Keri sisuni

Osa 2 praktika: Pärimine, omanik, keelamine ja ACL

Enne alustamist

Kontrolli, et osa 1 labor on alles: kasutajad anna, mark, guest1, rühmad HR, IT ja kaustad kaustas C:\Lab. Kui midagi on puudu, taasta hetktõmmis 1.

Harjutus 1: Pärimine ja tõhus juurdepääs

Teooria: 1. Pärimine

Samm 1: Korista ära laiad õigused

Osa 1 lõpus said anna ja mark tõenäoliselt endiselt teineteise kaustu avada. Põhjus on rühm Authenticated Users, mis tuleb kettalt C:\.

Tee kaustadel C:\Lab\HR ja C:\Lab\IT:

  1. Atribuudid > Turve > Täpsemalt (Properties > Security > Advanced).
  2. Keela pärimine (Disable inheritance) ja vali Teisenda päritud õigused selle objekti selgesõnalisteks õigusteks (Convert inherited permissions into explicit permissions on this object).
  3. Eemalda kirjed Users ja Authenticated Users. Jäta alles Administrators, SYSTEM ja meeskonna rühm.

Warning

Ilma selle sammuta annavad järgmised testid segaseid tulemusi, sest kõigil on juurdepääs rühma Authenticated Users kaudu.

Samm 2: Uuri päritud kirjeid

Loo kaust C:\Lab\HR\Reports ja selle sisse fail. Ava kausta Reports vaade Täpsemalt. Millised kirjed on päritud ja kust?

Samm 3: Teisenda ja muuda

  1. Vajuta Keela pärimine ja vali Teisenda. Võrdle kirjeid enne ja pärast.
  2. Eemalda rühma HR kirje ainult kaustast Reports. Kas ülemkaust HR jäi muutmata?

Samm 4: Tõhus juurdepääs

Ava vahekaart Tõhus juurdepääs (Effective Access) > Vali kasutaja (Select a user) > anna. Mis õigused on tal kaustas HR ja kaustas Reports?

Samm 5: Eemalda

Loo uus kaust ja keela sellel pärimine valikuga Eemalda kõik päritud õigused (Remove all inherited permissions). Mis juhtub juurdepääsuloendiga? Kes saab kausta veel avada?

Mõtle: miks tundub valik Teisenda turvalisem kui Eemalda?

Teisenda jätab olemasolevad kirjed alles. Eemalda jätab loendi tühjaks ja keegi, ka sina ise, ei pruugi kausta enam avada. Administraator saab siiski omanikuks saada.

Harjutus 2: ACL lugemine

Teooria: 2. ACL käsureal

Käivita käsud ja võrdle väljundit vahekaardiga Turve:

# Kõik kausta kirjed
(Get-Acl C:\Lab\HR).Access |
    Format-Table IdentityReference, FileSystemRights, AccessControlType, IsInherited -AutoSize

# Omanik
(Get-Acl C:\Lab\HR).Owner

# Klassikaline tööriist, lühike väljund
icacls C:\Lab\HR

# Praeguse kasutaja rühmad
whoami /groups
Kontrolli tulemust

Oskad icacls väljundist lugeda, kellel on milline õigus ja kas kirje on päritud (I).

Harjutus 3: Õigused käsureal

Teooria: 2. ACL käsureal ja 3. Omanik

icacls (soovitatav igapäevatööks)

# Anna rühmale HR kaustas HR muutmisõigus, kehtib alamkaustadele ja failidele
icacls C:\Lab\HR /grant "HR:(OI)(CI)M"

# Anna kasutajale lugemisõigus
icacls C:\Lab\Public /grant "guest1:(OI)(CI)R"

# Keela kasutajal kirjutamine
icacls C:\Lab\HR /deny "mark:(OI)(CI)W"

# Eemalda kasutaja või rühma kõik kirjed (lubamised ja keelamised)
icacls C:\Lab\HR /remove "mark"

# Lõpeta pärimine, jäta kirjed alles (Teisenda)
icacls C:\Lab\HR\Reports /inheritance:d

# Lõpeta pärimine ja eemalda päritud kirjed (Eemalda)
icacls C:\Lab\HR\Reports /inheritance:r

# Lülita pärimine uuesti sisse
icacls C:\Lab\HR\Reports /inheritance:e

Warning

/inheritance:r võib jätta kausta täiesti ilma kirjeteta. Lisa samas käsureal kohe kirje endale või rühmale Administrators.

