Информационная безопасность. Макаренко С.И. - 291 стр.

учетных записей) для разных уровней работы в системе. В системе имеется
управление      привилегированным       доступом,   то    есть   функции
администрирования доступны только одной группе учетных записей -
Administrators (Администраторы.).
      В соответствии со своей ролью каждый пользователь обладает
определенными привилегиями и правами на выполнение различных
операций в отношении системы в целом, например, право на изменение
системного времени или право на создание страничного файла. Аналогичные
права в отношении конкретных объектов называются разрешениями. И
права, и привилегии назначаются администраторами отдельным
пользователям или группам как часть настроек безопасности.
      Каждая привилегия имеет следующие представления:
      - дружественное имя, отображаемое в пользовательском интерфейсе
         Windows,
      - программное имя, используемое приложениями,
      - Luid - внутренний номер привилегии в конкретной системе.
      Помимо привилегий в Windows имеются близкие к ним права учетных
записей.
      Важно, что даже администратор системы по умолчанию обладает
далеко не всеми привилегиями. Это связано с принципом предоставления
минимума привилегий. В каждой новой версии ОС Windows, в
соответствии с этим принципом, производится ревизия перечня
предоставляемых каждой группе пользователей привилегий, и общая
тенденция состоит в уменьшении их количества. С другой стороны общее
количество привилегий в системе растет, что позволяет проектировать все
более гибкие сценарии доступа.
      Назначение и отзыв привилегий - прерогатива локального
администратора безопасности LSA (Local Security Authority), поэтому,
чтобы программно назначать и отзывать привилегии, необходимо применять
функции LSA.
      Локальная политика безопасности системы означает наличие
набора глобальных сведений о защите, например, о том, какие пользователи
имеют право на доступ в систему, а также о том, какими они обладают
правами. Поэтому говорят, что каждая система, в рамках которой действует
совокупность пользователей, обладающих определенными привилегиями в
отношении данной системы, является объектом политики безопасности.
Объект политики используется для контроля базы данных LSA. Каждая
система имеет только один объект политики, который создается
администратором      LSA    во    время    загрузки   и    защищен    от
несанкционированного доступа со стороны приложений.
      Управление привилегиями пользователей включает в себя задачи
перечисления, задания, удаления, выключение привилегий и ряд других.




                                  291