RU2379752C1 - Method of comparing security status of windows family operating systems - Google Patents
Method of comparing security status of windows family operating systems Download PDFInfo
- Publication number
- RU2379752C1 RU2379752C1 RU2008129212/09A RU2008129212A RU2379752C1 RU 2379752 C1 RU2379752 C1 RU 2379752C1 RU 2008129212/09 A RU2008129212/09 A RU 2008129212/09A RU 2008129212 A RU2008129212 A RU 2008129212A RU 2379752 C1 RU2379752 C1 RU 2379752C1
- Authority
- RU
- Russia
- Prior art keywords
- state
- security
- files
- states
- directory
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 27
- 239000000203 mixture Substances 0.000 claims description 21
- 230000004807 localization Effects 0.000 abstract description 2
- 238000012544 monitoring process Methods 0.000 abstract description 2
- 238000001514 detection method Methods 0.000 abstract 1
- 239000000126 substance Substances 0.000 abstract 1
- 230000007704 transition Effects 0.000 description 4
- 238000013507 mapping Methods 0.000 description 3
- 239000000463 material Substances 0.000 description 1
- 230000002085 persistent effect Effects 0.000 description 1
Landscapes
- Storage Device Security (AREA)
Abstract
Description
Изобретение относится к области управления безопасностью операционных систем семейства Windows (в т.ч. Microsoft Windows 2000 Professional, Microsoft Windows 2000 Server, Microsoft Windows XP Professional, Microsoft Windows Server 2003, Microsoft Windows Server 2008, Microsoft Windows Vista Ultimate, Enterprise и Business 32-х и 64-х разрядных версий любой локализации), а именно к сопоставлению характеристик конфигураций операционных систем с точки зрения оценки их безопасности.The invention relates to the field of security management of operating systems of the Windows family (including Microsoft Windows 2000 Professional, Microsoft Windows 2000 Server, Microsoft Windows XP Professional, Microsoft Windows Server 2003, Microsoft Windows Server 2008, Microsoft Windows Vista Ultimate, Enterprise and Business 32 and 64-bit versions of any localization), namely, a comparison of the characteristics of operating system configurations in terms of assessing their security.
Известны системы и методы обеспечения безопасности операционных систем, основанные на анализе характеристик конфигурации, например, US 2007136578, H04L 9/00, опубл. 2007-06-14, WO 2007021949, G06F 12/14, опубл. 2007-02-22, система и способы обеспечения улучшенной модели безопасности, заявка на изобретение РФ №2005120655, H04L 9/32, опубл. 2006-01-20. Однако ни в одном из указанных материалов не содержится описание способа сопоставления двух и более состояний безопасности операционных систем семейства Windows.Known systems and methods for ensuring the safety of operating systems based on the analysis of configuration characteristics, for example, US 2007136578, H04L 9/00, publ. 2007-06-14, WO 2007021949, G06F 12/14, publ. 2007-02-22, system and methods for providing an improved security model, application for invention of the Russian Federation No. 2005120655, H04L 9/32, publ. 2006-01-20. However, none of these materials contains a description of how to map two or more security states of Windows operating systems.
Известен способ идентификации параметров конфигурации, являющихся причиной нежелательного поведения системы, который содержит процедуру мониторинга параметров операционной системы (US 2007300103, G06F 9/445; G06F 11/34; G06F 11/07; H04L 12/24, опубл. 2007-12-27). Однако в этом способе не предусмотрено сопоставление конфигураций операционных систем семейства Windows с точки зрения безопасности.A known method for identifying configuration parameters that cause undesirable system behavior, which contains a procedure for monitoring operating system parameters (US 2007300103, G06F 9/445; G06F 11/34; G06F 11/07; H04L 12/24, publ. 2007-12-27 ) However, this method does not provide a comparison of the configurations of Windows operating systems from a security point of view.
В основу изобретения положена задача создания способа сопоставления состояний безопасности операционных систем семейства Windows, в котором обеспечено повышение эффективности оценки безопасности систем за счет предоставления возможностей сопоставления конфигурационных параметров, отслеживания динамики происходящих изменений состояний и выявления отклонений от заданного "эталонного" состояния в операционных системах семейства Windows вследствие предложения процедуры сопоставления состояний безопасности и включения в анализируемое множество полного набора конфигурационных параметров безопасности ресурсов пользовательского уровня.The basis of the invention is the creation of a method for comparing security states of operating systems of the Windows family, which provides increased efficiency of assessing the security of systems by providing the ability to compare configuration parameters, monitor the dynamics of ongoing state changes and detect deviations from a given "reference" state in Windows operating systems due to the proposal of a procedure for comparing security states and inclusion in the analyzed A complete set of user level resource security configuration settings.
