- AccessEnum parāda atļauju novirzes no vecākelementa
- Kopsavilkums lasīšanā, rakstīšanā un noliegumā, lai atklātu reālus riskus
- Eksportējiet rezultātus un salīdziniet tos ar sākotnējo vērtību auditiem
- Opcijas un izņēmumi precizē failu un reģistra analīzi
Ja strādājat ar Windows un jūs uztrauc tas, kas var atvērt, modificēt vai liegt piekļuvi mapēm, failiem un reģistra atslēgām, AccessEnum ir spēcīgs rīks. Tas dažu sekunžu laikā sniedz visaptverošu atļauju pārskatu, kas ir ideāli piemērots neatbilstību identificēšanai, kontroles stiprināšanai un drošības ievainojamību novēršanai vienā acumirklī. Tas ir viegls, vienkāršs un neticami noderīgs ātrām revīzijām un drošības pastiprināšanas uzdevumiem.
Lielākā daļa rīku nespēj parādīt atļaujas ar vienu klikšķi, taču AccessEnum novērš problēmu un izceļ tikai to, kas "novirzās no normas". Tas darbojas ar standarta Windows drošības API, lai vienā skatā apkopotu to, kas parasti prasītu ACL pārskatīšanu pa ACL visā failu sistēmā vai reģistra kokā.
Kas ir AccessEnum un kāpēc tas ir svarīgi?
AccessEnum ir Sysinternals utilīta, ko izveidojuši Marks Rusinovičs un Braiss Kogsvels, kas ļauj uzreiz redzēt, kas ir lasījis, rakstījis vai liedzis piekļuvi failu sistēmas ceļiem un reģistra atzariem. Tās filozofija ir parādīt atšķirības salīdzinājumā ar vecāku direktoriju vai atslēgu , lai jūs varētu noteikt, kur atļaujas ir atvieglotas vai kur tās atšķiras no standarta politikas.
Šis rīks kalpo gan drošības diagnostikai, gan incidentu reaģēšanai. Tā galvenā vērtība ir ātrums un rezultātu skaidrība : uzskaitot tikai novirzes, analītiķis nepazūd starp tūkstošiem identisku un neatbilstošu ierakstu.
Praktiska informācija, kas jāpatur prātā: lejupielādes lielums ir aptuveni 135 KB, kategorija ir Diska un failu utilītas, stabila versija 1.35 un saderība ar Windows 11 , 10, 8.1, 8, 7 un Vista. To var lejupielādēt vai palaist tieši, izmantojot Sysinternals Live, situācijās, kad nevēlaties instalēt vai kopēt neko vairāk par minimālo nepieciešamo.
Kā tieši tas darbojas?
Fonā AccessEnum veic piekļuves kontroles sarakstu (ACL) vaicājumus, izmantojot Windows drošības API, un abstrahē tos trīs lasāmos stāvokļos: lasīšana, rakstīšana un liegt. Saraksta skatā tiek parādīti šie trīs lēmumu stāvokļi , kas ir patiesi svarīgi, novērtējot risku un atļauju konsekvenci.
Salīdzināšanas loģika ar vecākelementu ir inteliģenta. AccessEnum uzskata atļaujas par līdzvērtīgām, ja tām ir viens un tas pats piekļuves "veids" (lasīt, rakstīt, liegt), pat ja precīza apakškopa atšķiras. Piemēram, ja fails piešķir tikai noteiktas rakstīšanas tiesības (piemēram, īpašnieka rakstīšanas tiesības), bet vecākelements piešķir "kādu" rakstīšanas veidu, tas rakstīšanas dimensijā tās uzskata par līdzvērtīgām.
Lai sniegtu jums pamatideju: tas nemēģina salīdzināt katru ACE pa bitam, bet gan grupē tos pēc funkcionālām kategorijām (lasīšana, rakstīšana, noliegšana). Tas samazina kļūdaini pozitīvu rezultātu skaitu un izceļ patiesās novirzes , kas ietekmē ekspozīcijas laukumu.
Atšķirīga apstrāde mapēs un failos
AccessEnum apstrādā direktorijus un failus, izmantojot nedaudz atšķirīgus kritērijus. Failu gadījumā tas tos izceļ tikai tad, ja to atļaujas ir mazāk ierobežojošas nekā mapes, kurā tie atrodas . Tas piešķir prioritāti tam, kas faktiski palielina pārmērīgas piekļuves risku konkrētam failam.
Ja vēlaties citu darbību, varat to mainīt opciju izvēlnē. Rīks ir pietiekami elastīgs, lai pielāgotos jūsu politikām un tam, kā jūs definējat "novirzi" savā organizācijā.
Kā apkopot un iztīrīt kontu sarakstu
Vēl viena priekšrocība ir tā, ka AccessEnum nepārslogo rezultātus ar liekiem kontiem. Ja lietotājs pieder grupai, kurai jau ir tāda pati atļauja, atsevišķais lietotājs tiek paslēpts no saraksta šai dimensijai (lasīšanas, rakstīšanas vai liegt). Piemēram, ja Bobam un Mārketinga grupai ir lasīšanas piekļuve, bet Bobs ir Mārketinga grupā, tiks rādīta tikai Mārketinga grupa.
