Идентификаторы безопасности в операционной системе Windows: перечень и подробное описание наиболее известных.

В операционных системах Windows существует множество идентификаторов безопасности, которые имеют особое значение для обеспечения безопасности компьютеров и серверов. Они используются для управления доступом к различным ресурсам и контролируют различные операции на уровне системы. В данной статье мы рассмотрим некоторые из этих идентификаторов и их особенности.

Одним из наиболее важных идентификаторов безопасности в Windows является идентификатор администратора (S-1-5-21-XXXXXX-XXXXXX-XXXXX-500). Этот идентификатор представляет группу пользователей, которым предоставляются высокие полномочия на компьютере или сервере. Пользователь с идентификатором администратора имеет право входить в систему, управлять пользователями, получать доступ к защищенным ресурсам и выполнять другие административные задачи.

Еще одним важным идентификатором безопасности является идентификатор анонимного пользователя (S-1-5-7). Этот идентификатор используется системой для предоставления доступа к ресурсам для анонимных пользователей, которые не имеют учетной записи в системе. Анонимным пользователям может быть разрешено только чтение определенных файлов или каталогов, чтобы предотвратить несанкционированный доступ или изменение данных.

Еще одним важным идентификатором является идентификатор remote-interaktive в Windows Server (S-1-5-32-544). Этот идентификатор используется для предоставления доступа к серверу домена для удаленных пользователей, разрешая им войти в систему и получать доступ к ресурсам удаленно. Данный идентификатор используется в версиях Windows Server 2008 и поздней, и предназначен для контроля доступа и аутентификации удаленных пользователей в рабочем сеансе.

В статье также рассматриваются такие идентификаторы безопасности, как идентификаторы контроллера домена, generic access, directory service object, server role, remote session, FSMO и многие другие. Каждый из них выполняет определенную функцию в системе и имеет собственные права доступа и ограничения. Предоставление и настройка этих идентификаторов является важной задачей для администраторов системы с целью обеспечения безопасности и защиты компьютера или сервера.

Все перечисленные идентификаторы безопасности имеют уникальные значения и уровни доступа. Их можно использовать для управления доступом и разрешениями на файлы и каталоги, а также для настройки наследования доступа к объектам в системе. Важно заметить, что в поздних версиях операционных систем Windows могут добавляться новые идентификаторы безопасности для поддержки новых функций и возможностей системы.

ИД безопасности добавленные в Windows Server 2003 и более поздних версиях

В операционной системе Windows Server 2003 и более поздних версиях был добавлен новый пакет идентификаторов безопасности, который включает в себя несколько значимых групп и учетных записей.

Среди этих идентификаторов безопасности можно выделить:

1. Группа «Enterprise Admins»

Эта группа является членом группы «Domain Admins» и имеет полные права доступа и управления во всех доменах Active Directory в лесу. Она может также включать в себя группы «Schema Admins» и «Organization Admins».

2. Учетная запись «Администратор»

Учетная запись «Администратор» используется для управления серверами и имеет полные права доступа и управления во всей системе. Эта учетная запись требуется для установки и настройки серверов.

3. Группа «Remote Desktop Users»

Группа «Remote Desktop Users» предоставляет возможность удаленного доступа к компьютерам и терминалам. Члены этой группы могут подключаться к удаленным системам и управлять ими.

4. Группа «Power Users»

Группа «Power Users» имеет повышенные права доступа к системе и позволяет выполнять определенные задачи управления, такие как установка программ и изменение настроек безопасности. Однако эта группа не имеет полного контроля над системой, поэтому ее использование требует осторожности.

5. Учетная запись «FSMO»

Учетная запись «FSMO» используется для управления операции мастера соответствующих ролей. Она заменяет ранее добавленную учетную запись «Администратор». Эта учетная запись предоставляет аналогичные права доступа и управления соответствующими ролями в Active Directory.

Это лишь часть списка идентификаторов безопасности, добавленных в поздних версиях Windows Server. Описание каждого идентификатора может быть различным в зависимости от его роли и назначения в системе.

Идентификатор	Описание
Enterprise Admins	Группа, включаемая в группу Domain Admins и имеющая полные права доступа и управления во всех доменах Active Directory в лесу.
Администратор	Учетная запись, используемая для управления серверами и имеющая полные права доступа и управления во всей системе.
Remote Desktop Users	Группа, предоставляющая возможность удаленного доступа к компьютерам и терминалам.
Power Users	Группа, имеющая повышенные права доступа к системе и позволяющая выполнять определенные задачи управления.
FSMO	Учетная запись, используемая для управления операции мастера соответствующих ролей в Active Directory.

SiDs добавленные Windows Server 2012 и последними версиями

С внедрением Windows Server 2012 было добавлено несколько новых идентификаторов безопасности (SiDs), которые предназначены для улучшения управления доступом и безопасности в операционных системах Windows.

Один из таких новых SiDs — s-1-5-80-0 — предназначен для контроллера домена, заменяет старый идентификатор s-1-5-9 и используется как универсальная группа для всех компьютеров-клиентов в домене.