Решение поставленной технической задачи обеспечивается тем, что в способе сопоставления состояний безопасности операционных систем семейства Windows, включающем фиксацию и сопоставление конфигурационных параметров безопасности субъектов и объектов операционных систем семейства Windows, выбирают файлы и каталоги файловой системы, которые войдут в первое сопоставляемое состояние; при этом по умолчанию в сопоставляемое состояние включают все каталоги файловой системы, кроме системных каталогов Windows, Program Files, Documents and Settings, съемных, сетевых и виртуальных дисков;The solution of the technical problem is ensured by the fact that in the method of comparing the security states of operating systems of the Windows family, including fixing and matching the security configuration parameters of the subjects and objects of the operating systems of the Windows family, select files and directories of the file system that will enter the first mapped state; in this case, by default, all directories of the file system are included in the mapped state, except for the Windows system directories, Program Files, Documents and Settings, removable, network, and virtual disks;
затем выполняют обход выбранной части иерархии файловой системы, фиксируя для каждого объекта файловой системы его абсолютный путь, имя и идентификатор безопасности его владельца, дискреционный список эффективных прав доступа и значения атрибутов безопасности "Флаг наследования прав" и "Область распространения прав"; при этом, если объект является каталогом файловой системы, фиксируют состав вложенных в него подкаталогов и файлов;then they crawl the selected part of the file system hierarchy, fixing for each file system object its absolute path, name and security identifier of its owner, a discretionary list of effective access rights and the values of the security attributes "Rights inheritance flag" and "Rights distribution area"; in this case, if the object is a directory of the file system, fix the composition of the subdirectories and files attached to it;
затем фиксируют имена субъектов системы (пользователей, групп пользователей и встроенных участников безопасности), их идентификаторы безопасности, наборы назначенных привилегий и наборы групп, членами которых является субъект; при этом, если субъект является группой пользователей, фиксируют имена и идентификаторы безопасности ее членов;then they fix the names of the subjects of the system (users, user groups and built-in security participants), their security identifiers, sets of privileges assigned and sets of groups of which the subject is a member; in this case, if the subject is a group of users, the names and security identifiers of its members are recorded;
затем сохраняют зафиксированное состояние в файле состояния;then save the committed state in the status file;
поскольку сопоставление выполнимо для пары состояний, все выше изложенные действия, включая сохранение в файле состояния, повторно выполняют необходимое количество раз (минимум - один раз) в произвольные моменты времени в той же системе или в разных системах для того, чтобы образовать множество сопоставляемых состояний;since the comparison is feasible for a pair of states, all of the above actions, including saving in the state file, repeatedly perform the necessary number of times (at least once) at arbitrary points in time in the same system or in different systems in order to form a set of comparable states;
затем выбирают для сопоставления два зафиксированных состояния, сохраненных в файлах состояний, выбирают условия сопоставления состояний и производят их сопоставление с учетом выбранных условий; при этом условия сопоставления ограничивают множества сопоставляемых субъектов, объектов и их конфигурационных параметров безопасности и определяют выполнение последующих действий процедуры сопоставления, что позволяет обрабатывать часть параметров и тем самым ускорять процесс;then, two fixed states stored in state files are selected for comparison, the conditions are compared and the conditions are compared, taking into account the selected conditions; at the same time, the conditions of comparison limit the sets of compared subjects, objects and their configuration security parameters and determine the implementation of the subsequent steps of the comparison procedure, which allows to process part of the parameters and thereby speed up the process;
извлекают из сохраненных файлов состояний и производят сопоставление составов субъектов; при этом в каждом состоянии отмечают субъектов, которые отсутствуют в другом состоянии;extracted from stored state files and compares the composition of the subjects; while in each state, subjects are noted that are absent in another state;
затем извлекают из сохраненных файлов состояний и производят сопоставление составов групп; при этом в каждом состоянии для каждой группы в наборе ее членов отмечают субъектов, которые отсутствуют в таком наборе этой группы в другом состоянии;then it is extracted from the stored state files and group compositions are compared; at the same time, in each state for each group in the set of its members, subjects are noted that are absent in such a set of this group in a different state;
