- AccessEnum prikazuje odstupanja dozvola od roditeljskog elementa
- Sažetak u čitanju, pisanju i poricanju radi otkrivanja stvarnih rizika
- Izvoz rezultata i njihovo poređenje s osnovnim podacima za revizije
- Opcije i izuzeci poboljšavaju analizu datoteka i registra
Ako radite sa Windows i brinete se ko može otvoriti, izmijeniti ili uskratiti pristup fascikle i datoteke i ključeve registra, AccessEnum je odličan mali saveznik. Za nekoliko sekundi, on stvara sveobuhvatnu sliku dozvola, savršenu za lociranje odstupanja, jačanje kontrola i uklanjanje sigurnosnih rupa u jednom potezu. Lagan je, direktan i izuzetno koristan za brze revizije i zadatke ojačavanja.
Većina alata ne uspijeva prikazati dozvole jednim klikom, ali AccessEnum probija buku i ističe samo ono što je "neobično". Radi sa standardnim Windows sigurnosnim API-jima sažeti u jedan prikaz ono što bi inače zahtijevalo pregled ACL-a po ACL-u u cijelom datotečnom sistemu ili stablu registra.
Šta je AccessEnum i zašto je važan
AccessEnum je Sysinternals uslužni program, koji su kreirali Mark Russinovich i Bryce Cogswell, a koji vam omogućava da odmah vidite ko je čitao, pisao ili odbijao pristup putanjama datotečnog sistema i granama registra. Njegova filozofija je da prikaže razlike u odnosu na roditeljski direktorij ili ključ., tako da možete otkriti gdje su dozvole ublažene ili gdje odstupaju od standardne politike.
Alat služi i za sigurnosnu dijagnostiku i za odgovor na incidente. Ključna vrijednost je u brzini i jasnoći rezultataNavođenjem samo odstupanja, analitičar se ne gubi među hiljadama identičnih i nebitnih unosa.
Praktične informacije koje vrijedi imati pri ruci: veličina preuzimanja blizu 135 KB, kategorija Uslužni programi za disk i datoteke, stabilna verzija 1.35 i kompatibilnost sa Windows 11, 10, 8.1, 8, 7 i Vista. Može se preuzeti ili pokrenuti direktno putem Sysinternals Live-a. za slučajeve kada ne želite instalirati ili kopirati više od onoga što je neophodno.
Kako tačno funkcioniše?
Iza kulisa, AccessEnum ispituje liste kontrole pristupa (ACL) koristeći Windows sigurnosne API-je i apstrahuje ih u tri čitljiva stanja: čitanje, pisanje i odbijanje. Lista je popunjena sa ove tri ose odlučivanja, koji su zaista zanimljivi prilikom procjene rizika i konzistentnosti dozvola.
Logika poređenja sa roditeljskim elementom je pametna. AccessEnum smatra dozvole ekvivalentnim kada dijele isti "tip" pristupa. (čitanje, pisanje, zabranjivanje), čak i ako se tačan podskup razlikuje. Na primjer, ako datoteka dozvoljava samo određeno pravo pisanja (npr. pisanje vlasnika), a roditeljska datoteka dozvoljava "nešto" pisanja, one se tretiraju kao ekvivalentne u dimenziji pisanja.
Da vam dam ideju: ne pokušava provjeriti sve ACE-ove korak po korak, već ih grupira po funkcionalnim kategorijama (čitanje, pisanje, zabranjivanje). Ovo smanjuje lažno pozitivne rezultate i ističe stvarna odstupanja. utičući na površinu izloženosti.
Različit tretman u mapama i datotekama
AccessEnum rukuje direktorijima i datotekama s malom razlikom u pristupu. U slučaju datoteka, ističe ih samo kada su njihove dozvole manje restriktivne od onih u mapi u kojoj se nalaze.Ovo daje prioritet onome što zapravo povećava rizik prevelikim "otvaranjem" pristupa određenoj datoteci.
Ako želite drugačije ponašanje, možete ga promijeniti u meniju Opcije. Alat je fleksibilan i prilagođava se vašim pravilima Kako sada definirate "odstupanje" u vašoj organizaciji?
Kako sumirati i očistiti listu računa
Još jedan uspjeh je to što AccessEnum ne preplavljuje rezultat redundantnim računima. Kada korisnik pripada grupi koja već ima istu dozvolu, taj pojedinačni korisnik je skriven. u listi za tu dimenziju (čitanje, pisanje ili zabrana). Na primjer, ako i Bob i marketinška grupa imaju pristup za čitanje, a Bob je u Marketingu, prikazat će se samo Marketing.