Šī "dublikātu sakļaušana" padara izvadi daudz lasāmāku. Mazāk rindiņu, tā pati būtiskā informācija . Ātrai analīzei šī vizuālā tīrīšana ir izšķiroša starp problēmas noteikšanu sekundēs un minūšu tērēšanu, meklējot dublikātus.
Uzstādīšana un izpilde
Nav instalētāja ar vedņiem vai sarežģītām atkarībām. Tas ir pārnēsājams GUI izpildāmais fails : jūs kopējat AccessEnum pieejamā ceļā un veicat dubultklikšķi uz tā. Ja vēlaties, varat izmantot Sysinternals Live, lai "Palaist tūlīt" bez lokālas lejupielādes.
Ierobežotās vidēs šī pārnesamība ir nenovērtējama. Tā samazina aizņemto vietu un paātrina ieviešanu , kas ir ideāli piemērota auditiem, incidentu reaģēšanai vai vienreizējiem drošības uzlabošanas uzdevumiem sistēmās, kurās vēlaties samazināt izmaiņas.
Skenēšana un tās tvērums
Skenēšana var attiekties uz visu failu sistēmu vai tās noteiktu daļu, un tas pats attiecas uz reģistru. Pēc noklusējuma tiek parādīti direktoriji ar atšķirīgām atļaujām nekā to vecākmapei, un faili ar mazāk ierobežojošām atļaujām nekā to mapei. Failu piekļuves un modifikāciju pārskatīšana ir noderīga papildu prakse, salīdzinot auditus.
Sadaļā “Opcijas” varat pielāgot salīdzināšanas kritērijus un tvērumu, kā arī izņēmumus. Tas ļauj pielāgot analīzi jūsu īpašajām vajadzībām : sākot no detalizētas reģistra filiāles revīzijas līdz sensitīvas tīkla koplietojuma pārskatīšanai.
Saskarne, kārtošana un ātrās darbības
Kad skenēšana ir pabeigta, jebkuru kolonnu var kārtot augošā vai dilstošā secībā, vairākas reizes noklikšķinot uz tās galvenes. Kārtošana palīdz noteikt prioritātes vissvarīgākajai informācijai — pēc ceļa, atļaujas veida vai iesaistītajiem kontiem.
Konteksta izvēlne rindā piedāvā ļoti praktiskas darbības: apskatīt elementa īpašības, izslēgt to no skata vai atvērt tā atrašanās vietu (failu vai atslēgu), izmantojot funkciju “Izpētīt”. Šīs darbības ietaupa laiku, pārslēdzoties starp rīkiem , un vienkāršo verifikācijas darbplūsmu.
Saglabāt rezultātus un salīdzināt tos ar sākotnējo līmeni
AccessEnum ļauj eksportēt rezultātus teksta failā. Šo momentuzņēmumu var izmantot, lai salīdzinātu izmaiņas pēc atļauju modifikācijas, atjauninājuma vai incidenta. Tas ir vienkāršs veids, kā izveidot bāzes līniju un uzraudzīt regresijas.
Tipisks piemērs: jūs saglabājat mapes “konfidenciāla” statusu, lietojat stingrāku politiku un vēlāk atkārtoti analizējat, vai kaut kas ir mainījies. Salīdzinājums apstiprina, vai ir atkārtoti ieviestas atvieglotas atļaujas vai viss paliek nemainīgs.
Trokšņa kontroles un izslēgšanas iespējas
Lai saglabātu koncentrēšanos, varat definēt izņēmumus ceļiem vai modeļiem. Tas ir noderīgi, ja zināt direktorijus ar īpašām konfigurācijām vai kontiem, kurus nevēlaties redzēt vēlreiz katrā analīzē. Apvienota izņēmumu kopuma uzturēšana paātrina periodiskās revīzijas.
Neaizmirstiet izpētīt palīdzības izvēlni, Satura rādītāju. Tur atradīsiet detalizētus meklēšanas kritērijus un salīdzināšanas loģiku , ja jums ir nepieciešams precīzi saprast, kā un kāpēc katrs ieraksts parādās.
Ieteicamie lietošanas gadījumi
Atļauju audits pirms servera migrācijas, tīkla koplietojumu pārskatīšana , aizsardzības pārbaude pēc jaunas politikas ieviešanas vai ātras kriminālistikas analīzes veikšana pēc incidenta. Ikreiz, kad nepieciešams ātrs pārskats par to, kur ir izmantotas ievainojamības , AccessEnum ir ideāli piemērots.
Turklāt tā ārkārtīgi vieglais dizains padara to piemērotu komandām ar ierobežotu darbības brīvību. Tā pārnesamība un nulles uzstādīšanas prasības samazina darbības berzi un ļauj ātri iekāpt un izkāpt.
