Cách phân quyền trong NTFS Cách phân quyền Permission folder trong NTFS : Các loại permission (nằm trong tab Security trong properties của 1 folder) Full control : Có toàn quyền trên folder. Modify : Có quyền sửa chữa như tạo, xoá, sửa folder Read and Execute : Quyền đọc (bào hàm cả việc gọi các phương thức, các file ứng dụng chạy ngầm) List folder content : Read : Quyền đọc Write : Quyền ghi kik edit◊ Special Permission : Quyền đặc biệt (Kik nút advance ngay dưới)  Trong phần đặc quyền chỉ chi tiết các quyền của 1 đối tượng đối với folder. Ví dụ 1 số quyền : Traverse Folder / Excute File : Quyền nhảy cóc và thực thi file (Cái này sẽ nói ở phần dưới). Read Attribute : Quyền đọc Read Extend Attribute : Quyền đọc những phần được thêm vào. Create Folder / Append Data : Tạo Folder và nối dữ liệu thêm vào cuối Write Attribute : Ghi thêm thuộc tính Take Ownership : Quyền sở hữu folder (có thể cướp quyền admin đối với folder 1 cách tạm thời) … Ta tiến hành Permission như sau: Trước hết bạn phải hiểu thế này : 1 user khi truy cập trên 1 server mặc định thuộc group Interactive, Domain Users. Còn khi truy cập từ xa đến server thì thuộc nhóm Network, Domain Users. Right-kik vào folder, chọn mục sharing and sercurity . Hộp thoại Properties hiện lên. Như đã nói ở trên, Permission áp dụng cho các máy ở xa sẽ sử dụng cả việc sharing; Nếu user từ xa truy cập, hãy sharing folder này (Chọn option Sharing this folder). Quyền của user máy trạm này = Quyền sharing + Quyền Security : - Quyền Sharing : Chọn Permission trong tab Sharing.♣ Hộp thoại Permission hiện lên. Ở đây bạn có thể add đối tượng để áp♣ dụng quyền Sharing, đó có thể là 1 group, hay 1 user. Sau đó chọn quyền bằng cách tick các option ở phía dưới. - Quyền Sercurity : Chọn tab Security Cũng như việc phân quyền trong tab Sharing♣ Tuy nhiên, phần Security phân quyền rõ ràng hơn nhiều. (Hãy chọn♣ Advance để xem chúng ta có những gì để gọi là "advanced" ) : • Tab Permission: o Permission entries : Các đối tượng phân quyền – chúng ta có thể thêm hoặc xoá các đối tượng này với add và remove button ngay phía dưới. o Note : 2 option phía dưới : Allow inheritable permission from parent … : Cho phép kế thừa quyền♣ từ thư mục cha. Ta có thể kiểm tra, trong properties của thư mục con, các quyền của cha được tick và ko thể thay đổi. Muốn có thể thay đổi ta huỷ dấu tick trong option này đi. Hộp thoại mới xuất hiện. Nhấn Copy nếu muốn giữ nguyên các đối tượng mặc định được áp dụng Permission. Chọn Remove để bỏ quyền thừa kế, và chỉ giữ lại những đối tượng đã được định nghĩa quyền thừa kế trước đó. • Tab Effective Permission : sử dụng để kiểm tra Pemission của 1 đối tượng cụ thể. Bấm Change sau đó Add đối tượng. • Tab Owner : là sử dụng với mục đích khi áp dụng chức năng Take Ownership. So sánh giữa NTFS, FAT32, FAT NTFS là một kiểu định dạng (file system) mới được sử dụng trong Win2k. NTFS cũng là một trong những tính năng làm tăng khả năng bảo mật. NTFS có những điểm khác so với FAT hoặc FAT32 ở những điểm sau:bảo mật tốt hơn, tăng khả năng nén đĩa và hỗ trợ đĩa cứng lên đến 2TetraBytes(2*1024 GigaBytes). Một điểm nữa, khi bạn cài đặt nhiều hệ điều hành trên một máy. Ví dụ Win98(FAT32) trên ổ đĩa C, Win2k(NTFS) trên ổ đĩa D. Khi khởi động Win98 thì bạn không thể truy xuất vào ổ đĩa D (NTFS partitions ). Hiểu môn na là ổ D đã bị ẩn đi. Điều đó giúp bạn dễ dàng hơn trong việc kiểm soát những files hệ thống và tăng thêm tính năng bảo mật của Win2k. Trước khi cài đặt, Windows XP luôn đòi hỏi format lại đĩa cứng theo định dạng FAT32 hoặc NTFS. Sử dụng các chương trình format đời mới hiện nay nó cũng đưa ra lựa chọn giữa FAT32 và NTFS. Vậy hệ thống FAT32 và NTFS trên đĩa cứng là gì, tác dụng của nó thế nào, nên chọn loại nào cho máy tính? Khái niệm về FAT và NTFS FAT16: Với HĐH MS-DOS, hệ thống tập tin FAT (FAT16 – để phân biệt với FAT32) được công bố vào năm 1981 đưa ra một cách thức mới về việc tổ chức và quản lý tập tin trên đĩa cứng, đĩa mềm. Tuy nhiên, khi dung lượng đĩa cứng ngày càng tăng nhanh, FAT16 đã bộc lộ nhiều hạn chế. Với không gian địa chỉ 16 bit, FAT16 chỉ hỗ trợ đến 65.536 liên cung (clusters) trên một partition, gây ra sự lãng phí dung lượng đáng kể (đến 50% dung lượng đối với những ổ đĩa cứng trên 2 GB). FAT32: Được giới thiệu trong phiên bản Windows 95 Service Pack 2 (OSR 2), được