Share

|

Le versioni più iniziali di Windows assegnano l'accesso largo ai servizi system-level che funzionano sul calcolatore. Molti del funzionamento di questi servizi sotto il cliente di LocalSystem, dove tutta la frattura potrebbe:

• Accesso largo del Grant ai dati sul calcolatore.

• Permetta che i programmi cattivi modifichino la configurazione di sistema.

• Apra il calcolatore ad altri tipi di attacchi.

Windows Vista usa il servizio di Windows che si indurisce per assicurare uno strato supplementare di protezione in moda da non potere compromettere i servizi. A seguito del principio di sicurezza di difesa-in-profondità, indurimento di servizio di Windows:

• Limita i servizi critici di Windows dall'effettuazione delle attività anormali che interessano il sistema di lima, la registrazione, la rete, o altre risorse che potrebbero essere usate per permettere che il software cattivo si installi o attacchi altri calcolatori. I servizi possono essere limitati dalla sostituzione delle lime di sistema o dalla modificazione della registrazione. I privilegi inutili di Windows, quale la capacità di realizzare mettere a punto, inoltre sono stati rimossi su una base di per-servizio.

• Limita il numero di servizi che sono correnti ed operativi per difetto ridurre la superficie generale di attacco in Windows. Alcuni servizi ora sono configurati per cominciare manualmente come stato necessario piuttosto che automaticamente quando il sistema operativo comincia.

• Limita il livello di privilegio degli assistenti limitando il numero di servizi che funzionano in

Cliente di LocalSystem. Alcuni servizi che precedentemente ora hanno funzionato nel cliente di LocalSystem funzionano in un cliente meno privilegiato, quale il cliente locale di servizio di rete o di servizio. Ciò riduce il livello generale di privilegio del servizio, che è simile ai benefici derivati da controllo di cliente dell'utente (UAC).

L'indurimento di servizio di Windows introduce le caratteristiche interamente nuove, che sono usate dai servizi di Windows anche. Come i clienti dell'utente, ogni servizio ha un contrassegno di sicurezza che è usato per controllare i permessi di sicurezza assegnati al servizio. i contrassegni di sicurezza di Per-servizio (SIDs) permettono l'identità di per-servizio. l'identità di Per-servizio, a sua volta, permette il controllo di accesso che divide attraverso il modello attuale di controllo di accesso di Windows, riguardando tutti gli oggetti ed i responsabili delle risorse che usano le liste di controllo di accesso (ACLs). I servizi possono ora applicare ACLs esplicito alle risorse che sono riservate al servizio e questa impedisce altri servizi così come l'utente l'accesso a delle quelle risorse.

Tutti i servizi ora hanno segno scriv-limitato di accesso. Un segno scriv-limitato di accesso può essere usato nei casi in cui l'insieme degli oggetti scritti dal servizio è limitato e può essere configurato. Scriva i tentativi alle risorse a cui il servizio non è stato assegnato il venire a mancare esplicito di accesso. Più ulteriormente, a servizi sono assegnati una politica della parete refrattaria di rete per impedire l'accesso di rete fuori dei limiti normali del programma di servizio. La politica della parete refrattaria è collegata direttamente al per-servizio SID.

Mentre l'indurimento di servizio di Windows non può impedire un servizio vulnerabile compromettersi, va un senso lungo verso limitare quanti danni un attacker può fare nell'evento che improbabile il attacker può identificare e sfruttare un servizio vulnerabile. Una volta uniti con altri componenti di Windows Vista ed altre strategie di difesa-in-profondità, quali la parete refrattaria di Windows e la protezione di Windows, i calcolatori che fanno funzionare Windows Vista hanno molto più protezione che i calcolatori che fanno funzionare le versioni più iniziali di Windows.