Безопасность Windows:
В безопасности Windows , на самом базовом уровне, всё сводится к субъектам и объектам. Объект – это то, что вы защищаете. Субъект– это то, от кого вы защищаете. Субъекты и объекты используются в аутентификации (authentication) – проверка кто вы; авторизации (authorization) – предоставление доступа к чему-либо и аудите (auditing) – отслеживание, кто получил доступ. Примером субъекта – служит пользователь. Объектом – файл.
Существует такое понятие как принципал безопасности (security principal). В книге Windows Server 2008 Security Resource Kit, отMicrosoft Press, даётся такое определение: A security principal is anything that can be assigned a security identifier (SID) and that can be given permission to access something (Принципал безопасности – это всё, чему может быть назначен SID и предоставленыправа доступа к чему–либо).
В Windows принципалами безопасности являются Пользователи (Users), Компьютеры (Computers) и Группы (Groups). А начиная с Windows Vista принципалом безопасности так же является Служба (Service), которая теперь тоже имеет SID.
SID – (Security ID, идентификатор безопасности)
Числовое представление принципала безопасности.
Access Control List (ACL) – Список контроля доступа (ACL) – Это список записей управления доступом (access control entries, ACE). Каждый ACE в ACL идентифицирует доверенное лицо (trustee) и указывает права доступа, разрешенные или запрещенные для этого доверенного лица (trustee). Дескриптор безопасности для защищаемого объекта может содержать два типа ACL: DACL и SACL.
SACL – System Access Control List
Содержит ACE используемые механизмом логирования событий
DACL – Discretionary Access Control List
Список избирательного управления доступом. Используется для управление доступом субъектов к объектам на основе списков управления доступом или матрицы доступа. Состоит из набора ACE.
ACE – Access Control Entries
Запись управления доступом (ACE) является элементом в списке управления доступом (ACL). ACL может иметь ноль или более ACE. Каждый ACE контролирует или отслеживает доступ к объекту определенным доверенным лицом (субъектом).