xem là phiên bản mở rộng của FAT16. Do sử dụng không gian địa chỉ 32 bit nên FAT32 hỗ trợ nhiều cluster trên một partition hơn, do vậy không gian đĩa cứng được tận dụng nhiều hơn. Ngoài ra với khả năng hỗ trợ kích thước của phân vùng từ 2GB lên 2TB và chiều dài tối đa của tên tập tin được mở rộng đến 255 ký tự đã làm cho FAT16 nhanh chóng bị lãng quên. Tuy nhiên, nhược điểm của FAT32 là tính bảo mật và khả năng chịu lỗi (Fault Tolerance) không cao. NTFS (New Technology File System): Được giới thiệu cùng với phiên bản Windows NT đầu tiên (phiên bản này cũng hỗ trợ FAT32). Với không gian địa chỉ 64 bit, khả năng thay đổi kích thước của cluster độc lập với dung lượng đĩa cứng, NTFS hầu như đã loại trừ được những hạn chế về số cluster, kích thước tối đa của tập tin trên một phân vùng đĩa cứng. NTFS sử dụng bảng quản lý tập tin MFT (Master File Table) thay cho bảng FAT quen thuộc nhằm tăng cường khả năng lưu trữ, tính bảo mật cho tập tin và thư mục, khả năng mã hóa dữ liệu đến từng tập tin. Ngoài ra, NTFS có khả năng chịu lỗi cao, cho phép người dùng đóng một ứng dụng “chết” (not responding) mà không làm ảnh hưởng đến những ứng dụng khác. Tuy nhiên, NTFS lại không thích hợp với những ổ đĩa có dung lượng thấp (dưới 400 MB) và không sử dụng được trên đĩa mềm. So sánh giữa FAT32 và NTFS NTFS là hệ thống file tiên tiến hơn rất nhiều so với FAT32. Nó có đầy đủ các đặc tính của hệ thống file hiện đại và FAT32 không hề có. Bạn nên dùng NTFS để thay thế cho FAT32 vì các lý do sau: - FAT32 không hỗ trợ các tính năng bảo mật như phần quyền quản lý, mã hoá như NTFS. Vấn đề này đặc biệt hiệu quả đối với Windows. Với NTFS, bạn có thể không cần sử dụng các tiện ích mã hoá hay đặt mật khẩu giấu thư mục v.v, vì đây là đặc tính đã có sẵn của NTFS, chỉ cần bạn biết khai thác. Việc xài các tiện ích không nằm sẵn trong hệ điều hành để thao tác trực tiếp với đĩa vẫn có ít nhiều rủi ro. - FAT32 có khả năng phục hồi và chịu lỗi rất kém so với NTFS. Có một số ý kiến cho rằng NTFS không tương thích nhiều với các chương trình kiểm tra đĩa hay sửa đĩa mà người dùng đã quen thuộc từ lâu, như vậy sẽ vô cùng bất tiên trong trường hợp đĩa bị hư sector. Nên yên tâm vì NTFS là hệ thống file có khả năng ghi lại được các hoạt động mà hệ điều hành đã và đang thao tác trên dữ liệu, nó có khả năng xác định được ngay những file bị sự cố mà không cần phải quét lại toàn bộ hệ thống file, giúp quá trình phục hồi dữ liệu trở nên tin cậy và nhanh chóng hơn. Đây là ưu điểm mà FAT 32 hoàn toàn không có. Khi mà mất điện đột ngột thì Windows 98, 2000, XP… đều phải quét lại đĩa khi khởi động lại nếu đĩa đó được format bằng chuẩn FAT32. Trong khi format đĩa cứng bằng NTFS thì lại hoàn toàn không cần quét đĩa lại, bởi vì hệ thống dùng NTFS có được những thông tin về tính toàn vẹn dữ liệu ghi trên đĩa và nó mất rất ít thời gian để biết được về mặt logic đĩa của mình có lỗi hay không và nếu có thì hệ thống cũng tự phục hồi một cách cực kỳ đơn giản và nhanh chóng. Với FAT32 thì nó phải rà quét toàn bộ lâu hơn nhiều. Một hệ thống Windows 2000, XP sẽ ổn định hơn nhiều nếu cài trên phân vùng được format bằng NTFS. Ngoài ra NTFS còn được trang bị công cụ kiểm tra và sửa đĩa rất tốt của Microsoft. - NTFS có khả năng truy cập và xử lý file nén ngon lành hệt như truy cập vào các file chưa nén, điều này không chỉ tiết kiệm được đĩa cứng mà còn gia tăng được tuổi thọ của đĩa cứng. - Nhiều người phàn nàn rằng không thể truy cập vào các đĩa cứng được format bằng NTFS khi đang ở DOS, Windows 98 hoặc WinME… Thực ra thì DOS, Windows 98 và Windows ME đã quá cũ và các phần mềm còn hữu dụng của chúng cũng không còn bao nhiêu. - NTFS đặt được quota sử dụng cho người dùng, vô cùng tiện dụng cho các hệ thống máy ở công ty. Đặc biệt tiện dụng khi “âm thầm” cấm được con cái sao chép những phim ảnh độc hại vào các thư mục “bí mật” của chúng trong đĩa cứng. Ngoài ra, NTFS còn có rất nhiều tiện ích tuyệt chiêu chuyên sâu khác cho giới người dùng cao cấp khác như “mount partition”, tạo “hard link” tới một file, hỗ trợ dùng RAID v.v - Nếu bạn đã thực sự quyết định chọn NTFS làm “duyên giai ngẫu” thì bạn có thể từ bỏ hẳn FAT 32 kể từ nay. Hiện có rất nhiều tiện ích chuyển đổi từ FAT 32 sang NTFS tùy bạn lựa chọn. Tiện hơn cả là dùng bộ tiện ích có sẵn trong các đĩa CD khởi động bằng Hirenboot đang rất phổ biến