Еще один добавленный идентификатор безопасности — s-1-5-83-0 — предназначен для службы управления сертификатами Active Directory и предоставляет доступ к службе управления сертификатами и резервному функционалу при работе с сертификатами.

С добавлением Windows Server 2012 также был добавлен и новый идентификатор безопасности — s-1-5-32-580 — который предназначен для группы администраторов службы управления сертификатами и обеспечивает эти группы доступом к управлению сертификатами.

Один из новых идентификаторов безопасности, добавленных в Windows Server 2012 R2, — s-1-5-32-584 — предназначен для группы «Creators Update Group». Эта группа предназначена для проверки прав на уровне компьютера и предоставляет возможность учета процессов развертывания.

В Windows Server 2016 были добавлены еще несколько новых идентификаторов безопасности. Один из них — s-1-5-32-581 — предназначен для группы «Access Control Assistance Operators», предоставляющей дополнительные возможности проверки политик безопасности.

Также в Windows Server 2016 был добавлен и новый идентификатор безопасности — s-1-5-32-582 — который предназначен для группы «Remote Management Users» и предоставляет возможность удаленного управления компьютером.

С добавлением Windows Server 2019 был внедрен идентификатор безопасности s-1-5-32-583, который предназначен для группы «Volume Activation Management Tool Users» и предоставляет доступ к управлению активацией томов.

Это лишь несколько примеров новых идентификаторов безопасности, добавленных в более поздних версиях операционной системы Windows. Расширение списка идентификаторов безопасности позволяет более гибко управлять доступом и обеспечивать дополнительные возможности для учета и управления различными процессами в системе.

Известные ИД безопасности во всех версиях ОС Windows

В операционной системе Windows существует большое количество известных идентификаторов безопасности (ИД), которые играют важную роль в управлении доступом и обеспечении безопасности системы. Каждый ИД отвечает за определенные возможности и разрешения, предоставляемые пользователям и группам.

Идентификаторы безопасности пользователей

• SID S-1-5-18: Встроенный идентификатор для локальной службы (Local Service).
• SID S-1-5-19: Встроенный идентификатор для локального сервиса с доступом только на чтение (Network Service).
• SID S-1-5-20: Встроенный идентификатор для сетевого сервиса (или компьютера) с возможностью удаленного входа только для членов группы «Администраторы» (Local System).
• SID S-1-5-32-544: Идентификатор для группы «Администраторы» (Administrators).
• SID S-1-5-11: Идентификатор для группы «Пользователи» (Users).

Идентификаторы безопасности служб и сервисов

• SID S-1-5-64-10: Идентификатор для службы «Сетевой сервис» (Network Service).
• SID S-1-5-64-14: Идентификатор для службы «Управление доменами» (Domain Controllers).
• SID S-1-5-64-21: Идентификатор для службы «Администраторы» (Administrators).
• SID S-1-5-64-422: Идентификатор для службы «Server Operators» (Server Operators).
• SID S-1-5-32-546: Идентификатор для службы «Операторы» (Operators).

Известные ИД безопасности в системе Windows служат основой для управления доступом к различным ресурсам, файлам, папкам и приложениям. Они действуют в сценариях установки обновлений, контроллерами домена, работы с файловой системой и других ситуациях.

ИД возможностей

ИД возможностей, или Capability SID, используется в системах Windows Server 2003 и позднее, для управления доступом к объектам в Active Directory. Этот идентификатор представляет собой группу разрешений, которые могут быть назначены конкретным членам группы или компьютерам в домене.

ИД возможностей, добавленный к учетной записи, позволяет получать доступ к определенным функциям или ресурсам, которые могут быть недоступны остальным пользователям. Например, с помощью ИД возможностей можно разрешить доступ к удаленному рабочему столу, управление терминалами, выполнение определенных программ или сценариев, а также управление политикой безопасности.

ИД возможностей может быть назначен как члену группы, так и отдельной учетной записи. Если ИД возможностей назначен члену группы, все компьютеры и пользователи, входящие в эту группу, получают доступ к соответствующим функциям или ресурсам. Если ИД возможностей назначен отдельной учетной записи, только этот пользователь будет иметь доступ к этим функциям или ресурсам.

ИД возможностей часто используется для управления доступом к контроллерам домена и репликам, управлению делегированием и аутентификацией пользователей. Он также может быть использован для управления доступом к сервисам в Active Directory, таким как служба каталогов, каталог внешних учетных записей и т.д.

ИД возможностей является частью системы контроля доступа на основе ролей (RBAC), которая позволяет ограничивать доступ к определенным функциям или ресурсам в зависимости от роли пользователя или компьютера.

Видео:

Александр Белобородов — Безопасность популярных серверных операционных систем "в цифрах".

Александр Белобородов — Безопасность популярных серверных операционных систем "в цифрах". by OWASP Kharkiv 282 views 4 years ago 45 minutes