Đề tài Báo Cáo Tìm hiểu về Access Control List GVHD: pdf

Học Viện Công Nghệ Bưu Chính Viễn Thông
Cơ Sở Tại TP HCM
o0o








Đề tài Báo Cáo
Tìm hiểu về Access Control List




GVHD: Thầy Lê Phúc
Nhóm:
1. Vũ Tiến Sỹ
2. Vũ Thế Luân
3. Nguyễn Hữu Lâm
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 2





Contents

I. Tổng quan 3
1. Giới thiệu 3
2. Những nguyên tắc cơ bản của bảo mật: 3
2.1 Availability 4
2.2 Integrity 5
2.3 Confidentiality 5
2.4 Non-repudiation : 6
3. Các nhân tố bảo mật thông tin: 6
4. Các phương pháp kiểm soát truy cập 7
4.1 Mandatory Access Control (MAC): 8
4.2 Discretionary Access Control (DAC) 9
4.3 Role Based Access Control (RBAC): 10
II. ACCESS CONTROL LIST TRONG WINDOW 10
1. Quản lý đối tượng (Object Manager): 10
2. Cơ chế bảo mật (SRM - Security Reference Monitor): 11
3. Cơ chế an toàn của File và thư mục trong Windows NT 12
4. Các thuộc tính của File và thư mục 14
5. Chia sẻ thư mục trên mạng 15
6. Thiết lập quyền truy cập cho 1 người hay một nhóm sử dụng 18
7. NTFS Permission 20

Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 3

I. Tổng quan
1. Giới thiệu
Kiểm soát truy cập là các tính năng của bảo mật mà kiểm soát người dùng, hệ thống liên lạc,
tương tác với các hệ thống và các tài nguyên khác. Chúng bảo vệ hệ thống và tài nguyên từ truy
cập trái phép và cũng có thể là một thành phần có tham gia trong việc xác định mức độ cấp phép,
thẩm quyền sau khi một thủ tục xác thực thành công đã hoàn thành. Mặc dù chúng ta thường
nghĩ một người sử dụng như thực thể mà yêu cầu truy cập vào thông tin, tài nguyên mạng.
Nhưng thật ra là có nhiều loại khác yêu cầu truy cập gọi chung là subject. Điều quan trọng là
hiểu được định nghĩa của một subject và một object khi làm việc trong access control.
Truy cập là luồng thông tin giữa subject và object. Một subject là một thực thể chủ động
(active) yêu cầu truy cập vào một object hoặc dữ liệu trong một object. subject có thể là người sử
dụng (user), chương trình(program), hoặc quá trình truy cập một subject để thực hiện một nhiệm
vụ. Khi một chương trình truy cập một tập tin (file), chương trình này là subject và tập tin là
object. Một object là một thực thể thụ động (passive) chứa thông tin. Một object có thể là một
máy tính, cơ sở dữ liệu, tập tin, chương trình, thư mục, hoặc trường chứa trong một bảng của cơ
sở dữ liệu. Khi bạn tìm kiếm thông tin trong cơ sở dữ liệu, bạn đang là subject đang hoạt động và
cơ sở dữ liệu là object.
Access control là một thuật ngữ rộng bao gồm một số loại hình khác nhau của cơ chế đó thi
hành các tính năng kiểm soát truy cập vào hệ thống máy tính, mạng, và thông tin. Access control
là một vấn đề quan trọng bởi vì nó là một trong những nền tảng của việc đấu tranh chống truy
cập trái phép vào hệ thống và tài nguyên mạng. Khi một tên người dùng và mật khẩu được dùng
để truy cập vào máy, đây cũng là điểu khiển truy cập. Một khi người sử dụng truy cập vào máy
và sau đó cố gắng truy cập đến một tập tin, tập tin đó có một danh sách của người dùng và các

nhóm có quyền truy cập nó. Nếu người dùng không có trong danh sách này, người sử dụng bị từ
chối. Đây là một hình thức kiểm soát truy cập. Kiểm soát truy cập cho tổ chức, khả năng kiểm
soát, hạn chế, giám sát, và bảo vệ nguồn tài nguyên sẵn có, toàn vẹn, và bảo mật.


2. Những nguyên tắc cơ bản của bảo mật:

Có 3 nguyên tắc chính cho bất kỳ điều khiển bảo mật là:
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 4

 Availability (tính sẵn có)
 Integrity ( tính toàn vẹn)
 Confidentiality ( tính tin cậy)