hiện nay. Tuy thế, FAT32 vẫn còn tỏ ra hữu dụng trên các máy tính cấu hình quá yếu ớt, chỉ có thể chạy được Windows 98. FAT16 và FAT32 vẫn được dùng để định dạng cho các loại thẻ nhớ, vì các thiết bị chấp nhận thẻ nhớ như máy ảnh số, máy nghe nhạc vẫn chưa thấy loại nào tương thích với NTFS cả. FAT16 luôn là lựa chọn hàng đầu khi bạn muốn copy dữ liệu của mình từ một máy tính chạy Windows sang máy chạy hệ điều hành khác như Mac chẳng hạn. Hầu hết các máy Mac hiện nay đều không thể nhận dạng các thẻ nhớ USB được định dạng bằng FAT32. Bổ sung: - Mỗi loại FAT có một con số để chỉ ra số lượng bit mà hệ thống file sử dụng để nhận dạng các cluster trên đĩa . VD : FAT 12 sủ dụng 12 bit để định danh các cluster , do đó với FAT 12 hệ thống quản lý được 4096 ( 2^12= 4096) cluster - Trên các hệ thống FAT 16 , windown cho phép kích thước cluster đi từ 512 byte đến 64 KB , do vậy FAT 16 có thể quản lý không gian đĩa lên đến 4 Gb - NTFS ( NT Files System ) là hệ thống File dành riêng cho windownNT/2000 - NTFS dùng 64 bit để định danh các cluster , nên theo lý thuyết nó có thể quản lý các ỗ đĩa có dung lượng lên đến 16 Exabyte ( 16 tỉ Gb ) . Nhưng trong thực tế thì windownsNT/ 2000 chỉ sử dụng 32 bit để định danh các cluster và kích thước mỗi cluster này là 64KB nên NTFS chỉ có thể quản lý được các ổ đĩa có dung lượng lên đến 128 TB mà thôi. LÀM THẾ NÀO ĐỂ BẢO VỆ CÁC MÁY TÍNH CỦA MỘT TỔ CHỨC Phần 2: Chính sách an toàn Account cho Computer (Security Account Policies ) Ở phần trước tôi đã giới thiệu những phương thức chung để bảo vệ máy tính của một tổ chức. Phần tiếp theo này tôi sẽ trình bày những phương thức cụ thể theo trình tự, từ quá trình setup hệ thống, vận hành hệ thống dựa trên những chính sách an toàn từ basic cho đến những kĩ năng advance mà các Security Admin cần quan tâm để áp dụng vào việc xây dựng các quy trình an toàn thông tin cho tổ chức. Phần trình bày này tôi xin đề cập đến vấn đề an ninh account (account security) và cách thức tạo account an toàn nhằm đối phó với những kiểu tấn công rất phổ biến và hiệu quả dưới sự trợ giúp của những công cụ phù thủy… Chính sách về account và cách thức tạo account nghèo nàn là con đường dễ dàng nhất cho attacker, như vậy những hình thức bảo mật khác được áp dụng vào hệ thống như trang bị các công cụ chống maleware (prevent virus, worm, spyware, ad-ware ), triển khai hệ thống phòng thủ Mạng (Firewall) cũng sẽ không có tác dụng nào đáng kể, vì Admin quá thờ ơ trong cách thức tạo account và đưa ra chính sách tạo account chứa đựng nhiều rủi ro này. Yêu cầu xác định các chính sách tạo password mạnh và đưa ra được chiến lược an toàn account áp dụng vào an toàn thông tin của tổ chức là vấn đề mang tính cấp bách. A. Làm thế nào để tạo và quản lý Account an toàn Những yếu tố dưới đây sẽ cho chúng ta thấy cách thức tạo và quản lý Account sao cho an toàn Account phải được bảo vệ bằng password phức hợp ( password length, password complexity) Chủ sở hữu account chỉ được cung cấp quyền hạn truy cập thông tin và dịch vụ cần thiết (không thiếu quyền hạn mà cũng không thể để thừa) Mã hóa account trong giao dịch trên Mạng (kể cả giao dịch trong Mạng nội bộ) Lưu trữ account an toàn ( nhất định database lưu giữ tai khoản phải được đặt trên những hệ thống an toàn và được mã hóa) Huấn luyện nhân viên, những người trực tiếp sử dụng Computer cách thức bảo mật account tránh rò rĩ (attacker có thể lợi dụng mối quan hệ với nhân viên hoặc giả danh bộ phận kĩ thuật hỗ trợ xử lí sự cố hệ thống từ xa để khai thác ), hướng dẫn cách thức thay đổi password khi cần thiết và tránh tuyệt đối việc ghi lại account trên các stick-notes rồi gián bừa bãi trên Monitorhoặc Keyboard ), Khóa (lock) ngay Computer khi không sử dụng, mặc định trên các máy tính thường cũng có chính sách tự động lock computer sau môt thời gian không sử dụng, để giúp cho những nhân viên hay quên tránh được lỗi bảo mật sơ đẳng (lỗi này giống như việc ra khỏi nhà mà không khóa cửa) Những người tạo và quản lý account (đặc biệt là những account hệ thống – System accounts, và account vận hành, kiểm soát các dịch vụ - service accounts) cho toàn bộ tổ chức là những người được xem là AN TOÀN TUYỆT ĐỐI. Disable những account tạm thời chưa sử dụng, delete những account không còn sử dụng. Tránh việc dùng chung Password cho nhiều account Khóa (lock) account sau một số