затем извлекают из сохраненных файлов состояний и производят сопоставление наборов групп, членами которых являются субъекты, присутствующие в обоих состояниях; при этом в каждом состоянии для каждого субъекта в его наборе групп отмечают группы, которые отсутствуют в таком наборе этого субъекта в другом состоянии;then they are extracted from the stored state files and the sets of groups are compared, the members of which are subjects present in both states; at the same time, in each state for each subject in his set of groups, groups are noted that are absent in such a set of this subject in another state;
затем извлекают из сохраненных файлов состояний и производят сопоставление наборов привилегий, которыми обладают субъекты, присутствующие в обоих состояниях; при этом в каждом состоянии для каждого субъекта в его наборе привилегий отмечают привилегии, которые отсутствуют в таком наборе этого субъекта в другом состоянии;then it is extracted from the stored state files and the sets of privileges that the entities that are present in both states are mapped are compared; at the same time, in each state for each subject in his set of privileges, privileges are noted that are absent in such a set of this subject in another state;
извлекают из сохраненных файлов состояний и производят сопоставление составов каталогов файловой системы в двух сопоставляемых состояниях, выполняя в каждом состоянии рекурсивный обход зафиксированного множества каталогов; при этом, если некоторый каталог присутствует только в одном состоянии, обход и сопоставление состояний относительно множества его подкаталогов не выполняют;extract from saved state files and compare the composition of the file system directories in two comparable states, performing a recursive traversal of a fixed set of directories in each state; at the same time, if a certain directory is present in only one state, state traversal and comparison with respect to its many subdirectories are not performed;
затем извлекают из сохраненных файлов состояний и производят сопоставление файловых составов каталогов, присутствующих в обоих состояниях; при этом в каждом состоянии для каждого каталога в наборе файлов, содержащихся в нем, отмечают файлы, которые отсутствуют в таком наборе этого каталога в другом состоянии;then it is extracted from the stored state files and the file compositions of the directories present in both states are compared; at the same time, in each state for each directory in the set of files contained in it, files that are not present in such a set of this directory in a different state are marked;
затем извлекают из сохраненных файлов состояний и производят сопоставление атрибутов безопасности "Флаг наследования прав" и "Область распространения прав" каталогов, присутствующих в обоих состояниях; при этом в каждом состоянии для каждого каталога отмечают значение атрибута, которое отлично от значения атрибута этого каталога в другом состоянии;then they are extracted from the saved state files and the security attributes “Rights inheritance flag” and “Distribution area” of security directories that are present in both states are compared; at the same time, in each state, for each directory, an attribute value is noted that is different from the attribute value of this directory in a different state;
затем извлекают из сохраненных файлов состояний и производят сопоставление идентификаторов безопасности владельцев каталогов и файлов, присутствующих в обоих состояниях; при этом в каждом состоянии для каждого каталога или файла отмечают идентификатор безопасности владельца, который отличен от идентификатора безопасности владельца этого каталога или файла в другом состоянии;then extract from the stored state files and compare the security identifiers of the owners of directories and files present in both states; at the same time, in each state, for each directory or file, the owner’s security identifier is marked, which is different from the security identifier of the owner of this directory or file in a different state;
затем извлекают из сохраненных файлов состояний и производят сопоставление дискреционных списков эффективных прав доступа каталогов и файлов, присутствующих в обоих состояниях; при этом в каждом состоянии для каждого каталога или файла отмечают права, которые отсутствуют в таком дискреционном списке эффективных прав доступа этого каталога или файла в другом состоянии.then it is extracted from the stored state files and the discretionary lists of effective access rights of directories and files present in both states are compared; moreover, in each state, for each directory or file, rights that are not in such a discretionary list of effective access rights of this directory or file in a different state are noted.
Результат сопоставления состояний сохраняют в виде файла отчета, содержащего описания зафиксированных состояний и выявленных различий, и представляют в виде двух деревьев, перечисляющих множества зафиксированных субъектов, объектов и их конфигурационных параметров безопасности, на которых отмечены выявленные различия.The result of the state comparison is saved in the form of a report file containing descriptions of the recorded states and the revealed differences, and presented in the form of two trees listing the sets of fixed subjects, objects and their security configuration parameters, on which the revealed differences are noted.