2.1 Availability
Hey, tôi sẵn có. Nhưng không ai muốn bạn.
Thông tin, hệ thống, và tài nguyên cần phải có sẵn cho người dùng một cách kịp thời nên
năng suất sẽ không bị ảnh hưởng. Hầu hết thông tin cần phải được tiếp cận và sẵn cho người
dùng khi nó được yêu cầu để họ có thể thực hiện các nhiệm vụ và thực hiện trách nhiệm của họ.
Truy cập thông tin không có vẻ là quan trọng cho đến khi nó không thể tiếp cận. Kinh nghiệm
của người quản trị khi một tập tin trên máy chủ hay ở mức cao sử dụng cơ sơ dữ liệu gặp vấn đề
vì một lý do nào đó. Fault tolerance và recovery thì được áp dụng để đảm bảo tính liên tục của sự
sẵn có của các nguồn lực. Năng suất của người sử dụng có thể bị ảnh hưởng lớn nếu yêu cầu dữ
liệu không được sẵn sàng. Thông tin có những thuộc tính khác nhau, như độ chính xác, sự thích
hợp, kịp thời và tính riêng tư. Nó có thể rất quan trọng đối với môi giới chứng khoán để có thông
tin chính xác và kịp thời, để mua và bán chứng khoán tại thời điểm thích hợp. các môi giới
chứng khoán có thể không cần thiết phải quan tâm về sự riêng tư của thông tin này, chỉ cần nó
sẵn có. Một công ty nước giải khát thì phụ thuộc vào công thức chế biến. vì vậy mà quan tâm

đến tính riêng tư của bí mật thương mại, và cơ chế bảo mật những nơi cần chắc là bí mật.

Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 5

2.2 Integrity
Thông tin phải chính xác, đầy đủ, và được bảo vệ khỏi sự thay đổi trái phép. Khi một cơ chế
bảo đảm cung cấp toàn vẹn, nó bảo vệ dữ liệu, tài nguyên khỏi sự thay đổi trái phép. Nếu một
loại sử đổi bất hợp pháp xảy ra cơ chế bảo đảm phải cảnh bào cho người sử dụng. Ví dụ: khi một
người dùng gửi yêu cầu vào tài khoản ngân hàng trực tuyến của mình để trả tiền nước của bà
$24.56. Ngân hàng cần phải được bảo đảm tính toàn vẹn của giao dịch đo và không được thay
đôi trong qua trình trao đổi thông tin. Toàn vẹn dữ liệu là rất quan trọng. Điều gì nếu một email
mật được gửi từ bộ trưởng nhà nước cho Tổng Thống của Hoa Kỳ và đã được ngăn chặn và thay
đổi mà không có một cơ chế an ninh với sự không cho phép hay cảnh báo của chủ tịch rằng:
thông tin này đã bị thay đổi, thay vì nhận được một thông điệp đã bị thay đổi.

2.3 Confidentiality
Điều này là bí mật của tôi và bạn không thể có nó. Trả lời: Tôi không muốn nó.
Confidentiality là đảm bảo rằng thông tin không được tiết lộ trái phép cho những cá nhân,
chương trình, hoặc quy trình. Một số thông tin nhạy cảm hơn những thông tin khác và đòi hỏi
mức độ bảo mật cao hơn. Cơ chế kiểm soát cần được thực hiện để biết những người có thể truy
cập dữ liệu và những gì các subject có thể làm. Những chính sách này cần được kiểm soát, kiểm
tra, và quản lý.
Ví dụ: thông tin đó có thể là bí mật hồ sơ y tế, thông tin tài khoản tài chính, hồ sơ hình sự, mã
nguồn, bí mật kinh doanh, hay chiến thuật, kế hoạch quân sự. Một số cơ chế sẽ cung cấp
confidentiality là mã hóa, điều khiển truy cập vật lý, logic, giao thức truyền dẫn, view trong cơ
sở dữ liệu và kiểm soát lưu lượng.
Một trong những mục tiêu quan trọng nhất của bảo mật thông tin là bảo đảm sự riêng tư của
dữ liệu. Điều này có nghĩa là dữ liệu hay thông tin của người nào thì chỉ người đó được biết và

những người khác không được quyền can thiệp vào. Trong thực tế, chúng ta thường thấy khi phát
lương ngoài bì thư hay đề chữ Confidentiality nhằm không cho các nhân viên biết mức lương
của nhau để tránh sự đố kỵ, so sánh giữa họ. Hoặc trong những khu vực riêng của một cơ quan
hay tổ chức nhằm ngăn chặn người lạ xâm nhập với bảng cấm “không phận sự miễn vào” cũng là
một hình thức bảo vệ tính riêng tư. Đối với dữ liệu truyền để bảo vệ tính riêng tư
(confidentiality) thì dữ liệu thường được mã hóa hay sử dụng các giao thức truyền thông an tòan
như SSH.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 6


2.4 Non-repudiation :
Đây là một trong những mục tiêu thứ cấp của 3 mục tiêu chính CIA trong quá trình bảo mật
thông tin. Non-repudation là tinh không thể chối bỏ, nhằm bảo đảm và xác nhận nguồn gốc của
thông điệp. Nếu như các bạn hay download các chương trình trên mạng thì sẽ thấy nhà cung cấp
hay kèm theo một chuỗi số hàm băm MD5 hay SHA dùng để xác nhận có phải bạn đã download
đúng chương trình trên từ nhà cung câp này hay không. Vì nếu như một chương trình khác được
các attacker/hacker đưa lên thì chắc chắn có sự thay đổi về nội dung và khi đó giá trị MD5/SHA
đã bị thay đổi, khác với giá trị mà nhà cung cấp đưa ra. Còn ngược lại, nếu giá trị MD5/SHA
giống như giá trị mà nhà cung cấp đưa ra thì chương trình trên đúng là của nha 2cung cấp này và
khi no gây ra các tác hại nài đó thì học không được quyền chố bỏ trách nhiệm bằng cách nói
rằngchương trình đó không phải do họ viết.