lần người sử dụng log-on không thành công vào hệ thống. Có thể không cho phép một số account quản trị hệ thống và dịch vụ, không được log-on từ xa (remote location log-on), vì những hệ thống và dịch vụ này rất quan trọng và thông thường chỉ cho phép được kiểm soát từ bên trong (internal Network), nếu có nhu cầu quản trị và support từ xa Security Admin vẫn dễ dàng thay đổi chính sách để đáp ứng nhu cầu. Các Security admin khi log-on vào Server chỉ nên dùng account có quyền hạn thấp, khi cần quản trị hay vận hành các dịch vụ, mới nên dùng account System hoặc Service (ví dụ Microsoft Windows hỗ trợ command run as thông qua run as service để cho phép độc lập quản trị các thành phần của hệ thống, các dịch vụ mà không cần phải log-on vào máy ban đầu bằng account admin). Điều này giúp chúng ta tránh được các chương trình nguy hiểm đã lọt vào máy tính chạy với quyền admin, khi đó các admin thật sự của Computer sẽ gặp nhiều rắc rối. Vá tất cả những lỗ hỗng hệ thống để ngăn chặn các kiểu tấn công “đặc quyền leo thang” (bắt đầu lọt vào hệ thống với account thông thường và sau đó leo thang đến quyền cao nhất) Trên đây là những phần trực quan nhất mà Admin Security cần hình dung cụ thể khi thiết kế chính sách bảo mật account (account security policies). Một trong những chính sách bảo vệ hệ thống cần phải xem xet kĩ lưỡng nhất nhưng thông thường dễ lơ là thậm chí là coi nhẹ, mà sự thực hầu hết các con đường xâm nhập vào hệ thống đều qua khai thác Credentials (có được thông tin account), attacker nắm được vulnerabilities ( yếu điểm ) này, nên lợi dụng khai thác rất hiệu quả. B. Phân tích và thiết kế các chính sách an toàn cho account. Phân tích những rủi ro và xác định các mối đe dọa đối với account: Account cho một User sẽ xác định những hành động mà User đó có thể thực hiện. Việc phân loại account sẽ chỉ ra những cấp độ bảo vệ thích hợp khác nhau. Loại account Độ tin cậy Ví dụ Người dùng bên ngoài Thấp User truy cập Web server (anonymous user), đối tác kinh doanh (business partners) Nhân viên nội bộ Vừa phải Nhân viên hợp đồng, nhân viên chính thức Nhóm Administrator Cao Quyền quản trị hệ thống, dịch vụ, dữ liệu tổ chức… Các account trên hệ thống sẽ nhận được 2 loại quyền cơ bản: User rights (Quyền hệ thống): Là loại đặc quyền mà User được hệ thống cho phép thực thi những hành động đặc biệt (ví dụ: Quyền Backup Files Và Folders, thay đổi thời gian hệ thống, shutdown hệ thống…) Trên Windows các bạn có thể type command secpol.msc tại RUN, để open Local Security Settings\ local policies\ User rights assignment là nơi xác lập các User rights của hệ thống Permissions (Quyền truy cập): Được kiểm soát bởi DACLs (Discretionary access control lists) của hệ thống, được phép truy cập vào các File/Folder hay Active Directory objects (trong Domain) (ví dụ User A được quyền Read/Modify đối với Folder C:\Data, User B được Full Control đối với OU Business ) Chú ý trong việc cấp phát Permission cho account, nên đưa account vào Group để dễ kiểm soát, tránh việc phân quyền mang tính cá nhân cho một account nào đó. Điều này tăng cường khả năng kiểm soát account, vì khi số lượng account của hệ thống (Local hay Domain) tăng lên thì việc tổ chức này tạo sự an toàn và dễ kiểm soát hơn. Những kẽ hở từ Account có thể tạo cơ hội cho attacker: Password: Password quá yếu (độ dài password quá ngắn, các kí tự đơn giản, lấy ngày tháng năm sinh, tên những bộ phim, địa danh, nhân vật nổi tiếng , đặt cho password). Dùng cùng password cho nhiều account. password được dán bừa bãi lên Monitor/Keyboard, hoặc lưu password vào một text file không bảo vệ. Chia sẽ password hệ thống của mình cho bạn đồng nghiệp… Cấp phát đặc quyền: Cấp phát đặc quyền Administrator cho các User. Các services của hệ thống không dùng Service account. Cấp phát User right không cần thiết cho account. Việc sử dụng account: Log-on vào máy với account Administrators khi thi hành những tác vụ thông thường. Tạo những User account cho phép quyền quản trị các tài khoản khác. Kích hoạt những tài khoản không còn được sử dụng (ví dụ nhân viên đã nghỉ việc, tài khỏan vẫn được lưu hành trên hệ thống ) Thiết kế chính sách tạo Password đáp ứng bảo mật cho Account: Chính sách tạo password sao cho an toàn thực sư là một trong những yếu tố chính để bảo vệ tài khoản. Chính sách này bao gồm các yếu tố chính như sau: Thời