Повышение эффективности оценки безопасности операционных систем семейства Windows обеспечивается за счет предоставления возможностей по фиксации состояний безопасности операционных систем семейства Windows, отслеживания динамики их изменений, выявления отклонений от заданного "эталонного" состояния, что является результатом предложения процедуры сопоставления состояний безопасности операционных систем и обработки полного набора конфигурационных параметров безопасности ресурсов пользовательского уровня, к которым относятся субъекты доступа (пользователи и группы пользователей), объекты доступа (файлы и каталоги файловой системы), их атрибуты безопасности (членство в группах, состав групп, владелец, привилегии, дискреционный список эффективных прав доступа).Improving the security assessment of operating systems of the Windows family is ensured by providing opportunities for fixing the security states of the Windows operating systems, tracking the dynamics of their changes, identifying deviations from the specified "reference" state, which is the result of the proposed procedure for comparing the security states of operating systems and processing a complete set user-level resource security configuration settings to which entities relate stumble (users and groups), and their security attributes access objects (files and file system directories) (group membership, the composition of the groups, the owner, franchise, discretionary list of effective permissions).
Изобретение поясняется с помощью чертежа, на котором представлен результат сопоставления двух состояний в виде двух деревьев, на которых представлены зафиксированные субъекты и объекты, а также дискреционные списки эффективных прав доступа и отмечены выявленные различия прав.The invention is illustrated using the drawing, which shows the result of the comparison of two states in the form of two trees, which represent the fixed subjects and objects, as well as discretionary lists of effective access rights and identified differences in rights.
При осуществлении способа выполняется интеллектуальное сопоставление состояний; при этом процедура сопоставления выполняется над парой состояний, зафиксированных в одной и той же системе в разные моменты времени, или над парой состояний, зафиксированных в разных системах в произвольные моменты времени.When implementing the method, intelligent state matching is performed; the comparison procedure is performed on a pair of states recorded in the same system at different points in time, or on a pair of states recorded in different systems at arbitrary points in time.
В состояние системы включены следующие конфигурационные параметры безопасности операционных систем семейства Windows:The following configuration parameters for the security of Windows operating systems are included in the system state:
1. Множество субъектов, представленное в виде совокупности имен и идентификаторов безопасности пользователей, групп пользователей и встроенных участников безопасности.1. The set of subjects represented as a combination of user names and identifiers of security, user groups and built-in security participants.
2. Множество субъектов-членов для групп пользователей.2. Many member entities for user groups.
3. Множество групп для субъектов.3. Many groups for subjects.
4. Множество привилегий, назначенных пользователям, группам пользователей и встроенным участникам безопасности.4. Many privileges assigned to users, user groups, and built-in security principals.
5. Множество объектов, представленное в виде совокупности абсолютных путей и иерархии файлов и каталогов файловой системы.5. A set of objects, represented as a set of absolute paths and hierarchies of files and directories of the file system.
6. Множество атрибутов безопасности "Флаг наследования прав" и "Область распространения прав" для объектов файловой системы.6. The set of security attributes “Flag of inheritance of rights” and “Scope of distribution of rights” for file system objects.
7. Множество имен и идентификаторов безопасности владельцев для объектов файловой системы.7. Many owner names and security identifiers for file system objects.
8. Множество дискреционных списков эффективных прав доступа. Дискреционный список эффективных прав доступа для пары "субъект-объект" представляет собой дискреционный список прав доступа объекта (discretionary access control list, DACL), заданный для конкретного субъекта, с учетом наследованных и прямых разрешений и запретов, общих прав доступа, групповых прав, прав владения и прав, замещающих привилегии субъекта.8. Many discretionary lists of effective access rights. A discretionary list of effective access rights for a subject-object pair is a discretionary access control list (DACL) defined for a particular subject, taking into account inherited and direct permissions and prohibitions, general access rights, group rights, rights ownership and rights superseding the privileges of the subject.
При осуществлении способа выбирают файлы и каталоги файловой системы, которые войдут в первое сопоставляемое состояние; при этом по умолчанию в сопоставляемое состояние включают все каталоги файловой системы, кроме системных каталогов Windows, Program Files, Documents and Settings, съемных, сетевых и виртуальных дисков.When implementing the method, files and directories of the file system are selected, which will enter the first mapped state; in this case, by default, all directories of the file system are included in the mapped state, except for the Windows system directories, Program Files, Documents and Settings, removable, network, and virtual disks.