3. Các nhân tố bảo mật thông tin:

Vậy để đạt được 3 mục tiêu CIA chúng ta cần phải thực hiện những điều gì? Đó chính là 4 nhân
tố bảo mật thông tin sau đây:

 Authentication: Xác thực, là một quá trình xác nhận đặc điểm nhận biết của người dùng

qua đó quyết định quyền truy nhập cơ sở dữ liệu và khả năng thực hiện các giao dịch của
người đó. Việc xác thực thường thông qua tên truy nhập và mật khẩu và các phương pháp
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 7

phức tạp hơn như chứng thực số. Ví dụ khi bạn đăng nhập một hệ thống máy tính thì tiến
trình xác thực diễn ra khi bạn nhập vào tài khỏan bao gồm username và password trên
màn hình logon.
 Authorization : là tiến trình kiểm tra quyền hạn của người dùng sau khi đăng nhập hệ
thống. Ví dụ một người dùng sau khi đăng nhập hệ thống cần phải trải qua tiến trình
Authorization, sau đó người dùng này được phép truy cập vào máy chủ hay dữ liệu nào
thì tùy thuộc vào quyền hạn mà anh ta có được do tiến trình
 Access control : là quá trình kiểm soát truy cập có chức năng gán quyền cho người dùng
hay xác nhận quyền hạn của người dùng. Khi các bạn tạo một tập tin thư mục và chia sẽ
nó cho các nhân viên khác thì chúng ta thướng gán các quyền như được phép đọc, ghi
…Quá trình này được gọi là kiểm sóat truy cập (Access control)
 Auditing hay accounting: đây là quá trình ghi nhật ký hệ thống để lưu giữ lại các hành
động diễn ra đối với các đối tượng hay dữ liệu. Thông thường chúng ta thường hay ghi
log file các lần user đăng nhập thành công hay thất bại hệ thống của mình, hoặc sau khi
đăng nhập anh ta có những thao tác gì, quá trình này được gọi là Auditing hay
accounting.

4. Các phương pháp kiểm soát truy cập

Theo danh sách các mục tiêu chính do Comptia đề xuất thì phần này có tên là” Nhận Dạng
Và Giải Thích Các Mô Hình Điều Khiển Truy Cập”. Vậy mô hình điều khiển truy cập là gì? Đó
chính là phương pháp hay các kỹ thuật dùng để cho phép hay không cho phép người dùng sử
dụng một dịch vụ hay dữ liệu nào đó trên hệ thống. Ví dụ với mô hình điều khiển truy cập DAC,
các bạn có thể gán quyền cho người dùng thuộc nhóm Sale được phép Read/Write đối với thư

mục dữ liệu Sale Info, còn những người khác trong công ty thì chỉ có thể Read mà không được
phép thay đổi. Điều khiển truy cập là bước tiếp theo sau khi tiến trình xác thực (authentication)
hoàn tất. Điều này cũng giống như trong một ngôi nhà có những tiện ích sử dụng như các phòng
ngủ 1,2,3. Một người dùng muốn sử dụng phòng ngủ X của họ (access control) thì trước tiên họ
phải được phép vào ngôi nhà đó ví dụ phải có thẻ ra vào, hay có các chìa khóa để vào nhà – quá
trình này gọi là xác thực. Và mục tiêu chính của quá trình xác thực & điều khiển truy cập chính
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 8

là ngăn ngừa những trường hợp truy cập, sử dụng trái phép tài nguyên hệ thống, đó chính là yếu
tố cơ bản của bảo mật thông tin.
Các hệ thống điều khiển truy cập cung cấp những dịch vụ thiết yếu như dịch vụ nhận dạng và
xác minh (identification and authentication - I&A), dịch vụ ủy quyền (authorization) và dịch vụ
quy trách nhiệm (accountability) đối với người dùng hoặc đối với quy trình. Trong khi dịch vụ
nhận dạng và xác minh nhằm xác định ai là người được đăng nhập vào một hệ thống, thì dịch vụ
ủy quyền xác định những gì mà một người dùng đã được xác thực có thể thi hành, và dịch vụ quy
trách nhiệm nhận dạng và chứng thực những hành vi hay hoạt động mà người dùng đã thi hành
trong khi họ sử dụng hệ thống.
Các mô hình điều khiển truy cập sau:
 Mandatory Access Control (MAC)
 Discretionary Access Control (DAC)
 Role Based Access Control (RBAC).

Các mô hình này thường được phối hợp sử dụng trong một hệ thống để gia tăng mức độ an
toàn.

4.1 Mandatory Access Control (MAC):
Là một mô hình được xây dựng dựa trên nền tảng và ứng dụng trong hệ điều hành hay nói
cách khác nó cũng được xây dựng trên nền tảng của sự độc tài.

