Операционные системы, среды и оболочки. Макаренко С.И. - 167 стр.

     − Далее система последовательно сравнивает SID каждого ACE из
       DACL с SID маркера. Если обнаруживается соответствие,
       выполняется сравнение маски доступа с проверяемыми правами.
       Для запрещающих ACE даже при частичном совпадении прав
       доступ немедленно отклоняется. Для успешной проверки
       разрешающих элементов необходимо совпадение всех прав.




    Рис. 11.10. Пример проверки прав доступа к защищенному объекту

     Очевидно, что для процедуры проверки важен порядок расположения
ACE в DACL. Поэтому Microsoft предлагает так называемый
предпочтительный порядок размещения ACE. Например, для ускорения
рекомендуется размещать запрещающие элементы перед разрешающими.

   11.7.6 Основные компоненты системы безопасности ОС Windows

     Система контроля дискреционного доступа - центральная концепция
защиты ОС Windows, однако перечень задач, решаемых для обеспечения
безопасности, этим не исчерпывается. В данном разделе будут
проанализированы структура, политика безопасности и API системы защиты.
     Изучение структуры системы защиты помогает понять особенности ее
функционирования. Несмотря на слабую документированность ОС Windows
по косвенным источникам можно судить об особенностях ее
функционирования.
      Система защиты ОС Windows состоит из следующих компонентов
(см. рис. 11.11).
     − Процедура регистрации (Logon Processes), которая обрабатывает
       запросы пользователей на вход в систему. Она включают в себя
       начальную интерактивную процедуру, отображающую начальный

                                  167