Затем выполняют обход выбранной части иерархии файловой системы, фиксируя для каждого объекта файловой системы его абсолютный путь, имя и идентификатор безопасности его владельца, дискреционный список эффективных прав доступа и значения атрибутов безопасности "Флаг наследования прав" и "Область распространения прав". При этом проход по символическим ссылкам не осуществляют, файлы с несколькими жесткими ссылками обрабатывают только один раз. Если объект является каталогом файловой системы, фиксируют состав вложенных в него подкаталогов и файлов.Then, a crawl of the selected part of the file system hierarchy is performed, fixing for each file system object its absolute path, name and security identifier of its owner, a discretionary list of effective access rights and the values of the security attributes “Rights inheritance flag” and “Rights distribution area”. Moreover, symbolic links are not accessed, files with several hard links are processed only once. If the object is a file system directory, the composition of the subdirectories and files attached to it is fixed.
Затем фиксируют имена субъектов системы (пользователей, групп пользователей и встроенных участников безопасности), их идентификаторы безопасности, наборы назначенных привилегий и наборы групп, членами которых является субъект. Если субъект является группой пользователей, фиксируют имена и идентификаторы безопасности ее членов.Then they fix the names of the subjects of the system (users, user groups and built-in security participants), their security identifiers, sets of privileges assigned and sets of groups of which the subject is a member. If the subject is a group of users, the names and security identifiers of its members are recorded.
Зафиксированное состояние сохраняют в файле состояния.The committed state is saved in the state file.
Поскольку сопоставление выполнимо для пары состояний, все выше изложенные действия, включая сохранение в файле состояния, повторно выполняют необходимое количество раз (минимум - один раз) в произвольные моменты времени в той же системе или в разных системах для того, чтобы образовать множество сопоставляемых состояний.Since the comparison is feasible for a pair of states, all of the above actions, including saving in the state file, are repeatedly performed as many times (at least once) at arbitrary points in time in the same system or in different systems in order to form a set of comparable states.
Выбирают для сопоставления два зафиксированных состояния, сохраненных в файлах состояний, выбирают условия сопоставления состояний и производят их сопоставление с учетом выбранных условий. При этом условия сопоставления ограничивают множества сопоставляемых субъектов, объектов и их конфигурационных параметров безопасности и определяют выполнение последующих действий процедуры сопоставления, что позволяет обрабатывать часть параметров и тем самым ускорять процесс.Two fixed states stored in state files are selected for comparison, conditions for matching states are selected, and they are compared taking into account the selected conditions. At the same time, the conditions of comparison limit the sets of compared subjects, objects and their configuration security parameters and determine the implementation of the subsequent steps of the comparison procedure, which allows you to process part of the parameters and thereby speed up the process.
Извлекают из сохраненных файлов состояний и производят сопоставление составов субъектов. Сопоставление пользователей и групп, имеющих постоянные ("well-known") идентификаторы безопасности, выполняется по их идентификатору, остальных - по имени. При этом в каждом состоянии отмечают субъектов, которые отсутствуют в другом состоянии.Extracted from the stored state files and compares the composition of the subjects. The comparison of users and groups that have permanent ("well-known") security identifiers is performed by their identifier, and the rest by name. Moreover, in each state, subjects are noted that are absent in another state.
Затем извлекают из сохраненных файлов состояний и производят сопоставление составов групп. При этом в каждом состоянии для каждой группы в наборе ее членов отмечают субъектов, которые отсутствуют в таком наборе этой группы в другом состоянии.Then it is extracted from the stored state files and group compositions are compared. Moreover, in each state for each group in the set of its members, subjects are noted that are absent in such a set of this group in a different state.
Затем извлекают из сохраненных файлов состояний и производят сопоставление наборов групп, членами которых являются субъекты, присутствующие в обоих состояниях. При этом в каждом состоянии для каждого субъекта в его наборе групп отмечают группы, которые отсутствуют в таком наборе этого субъекта в другом состоянии.Then it is extracted from the stored state files and the sets of groups are compared, the members of which are subjects present in both states. Moreover, in each state for each subject in his set of groups, groups are noted that are absent in such a set of this subject in another state.
Затем извлекают из сохраненных файлов состояний и производят сопоставление наборов привилегий, которыми обладают субъекты, присутствующие в обоих состояниях. При этом в каждом состоянии для каждого субъекта в его наборе привилегий отмечают привилегии, которые отсутствуют в таком наборе этого субъекта в другом состоянии.Then it is extracted from the stored state files and the sets of privileges that the entities present in both states have are mapped. Moreover, in each state, for each subject in his set of privileges, privileges are noted that are absent in such a set of this subject in another state.