gian tối đa sử dụng password (maximum password age): Hạn sử dụng tối đa của password trước khi user phải thay đổi password. Thay đổi password theo định kì sẽ giúp tăng cường an toàn cho tài khoản Thời gian tối thiểu password phải được sử dụng trước khi có thể thay đổi (minimum password age). Admin có thể thiết lập thờigian này khoảng vài ngày, trước khi cho phép user thay đổi password của họ. Thực thi password history: Số lần các password khác biệt nhau phải sử dụng qua, trước khi quay lại dùng password cũ. Số Password history càng cao thì độ an toàn càng lớn. Chiều dài password tối thiểu (minimum password length) cần phải đặt. Càng dài càng an toàn Password phải đạt yêu cầu phức hợp: không chỉ về độ dài mà còn về độ phức hợp của các kí tự đặt password (ví dụ bạn có thể thấy sự khác biệt giữa password và P@ssW0rd) Khi dùng password phức hợp cần quan tâm: Không sử dụng họ và tên Chứa ít nhất 6 kí tự Có thể đan xen chữ hoa,(A Z) thường (a z), và các kí tự đặc biệt như: !@#$%^&*() Account lockout: Sẽ bị khóa tài khoản trong một thời gian nhất định, nếu như sau một số lần log-on không thành công vào hệ thống. Mục đích của chính sách này nhằm ngăn chặn các cuộc tấn công dạng brute force vào account để dò password. Trên đây là những vấn đề cốt lõi trong việc tạo và quản lý Account sao cho an toàn, nhằm đáp ứng các yêu cầu khắt khe trong chính sách an toàn thông tin của tổ chức và đối với các Security Admin thiết nghĩ vấn đề này không nên chễnh mãng hoặc thờ ơ, vì đây là “ngõ vào” đầu tiên mà attacker luôn ưu tiên trong việc thăm dò, khai thác yếu điểm của hệ thống. CƠ CHẾ AN TOÀN TRÊN WINDOWS NT - PHẦN II Cập nhật lúc 07h31' ngày 17/11/2003 PHẦN II (Và hết) 3.Thừa kế quyền: Các đối tượng trên Windows NT có thể được phân làm 2 loại: đối tượng container (hay đối tượng cha) và non-container. Đối tượng container về mặt logic có thể chứa những đối tượng khác (chẳng hạn như đối tượng thư mục có thể chứa các đối tượng file) còn đối tượng non-container thì không chứa đối tượng khác (như đối tượng file). Như vậy, khi một đối tượng được tạo bên trong một đối tượng khác thì nó sẽ được thừa hưởng những quyền hạn của đối tượng cha đó. Ví dụ: Khi ta tạo một thư mục con TOAN bên trong thư mục D:\BAITAP thì thư mục con TOAN sẽ được thừa hưởng những quyền của thư mục D:\BAITAP Theo ngầm định, khi ta thay đổi những quyền trên thư mục cha thì sự thay đổi chỉ có hiệu lực đối với thư mục đó và những file bên trong nó nhưng không có hiệu lực đối với các thư mục con và nội dung của thư mục con đó. Tuy nhiên, ở hộp thoại Directory Permissions ta có thể làm cho những thay đổi có hiệu lực bằng cách chọn tùy chọn Replace Permissions on Subdirectory và Replace Permissions on Existing File. 4. Ghi nhận hoạt động của hệ thống: Một trong những mục tiêu rất quan trọng của Windows NT là đảm bảo hệ thống hoạt động một cách có hiệu quả và độ tin cậy cao. Vì vậy, Windows NT cung cấp những tính năng cho phép theo dõi và ghi nhận những hoạt động của toàn bộ hệ thống thông qua khả năng giám sát những sự kiện (Event) đang xảy ra. Những sự kiện này bao gồm sự kiện liên quan đến an toàn hệ thống và sự kiện liên quan đến người dùng. Nhờ vậy, khi có bất kì sự cố nào xảy ra có nguy cơ gây phương hại đến tính an toàn của hệ thống, Windows NT sẽ đảm bảo việc hạn chế và ngăn chặn lỗi, kiểm tra và định vị lỗi đó. Mỗi sự kiện trong hệ thống đều có chứa những thông tin giúp phân định bao gồm: Event ID (định danh), Source (nơi phát sinh sự kiện), Type (kiểu sự kiện), Category (loại sự kiện) và các thông tin khác phụ thuộc vào loại và kiểu sự kiện. Các sự kiện có thể phân làm 7 loại: 1. Account Management (Quản lý người dùng và nhóm người dùng): mô tả những sự kiện liên quan đến việc thay đổi Cơ sở dữ liệu quản lý tài khoản người dùng. Ví dụ như: User Created (tạo mới người dùng), Group Membership Change (thay đổi thông tin trong nhóm) 2. Detailed Tracking (Quản lý các chương trình đang chạy): sự kiện liên quan đến hoạt động của các chương trình như kích hoạt chương trình, truy cập đến một đối tượng 3. Logon / Logoff (Quản lý trong quá trình đăng kí tham gia và thoát khỏi hệ thống): các sự kiện như: nhập mật khẩu, tên người dùng, kiểu tham gia vào hệ thống (cục bộ, thông qua mạng ) 4. Object Access (Quản lý việc truy cập file và các đối tượng khác): các sự kiện liên quan đến việc truy cập tài nguyên, thành công hay không thành công. 5. Policy Change (Thay đổi những cách thức về an toàn): chỉ những thay đổi đến cơ sở dữ liệu về an toàn như: thay đổi những đặc quyền, khả năng đăng nhập, xác nhận tính hợp lệ của đối tượng. 