Hề điều hành điều khiển mọi thứ trong nó kể cả phần cứng hay phần mềm mà nó có thể kiểm
soát giống như một ông vua có thể làm mọi thứ mà ông ta muốn.
Mô hình này là một mô hình được xây dựng theo cấu trúc phân tầng, lớp.
Mỗi một tầng, lớp có một quyền xác định mà tất cả các quyền hạn này đều được tập trung tại hệ
điều hành bởi vậy hệ điều hành bị lỗi là hệ thồng bị sụp đổ nên mô hình MAC đã phân ra những
level khác nhau để quản lý.
Các level của MAC thường gồm có: bảo mật tối cao, bảo mật, bình thường, và quảng bá,
nhạy cảm.
MAC phân quyền theo một cơ chế chỉ có chủ của dữ liệu hoặc người quản trị tối cao mới có
toàn quyền với dữ liệu còn những người dùng khác không có quyền gì với dữ liệu và thông tin
đó.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 9

Về tính bảo mật đối với MAC là rất cao nhưng khả năng phục hồi dữ liệu sau tấn công là rất
thấp bởi vậy MAC chỉ có thể áp dụng với những thông tin, dữ liệu tuyệt mật mà bất kì ai cũng
không thể biết trừ người nắm quyền dữ liệu đó.
Điều khiển truy cập bắt buộc (mandatory access control - MAC) là một chính sách truy cập
không do cá nhân sở hữu tài nguyên quyết định, mà do hệ thống quyết định. MAC được dùng
trong các hệ thống đa tầng cấp, là những hệ thống xử lý các loại dữ liệu nhạy cảm, như các thông
tin được phân hạng về mức độ bảo mật trong chính phủ và trong quân đội. Một hệ thống đa tầng
cấp là một hệ thống máy tính duy nhất chịu trách nhiệm xử lý bội số các phân loại dưới nhiều
tầng cấp giữa các chủ thể và các đối tượng.
 Nhãn hiệu nhạy cảm (sensitivity label): Trong hệ thống dùng điểu khiển truy cập bắt
buộc, hệ thống chỉ định một nhãn hiệu cho mỗi chủ thể và mỗi đối tượng trong hệ
thống. Nhãn hiệu nhạy cảm của một chủ thể xác định mức tin cẩn cần thiết để truy
cập. Để truy cập một đối tượng nào đấy, chủ thể phải có một mức độ nhạy cảm (tin
cẩn) tương đồng hoặc cao hơn mức độ của đối tượng yêu cầu.
 Xuất và nhập dữ liệu (Data import and export): Điều khiển việc nhập nội thông tin từ

một hệ thống khác và xuất ngoại thông tin sang các hệ thống khác (bao gồm cả các
máy in) là một chức năng trọng yếu trong các hệ thống sử dụng điều khiển truy cập
bắt buộc. Nhiệm vụ của việc xuất nhập thông tin là phải đảm bảo các nhãn hiệu nhạy
cảm được giữ gìn một cách đúng đắn và nhiệm vụ này phải được thực hiện sao cho
các thông tin nhạy cảm phải được bảo vệ trong bất kỳ tình huống nào.

4.2 Discretionary Access Control (DAC)
DAC là mô hình quản lý truy cập dựa trên tình phụ thuộc vào người tạo ra dữ liệu. Mô hình
này do đó có tình tùy chọn nên sẽ tạo ra sự thoải mái cho người dùng nhưng vấn đề phân quyền
cho người dùng cũng là một vấn đề mà người quản trị phải quan tâm chặt chẽ.
DAC xây dựng trên cơ sở thực tiễn được ứng dụng nhiều vào thực tế giả dụ như ta có một
trang Web và trang web này bắt buộc phải public trên internet và người dùng có thể đọc thông
tin trên nó chứ không thể chỉnh sửa bất cứ thông tin gì trên nó nếu không được cho phép.
Phân quyền trong DAC sử dụng Access Control List(ACL) một mô hình quản trị trong Windows
hỗ trợ rất rõ.

Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 10

4.3 Role Based Access Control (RBAC):
RBAC là mộ hình xây dựng trên vai trò của người dùng nó tương tự như DAC nhưng mức độ
phức tạp sẽ khó hơn DAC vì nó dựa vào những vai trò và tác vụ của người dùng.
RBAC thường được sử dụng trong việc quản lý các doanh nghiệp lớn hoặc vừa và ở cấp độ
phòng ban hay chi nhánh.
Một công ty lớn thường quản trị theo mô hình này với lí do dễ quản lý và dễ phân trách nhiệm
cho một người quản trị chình vì như vậy mà hệ thống thông tin cũng được phân cấp theo vai trò
của người dùng trong công ty.
Mô hình này có thể thay thế MAC trong một số trường hợp và nó có thể khôi phục lại sau khi bị
tấn công dễ dàng hơn MAC.

