An Inverse Approach to Windows' Resource-Based Permission Mechanism for Access Permission Vulnerability Detection

Abstract

In organizations, employees work with information stored in files according to their duties and responsibilities. Windows uses resource-based access permissions that any permission for any user has to be set separately per resource. This approach gets complicated as the number of resources and users increase, and causes oversights in assigning permissions. Therefore, a special mechanism is required to scrutinize what permissions any employee has on any set of resources. This requirement is circumvented by reversing the Windows’ approach in terms of user-accessible resources. This approach is implemented by a program allowing quick and easy examination of any type of permissions granted or denied to active directory users on any folder. In this way, administrators can make sure there is no any missing or overlooked setting that could cause a security vulnerability. This approach can easily be extended to scrutinize other resources, and for other local or active directory objects.

Kurum çalışanları görev ve sorumluluklarına göre dosyalarda saklanan bilgilerle çalışırlar. Windows, herhangi bir kullanıcı için herhangi bir iznin kaynak başına ayrı olarak ayarlanması gereken kaynak tabanlı erişim izinlerini kullanır. Bu yaklaşım, kaynak ve kullanıcı sayısı arttıkça karmaşıklaşır ve izinlerin atanmasında gözden kaçmalara neden olur. Bu nedenle, herhangi bir çalışanın herhangi bir kaynak kümesi üzerinde hangi izinlere sahip olduğunu incelemek için özel bir mekanizma gereklidir. Bu gereksinim, Windows'un kullanıcı tarafından erişilebilen kaynaklar açısından yaklaşımı tersine çevrilerek aşılmaktadır. Bu yaklaşım, herhangi bir klasörde aktif dizin kullanıcılarına verilen veya reddedilen her türlü iznin hızlı ve kolay bir şekilde incelenmesini sağlayan bir program ile gerçekleştirilmiştir. Bu şekilde yöneticiler, güvenlik açığına neden olabilecek eksik veya gözden kaçan herhangi bir atama olmadığından emin olabilir. Bu yaklaşım, diğer kaynakları incelemek ve diğer yerel veya aktif dizin nesneleri için kolaylıkla genişletilebilir.