Извлекают из сохраненных файлов состояний и производят сопоставление составов каталогов файловой системы в двух сопоставляемых состояниях, выполняя в каждом состоянии рекурсивный обход зафиксированного множества каталогов. При этом, если некоторый каталог присутствует только в одном состоянии, обход и сопоставление состояний относительно множества его подкаталогов не выполняют.Extracted from the saved state files and compare the composition of the file system directories in two comparable states, performing a recursive traversal of a fixed set of directories in each state. Moreover, if a certain directory is present in only one state, state traversal and comparison with respect to its many subdirectories are not performed.
Затем извлекают из сохраненных файлов состояний и производят сопоставление файловых составов каталогов, присутствующих в обоих состояниях. При этом в каждом состоянии для каждого каталога в наборе файлов, содержащихся в нем, отмечают файлы, которые отсутствуют в таком наборе этого каталога в другом состоянии.Then it is extracted from the stored state files and the file compositions of the directories present in both states are compared. Moreover, in each state, for each directory in the set of files contained in it, files that are not present in such a set of this directory in a different state are marked.
Затем извлекают из сохраненных файлов состояний и производят сопоставление атрибутов безопасности "Флаг наследования прав" и "Область распространения прав" каталогов, присутствующих в обоих состояниях. При этом в каждом состоянии для каждого каталога отмечают значение атрибута, которое отлично от значения атрибута этого каталога в другом состоянии.Then it is extracted from the saved state files and the security attributes “Rights inheritance flag” and “Distribution area” of security directories that are present in both states are compared. Moreover, in each state, for each directory, an attribute value is noted that is different from the attribute value of this directory in a different state.
Затем извлекают из сохраненных файлов состояний и производят сопоставление идентификаторов безопасности владельцев каталогов и файлов, присутствующих в обоих состояниях. При этом в каждом состоянии для каждого каталога или файла отмечают идентификатор безопасности владельца, который отличен от идентификатора безопасности владельца этого каталога или файла в другом состоянии.It is then extracted from the stored state files and the security identifiers of the directory owners are compared with the files present in both states. Moreover, in each state, for each directory or file, the owner’s security identifier is marked, which is different from the security identifier of the owner of this directory or file in a different state.
Затем извлекают из сохраненных файлов состояний и производят сопоставление дискреционных списков эффективных прав доступа каталогов и файлов, присутствующих в обоих состояниях. При этом в каждом состоянии для каждого каталога или файла отмечают права, которые отсутствуют в таком дискреционном списке эффективных прав доступа этого каталога или файла в другом состоянии.Then it is extracted from the stored state files and a comparison of discretionary lists of effective access rights of directories and files present in both states is performed. Moreover, in each state, for each directory or file, rights are noted that are not in such a discretionary list of effective access rights of this directory or file in a different state.
В предлагаемом изобретении под дискреционным списком эффективных прав доступа для пары "субъект-объект" понимается дискреционный список прав доступа объекта (discretionary access control list, DACL), заданный для конкретного субъекта, с учетом наследованных и прямых разрешений и запретов, общих прав доступа, групповых прав, прав владения и прав, замещающих привилегии субъекта.In the present invention, under the discretionary list of effective access rights for a pair of "subject-object" refers to the discretionary list of access rights of the object (discretionary access control list, DACL) specified for a particular subject, taking into account inherited and direct permissions and restrictions, general access rights, group rights, tenure rights and rights superseding the privileges of the subject.
Результат сопоставления состояний сохраняют в виде файла отчета, содержащего описания зафиксированных состояний и выявленных различий, и представляют в виде двух деревьев, перечисляющих множества зафиксированных субъектов, объектов и их конфигурационных параметров безопасности, на которых отмечены выявленные различия. Использование условий, учитываемых при сопоставлении состояний, позволяет получать результат в минимизированной форме, учитывающей только множества сопоставленных параметров.The result of the state comparison is saved in the form of a report file containing descriptions of the recorded states and the revealed differences, and presented in the form of two trees listing the sets of fixed subjects, objects and their security configuration parameters, on which the revealed differences are noted. Using the conditions taken into account when comparing the states allows us to obtain the result in a minimized form that takes into account only the sets of mapped parameters.