RBAC thường được áp dụng trong một nhóm có chức năng giống nhau và ở đây người dùng
trong cùng một nhóm đều có các quyền giống nhau.
Trong Windows, Linux, Unix đều hỗ trợ việc cầu hình quyền hạn của nhóm (hay chính là
RBAC).


II. ACCESS CONTROL LIST TRONG WINDOW
1. Quản lý đối tượng (Object Manager):
Tất cả tài nguyên của hệ điều hành được thực thi như các đối tượng. Một đối tượng là một
đại diện trừu tượng của một tài nguyên. Nó mô tả trạng thái bên trong và các tham số của tài
nguyên và tập hợp các phương thức (method) có thể được sử dụng để truy cập và điều khiển đối
tượng.
Ví dụ một đối tượng tập tin sẽ có một tên tập tin, thông tin trạng thái trên file và danh sách
các phương thức, như tạo, mở,đóng và xóa, đối tượng mô tả các thao tác có thể được thực hiện
trên đối tượng file.
Bằng cách xử lý toàn bộ tài nguyên như đối tượng Windows NT có thể thực hiện các
phương thức giống nhau như: tạo đối tượng, bảo vệ đối tượng, giám sát việc sử dụng đối tượng
(Client object) giám sát những tài nguyên được sử dụng bởi một đối tượng.
Việc quản lý đối tượng (Object Manager) cung cấp một hệ thống đặt tên phân cấp cho tất cả
các đối tượng trong hệ thống. Do đó, tên đối tượng tồn tại như một phần của không gian tên toàn
cục và được sử dụng để theo dõi việc tạo và sử dụng đối tượng.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 11

Sau đây là một số ví dụ của loại đối tượng Windows NT :
 Đối tượng Directory (thư mục).


Đối tượng File (tập tin).



Đối tượng kiểu object.


Đối tượng Process (tiến trình).


Đối tượng thread (luồng).


Đối tượng Section and segment (mô tả bộ nhớ).


Đối tượng Port (cổng).


Đối tượng Semaphore và biến cố.


Đối tượng liên kết Symbolic (ký hiệu).

2. Cơ chế bảo mật (SRM - Security Reference Monitor):
Được sử dụng để thực hiện vấn đề an ninh trong hệ thống Windows NT. Các yêu cầu tạo
một đối tượng phải được chuyển qua SRM để quyết định việc truy cập tài nguyên được cho phép
hay không. SRM làm việc với hệ thống con bảo mật trong chế độ user. Hệ thống con này được
sử dụng để xác nhận user login vào hệ thống Windows NT.
Để kiểm soát việc truy cập, mỗi đối tượng Windows NT có một danh sách an toàn (Access
Control List - ACL). Danh sách an toàn của mỗi đối tượng gồm những phần tử riêng biệt gọi là
Access Control Entry (ACE). Mỗi ACE chứa một SecurityID (SID: số hiệu an toàn) của người

sử dụng hoặc nhóm. Một SID là một số bên trong sử dụng với máy tính Windows NT mô tả một
người sử dụng hoặc một nhóm duy nhất giữa các máy tính Windows NT.
Ngoài SID, ACE chứa một danh sách các hành động (action) được cho phép hoặc bị từ chối
của một user hoặc một nhóm. Khi người sử dụng đăng nhập vào mạng Windows NT, sau khi
việc nhận dạng thành công, một Security Access Token (SAT) được tạo cho người dùng đó. SAT
chứa SID của người dùng và SID của tất cả các nhóm người dùng thuộc mạng Windows NT. Sau
đó SAT hoạt động như một "passcard" (thẻ chuyển) cho phiên làm việc của người dùng đó và
được sử dụng để kiểm tra tất cả hoạt động của người dùng.

Khi người dùng tham gia mạng truy cập một đối tượng, Security Reference Monitor kiểm tra
bộ mô tả bảo mật của đối tượng xem SID liệt kê trong SAT có phù hợp với giá trị trong ACE
không. Nếu phù hợp, các quyền về an ninh được liệt trong ACE áp dụng cho người dùng đó.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 12


Hình 10.2: Ví dụ về danh sách an toàn (Access Control List).
3. Cơ chế an toàn của File và thư mục trong Windows NT
Quá trình truy cập tập tin (File hoặc thư mục) trong Windows NT: Khi một người sử
dụng muốn truy cập một tập tin thì tất cả các thông tin về phương thức phục hồi giao dịch và
phục hồi giao dịch khi bị lỗi sẽ được đăng ký bởi Log File Server. Nếu giao dịch thành công, tập
tin đó sẽ truy xuất được, ngược lại giao dịch sẽ được phục hồi. Nếu có lỗi trong quá trình giao
dịch, tiến trình giao dịch sẽ kết thúc.
Việc truy xuất tập tin (File hoặc thư mục) được quản lý thông qua các quyền truy cập (right),
quyền đó sẽ quyết định ai có thể truy xuất và truy xuất đến tập tin đó với mức độ giới hạn nào.
Những Quyền đó là Read, Execute, Delete, Write, Set Permission, Take Ownership.
Trong đó:
Read (R): Được đọc dữ liệu, các thuộc tính, chủ quyền của tập tin.
Execute (X): Được chạy tập tin.