Lejupielāde, tiešraides palaišana un saderība
Binārā faila lielums ir aptuveni 135 KB, un tas ir daļa no Sysinternals komplekta. To var lejupielādēt vai palaist tieši no Sysinternals Live , kas ir ideāli piemērots, ja nevēlaties atstāt nekādas pēdas. Tas darbojas operētājsistēmās Windows 11, 10, 8.1, 8, 7 un Vista gan mājas, gan korporatīvajā vidē.
AccessEnum ir daļa no plašākas labi zināmu utilītu ekosistēmas. Sysinternals tika dibināts 1996. gadā un Microsoft to iegādājās 2006. gadā ; kopš tā laika tā rīki ir pastāvīgi atjaunināti un ir faktisks administrēšanas un diagnostikas standarts.
Saistība ar citiem Sysinternals rīkiem
Lai gan šeit uzmanības centrā ir AccessEnum, tā konteksta izpratne Sysinternals ietvaros palīdz izveidot pilnīgu diagnostikas rīku komplektu. Piemēram, Autoruns parāda un pārvalda automātiskās palaišanas atrašanās vietas ar visaptverošāko un kategorizētāko sarakstu.
Izmantojot Autoruns, varat paslēpt Microsoft ierakstus, lai koncentrētos tikai uz trešo pušu programmatūru, un tas integrējas ar VirusTotal. Rozā ieraksti parasti norāda failus bez derīga paraksta vai ar verifikācijas problēmām; dzeltenie ieraksti norāda uz neesošiem vai nepieejamiem ceļiem, kas jāpārbauda pirms to atspējošanas.
Process Explorer paceļ klasisko uzdevumu pārvaldnieku jaunā līmenī . Tas ļauj skatīt procesu hierarhiju, ielādētos DLL failus, atvērtos tēmturus , parakstu verifikāciju, procesa laika skalu, krāsu kodēšanu un apakšējo paneli ar detalizētu informāciju.
Process Monitor fiksē reāllaika aktivitātes no failu sistēmas, reģistra un procesiem, izmantojot uzlabotus filtrus, visaptverošus notikumu rekvizītus un reģistrēšanu failā. Tas ir ļoti svarīgi sarežģītu problēmu izmeklēšanai vai ļaunprogrammatūras meklēšanai , jo tas parāda detalizētu procesu mijiedarbību ar sistēmu.
TCPView nodrošina tiešraides sarakstu ar visiem TCP/UDP galapunktiem, tostarp lokālo/attālo adresi, statusu un saistīto procesu. Tas ir ļoti noderīgi, lai atklātu aizdomīgus savienojumus vai anomālu tīkla aktivitāti, neradot problēmas ar šifrētu netstat izvadi.
BGInfo parāda sistēmas datus darbvirsmas fonā, kas ir ideāli piemērots vizuālai inventarizācijai; Contig defragmentē atsevišķus failus; Desktops izveido virtuālus darbvirsmas pat vecākās versijās; DiskMon uzrauga aktīvos sektorus; Disk2vhd konvertē fiziskos diskus uz VHD; PsTools nodrošina komandrindas utilītas attāliem uzdevumiem; PsExec ļauj attālināti palaist procesus bez aģentiem ; Sysmon reģistrē uzlabotus drošības notikumus vēlākai korelācijai; un ZoomIt ir ideāli piemērots tehniskām prezentācijām ar tālummaiņu un zīmēšanu uz ekrāna.
Padomi darbam ar AccessEnum
Pirms skenēšanas skaidri definējiet darbības jomu. Tas palīdzēs izvairīties no masveida rezultātu saņemšanas un koncentrēties uz būtisko , piemēram, sensitīvu reģistra atzaru vai kritiski svarīgu koplietošanas resursu. Ja iespējams, izveidojiet izņēmumus, lai samazinātu zināmo troksni.
Pēc "labās" politikas piemērošanas izveidojiet saglabātu bāzes līniju. Salīdzinot to ar iepriekšējiem momentuzņēmumiem, ir visuzticamākais veids, kā noteikt regresijas laika gaitā vai pēc programmatūras izmaiņām.
Apvienojiet AccessEnum rezultātus ar Process Monitor vai TCPView, ja rodas aizdomas par atļauju ļaunprātīgu izmantošanu. Redzot, kas var rakstīt un ko šis process dara pēc tam, jūs iegūsiet 360 grādu pārskatu par reālo risku.
Integrējiet autorību un digitālos parakstus savā analīzē, izmantojot Process Explorer. Izdevēju un bināro failu validācija samazina kļūdu robežu, pieņemot lēmumus par ierobežošanu vai tīrīšanu.
Kaislīgs rakstnieks par baitu pasauli un tehnoloģiju kopumā. Man patīk dalīties savās zināšanās rakstot, un tieši to es darīšu šajā emuārā, parādot visu interesantāko informāciju par sīkrīkiem, programmatūru, aparatūru, tehnoloģiju tendencēm un daudz ko citu. Mans mērķis ir palīdzēt jums vienkāršā un izklaidējošā veidā orientēties digitālajā pasaulē.