет аудит событий доступа к объектам (файлам, папкам, принтерам, разделам реестра , системным службам и т. д.). Именно к этой категории относится аудит, который назначается с помощью вкладки Аудит окна Дополнительные параметры безопасности (данное окно отображается после нажатия кнопки Дополнительно окна Свойства папки, файла, принтера или подраздела реестра ). В нее входят следующие подкатегории:

– File System – объекты файловой системы;

– Registry – ветви реестра ;

– Kernel Object – объекты ядра;

– SAM – объекты базы данных локальной безопасности SAM;

– Certification Services – объекты служб сертификации;

– Application Generated – объекты генерирования приложений;

– Handle Manipulation – объекты работы с указателями на окна;

– File Share – объекты доступа к общим файлам и папкам;

– Filtering Platform Packet Drop – список утерянных пакетов;

– Filtering Platform Connection – список соединений;

– Other Object Access Events – другие объекты операционной системы.

• Policy Change – определяет аудит изменения настроек безопасности операционной системы. Например, таких настроек, как изменение доверительных отношений, политики Kerberos, файловой системы EFS и параметров работы протокола QpS. В нее входят следующие подкатегории:

– Authentication Policy Change – изменение политик аутентификации;

– Authorization Policy Change – смена политик авторизации;

– MPSSVC Rule-Level Policy Change – изменение политик MPSSVC;

– Filtering Platform Policy Change – смена политик фильтрации пакетов;