6. Privilege Use : chỉ những sự kiện liên quan đến quyền hạn của người dùng. 7. System Event: chỉ những sự kiện có ảnh hưởng đến tính an toàn của hệ thống. Để quan sát được những sự kiện xảy ra trong hệ thống, Windows NT cung cấp một trình tiện ích là Event Viewer. Event Viewer cho phép xem xét một cách rất chi tiết bất kì sự kiện nào xảy ra trong hệ thống như mở file, đóng file, hoạt động của các tiến trình của người dùng, thay đổi mật khẩu, các sự kiện xác nhận an toàn Ví dụ : Sự kiện phát sinh khi thao tác trên một file TEST.TXT. Kiểu sự kiện trên là Success Audit tức là xác nhận thao tác trên file là thành công, định danh Event ID là 560 tức là Object Open. Như vậy, sự kiện trong ví dụ ám chỉ việc mở file TEST.TXT của người dùng là thành công. Một số Event ID tham khảo: 1. Quản lý việc truy cập đến đối tượng và file: 1. 560: Object Open : bắt đầu thao tác trên đối tượng (Mở file ) 2. 561: Handle Allocated : xác định đối tượng (Kiểm tra tính tồn tại ) 3. 562: Handle Closed : chấm dứt truy cập đến đối tượng (Đóng file) 4. 592: New Process Has Been Created : một tiến trình mới được tạo 5. 593: Process Has Exited : kết thúc một tiến trình 2. Quản lý người dùng 1. 624: User Account Created : tạo mới tài khoản 2. 632: Global Group Member Added : thêm một người dùng vào nhóm global 3. 636: Local Group Member Added : thêm một người dùng vào nhóm local 4. 642: User Account Changed : thay đổi trên tài khoản người dùng 3. Quản lý hệ thống 1. 512: Windows NT Starting Up : Wins NT bắt đầu khởi động 2. 514: Authentication package Loaded : tiến trình xác nhận trong quá trình đăng nhập được gọi (xem thêm quá trình đăng nhập của người dùng phần sau) Để có thể theo dõi được những sự kiện phát sinh khi thực hiện một thao tác đòi hỏi người dùng phải tham gia vào hệ thống với tư cách là Server Administrator để có thể thiết lập cơ chế xác nhận các sự kiện và dùng tiện ích User Manager for Domains để thiết lập cơ chế xác nhận bằng chức năng Audit Policy: 2. ĐỐI TƯỢNG NGƯỜI DÙNG VÀ QUÁ TRÌNH ĐĂNG NHẬP 1. Những thông tin về người dùng: Đối tượng người dùng hay người dùng đơn giản là những người tham gia vào hệ thống. Họ có thể tham gia vào hệ thống Windows NT dưới hình thức một Windows NT Workstations, Server hay tham gia từ xa thông qua mạng. Mỗi người dùng trong hệ thống Windows NT bắt buộc phải có tên (user name), tài khoản (account) và một mật khẩu (password) để tham gia vào tài khoản đó. Những thông tin này sẽ được người quản trị mạng cung cấp và sẽ được lưu trữ trong cơ sở dữ liệu tài khoản (Security Accounts database - Security Policy database). Sau này khi người dùng tham gia vào hệ thống, bộ phận Local Security Authority (LSA) sẽ xác nhận tính hợp lệ của người đó dựa trên những thông tin đã lưu trong cơ sở dữ liệu và những thông tin mà người dùng nhập vào trong quá trình Logon. Tên người dùng là một chuỗi dài không quá 20 kí tự không phân biệt kiểu chữ hoa hay thường và không được chứa những kí tự đặc biệt như: / \ [ ]: ; ! = , + # ? < >. Tên người dùng còn được dùng như tên đăng nhập (logon name) duy nhất trên một vùng (domain) và là yêu cầu tối thiểu khi tạo tài khoản người dùng. Mật khẩu người dùng một chuỗi dài không quá 14 kí tự có phân biệt chữ hoa hay thường, duy nhất và được mã hóa để đảm bảo không thể đọc được từ bất kì người nào trong hệ thống kể cả người quản trị. Sau khi xác nhận người dùng với hệ thống, LSA sẽ tạo ra một Thẻ truy xuất bảo mật (Security Access Token - SAT) cho người dùng. SAT bao gồm một Số bảo mật (SID), những SID của nhóm mà người dùng tham gia và thêm một số thông tin khác như tên người dùng, tên của các nhóm chứa người dùng đó và khi người dùng thực thi những trình ứng dụng của mình thì một bản sao của SAT cũng sẽ được gởi đến cho trình ứng dụng đó. Như vậy, khi người dùng (hay trình ứng dụng của người dùng) muốn truy cập đến một đối tượng, Windows NT sẽ dựa trên SID chứa trong Thẻ truy xuất bảo mật và xem xét danh sách các quyền của người đó để đảm bảo việc truy cập là hợp lệ. Sơ đồ biểu diễn quá trình tham gia của người dùng vào mạng Windows NT: Sơ đồ trên thể hiện 2 hình