档案与资料的安全性管理-Microsoft.PPT

資料檔案的安全性管理 羅英嘉 2007年4月 課程大綱 介紹Windows檔案目錄的安全性保護機制 設定與管理NTFS 使用權限 設定與管理共用資料夾使用權限 稽核檔案存取 設定與管理加密檔案系統 資料備份實務與建議 資料保護原則 機密性(Confidentiality) 避免未經授權的使用者有意或無意的揭露資料內涵。 完整性(Integrity) 避免非經授權的使用者或處理程序篡改資料。 可用性(Availability) 讓資料或資源保持可用狀況。 企業資料或資源必需能夠即時、可靠而精確的提供給企業內部各個層級的使用需求。 存取控制 (Access Control) 限制資源存取的處理方式及程序，目的在保護系統資源不會被非經授權者存取或授權者作不當的存取。 Windows檔案目錄的安全性保護機制 NTFS 檔案系統的存取權限 (NTFS Permission) 共用資源的使用權限 (Share folder permission) 加密檔案系統 (Encrypting File System ) 資料備份 (Backup) 存取控制 (Access Control) 為了確保資料的私密性、完整性與可用性，嚴謹的存取控制機制為首要條件 存取控制是一種限制資源存取的處理方式及程序，其目的在保護系統資源不會被非經授權者存取或授權者作不當的存取。 Windows平台透過資源的安全性描述元(security descriptor )與使用者的存取權杖(Access Token)來控制存取。 存取權杖(Access Token) 當使用者登入驗證成功後，Local Security Authority (LSA)負責建立了使用者的安全性結構資料-存取權杖(Access Token)。 存取權杖是一個資料結構，包含了使用者安全性識別碼 (SID)、使用者所屬之群組的安全性識別碼以及使用者特權限 (也稱為「使用者權利」) 清單。 安全性描述元 (Security Descriptor) 每個受保護物件會維護一個安全性相關資訊之資料結構。 安全性描述元包括物件擁有者、物件存取者及存取方式，以及稽核的存取類型之相關資訊。 DACL 與 SACL Discretionary / System Access Control List 判別存取控制清單 (DACL) 物件的存取控制安全性結構資訊，包含允許或拒絕那些主體存取物件，以及存取的權限等級，內含多個ACE 系統存取控制清單 (SACL) 物件的安全性稽核結構資訊，包含所稽核 (Audit) 的對象 (安全性主體) ，以及所要稽核的動作 存取控制項目 (Access Control Entry；ACE) Windows檔案目錄的存取控制機制 管控Windows資料存取的安全性原則 控制檔案目錄的安全性描述元 管理擁有者 管理DACL 管理SACL 控制使用者的存取權杖 管理群組成員 管理使用者權利 檔案目錄的擁有權 NTFS下的檔案目錄擁有者可以指派物件的使用權限對象與存取方式。 可以取得檔案所有權的人需具備： 系統管理員 對正在請求中的物件具有「取得擁有權」權限的任何人或群組 擁有「還原檔案和目錄」特殊權限的使用者 移轉擁有權 目前的擁有者可以將「取得擁有權」使用權限授予其它使用者，讓其能夠隨時取得擁有權。使用者必須實際取得所有權才能完成轉送 系統管理員可以取得所有權 擁有「還原檔案和目錄」特殊權限的使用者可以連按兩下 [其他使用者和群組]，並選擇任何使用者或群組來指派擁有權。 Windows 檔案目錄的存取控制 使用NTFS 存取權限 NTFS使用權限可針對目錄或個別檔案設定，權限對網路和本機使用者皆有效 二種指定NTFS權限的方式 標準使用權限(Standard Permission) 一般性的存取控制等級 適合大部份情況下的安全性權限指派之用 特殊使用權限(Special Permission) 更細分化的存取控制等級 適用於需高度細分化權限等級的環境下使用 標準使用權限其實不過是某些特殊使用權限的組合 標準目錄使用權限 標準檔案使用權限 特殊目錄使用權限 特殊檔案使用權限 NTFS 存取權限使用規則 允許存取權限具備累積性(Cumulative) 當一個使用者及所隸屬的群組被設定成不同的允許權限時，則最後的有效權限應是所有權限的組合。 拒絕存取(Deny)覆蓋其它允許存取權限，但明確的允許會覆蓋繼承性的拒絕 預設存取權限具繼承性 (Inheritance ) 共用資料夾的存取權限與NTFS的存取權限設定不一致時 ，則以二者最嚴格限制(most restrictive permission)的存取權限為主 ACL 的繼承關係 父物件上的權限設