Folder C:\Windows\Security\Database: baza SAM i LSA

Folder `C:\Windows\Security\Database` to jeden z tych systemowych zakamarków, o których mało kto słyszy, dopóki coś się nie sypie. A jak już się sypie, to sypie się na całego. Krótko mówiąc, to tu Windows trzyma jedną z najważniejszych baz danych na temat bezpieczeństwa lokalnego systemu – czyli lokalnych kont użytkowników, grup, haseł (w postaci hashy, oczywiście) i polityk bezpieczeństwa. Bez tego ani rusz, dosłownie.

Co to za folder i gdzie się znajduje?

Ścieżka jest prosta i niezmienna od lat: `C:\Windows\Security\Database`. To stałe miejsce w każdym systemie Windows, począwszy od NT, aż po najnowsze wersje. Nie da się tego przenieść ani zmienić. To serce lokalnego uwierzytelniania, głęboko osadzone w strukturze systemu.

Do czego służy i co zawiera?

Ten folder to dom dla kluczowych plików bazy danych związanych z bezpieczeństwem. Głównie są to:

• `SAM` (bez rozszerzenia) – to plik bazy danych Security Account Manager. Zawiera informacje o wszystkich lokalnych kontach użytkowników i grupach utworzonych na danym komputerze. To właśnie tutaj przechowywane są nazwy użytkowników, identyfikatory SID (Security Identifier) oraz, co najważniejsze, zaszyfrowane (zahashowane) hasła. To plik absolutnie krytyczny dla logowania się do systemu.
• `SECURITY` (bez rozszerzenia) – to plik bazy danych Local Security Authority (LSA) Secrets. Tutaj system przechowuje różnego rodzaju sekrety bezpieczeństwa, takie jak zaszyfrowane poświadczenia używane przez usługi systemowe, zaplanowane zadania czy aplikacje do łączenia się z zasobami sieciowymi. Bez tego wiele rzeczy po prostu by nie działało, bo nie mogłyby się uwierzytelnić.
• Inne pliki, np. z rozszerzeniami `.log` czy `.sdb`, to zazwyczaj pliki dziennika transakcji bazy danych lub tymczasowe kopie, które zapewniają integralność i spójność tych kluczowych danych.

Całość służy do jednego: uwierzytelniania lokalnego. Kiedy próbujesz się zalogować, system porównuje wpisane hasło z hashem przechowywanym w SAM-ie. System używa też tych danych do egzekwowania lokalnych polityk bezpieczeństwa, np. kto ma dostęp do jakich plików czy folderów.

Czy można go usunąć/przenieść i co się stanie?

Krótko: Nie. Absolutnie nie. Serio.

Próba usunięcia lub przeniesienia folderu `C:\Windows\Security\Database` (lub jego kluczowych plików, jak SAM czy SECURITY) to przepis na katastrofę. To nie są żadne zbędne pliki. Są one chronione przez system i zazwyczaj zablokowane, więc zwykły użytkownik nie ma do nich swobodnego dostępu ani możliwości modyfikacji.

Co by się stało, gdyby jakimś cudem udało Ci się to zrobić?

1. System stałby się niezdolny do logowania. Żaden lokalny użytkownik (włącznie z administratorem) nie mógłby się zalogować, bo system nie miałby bazy danych, z którą mógłby porównać hasła.

2. Usługi systemowe przestałyby działać. Wiele usług polega na LSA Secrets do działania.

3. Windows najprawdopodobniej by się nie uruchomił lub uruchomiłby się w trybie awaryjnym z poważnymi błędami.

Zasadniczo, byłby to odpowiednik dekapitacji systemu. Koniec kropka. W efekcie masz system do przeinstalowania lub do mocno skomplikowanej procedury odzyskiwania z kopii zapasowej. (Tak, widziałem przypadki, gdzie ludzie próbowali i wylądowali z zabitym systemem. Nie pytaj skąd wiem.)

Typowe problemy z tym folderem

Najczęstszy problem, jaki dotyka bazy danych w tym folderze, to uszkodzenie (korupcja). Może się to zdarzyć z kilku powodów:

• Nagłe, nieprawidłowe wyłączenie systemu (np. zanik zasilania).
• Problemy z dyskiem twardym (bad sektory).
• Błędy w systemie plików.
• Działanie złośliwego oprogramowania, które próbowało manipulować plikami systemowymi.

Uszkodzenie SAM-a lub SECURITY objawia się zazwyczaj niemożnością zalogowania się (nawet z poprawnym hasłem), błędami podczas uruchamiania systemu, problemami z działaniem usług lub aplikacjami, które potrzebują uwierzytelnienia. W takich sytuacjach często pojawia się komunikat „Błąd profilu użytkownika” lub „Nie można uruchomić usługi”.

Istnieją też ataki hakerskie, które celują w zawartość tych plików – narzędzia takie jak Mimikatz potrafią wyciągać hasła (a raczej ich hashe) z pamięci lub bezpośrednio z SAM-a, gdy system jest uruchomiony i niezabezpieczony. To nie problem folderu, a raczej jego cennej zawartości.

Kiedy warto go wyczyścić?

Odpowiedź jest prosta i krótka: nigdy bezpośrednio. Nie „czyści się” plików SAM czy SECURITY w taki sposób, jak czyści się pliki tymczasowe czy pamięć podręczną przeglądarki. To baza danych, a nie śmietnik.

Jeżeli masz potrzebę „wyczyszczenia” czegoś w kontekście użytkowników, to robisz to przez systemowe narzędzia:

• Usuwanie nieużywanych kont użytkowników: Użyj narzędzia Zarządzanie komputerem (`compmgmt.msc`) -> Użytkownicy i grupy lokalne, lub po prostu panelu „Konta użytkowników”. To bezpieczna metoda, która modyfikuje wpisy w bazie SAM.
• Zmiana haseł: Oczywiste.
• Resetowanie polityk bezpieczeństwa: Można to zrobić przez edytor lokalnych zasad zabezpieczeń (`secpol.msc`).

Jeśli baza danych jest uszkodzona, to „czyszczenie” jest niewłaściwym terminem. Wtedy wchodzi w grę odzyskiwanie z kopii zapasowej stanu systemu, funkcja przywracania systemu (jeśli punkt przywracania jest odpowiednio wczesny) lub w ostateczności — reinstalacja systemu. Nie ma tu drogi na skróty przez ręczne grzebanie w tym folderze. To po prostu za mocno zintegrowane z OS-em. Co zrobisz z tym dalej — twoja sprawa.

Najczęstsze pytania

Czy folder Security/Database jest tworzony podczas instalacji Windows?

Tak, folder `C:\Windows\Security\Database` wraz z kluczowymi plikami SAM i SECURITY jest tworzony automatycznie na etapie instalacji systemu Windows i jest niezbędny do jego prawidłowego działania.

Jak sprawdzić integralność bazy danych SAM?

Standardowo Windows sam dba o integralność. W przypadku problemów z logowaniem lub uruchomieniem usług, możesz spróbować skanowania systemu plików narzędziem `sfc /scannow` z wiersza poleceń uruchomionego jako administrator, które może naprawić uszkodzone pliki systemowe.