thức tham gia của người dùng vào mạng Windows NT: tham gia như một NT Workstation (cục bộ) và tham gia từ một mạng khác. LSA sẽ so sánh những thông tin mà người dùng nhập vào với thông tin trong cơ sở dữ liệu. Nếu chính xác, Thẻ truy xuất SAT sẽ được thiết lập cho người đó, ngược lại, việc truy cập vào hệ thống sẽ không được chấp nhận. 2. Quyền của người dùng: Một mục tiêu của cơ chế an toàn Windows NT là giám sát và điều khiển việc truy cập của người dùng vào một đối tượng nào đó trên hệ thống máy tính. Để thực hiện được điều này, cơ chế an toàn đã lưu giữ trong cơ sở dữ liệu những thông tin về an toàn của người dùng, của nhóm và của các đối tượng ngay khi họ được tạo ra, kiểm tra tính hợp lệ của những yêu cầu truy cập đến các đối tượng do người dùng trực tiếp tạo ra hay gián tiếp từ những trình ứng dụng của họ. Ngoài ra, hệ thống còn có nhiệm vụ giám sát và điều khiển việc truy cập của người dùng đến mọi đối tượng bao gồm đối tượng có thể nhìn thấy được như máy in, file… hoặc những đối tượng tiềm ẩn như các tiến trình, name-pipe… Như vậy, cơ chế an toàn không những điều khiển việc ra quyết định ai sẽ được phép sử dụng đối tượng nào mà còn điều khiển việc truy cập đó sẽ diễn ra ra sao. Windows NT cũng quy định người quản trị mạng (hay bất cứ ai có quyền thay đổi cơ chế quyền) có toàn quyền tạo, gán và thay đổi các quyền của người dùng đến một đối tượng, khả năng này gọi là discretionary access control. Ví dụ, người quản trị mạng có thể đặt nhóm SINHVIEN chỉ có quyền Read đối với thư mục SOFTWARES, còn nhóm GIANGVIEN có quyền Read, Write và Execute trên thư mục này. Để có thể áp đặt quyền hạn của người dùng đối với một file hay thư mục, có thể dùng trình quản lý file NT Explorer, chọn mục Permissons trên trình đơn hay trên menu con khi nhấn nút phải chuột vào một file hay thư mục. Ví dụ: Một số quyền (Permissions) cơ bản mà người dùng có thể có đối với một file xác định: đọc (Read), viết (Write), xóa (Delete), thay đổi quyền (Change Permission), thi hành (Execute), lấy quyền sở hữu (Take Ownership), cấm truy cập (No Access) Hầu hết người dùng trong Windows NT đều thuộc ít nhất một nhóm cài sẵn (built-in group) nào đó như Administrators, Guests, Users và do đó, ngầm định người đó sẽ được thừa hưởng những quyền (rights) và khả năng (capabilities) thao tác trên hệ thống mà nhóm đó có. Ví dụ, nếu người dùng là thành viên của nhóm Administrators sẽ có thể thực hiện các thao tác quản trị hệ thống như tạo mới tài khoản, thay đổi mật khẩu người dùng, thiết lập quyền Nếu người dùng là thành viên của nhiều nhóm thì quyền của người đó là tập hợp của quyền của tất cả các nhóm hội lại. Trên Windows NT có 3 thuật ngữ đều mang ý nghĩa thể hiện quyền hạn của người dùng đối với hệ thống đó là Permissions, User rights và Built-in capabilities nhưng trong thực tế chúng có ý nghĩa khác biệt. Ta có thể giải thích như sau: 1. Permissions (sự cho phép): ám chỉ quyền hạn của người dùng liên quan đến việc sử dụng tài nguyên bao gồm những luật và thao tác mà người đó có hoặc không thể thực hiện trên đối tượng tài nguyên đó. Những quyền hạn loại này được lưu trữ trong Danh sách điều khiển truy cập ACL liên kết với một đối tượng tài nguyên. Ví dụ, đối với tài nguyên file và thư mục có các quyền như Read, Write, Delete 2. User rights (Quyền của người dùng): ám chỉ quyền hạn của người dùng liên quan đến những thao tác có liên quan đến việc quản trị hệ thống như Shut down máy, đăng nhập, thay đổi thời gian hệ thống User rights được phân phối ngầm định cho các nhóm cài sẵn và có thể phủ lấp cả Permissions. Ví dụ, khi người dùng là thành viên của nhóm Backup Operators người đó có quyền Tạo dự phòng (backup) và phục hồi dữ liệu (restore) cho dù có thể người đó không có các quyền (permissions) Read hay Write. User rights và Permission có thể được thay đổi bởi người dùng thuộc nhóm Administrators. 3. Built-in capabilities: ám chỉ những khả năng mạnh liên quan đến việc quản trị hệ thống của những nhóm cài sẵn như tạo mới tài khoản, chia sẻ tài nguyên, định dạng đĩa cứng trên máy server Những khả năng này là ngầm định, không thể thay đổi bởi bất cứ ai kể cả Administrators. Ví dụ: Quyền của người dùng trên máy NT Server Kí hiệu trong sơ đồ: Admin (Administrators), SO (Server Operators), AO (Account Operators), PO (Print Operators), BO (Backup Operators), Ev (Everyone). 