Write (W): Được phép ghi hay thay đổi thuộc tính.
Delete (D): Được phép xóa tập tin.
Set Permission (P): Được phép thay đổi quyền hạn của tập tin.
Take Ownership (O): Được đặt quyền chủ sở hữu của tập tin

Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 13

.

Để đảm bảo an toàn khi truy xuất đến tập tin (File và thư mục), chúng ta có thể gán nhiều
mức truy cập (permission) khác nhau đến các tập tin thông qua các quyền được gán trên tập tin.
Có 5 mức truy cập được định nghĩa trước liên quan đến việc truy xuất tập tin (File và thư mục)
là: No Access, Read, Change, FullControl, Special Access. Special Access được tạo bởi người
quản trị cho bất cứ việc chọn đặt sự kết hợp của R, X, W, D, P, O. Những người có quyền hạn
Full Control, P, O thì họ có quyền thay đổi việc gán các quyền hạn cho Special Access.
Khi một người quản trị mạng định dạng một partition trong Windows NT, hệ thống sẽ mặc
định có cấp cho quyền Full Control tới partition đó cho nhóm Everyone. Điều này có nghĩa
không hạn chế truy xuất của tất cả người dùng.
Tùy thuộc trên yêu cầu bảo mật cho các tập người quản lý sẽ cân nhắc việc xóa bỏ nhóm
Everyone trong danh sách các quyền hạn sau khi định dạng hay hạn chế nhóm Everyone với
quyền Read. Nếu sự hạn chế này là cần thiết, người quản trị nên cấp quyền hạn Full Control cho
nhóm Administrators tới partition gốc.
Ở đây quyền truy cập được gán cho người sử dụng và nhóm người sử dụng do vậy quyền
truy cập của một người sử dụng được tính bởi quyền hạn người đó và các nhóm mà người đó là
thành viên. Khi người dùng đó truy xuất tài nguyên, các quyền hạn của người dùng được tính
theo lối sau:
 Những quyền hạn của người dùng và các nhóm trùng nhau.
 Nếu một trong những quyền là No Access thì quyền hạn chung là No Access.

 Nếu những quyền hạn đã yêu cầu được liệt kê không rõ ràng trong danh sách các
quyền hạn, yêu cầu truy xuất này là không chấp nhận.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 14

 Một người sử dụng thuộc hai nhóm, nếu một nhóm quyền hạn của người dùng là
No Access, nó luôn được liệt kê đầu tiên trong danh sách Access Control List.
Quyền sở hữu của các tập tin:
Người tạo ra tập tin đó có thể cho các nhóm khác hay người dùng khác khả năng làm quyền
sở hữu. Administrator luôn có khả năng làm quyền sở hữu của các tập tin.
Nếu thành viên của nhóm Administrator có quyền sở hữu một tập tin thì nhóm những
Aministrator trở thành chủ nhân. Nếu người dùng không phải là thành viên của nhóm
Administrator có quyền sở hữu thì chỉ người dùng đó là chủ nhân.
Những chủ nhân của tập tin có quyền điều khiển của tập tin đó và có thể luôn luôn thay đổi
các quyền hạn. Trong File Manager, dưới Security Menu, sau khi xuất hiện hộp thoại Owner,
chúng ta lựa chọn tập tin, chủ nhân hiện thời và nhấn nút Take Ownership, cho phép lập quyền
sở hữu nếu được cấp quyền đó.
Để có quyền sở hữu một tập tin chúng ta cần một trong những điều kiện sau:
 Có quyền Full Control.
 Có những quyền Special Access bao gồm Take Ownership.
 Là thành viên của nhóm Administrator.

4. Các thuộc tính của File và thư mục
Archive: Thuộc tính này được gán bởi hệ điều hành chỉ định rằng một File đã được sửa đổi
từ khi nó được Backup. Các phần mềm Backup thường xóa thuộc tính lưu trữ đó. Thuộc tính lưu
trữ này có thể chỉ định các File đã được thay đổi khi thực thi việc Backup.
Compress: Chỉ định rằng các File hay các thư mục đã được nén hay nên được nén. Thông số
này chỉ được sử dụng trên các partition loại NTFS.
Hidden: Các File và các thư mục có thuộc tính này thường không xuất hiện trong các danh

sách thư mục.
Read Only: Các File và các thư mục có thuộc tính này sẽ không thể bị xóa hay sửa đổi.
System: Các File thường được cho thuộc tính này bởi hệ điều hành hay bởi chương trình OS
setup. Thuộc tính này ít khi được sửa đổi bởi người quản trị mạng hay bởi các User.
Ngoài ra các File hệ thống và các thư mục còn có cả hai thuộc tính chỉ đọc và ẩn.
Lưu ý: Việc gán thuộc tính nén cho các File hay thư mục mà ta muốn Windows NT nén sẽ
xảy ra trong chế độ ngầm (background). Việc nén này làm giảm vùng không gian đĩa mà File
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 15

chiếm chỗ. Có một vài thao tác chịu việc xử lý chậm vì các File nén phải được giải nén trước khi
sử dụng. Tuy nhiên việc nén File thường xảy ra thường xuyên như là các File dữ liệu quá lớn mà
có nhiều người dùng chia sẻ.