Пояснение предлагаемого изобретения приведем на примере сопоставления двух состояний S1 и S2 (см. чертеж).An explanation of the invention is given by the example of a comparison of two states S 1 and S 2 (see drawing).
1. Сопоставление субъектов.1. Comparison of subjects.
1.1. Сопоставление составов субъектов.1.1. Comparison of the compositions of the subjects.
Все встроенные участники безопасности, имеющие постоянные ("well-known") идентификаторы безопасности, присутствуют в обоих состояниях. В состоянии S1 присутствует пользователь Alex, который отсутствует в состоянии S2. В состоянии S2 перечислены пользователь Peter и группа Experts, которых нет в состоянии S1.All built-in security principals that have persistent ("well-known") security identifiers are present in both states. In state S 1 there is a user Alex who is not in state S 2 . In state S 2 , user Peter and the Experts group are listed, which are not in state S 1 .
Переход к следующему шагу сопоставления выполняется после фиксации различий состояний по составу субъектов.The transition to the next step of the comparison is carried out after fixing the differences of states in the composition of the subjects.
1.2. Сопоставление составов групп.1.2. Comparison of group compositions.
В состоянии S2 пользователь Peter состоит в группе Experts.In state S 2 , Peter is a member of the Experts group.
Переход к следующему шагу сопоставления выполняется после фиксации различий состояний по составу групп.The transition to the next step of the comparison is carried out after fixing the differences of states in the composition of the groups.
1.3. Сопоставление наборов групп, членами которых являются субъекты.1.3. Matching sets of groups of which the subjects are members.
Все одинаковые пользователи состоят в одинаковых группах.All the same users are in the same groups.
1.4. Сопоставление наборов привилегий.1.4. Mapping privilege sets.
Пользователь Nick, который присутствует в обоих состояниях, в S1 обладает привилегией "Архивирование файлов и каталогов", которой у него нет в состоянии S2.User Nick, who is present in both states, in S 1 has the “Archive files and directories” privilege, which he does not have in S 2 state.
Переход к следующему шагу выполняется после фиксации различий состояний по наборам привилегий, назначенных субъектам.The transition to the next step is performed after fixing the differences of states according to the sets of privileges assigned to the subjects.
2. Сопоставление объектов.2. Matching objects.
2.1. Сопоставление составов каталогов.2.1. Comparison of catalogs.
Объекты файловой системы, отмеченные оператором для сопоставления, указаны в обоих состояниях, то есть области сопоставления пересекаются. В состоянии S2 отсутствует каталог CurrentProject.File system objects marked by the operator for matching are indicated in both states, that is, the matching areas intersect. In state S 2, the CurrentProject directory is missing.
Переход к следующему шагу сопоставления выполняется после фиксации различий состояний по составу каталогов файловой системы.The transition to the next step of the mapping is performed after fixing the differences in the state of the composition of the file system directories.
2.2. Сопоставление файловых составов каталогов.2.2. Mapping file contents of directories.
В состоянии S1 отсутствует файл secure.doc в каталоге Private.In state S 1, there is no secure.doc file in the Private directory.
2.3. Сопоставление параметров безопасности каталогов.2.3. Map directory security settings.
Значения атрибутов безопасности "Флаг наследования прав" и "Область распространения прав" каталогов совпадают. У всех объектов файловой системы владельцы совпадают. На файл boot.ini в состоянии S1 пользователю JohnWalker установлено полное множество эффективных прав доступа, а в состоянии S2 - не установлены эффективные права "Исполнение" и "Запись".The values of the security attributes "Rights inheritance flag" and "Distribution rights" of directories match. All file system objects have the same owners. On the boot.ini file in state S 1 , the JohnWalker user has the full set of effective access rights set, and in state S 2 the effective rights “Execution” and “Write” are not set.
Изобретение позволяет повысить эффективность оценки безопасности систем за счет предоставления возможностей сопоставления конфигурационных параметров, отслеживания динамики происходящих изменений состояний и выявления отклонений от заданного "эталонного" состояния в операционных системах семейства Windows вследствие предложения процедуры сопоставления состояний безопасности и включения в анализируемое множество полного набора настроек безопасности пользовательского уровня.The invention improves the efficiency of assessing the security of systems by providing the ability to compare configuration parameters, track the dynamics of ongoing state changes and identify deviations from a given “reference” state in Windows operating systems due to the proposed procedure for comparing security states and including a full set of user security settings in the analyzed set level.
