Inspekcja w systemach plików

Jedną z zasad dobrego projektu zabezpieczeń jest przyznanie, że nie ma czegoś takiego jak bezpieczny system. Deweloperzy wiedzą, że niektórzy ludzie próbują obejść wszelkie obecne zabezpieczenia. Takie obejście można aktywnie zrobić, na przykład przez złych podmiotów sondujących podsystem zabezpieczeń w celu znalezienia i wykorzystania otworów. Lub może to być przypadkowe, na przykład przypadkowo zastępowanie lub usuwanie danych krytycznych. Niezależnie od przyczyny konieczne jest utworzenie systemu, który może wykryć takie naruszenia.

System inspekcji w systemie Windows udostępnia mechanizm śledzenia określonych zdarzeń zabezpieczeń, dzięki czemu dziennik może być analizowany w późniejszym czasie w celu przeprowadzenia analizy pośmiertnej uszkodzonego lub naruszonego systemu. Ten mechanizm inspekcji ściśle obejmuje system plików, ponieważ system plików jest odpowiedzialny za utrzymanie trwałego przechowywania danych systemowych. W przypadku wielu systemów wymagania dotyczące zabezpieczeń są niższe, a w takich przypadkach inspekcja jest wyłączona. Systemy plików muszą być implementowane w taki sposób, aby mogły one rozwiązać problemy obu tych środowisk.

Kluczowe procedury inspekcji obejmują:

• SeAuditingFileEvents, który określa, czy inspekcja plików jest włączona w systemie. To globalna kontrola zasad określa, czy należy przeprowadzić pełną kontrolę audytową. Wprowadzono go w celu zoptymalizowania operacji systemu zabezpieczeń.

• SeAuditingFileOrGlobalEvents, który określa, czy audyt plików lub audyt globalny jest włączony w systemie. Ta kontrola polityki globalnej określa, czy należy przeprowadzić pełną kontrolę audytu dla zdarzeń plików lub zdarzeń globalnych. Wprowadzono go w celu zoptymalizowania operacji systemu zabezpieczeń.

• SeOpenObjectAuditAlarm, który wykonuje podstawowe operacje inspekcji w systemie Windows. Przeprowadza audyt próby otwarcia obiektu. Nie przeprowadza inspekcji, czy dostęp do obiektu zakończył się powodzeniem, czy niepowodzeniem.

Nie ma potrzeby przeprowadzania inspekcji. Na przykład przykładowe systemy plików FastFAT i CDFS nie implementują inspekcji. Jednak z punktu widzenia zabezpieczeń inspekcja jest ważna, ponieważ umożliwia administratorom monitorowanie zachowania zabezpieczeń systemu.