Toegangsbeheer (Windows Filtering Platform)

In Windows Filtering Platform (WFP) implementeert de BFE-service (Base Filtering Engine) het standaardmodel Windows-toegangsbeheermodel op basis van toegangstokens en beveiligingsdescriptors.

Model voor toegangsbeheer

Beveiligingsdescriptors kunnen worden opgegeven bij het toevoegen van nieuwe WFP-objecten, zoals filters en sublagen. Beveiligingsdescriptors worden beheerd met behulp van de WFP-beheerfuncties Fwpm*GetSecurityInfo0 en Fwpm*SetSecurityInfo0, waarbij * staat voor de naam van het WFP-object. Deze functies zijn semantisch identiek aan de functies Van Windows GetSecurityInfo en SetSecurityInfo.

De standaardbeveiligingsdescriptor voor de filterengine (het hoofdengineobject in het onderstaande diagram) is als volgt.

• Ververleent GENERIC_ALL (GA) toegangsrechten voor de ingebouwde groep Administrators.
• Ververleent GENERIC_READ (GR) GENERIC_WRITE (GW) GENERIC_EXECUTE (GX) toegangsrechten voor netwerkconfiguratieoperators.
• Verken GRGWGX- toegangsrechten voor de volgende servicebeveiligings-id's (SSID's): MpsSvc (Windows Firewall), NapAgent (Network Access Protection Agent), PolicyAgent (IPsec Policy Agent), RpcSs (Remote Procedure Call) en WdiServiceHost (Diagnostic Service Host).
• Geef FWPM_ACTRL_OPEN en FWPM_ACTRL_CLASSIFY aan iedereen. (Dit zijn WFP-specifieke toegangsrechten, zoals beschreven in de onderstaande tabel.)

De resterende standaardbeveiligingsdescriptors worden afgeleid via overname.

Er zijn enkele toegangscontroles, zoals voor Fwpm*Add0, Fwpm*CreateEnumHandle0, Fwpm*SubscribeChanges0 functie-aanroepen, die niet op objectniveau kunnen worden uitgevoerd. Voor deze functies zijn er containerobjecten voor elk objecttype. Voor de standaardobjecttypen (bijvoorbeeld providers, bijschriften, filters), worden de bestaande Fwpm*GetSecurityInfo0 en functies Fwpm*SetSecurityInfo0 overbelast, zodat een null-GUID- parameter de gekoppelde container identificeert. Voor de andere objecttypen (bijvoorbeeld netwerk gebeurtenissen en IPsec-beveiligingskoppelingen), zijn er expliciete functies voor het beheren van de beveiligingsgegevens van de container.

BFE biedt ondersteuning voor automatische overname van toegangscontrole-ingangen (ACE's) van de Discretionary Access Control List (DACL). BFE biedt geen ondersteuning voor SACL (System Access Control List) ACE's. Objecten nemen ACE's over van hun container. Containers erven ACE's van de filterengine. De overdrachtsbanen worden weergegeven in het onderstaande diagram.

Voor de standaardobjecttypen dwingt BFE alle algemene en standaardtoegangsrechten af. Daarnaast definieert WFP de volgende specifieke toegangsrechten.

BFE slaat alle toegangscontroles voor bellers in de kernelmodus over.

Om te voorkomen dat beheerders zichzelf uit BFE vergrendelen, krijgen leden van de ingebouwde beheerdersgroep altijd FWPM_ACTRL_OPEN tot het engineobject. Een beheerder kan dus weer toegang krijgen via de volgende stappen.

• Schakel de SE_TAKE_OWNERSHIP_NAME-bevoegdheid in.
• Roep FwpmEngineOpen0aan. De aanroep slaagt omdat de aanroeper lid is van Ingebouwde Beheerders.
• Verantwoordelijkheid nemen voor het motorobject. Dit lukt omdat de beller de bevoegdheid SE_TAKE_OWNERSHIP_NAME heeft.
• Werk de DACL bij. Dit lukt omdat de eigenaar altijd WRITE_DAC toegang heeft

Omdat BFE eigen aangepaste controle ondersteunt, worden er geen algemene objecttoegangscontroles gegenereerd. De SACL wordt dus genegeerd.

WFP Vereiste toegangsrechten

In de onderstaande tabel ziet u de toegangsrechten die zijn vereist voor de functies WFP om toegang te krijgen tot verschillende filterplatformobjecten. De functies FwpmFilter* worden weergegeven als voorbeeld voor toegang tot de standaardobjecten. Alle andere functies die toegang hebben tot standaardobjecten, volgen het FwpmFilter* functions-toegangsmodel.

Verwante onderwerpen

• Standaardtoegangsrechten
• Windows-toegangsbeheermodel
• Toegangsrechten-id's voor Windows-filteringsplatforms