[port139:00836] LocalSystem とファイルとディレクトリのバックアップ権限

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

風邪ひいて寝込んでいる Port139 伊原です。

memo ML で、 Virus のチェック時に ACL によってチェックできない場合
があるって話が出てますが、LocalSystem でやればいいんですかね。
といっても単純に LocalSysmte で動かせばいいんぢゃなくて、実行時に
「ファイルとディレクトリのバックアップ」権限を付与すればいいのかな？

http://ntsecurity.nu/toolbox/nscopy/

というツールがありますが、これを AT コマンドで動かすと LocalSystem
の権限で動作します。

例えば、hoge.txt というファイルを用意して、ACL で LocalSystem からの
アクセスを full 拒否で設定しておきます。
単純に AT コマンドを使って LocalSystem 権限でこのファイルへアクセス
した場合にはアクセスが拒否されます。
しかし、nscopy を利用して AT コマンドを実行すると、拒否の ACL に関
わらずファイルがコピーできます。

デフォルトでは、「ファイルとディレクトリのバックアップ」ユーザー権利
は Administratros と Backup Operator に付与されてますが、これらの設定
によらず LocalSystem はファイルへアクセスできるようです。（逆に言えば
LocalSysmte からのアクセスは防ぐことができないB-）

なんで気が付いたかというと、Tripwire の twagent は LocalSystem でデ
フォルト動作するんですが、LocalSystem に権限がないフォルダ配下にある
ファイルでも変更を検知できたので気が付きました。

なんとなく「穴」のようにも思えますが、きっと仕様でしょうね。
Virus 対策製品も Tripwire が使ってるのと同じ API を利用して、LocalSystem
権限で動けば ACL に影響をうけずにやれるはずですが、個人的にはだったら
Tripwire 使った方が早いぢゃん...という気はしています。

うぅぅまた熱が・・・ベットに戻って寝込むとしよう...


---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/