5. Chia sẻ thư mục trên mạng
Không có một người sử dụng nào có thể truy xuất các File hay thư mục trên mạng bằng cách
đăng nhập vào mạng khi không có một thư mục nào được chia se.
Việc chia sẻ này sẽ làm việc với bảng FAT và NTFS file system. Để nâng cao khả năng an
toàn cho việc chia sẻ, chúng ta cần phải gán các mức truy cập cho File và Thư mục.
Khi chúng ta chia sẻ một thư mục, thì chúng ta sẽ chia sẻ tất cả các File và các Thư mục con.
Nếu cần thiết phải hạn chế việc truy xuất tới một phần của cây thư mục, chúng ta phải sử dụng
việc cấp các quyền cho một user hay một nhóm đối với các Thư mục và các File đó.
Để chia sẻ một Thư mục, ta phải Login như một thành viên của nhóm quản trị mạng hay
nhóm điều hành server.
Tất cả các thủ tục chia sẻ thư mục được thực thi trong Windows NT Explorer.
Để chia sẻ một thư mục ta phải thực hiện các bước sau:
Right-click lên thư mục đó trong Windows NT Explorer. Hiện ra menu sau đó
Click Properties trong Menu. Hiện ra hộp đối thoại.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 16


Chọn Sharing tab hiện ra hộp đối thoại sau:
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 17


Chọn Shared As để kích hoạt việc chia sẻ.
Đưa một tên cần chia sẻ vào hộp Share name. Mặc nhiên tên Thư mục được chọn sẽ hiện
ra. Đưa dòng ghi chú liên quan đến việc chia sẻ thư mục đó vào hộp Comment
Thiết lập giới hạn số lượng các user bằng cách gỏ một con số vào hộp Allow
Nếu muốn hạn chế việc truy xuất thì click Permissions button.
Click OK.
Sau khi một thư mục được chia sẻ Icon cho thư mục đó có 1 bàn tay chỉ định rằng thư mục
đó đã được chia sẻ.
Nếu chúng ta muốn thêm một chia sẻ mới với cùng một thư mục đã được chia sẻ (có thể với
hai chia sẻ có hai quyền truy cập khác nhau), ta thực hiện các bước sau:
Right-click vào thư mục đã được chia sẻ trong Windows NT Explorer.
Click Properties trong Menu rút gọn, hiện ra hộp đối thoại Properties
Click Sharing tab.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 18


Click button New Share để tạo một sự chia sẻ mới, hiện ra hộp đối thoại sau

Mỗi lần tạo một sự chia sẻ chúng ta phải đưa một tên mới cũng như những lời chú thích việc
chia sẻ đó sẽ cho ai sử dụng.

6. Thiết lập quyền truy cập cho 1 người hay một nhóm sử dụng
Để thiết lập các quyền truy cập đối với một thư mục đã được chia sẻ cho một người sử
dụng hay một nhóm ta thực hiện:
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 19

Right-click lên thư mục đó trong Windows NT Explorer.
Click Properties trong menu rút gọn.
Chọn Sharing tab để hiện các tính chất của thư mục đó
Click button Permissions trong sharing tab . Hiện ra Cửa sồ The Access Through Share
Permissions.
Chọn button Add, hiện ra cửa sổ Add User and group.

Chọn một tên trong hộp Names và click button OK. Kết quả là tên đó được đưa vào hộp
Names.
Chọn quyền truy xuất trong hộp Permission cho các tên đã chọn .
Click button OK.
Khi chúng ta tạo một sự chia sẻ mới, quyền truy cập mặc nhiên cho nhóm Everyone là đầy
đủ (Full Control). Giả sử rằng chúng ta sẽ gán giá trị mặc nhiên này cho quyền truy cập của thư
mục và File. Khi cần thiết sẽ hạn chế việc truy xuất tới thư mục đó.
Ở đây có một vài chú ý:
Các người sử dụng thường chỉ có quyền đọc trong các thư mục chứa các chương trình ứng
dụng vì họ không cần phải sửa đổi các File.
Trong một vài trường hợp, các chương trình ứng dụng đòi hỏi các user chia sẻ một thư mục
cho các File tạm thời. Nếu thư mục đó nằm trong cùng thư mục chứa trình ứng dụng, chúng ta có
thể cho phép user tạo hay xóa các File trong thư mục đó bằng việc gán quyền Change.