3. Quá trình đăng nhập: Trước khi người dùng có thể thực hiện bất kì thao tác nào trong hệ thống Windows NT, người đó phải trải qua một quá trình đăng kí thâm nhập – đăng nhập. Việc đăng kí bao gồm việc nhập vào Tên người dùng (User name), Mật khẩu (Password) và Tên máy tính (Computer name / Domain). Windows NT sẽ dùng Tên cho việc định danh và Mật khẩu để xác nhận và để phân phối hay hạn chế quyền của người dùng sẽ dựa trên những thông tin đó. Ta có sơ đồ đăng nhập của người dùng vào hệ thống: Cụ thể thể hiện qua các bước : 1. Người dùng nhấn tổ hợp phím Ctrl+Alt+Del để bắt đầu quá trình đăng kí. Ctrl+Alt+Del là tổ hợp phím đặc biệt đánh dấu việc bắt đầu tải hệ điều hành vào bộ nhớ và có thể tránh được việc một số chương trình bất hợp lệ (như virus ) có thể vào trước hệ điều hành đánh lừa người dùng để lấy cắp Tên người dùng và Mật khẩu. 2. Người dùng nhập Tên và Mật khẩu, tiến trình đăng nhập Logon Process sẽ gọi LSA. 3. LSA sẽ chạy một tiến trình xác nhận Authentication package. 4. Authentication package sẽ dựa vào Tên và Mật khẩu người dùng để xác định xem tài khoản của người dùng có tồn tại trong Cơ sở dữ liệu tài khoản hay không. Nếu không tồn tại, tiến trình quay trở lại bước 2. 5. Nếu tài khoản tồn tại, trình quản lý tài khoản SAM sẽ trả về một SID của người dùng và của nhóm chứa người dùng cho trình Authentication package. 6. Trình Authentication package tạo ra một logon session và gửi logon session đó với SID người dùng về cho LSA. 7. Nếu việc đăng kí bị hủy, logon session cũng sẽ bị hủy và quay lại bước 1. Ngược lại, một Thẻ truy xuất bảo mật sẽ được tạo cho người dùng (chứa các SID và quyền của người dùng) và được gửi trở lại Tiến trình logon đánh dấu việc xác nhận thành công. 8. Logon session sẽ gọi Win32 subsystem để tạo một môi trường mới cho người dùng. 9. Người dùng bắt đầu sử dụng Windows NT. Thẻ truy xuất bảo mật (Security Access Token) được tạo ra nhằm đảm bảo khi người dùng tìm cách truy xuất đến những đối tượng được bảo vệ, Bộ phận giám sát an toàn (Security Reference Monotor) sẽ thi hành một thủ tục để kiểm tra tính hợp lệ của truy xuất dựa trên thẻ truy xuất này. Bất kì tiến trình nào mà người dùng tạo ra cũng đều được gắn thêm thẻ truy xuất bảo mật của người đó và được dùng để kiểm tra tính hợp lệ khi tiến trình đó muốn truy xuất và sử dụng tài nguyên. Thẻ truy xuất bảo mật chứa một số thông tin sau: 1. Số bảo mật của người dùng (Owner’s Security ID) 2. Số bảo mật của nhóm (Group’s Security ID) 3. Các đặc quyền (Privileges) 4. Số bảo mật của nhóm chính. 5. Danh sách điều khiển truy cập ngầm định (Default Access-control list (ACL) ) 6. Nguồn của thẻ truy xuất. 7. Kiểu của thẻ truy xuất (thẻ chính hay đã phân cấp) 8. Mức độ phân cấp hiện hành. 9. Những thông tin khác. 4. Xác nhận việc truy cập: Để đảm bảo việc truy cập của người dùng đến một đối tượng là hợp lệ, Windows NT sẽ so sánh những thông tin về an toàn trong Thẻ truy xuất bảo mật - SAT của người đó với những thông tin trong bảng mô tả an toàn của đối tượng. Như vậy, việc truy cập bước đầu được xem là thành công nếu những thông tin này phù hợp với nhau. Tức là những thông tin về an toàn trong Danh sách điều khiển truy cập – ACL liên kết với đối tượng (ACE) xác nhận người dùng có quyền truy cập đến nó. Tập hợp các kiểu truy cập mà người dùng muốn thực hiện trên một đối tượng hình thành nên Mặt nạ truy cập yêu cầu (desired access mask). Mặt nạ truy cập này thường được chương trình của người dùng tạo ra và được so sánh với từng ACE trong danh sách ACL của đối tượng được truy cập. Quá trình xác nhận truy cập thông qua các bước: 1. SID trong ACE liên kết với đối tượng được so sánh với các SID trong Thẻ truy xuất của người dùng. Nếu không giống thì việc so sánh chuyển qua ACE tiếp theo. (Các ACE AccessDenied được xử lý trước các ACE AccessAllowed – Xem lại phần I. Những thông tin về an toàn) 2. Nếu việc truy cập bị hoãn lại, hệ thống sẽ kiểm tra kiểu truy cập trong Mặt nạ truy cập yêu cầu xem có phải là READ_CONTROL hay WRITE_DAC và người . các ổ đĩa có dung lượng lên đến 128 TB mà thôi. LÀM THẾ NÀO ĐỂ BẢO VỆ CÁC MÁY TÍNH CỦA MỘT TỔ CHỨC Phần 2: Chính sách an toàn Account cho Computer (Security. dữ liệu của mình từ một máy tính chạy Windows sang máy chạy hệ điều hành khác như Mac chẳng hạn. Hầu hết các máy Mac hiện nay đều không thể nhận dạng các