网络安全----Windows NT文件系统安全

ruanyongjie

在windows系统中，先实现文件系统（NTFS）,当然也可以使用FAT格式，但是并不支持文件级的权限。FAT只在那些相对来讲，对安全要求较低的情况下使用。即使NTFS也不能认为是能完全地保护文件的，这一点在稍后的实验中你将会看到。
　　一旦已经实施了NTFS的文件系统格式，可通过Windows NT的资源管理器直接来管理文件的安全。使用NT资源管理器你可为设置目录或文件的权限。基于文件级的权限你可以分配下面几种：读取（R）,写入(W)，执行(X)，删除(D)，改变(P)，取得所有权(O)。详细请参照下表：
　　
　　NTFS权限
　　基于目录
　　基于文件
　　读取 (R)
　　显示目录名，属性，所有者及权限
　　显示文件数据，属性，所有者及权限
　　写入 (W)
　　添加文件和目录，改变一个属性以及显示所有者和权限
　　显示所有者和权限；改变文件的属性；在文件内加入数据
　　执行 (X)
　　显示属性，可进入目录中的目录，显示所有者和权限
　　显示文件属性，所有者和权限；如果是可执行文件可运行
　　删除 (D)
　　可删除目录
　　可删除文件
　　改变权限 (P)
　　改变目录的权限
　　改变文件的权限
　　取得所有权 (O)
　　取得目录的所有权
　　取得文件的所有权
　　为了简化权限的管理，NT有几种有关权限的标准。通常在分配权限的时候，往往是组合使用权限而不是使用单独的权限，这些权限如下表
　　
　　标准权限
　　基于目录
　　基于文件
　　不可访问
　　无
　　无
　　列出
　　RX
　　不适用
　　读取
　　RX
　　RX
　　添加
　　WX
　　不适用
　　添加和读取
　　RWS
　　RX
　　更改
　　RWXD
　　RWXD
　　完全控制
　　ALL
　　ALL
　　在这些权限的基础上，你可以达到根据需要来访问控制。但是确定什么是你需要的最小权限是困难的。回顾一下第一课我们所讲的一个新建立的NTFS分区默认情况下everyone组对其有完全控制的权限。这种标准是无法接受的，如果你不加选择的删除everyone组或在任何地方都把不可访问的权限赋予给everyone组，那么有可能会损坏你的NT安装。Everyone组必须可以访问主要的系统目录（比如登陆目录）来使用户能够连接和登陆到服务器上。因为用户在开始登陆的过程中还没有被认证，你必须使用everyone组提供访问以使他们能够被认证。赋予everyone组不可访问其实更危险，因为拒绝访问优先于允许访问，而且所有的用户都是属于everyone组的，这样也就等于完全阻止了对文件系统的访问。
　　目录的权限分配和文件是一样的。目录的权限影响其目录中新建的文件。换句话说就是任何新建的文件将继承此目录的权限。

[ 本帖最后由 ruanyongjie 于 2008-9-3 23:12 编辑 ]