Windows Security之自主访问控制

自主的访问控制

这使得资源的所有者能够决定谁可以访问该资源，以及他们可以对它做些什么。资源的所有者为单个用户或者一组用户授予各种访问权限。

访问控制，简单的说就是授权，一项操作能否被授权决定了这项操作是否能在安全的前提下成功的进行下去。这里根据操作中是否跟一个特定的对象打交道将其分为两大类：

1. 保护对象
2. 账户权限和特权

保护对象

---

安全引用监视器（SRM） ：这是Windows执行体（\Windows\System32\Ntoskrnl.exe）中的一个组件，他负责：

1. 定义访问令牌数据结构（来表示一个安全环境）
2. 执行对象的安全访问检查
3. 管理特权（用户权限）
4. 生成所有结果的安全审计消息

Windows安全模型要求一个线程打开一个对象的时候，必须制定它期望在该对象上执行哪些类型的动作（R、W、RW、…）系统根据一个线程期望的访问要求来执行 访问检查 。其中的核心模块当然是交由SRM处理的。

SRM安全模型的本质是一个包含三项输入的等式：

1. 一个线程的安全身份（令牌）
2. 该线程想要获得的对一个对象的访问权
3. 该对象的安全设置（安全描述符）

输出为“是”或“否”，以此来表明此安全模型是否授予了该线程所期望的访问权。如果已授权，那么对象管理器将返回一个该对象的句柄以供线程使用。

下面详细讲解这个对象安全等式的各