Thông thường các người sử dụng cần quyền Change trong bất kỳ thư mục nào chứa các
Files dữ liệu và chỉ trong các thư mục cá nhân của ho là có đầy đủ các quyền truy cập.
Để sửa đổi các quyền truy cập đối với một thư mục đã được chia sẻ ta thực hiện:
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 20

Right-click lên thư mục được chia sẻ trong Windows NT Explorer.
Click Properties
Click Sharing tab.
Click button Permissions hiện ra cửa sổ Permissions for “name” sau:

Cửa sổ Permission bạn đang thấy trong hình còn có tên gọi khác là Access Control List (ACL), phần trên xác định
User nào được quyền, cửa sổ bên dưới xác định quyền của User đó là gì?
Chọn 1 tên trong hộp Name
Chọn một quyền khác trong hộp Permission of name mà ta muốn gán.
Click OK.
Thông qua việc chia sẻ một thư mục cho một user hay một nhóm cũng góp phần vào việc
bảo đảm an toàn cho một thư mục không cho user khác hay nhóm khác truy xuất thư mục đó.

7. NTFS Permission
NTFS Permission chỉ tác dụng lên các tài nguyên chứa trên NTFS Partition. Nói đến
Permission là nhắc đến ACL bao gồm User nào với quyền là gì trên Resource đó. ACL của
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 21

NTFS Permission được lưu cùng Resource đó trên NTFS Partition nên có thể giữ lại Permission
đó cho dù Hệ điều hành thay đổi.
Mọi tập tin, thư mục trên NTFS Partition đều có một ACL kèm theo. Users muốn truy cập

vào những File và Folder này đều phải qua sự cho phép của ACL tức phải có tên trong ACL và
được quyền truy cập, nếu không, User đó sẽ bị thông báo Access Denied.
Cấu hình NTFS Permission
Properties Resource cần cấu hình Permission NTFS, chọn Tab Security



ACL của NTFS Permission cũng tương tự như Share Permission. Phần trên là User
Account, phần dưới là Permission của User đó, được quyền làm gì, Allow hoặc Deny.
Tương tự như Share Permission, Admin thử gán quyền NTFS Modify cho User “abc” trong hệ
thống.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 22

Quyền NTFS ta thấy nhiều hơn Share Permission rất nhiều, đặc biệt có thể cấu hình chi tiết
hơn Share Permission. Phần Permission ta thấy bên ngoài chỉ là “phần nổi” của NTFS
Permission.
Admin có thể cấu hình chi tiết hơn bằng cách vào Advanced…
Trong cửa sổ này có thể được cấu hình nhiều thứ từ Permission, Auditing, Ownership…
NTFS Permission rất chi tiết từ quyền Delete và Delete SubFolder and Files…
Quyền Full Control rất ít khi được gán cho User, tối đa chỉ có thể được cấu hình quyền Modify.
Trong ACL của NTFS có thể sử dụng Group thay thế cho User Account để đơn giản hóa việc
cấu hình Permission.
Cấu hình 1 Group, gán cho Group đó quyền sử dụng Một User nào đó cần quyền tương tự
như User có sẵn trong Group đó, chỉ cần mang User Account đó và Group là có quyền tương tự
ALLOW và DENY trong Access Control List
User không có tên trong danh sách ACL được xem như không có quyền trong Resource đó.
Allow – cho phép. Deny - cấm tuyệt đối
Một User có thể có mặt trong nhiều ACL của nhiều Resource, và trong 1 ACL của Resource

có thể chứa một hoặc nhiều User Account (có thể trùng lặp, với điều kịên User phải nằm trong
một Group nào đó)
SID Number - mỗi Object trong Windows(môi trường Local hay Domain) đều mang một
con số với giá trị tối đa 128 bit (2128). Những số SID này được cấp phát cho Object khi được tạo
ra, và không bị xóa hay dùng lại khi Object đó bị xóa.
Sử dụng công cụ User2SID để xem SID của các User trong hệ thống
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 23



Và một bài LAB nhỏ để thấy ACL quản lý UserAccount bằng Username hay SID Number.
Add một User nào đó vào ACL của NTFS Permission.
Ta add User abc trong hệ thống vào ACL của NTFS Permission.
Thử xóa User account này đi sau khi đã Add xong.
Và quay lại kiểm tra ACL lần nữa xem có hiện tượng gì xảy ra hay không?
User Account abc đã không còn, chỉ còn lại “bộ xương số” chằng chịt với tên là Account
Unknown. Lúc này Windows không biết UserName của Account này tên là gì vì đã bị xóa.
Nhưng SID còn “dính” lại trong ACL vẫn có tác dụng, User này vẫn có quyền truy cập
Resource này.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 24


Tiếp theo, tạo thử một User Account tên abc, password giống 100% với User Account abc
đã bị xóa và sau đó Add vào ACL của NTFS Permission trên cùng 1 thư mục.
OK, Add được User abc vào ACL, User abc này liệu có khác với User abc đã bị xóa hay
không? tiếp theo thử xem SID của User abc này có khác với User abc đã bị xóa bằng công cụ

User2SID.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin

17/11/2009 Page 25



Tài liệu tham khảo:
Tài liệu MMT của Trung Tâm Phát Triển CNTT – Đào tạo từ xa.
Bài viết tin học
Tài liệu Security Tiếng Việt (VNExperts Network academy)
CISSP All – in – one Exam guide(Mc-Graw Hill)
Và một số trang web khác.