SACL

«SACL» (англ. System Access Control List) — список управления доступом к объектам «Microsoft Windows», используемый для аудита доступа к объекту.^[1]

«SACL» - это традиционный механизм логирования событий, который определяет, как проверяется доступ к файлам и папкам. В отличие от «DACL», «SACL» не может ограничивать доступ к файлам и папкам. Но он может отследить событие, которое будет записано в журнал событий безопасности(security event log), когда пользователь обратится к файлу или папке. Это отслеживание может быть полезно при решении проблем доступа или при определении запрещенного проникновения^[2].

ОписаниеПравить

Для специалистов в сфере безопасности, «SACL» — важнейший инструмент для определения проникновения. Системные администраторы больше используют «SACL» для определения прав, которые необходимо дать пользователю, для корректной работы приложения. Разработчики используют «SACL» для определения ресурсов, к которым доступ приложения запрещен, для настройки корректности работы приложения, при ограниченных правах доступа.

Системный список управления доступом (SACL) позволяет администраторам регистрировать попытки доступа к защищенному объекту. Каждая запись ACE определяет типы попыток доступа со стороны указанного доверенного лица, которые заставляют систему создавать запись в журнале событий безопасности. ACE в SACL может генерировать записи аудита, когда попытка доступа не удалась, когда она была успешной, или в обоих случаях^[3].

Работа в ОС WindowsПравить

По умолчанию, «Windows» не отслеживает события доступа. Для включения «SACL» необходимо:

1) Открыть «Локальную политику безопасности», запустив «secpol.msc»;

2) Развернуть «Локальная политика», и выбрать «Политика Аудита»;

3) Справа произвести двойной клик по пункту "Аудит доступа к объектам". Выбрать "Отказ".
В случае необходимости логирования ошибок доступа, выбрать "Успех", в случае необходимости логирования успешных доступов.

В «Active Directory Domain Services» администратор домена может включить аудит доступа к объектам для всех членов используя групповую политику.

Сравнение с RBACПравить

Основной альтернативой модели ACL является модель управления доступом на основе ролей (RBAC). «Минимальную модель RBAC», RBACm , можно сравнить с механизмом ACL, ACLg , где в качестве записей в ACL разрешены только группы. Barkley показал, что RBACm и ACLg эквивалентны^[4].

В современных реализациях SQL ACL также управляют группами и наследованием в иерархии групп. Таким образом, «современные списки ACL» могут выражать все то, что выражает RBAC, и являются особенно мощными (по сравнению со «старыми ACL») в своей способности выражать политику управления доступом с точки зрения того, как администраторы рассматривают организации^[5].

Для обмена данными и для «высокоуровневых сравнений» данные ACL можно преобразовать в XACML^[6] .

ПримечанияПравить

↑ S (Windows) (неопр.). Дата обращения: 18 ноября 2009. Архивировано 27 декабря 2009 года.
↑ Jaehoon Kim. Hybrid Authorization Conflict Detection in RDF Access Control // Korea Institute of Information Technology Review. — 2013-02-28. — Т. 11, вып. 2. — ISSN 1598-8619. — doi:10.14801/kiitr.2013.11.2.151.
↑ alvinashcraft. Access Control Lists - Win32 apps (амер. англ.). learn.microsoft.com. Дата обращения: 13 октября 2022.
↑ John Barkley. Comparing simple role based access control models and access control lists // Proceedings of the second ACM workshop on Role-based access control - RBAC '97. — New York, New York, USA: ACM Press, 1997. — doi:10.1145/266741.266769.
↑ James Daly, Alex X. Liu, Eric Torng. A difference resolution approach to compressing Access Control Lists // 2013 Proceedings IEEE INFOCOM. — IEEE, 2013-04. — doi:10.1109/infcom.2013.6567005.
↑ Günter Karjoth, Andreas Schade. Implementing ACL-Based Policies in XACML // 2008 Annual Computer Security Applications Conference (ACSAC). — IEEE, 2008-12. — doi:10.1109/acsac.2008.31.

[1] S (Windows) (неопр.). Дата обращения: 18 ноября 2009. Архивировано 27 декабря 2009 года.

[2] Jaehoon Kim. Hybrid Authorization Conflict Detection in RDF Access Control // Korea Institute of Information Technology Review. — 2013-02-28. — Т. 11, вып. 2. — ISSN 1598-8619. — doi:10.14801/kiitr.2013.11.2.151.

[3] alvinashcraft. Access Control Lists - Win32 apps (амер. англ.). learn.microsoft.com. Дата обращения: 13 октября 2022.

[4] John Barkley. Comparing simple role based access control models and access control lists // Proceedings of the second ACM workshop on Role-based access control - RBAC '97. — New York, New York, USA: ACM Press, 1997. — doi:10.1145/266741.266769.

[5] James Daly, Alex X. Liu, Eric Torng. A difference resolution approach to compressing Access Control Lists // 2013 Proceedings IEEE INFOCOM. — IEEE, 2013-04. — doi:10.1109/infcom.2013.6567005.

[6] Günter Karjoth, Andreas Schade. Implementing ACL-Based Policies in XACML // 2008 Annual Computer Security Applications Conference (ACSAC). — IEEE, 2008-12. — doi:10.1109/acsac.2008.31.

[1]

[2]

[3]

[4]

[5]

[6]