Omanikuks saamine

Neid käske kasutad harjutuses 4, kui kaust C:\Lab\Orphan on lukus.

takeown /f C:\Lab\Orphan /r /d y
icacls C:\Lab\Orphan /setowner "Administrators" /t
icacls C:\Lab\Orphan /grant "Administrators:(OI)(CI)F"

Testimine teise kasutajana

runas /user:anna powershell

Proovi avanenud aknas dir C:\Lab\HR ja dir C:\Lab\IT. Kumb töötab?

Iseseisvad ülesanded

  1. Anna käsuga icacls rühmale IT kaustas C:\Lab\IT ja rühmale HR kaustas C:\Lab\HR muutmisõigus.
  2. Kontrolli käsuga Get-Acl, et kirjeid Users ja Authenticated Users kaustades C:\Lab\HR ja C:\Lab\IT enam pole.
  3. Näita lõplikke õigusi käsuga Get-Acl.
  4. Testi kasutajatena anna ja mark käsuga runas.
Vihje: Users ja Authenticated Users on alles 
icacls <tee> /inheritance:d
icacls <tee> /remove "Users"
icacls <tee> /remove "Authenticated Users"
Kontrolli tulemust

anna saab avada ainult kausta HR, mark ainult kausta IT.

Harjutus 4: Lõhu meelega

Teooria: 4. Kuidas õigused kokku liituvad

  1. Lisa mark ka rühma HR. Anna kaustas C:\Lab\Public rühmale IT Lugemine ja rühmale HR keelatud Kirjutamine (Deny Write). Ennusta enne testimist: kas mark saab kirjutada?
  2. Testi kasutajana mark.
  3. Loo kaust C:\Lab\Orphan, eemalda pärimine valikuga Eemalda ja proovi seda tavakasutajana avada. Paranda administraatorina, saades kausta omanikuks.
  4. Kinnita iga tulemus vahekaardil Tõhus juurdepääs.
Kontrolli tulemust

mark ei saa kausta Public kirjutada, sest keelamine võidab. Eemaldatud pärimisega kausta said administraatorina omanikuks ja avasid uuesti.

Osa lõpp: tee hetktõmmis 2

Tee lõuna ajal hetktõmmis nimega 2 ja taasta seejärel hetktõmmis 0 osa 3 jaoks.

Lisaülesanded

Lisaülesanne 2.1: Postkastikaust ⭐⭐

Eesmärk: loo kaust C:\Lab\DropBox, kuhu rühma Users liikmed saavad faile lisada, aga ei saa sisu näha ega avada. Rühm IT saab kõike lugeda ja muuta.

Vihjed:

  • Keela kõigepealt pärimine (Teisenda), seejärel eemalda Users ja Authenticated Users.
  • Kasuta Täpsemalt > Lisa > Kuva täpsemad õigused (Show advanced permissions): ainult Failide loomine / andmete kirjutamine ja Kaustade loomine / andmete lisamine, rakendusega Ainult see kaust (This folder only).
  • Käsureal: icacls C:\Lab\DropBox /grant "Users:(WD,AD)" (ilma (OI)(CI)-ta tähendab „ainult see kaust”).

Testi kasutajana mark: kas ta saab faili luua? Kas ta näeb kausta sisu? Kas ta saab just loodud faili avada?

Valmis, kui: kolm testi annavad ennustatud tulemuse ja oskad näidata ACL-i käsuga icacls.

Lisaülesanne 2.2: Läbimine ilma sirvimiseta ⭐⭐

Eesmärk: jõua sügaval asuvasse kausta, kuigi sul pole juurdepääsu selle ülemkaustadele.