Claims (3)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2008129212/09A RU2379752C1 (en) | 2008-06-26 | 2008-06-26 | Method of comparing security status of windows family operating systems |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2008129212/09A RU2379752C1 (en) | 2008-06-26 | 2008-06-26 | Method of comparing security status of windows family operating systems |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU2379752C1 true RU2379752C1 (en) | 2010-01-20 |
Family
ID=42120967
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2008129212/09A RU2379752C1 (en) | 2008-06-26 | 2008-06-26 | Method of comparing security status of windows family operating systems |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2379752C1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101986283A (en) * | 2010-11-16 | 2011-03-16 | 北京安天电子设备有限公司 | Method and system for detecting existed Windows system bugs |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2005120655A (en) * | 2003-10-23 | 2006-01-20 | Майкрософт Корпорейшн (Us) | SYSTEM AND METHODS FOR ENSURING AN IMPROVED SECURITY MODEL |
| WO2007021949A2 (en) * | 2005-08-11 | 2007-02-22 | Microsoft Corporation | Dual layered access control list |
| US20070136578A1 (en) * | 2005-12-13 | 2007-06-14 | Microsoft Corporation | Access control list inheritance thru object(s) |
| US20070300103A1 (en) * | 2004-02-19 | 2007-12-27 | Microsoft Corporation | Method and system for troubleshooting a misconfiguration of a computer system based on configurations of other computer systems |
-
2008
- 2008-06-26 RU RU2008129212/09A patent/RU2379752C1/en not_active IP Right Cessation
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2005120655A (en) * | 2003-10-23 | 2006-01-20 | Майкрософт Корпорейшн (Us) | SYSTEM AND METHODS FOR ENSURING AN IMPROVED SECURITY MODEL |
| US20070300103A1 (en) * | 2004-02-19 | 2007-12-27 | Microsoft Corporation | Method and system for troubleshooting a misconfiguration of a computer system based on configurations of other computer systems |
| WO2007021949A2 (en) * | 2005-08-11 | 2007-02-22 | Microsoft Corporation | Dual layered access control list |
| US20070136578A1 (en) * | 2005-12-13 | 2007-06-14 | Microsoft Corporation | Access control list inheritance thru object(s) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101986283A (en) * | 2010-11-16 | 2011-03-16 | 北京安天电子设备有限公司 | Method and system for detecting existed Windows system bugs |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8429191B2 (en) | Domain based isolation of objects | |
| US8122484B2 (en) | Access control policy conversion | |
| Palm et al. | The long road to protecting critical habitat for species at risk: The case of southern mountain woodland caribou | |
| US8688734B1 (en) | System for and methods of controlling user access and/or visibility to directories and files of a computer | |
| AU2006302565B2 (en) | Expert system analysis and graphical display of privilege elevation pathways in a computing environment | |
| US9886579B2 (en) | Method and system for proactive detection of malicious shared libraries via a remote reputation system | |
| DE202011111121U1 (en) | System for capturing complex malware | |
| US8245291B2 (en) | Techniques for enforcing access rights during directory access | |
| US20070039045A1 (en) | Dual layered access control list | |
| KR20050039661A (en) | Operating system resource protection | |
| JP2005129066A5 (en) | ||
| KR20050039634A (en) | Application identity for software products | |
| US20110072018A1 (en) | Hierarchical administration of resources | |
| TW200828119A (en) | Reverse name mappings in restricted namespace environments | |
| EP2893480B1 (en) | Snippet matching in file sharing networks | |
| US8447781B2 (en) | Content-based file system security | |
| Babar et al. | Understanding container isolation mechanisms for building security-sensitive private cloud | |
| Weise et al. | OSSDIP: open source secure data infrastructure and processes supporting data visiting | |
| RU2379752C1 (en) | Method of comparing security status of windows family operating systems | |
| GB2367387A (en) | Personal data protection | |
| Wrigley | “When People Just Click”: Addressing the Difficulties of Controller/Processor Agreements Online | |
| US20140189715A1 (en) | Conversion of lightweight object to a heavyweight object | |
| CN108763924A (en) | Insincere third party library access right control method in a kind of Android application program | |
| Gehani et al. | Accountable clouds | |
| Tahir et al. | Data Anonymization Process Challenges and Context |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20160627 |
|
| NF4A | Reinstatement of patent |
Effective date: 20170518 |
|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20180627 |
|
| NF4A | Reinstatement of patent |
Effective date: 20200417 |
|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20210627 |