Ovo "sažimanje duplikata" čini izlaz mnogo čitljivijim. Manje redova, iste bitne informacijeZa brzu analizu, ovo vizualno čišćenje čini razliku između otkrivanja problema u sekundama i gubljenja minuta na navigaciju kroz duplicirane unose.
Instalacija i izvršenje
Nema instalatora sa čarobnjacima ili kompliciranim ovisnostima. To je prenosivi GUI izvršni fajlKopirajte AccessEnum na dostupnu putanju i dvaput kliknite na njega. Ako želite, možete koristiti Sysinternals Live za "Pokreni odmah" bez lokalnog preuzimanja.
Za ograničena okruženja, ova prenosivost je zlatna nagrada. Minimizira zauzetu površinu i ubrzava pokretanje, idealno za revizije, odgovore na incidente ili specifične radove na poboljšanju kvalitete opreme gdje ne želite mnogo mijenjati ništa.
Skeniranje i opseg
Skeniranje može biti usmjereno na cijeli datotečni sistem ili na određeni dio, a isto se odnosi i na registar. Podrazumevano, prikazuju se direktoriji sa različitim dozvolama od njihovog nadređenog direktorijuma i datoteke sa manje strogim dozvolama od njihove mape. Pregled pristupa datotekama i izmjena To je korisna dopunska praksa kada upoređujete revizije.
U Opcijama možete prilagoditi kriterije poređenja i opsega, kao i izuzeća. Ovo vam omogućava da prilagodite analizu vašem slučaju.od detaljne revizije grane Registra do pregleda osjetljivog mrežnog resursa.
Interfejs, sortiranje i brze akcije
Nakon što je skeniranje završeno, možete sortirati bilo koju kolonu u rastućem ili silaznom redoslijedu tako što ćete nekoliko puta kliknuti na njeno zaglavlje. Sortiranje vam pomaže da odredite prioritete onoga što je najvažnije, bilo po ruti, vrsti dozvole ili uključenim računima.
Kontekstni meni u liniji nudi vrlo praktične akcije: pregled svojstava stavke, njeno isključivanje iz prikaza ili otvaranje njene lokacije (datoteke ili ključa) pomoću opcije Istraži. Ove radnje štede na prelasku između alata i pojednostaviti tok verifikacije.
Sačuvaj rezultate i uporedi ih sa osnovnim podacima
AccessEnum vam omogućava da izvezete rezultat u tekstualnu datoteku. Ovaj snimak se kasnije koristi za poređenje promjena. nakon promjene dozvola, ažuriranja ili incidenta. To je jednostavan način za uspostavljanje osnovne linije i praćenje regresija.
Tipičan scenario: Spremate status mape "povjerljivo", primjenjujete pojačanu politiku, a zatim je kasnije ponovo analizirate da vidite je li se nešto pomaknulo. Poređenje potvrđuje da li su ponovo uvedene ublažene dozvole ili ako je još uvijek sve u redu.
Opcije za isključivanje i kontrolu buke
Da biste održali fokus, možete definirati izuzeća rute ili obrasca. Ovo je korisno kada znate direktorije sa posebnim postavkama ili račune koje ne želite ponovo vidjeti u svakoj analizi. Održavanje konsolidovanog skupa izuzeća ubrzava periodične revizije.
Ne zaboravite istražiti meni za pomoć, Sadržaj. Uslovi pretrage i logika poređenja su tamo detaljno opisani., u slučaju da trebate razumjeti do najsitnijih detalja kako i zašto se svaki unos pojavljuje.
Preporučeni slučajevi upotrebe
Revizija dozvola prije migracije servera, pregled mrežnih dijeljenja, pojačavanje provjere nakon nove politike ili brza forenzička analiza nakon incidenta. Kad god vam je potrebna brza fotografija mjesta gdje su vrata "otvorena", AccessEnum savršeno pristaje.
Nadalje, budući da je izuzetno lagan, održiv je u opremi s ograničenim radnim slobodama. Njegova prenosivost i nula instalacije smanjuju trenje s operacijama i brzo vas puštaju unutra i van.