New-Item -ItemType Directory -Path C:\Lab\Projects\Alpha\Secret -Force
  1. Keela kaustadel Projects ja Alpha pärimine (Teisenda) ning eemalda mõlemast Users ja Authenticated Users.
  2. Anna kasutajale anna kaustas Secret ainult Lugemine (selle testi jaoks otse kasutajale).
  3. Testi kasutajana anna:
    • dir C:\Lab\Projects
    • dir C:\Lab\Projects\Alpha\Secret
  4. Käivita kasutajana anna käsk whoami /priv ja leia SeChangeNotifyPrivilege („Bypass traverse checking”).

Küsimused:

  1. Miks teine tee töötab, kuigi ülemkaustad on blokeeritud?
  2. Miks on kasutajal sellist kausta failiuurijas raske leida?
  3. Kas see võib olla turvaprobleem? Millal?

Valmis, kui: oskad selgitada, mis vahe on kausta nägemisel ja sellest läbi minemisel.

Lisaülesanne 2.3: Kustutamine ilma kirjutamiseta ⭐⭐

Eesmärk: avasta, kuidas kustutamisõigus tegelikult töötab.

Ettevalmistus: loo kaust C:\Lab\Trash kahe failiga a.txt ja b.txt. Eemalda pärimine (Teisenda) ja anna kasutajale mark kaustas õigus Lugemine ja käivitamine.

1. osa: anna kasutajale mark eriõigus Kustutamine ainult failile a.txt:

icacls C:\Lab\Trash\a.txt /grant "mark:(D)"

Ennusta ja testi kasutajana mark: kas ta saab kustutada faili a.txt? Aga b.txt?

2. osa: eemalda see kirje ja anna kasutajale mark kaustas õigus Alamkaustade ja failide kustutamine:

icacls C:\Lab\Trash\a.txt /remove "mark"
icacls C:\Lab\Trash /grant "mark:(DC)"

Ennusta ja testi: kas ta saab kustutada faile, mida ta lugeda ei saa?

Valmis, kui: oskad nimetada kaks viisi, kuidas Windows kustutamise lubab.

Lisaülesanne 2.4: Salvesta, lõhu ja taasta ACL ⭐

Eesmärk: varunda õigused ja taasta need pärast viga.

# Salvesta kõigi kausta C:\Lab objektide ACL-id (ilma omanikuta)
icacls C:\Lab\* /save "$env:USERPROFILE\lab-acl.txt" /t

# Lõhu midagi meelega (ainult kaustas C:\Lab)
icacls C:\Lab\HR /reset /t

# Taasta
icacls C:\Lab\ /restore "$env:USERPROFILE\lab-acl.txt"

Valmis, kui: Get-Acl C:\Lab\HR näeb enne lõhkumist ja pärast taastamist välja ühesugune.

Küsimus: mida /save ei salvesta? (Vihje: loe icacls /?.)

Lisaülesanne 2.5: Kes proovis avada? Failide auditeerimine ⭐⭐⭐

Eesmärk: pane Windows ebaõnnestunud juurdepääsukatseid logima ja loe logi.

Administraatorina, virtuaalmasinas:

  1. Lülita auditipoliitika sisse:

    auditpol /set /subcategory:"File System" /success:enable /failure:enable

  2. Kaustal C:\Lab\HR: Atribuudid > Turve > Täpsemalt > Auditeerimine > Lisa (Auditing > Add). Kasutaja: Everyone, tüüp: Nurjumine (Fail), õigused: Lugemine.

  3. Proovi kasutajana mark avada kausta C:\Lab\HR (see peaks olema keelatud).

  4. Loe administraatorina turbelogi:

    Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656,4663} -MaxEvents 20 |
    Format-List TimeCreated, Id, Message

  5. Lülita auditipoliitika uuesti välja:

    auditpol /set /subcategory:"File System" /success:disable /failure:disable

Valmis, kui: oskad ühe sündmuse põhjal öelda kasutaja, objekti ja aja.

Kokkuvõtte kontrollnimekiri

  • Oskan pärimist välja lülitada valikutega Teisenda ja Eemalda
  • Oskan kasutada vahekaarti Tõhus juurdepääs
  • Oskan lugeda õigusi käskudega Get-Acl ja icacls
  • Oskan õigusi määrata käsuga icacls
  • Oskan saada kausta omanikuks
  • Oskan selgitada, miks keelamine võidab
  • Tegin hetktõmmise 2