Задание 3. Контроль доступа к объектам ОС 1. Создайте на рабочем столе текстовый файл «secret.txt».

На фото — практическая работа по Windows: задание 3, задание 4 и контрольные вопросы. Точные цифры в журнале и список процессов зависят от вашего компьютера — их нужно посмотреть у себя. Ниже — порядок действий, ожидаемые результаты и готовые формулировки для отчёта.

Кратко

Главный принцип: ACL и токен

В NTFS у каждого файла и папки есть список разрешений — DACL, состоящий из отдельных записей ACE. При входе в систему создаётся токен пользователя с его SID и SID групп. Система сравнивает запрошенное действие с разрешениями в DACL. Разрешения группы и личной учётной записи складываются, но явный запрет (Deny) приоритетнее разрешения (Allow). Поэтому иногда «прав вроде бы хватает», но доступ всё равно закрыт.

UAC даёт администратору два токена: обычный и повышенный. Проводник обычно работает с обычным токеном, поэтому даже администратор может получить отказ, пока не повысит права.

Задание 3.1. Файл secret.txt

1. Создайте на рабочем столе текстовый файл secret.txt.
2. ПКМ → «Свойства» → «Безопасность» → «Дополнительно».
3. Нажмите «Отключить наследование» и выберите «Преобразовать унаследованные разрешения в явные».
4. Через «Добавить» выберите свою учётную запись и дайте ей «Полный доступ».
5. Для группы «Пользователи» оставьте только «Чтение» и «Чтение и выполнение», снимите «Запись», «Изменение» и «Полный доступ».
6. Не ставьте группе «Пользователи» запрет на запись: запрет подействует и на вас, потому что вы входите в эту группу. Нужно именно не давать группе права записи, а не запрещать её.
7. Проверьте через «Действующие разрешения» и под другой учётной записью: файл должен открываться, но не должен сохраняться и удаляться.

Задание 3.2. Файл в C:\Windows

Попробуйте создать там текстовый файл. Ожидаемо появится запрос UAC или сообщение «Отказано в доступе».

Причина: C:\Windows — системная папка. Её ACL не даёт обычному пользовательскому токену право записи; папка защищена, владелец — TrustedInstaller. Обходить это в учебной работе не нужно.

В отчёт можно написать: «При создании файла в C:\Windows появилось сообщение „Отказано в доступе“. Причина — недостаток прав: системная папка защищена, обычная учётная запись не имеет разрешения на запись».

Задание 3.3. Процессы

Откройте «Диспетчер задач» → вкладка «Подробности» → столбец «Пользователь». Найдите процессы, запущенные от вашего имени. Например, это может быть notepad.exe или браузер.

Завершите пользовательский процесс — он закроется. Не трогайте csrss.exe, winlogon.exe, lsass.exe, services.exe: это критичные системные процессы, их завершение может привести к сбою.

При попытке завершить системный процесс появится «Отказано в доступе» или «Не удалось завершить процесс»: он работает от SYSTEM/TrustedInstaller и защищён ОС.

Задание 4.1. Журнал безопасности

Откройте «Просмотр событий» → «Журналы Windows» → «Безопасность». Если журнал не открывается, запустите оснастку от имени администратора.

Нужные события:

• 4624 — успешный вход;
• 4625 — неудачный вход;
• 4634 — выход из системы;
• 4647 — завершение сеанса пользователем;
• 4656/4663 — попытки доступа к объектам, но они появляются только если включён аудит объектного доступа и на файле настроен SACL.

Шаблон отчёта:

За текущую сессию: успешных входов — N (событие 4624), неудачных — M (4625); выход — K (4634/4647). События доступа к файлам 4663: [есть/нет], так как аудит объектного доступа [включён/не включён].

Обычно для одной интерактивной сессии бывает 1 успешный вход и 0 неудачных, но у вас может быть иначе — посчитайте по фильтру. Если событий 4663 нет, это нормально: значит, аудит доступа к файлам не настроен.

Задание 4.2. Системное время

Откройте «Параметры» → «Время и язык» → «Дата и время» → «Изменить». Ожидаемо появится запрос UAC или сообщение о запрете.

Причина: изменение системного времени — привилегия администратора (SeSystemtimePrivilege). Также может действовать групповая политика и служба времени Windows. Без прав администратора изменить время нельзя.

В отчёт: «При попытке изменить время Windows запросила права администратора/сообщила о запрете. Причина — ограничение прав: изменение системного времени доступно только администратору».

Контрольные вопросы

1. Как определить, что ошибка вызвана недостатком прав доступа?
   По сообщению «Отказано в доступе» (ошибка 5, 0x80070005), когда объект существует, но не открывается, не сохраняется или не удаляется. Проверьте «Свойства» → «Безопасность» → «Дополнительно» → «Действующие разрешения» для своей учётной записи. Если под администратором действие проходит, а под обычным пользователем нет — причина в правах. Не путайте с занятостью файла другой программой, отсутствием пути или блокировкой антивирусом.

2. В чём разница между правами на файл и правами на папку в NTFS?
   Права на файл действуют на сам файл: чтение, запись, выполнение, удаление, смена разрешений, смена владельца. Права на папку действуют на папку и могут наследоваться вложенными файлами и папками. У папки есть особые права: «Список содержимого», «Создание файлов», «Создание папок», «Удаление подпапок и файлов», «Обход папки». Наследование можно отключить; явные разрешения учитываются вместе с наследуемыми, а запрет приоритетнее разрешения.

3. Почему некоторые системные процессы невозможно завершить без администратора?
   Они работают не от вашей учётной записи, а от SYSTEM, LOCAL SERVICE, NETWORK SERVICE или TrustedInstaller. Обычный токен не имеет прав на завершение таких процессов. Критические процессы (csrss.exe, winlogon.exe, services.exe, lsass.exe) дополнительно защищены ядром: их завершение приводит к синему экрану. Даже администратор не всегда может завершить защищённый процесс.

Проверка результата

• secret.txt под другой учётной записью открывается, но не изменяется.
• В C:\Windows создать файл не удаётся.
• Пользовательский процесс завершается, системный — нет.
• В журнале безопасности есть события 4624/4625; 4663 — только при включённом аудите.
• Системное время без прав администратора не меняется.