Preuzimanje, pokretanje uživo i kompatibilnost
Binarna datoteka je veličine otprilike 135 KB i uključena je u Sysinternals paket. Možete ga preuzeti ili pokrenuti direktno sa Sysinternals Live-a., idealno kada ne želite ostaviti nikakve artefakte. Radi na Windows 11, 10, 8.1, 8, 7 i Vista, kako u kućnom tako i u poslovnom okruženju.
AccessEnum je dio većeg ekosistema poznatih uslužnih programa. Sysinternals je osnovan 1996. godine, a Microsoft ga je preuzeo 2006. godine.Od tada, njegovi alati su se kontinuirano ažurirali i postali su de facto standard za administraciju i dijagnostiku.
Veza s drugim Sysinternals alatima
Iako je fokus ovdje na AccessEnumu, razumijevanje njegovog konteksta unutar Sysinternals-a pomaže u izgradnji kompletnog dijagnostičkog seta alata. Autoruns, na primjer, prikazuje i upravlja lokacijama automatskog pokretanja. sa najopsežnijom listom i sortirano po kategorijama.
Pomoću Autoruns-a možete sakriti Microsoftove unose kako biste se fokusirali samo na softver trećih strana, a ima i integraciju s VirusTotal-om. Ružičasti unosi obično označavaju datoteke bez važećeg potpisa. ili s problemima s verifikacijom; žuta boja označava nepostojeće ili nedostupne rute koje treba pregledati prije onemogućavanja.
Process Explorer podiže klasiku na viši nivo Task Manager. Omogućava vam pregled hijerarhije procesa, učitanih DLL-ova, otvorenih ručki, verifikacija potpisa, vremenska linija procesa, kodiranje bojama i donja ploča s detaljnim informacijama.
Process Monitor bilježi aktivnosti u stvarnom vremenu iz datotečnog sistema, registra i procesa, s naprednim filterima, sveobuhvatnim svojstvima događaja i zapisivanjem u datoteku. To je ključno u istraživanju složenih problema ili potrazi za malware, jer prikazuje detaljnu interakciju procesa sa sistemom.
TCPView prikazuje sve TCP/UDP krajnje tačke uživo, uključujući lokalne/udaljene adrese, status i povezane procese. Vrlo korisno za otkrivanje sumnjivih veza ili anomalnih mrežnih aktivnosti bez muke sa kriptičnim netstat izlazima.
BGInfo prikazuje sistemske podatke na pozadini radne površine, idealno za vizualni inventar; Contig defragmentira pojedinačne datoteke; Desktops kreira virtualne radne površine čak i na starijim verzijama; DiskMon prati aktivne sektore; Disk2vhd pretvara fizičke diskove u VHD-ove; PsTools pruža uslužne programe komandne linije. naredbe za udaljene zadatke; PsExec vam omogućava pokretanje procesa na daljinu bez agenata.Sysmon bilježi napredne sigurnosne događaje za kasniju korelaciju; a ZoomIt je savršen za tehničke prezentacije sa zumiranjem i crtanjem na ekranu.
Savjeti za rad s AccessEnumom
Jasno definišite opseg prije skeniranja. Izbjeći ćete masovne rezultate i fokusirati se na ono što je relevantno., kao što je osjetljiva grana registra ili kritična dijeljena resursa. Ako je moguće, kreirajte izuzeća kako biste smanjili poznatu buku.
Uspostavite sačuvanu osnovnu liniju nakon primjene vaše „dobre“ politike. Poređenje sa prethodnim snimcima je najpouzdaniji način za otkrivanje regresija tokom vremena ili nakon promjena softvera.
Kombinujte rezultate AccessEnuma sa Process Monitorom ili TCPView-om kada sumnjate na zloupotrebu dozvola. Pogledajte ko može pisati i šta taj proces sljedeće radi. Pruža vam 360-stepeni pogled na stvarni rizik.
Integrirajte kreiranje sadržaja i digitalne potpise u svoju analizu pomoću Process Explorera. Validacija editora i binarnih datoteka smanjuje marginu greške prilikom donošenja odluka o zadržavanju ili čišćenju.
Strastveni pisac o svijetu bajtova i tehnologije općenito. Volim dijeliti svoje znanje kroz pisanje, a to je ono što ću raditi na ovom blogu, pokazivati vam sve najzanimljivije stvari o gadžetima, softveru, hardveru, tehnološkim trendovima i još mnogo toga. Moj cilj je pomoći vam da se krećete u digitalnom svijetu na jednostavan i zabavan način.