Ошибка: Failed to parse the Currency Converter XML document.
$27 243.24


Ошибка: Failed to parse the Currency Converter XML document.
$16 887.23


Ошибка: Failed to parse the Currency Converter XML document.
$2 320.12


10 фактов, которые нужно знать о механизме усиления служб системы Windows Vista

Технология усиления служб (service hardening) — один из множества новейших механизмов обеспечения безопасности Windows Vista и нового поколения серверов Windows, известных как Longhorn Server. Поскольку не всегда возникает желание или возможность отключать системные службы, содержащие уязвимости, которыми пользуются хакеры для своих атак, в новые операционные системы были добавлены функции, затрудняющие вредоносные действия служебных эксплойтов. Вот несколько фактов, которые полезно знать о механизме усиления служб.

Диспетчер SCM осуществляет управление службами

Системными службами Windows и всеми их параметрами управляет диспетчер Service Control Manager (SCM), в базе данных которого хранится информация обо всех установленных службах. Обычно службы запускаются одновременно с загрузкой Windows и продолжают работать на протяжении всего сеанса, что очень удобно и привлекательно для хакеров.


Чем выше привилегии, тем сильнее уязвимость

В предыдущих версиях ОС Windows большинство служб работали от имени учётной записи LocalSystem, имеющей высокий уровень полномочий. Таким образом, при возникновении любой прорехи в работе какой-либо службы, хакеры имели возможность нанести существенный ущерб, поскольку получали практически неограниченный доступ к ресурсам системы.


Vista и Longhorn Server ограничивают привилегии служб

В операционных системах Vista и Longhorn большинство служб, работавших ранее под LocalSystem, теперь запускаются от учётных записей NetworkService или LocalService, имеющих сравнительно низкие привилегии. Следовательно, ограничиваются и полномочия служб. Все виды привилегий, не нужные той или иной службе, автоматически отключаются, что сужает простор для действий злоумышленников.

Vista защищает службы, используя технику «изоляции»

Одним из приёмов этой техники является изоляция Сессии 0, способствующая предотвращению работы пользовательских приложений в этой сессии (первой сессии, создаваемой при запуске Windows). Теперь в ней могут работать только службы и приложения, не связанные с пользовательской сессией. Это помогает защитить службы от действий других приложений.

Каждой службе Vista присваивает уникальный идентификатор защиты (SID)

Наличие у каждой службы уникального защитного идентификатора помогает отделить службы друг от друга и ограничить их доступ к ресурсам при помощи модели системы управления доступом Windows по тому же методу, который используется для разделения доступа пользователей и групп.

Списки контроля доступа (ACL) Vista могут работать и со службами

Список контроля доступа ACL — это набор записей контроля доступа (ACE). Каждый сетевой ресурс имеет дескриптор защиты, содержащий присвоенные данному ресурсу списки ACL. Полномочия доступа к тому или иному ресурсу прописаны в таком списке.

Vista позволяет применять политику брандмауэра к работе служб

Эта политика неразрывно связанна с использованием защитных идентификаторов SID и позволяет определять вид доступа службы к сети, а также запрещать несвойственные службам процессы, как, например, отправление исходящего сетевого трафика. Брандмауэр Vista Firewall является частью механизма усиления служб.

Функции отдельных служб могут быть ограничены таким образом, чтобы они не могли изменять параметры реестра, содержимое системных файлов и т.д.

Чтобы службы могли выполнять свои прямые функции должным образом, эти функции следует ограничить. Тогда службы смогут изменять только определённые разделы реестра или файловой системы, либо вообще отстраненны от внесения каких-либо изменений в конфигурацию системы и прочих действий, которыми могут воспользоваться хакеры.

Для каждой службы создаётся свой профиль SH (service hardening)

В этом профиле содержится информация о том, что позволено и что запрещено делать данной службе. На основе этой информации диспетчер SCM наделяет службу соответствующими привилегиями. Эта технология абсолютно прозрачна и не требует дополнительных настроек и действий со стороны администратора.

Усиление служб не гарантирует защиту от атак

Брандмауэр Windows Firewall и другие механизмы защиты созданы для предупреждения сетевых атак. Главной целью технологии усиления служб является сокращение последствий взлома какой-либо службы. Это один из внутренних механизмов многоуровневой стратегии безопасности системы Vista.

Автор: Деб Шиндер, MCSE, MVP

 

Интересное

Java-приложение: заглянем...
Чтобы отладить приложение, можно поступить по-разному. Во-первых, можно воспользоваться штатным отладчиком из какого-либо программного пакета. Во-вторых, можно самостоятельно вычислить ошибку...
Подробнее...
Введение в технологию SSI
Если вы первый раз слышите о SSI — Server Side Includes, то эта статья как раз для вас. Я не претендую на подробное изложение материала — для этого есть специальная литература.Так вот, на...
Подробнее...
Многоязычность в РНР
Что же я имел ввиду, говоря о мультиязычности. Ну, наверняка каждый из моих достопочтенных читателей не раз видели крутые порталы и между всем сбродом информации находили две маленькие иконки,...
Подробнее...
Чем плохи новые видеокамеры
Обычно от того, что пленочные кассеты становятся достоянием истории, потребитель только выигрывает. Так было, к примеру, когда DVD-плееры пришли на смену кассетным видеомагнитофонам. Но с...
Подробнее...
FAQ по разделу CGI интерфейс
Как мне сделать аутентификацию на Перле, а не средствами веб-сервера?:Для того, чтобы браузер выдал запрос логина и пароля, скрипт должен выдать следующие заголовки: print «WWW-Authenticate:...
Подробнее...
100 компьютерных фактов
Когда я был мелким карапузом, я любил читать все подряд. Особенный интерес у меня вызывали книжки из серии «Хочу все знать», так как я мечтал стать межгалактическим диктатором, а для этого...
Подробнее...
Полезные возможности...
Утилита Windows XP «Восстановление системы» (System Restore) позволяет возвращать последнюю удачную конфигурацию системы в случае возникновения различных проблем. Для этого утилита постоянно...
Подробнее...
ПО WWW БЕЗ СЛЕДОВ
Путешествуя по Интернету, мы не часто задумываемся о том, что оставляем следы своих посещений каждый раз, когда заходим на какой-либо сайт. Пожалуй, об этом и не стоило бы беспокоиться, если бы не...
Подробнее...
Проектирование...
Информационная среда WWW базируется на технологии гипертекста, в основе которой лежит концепция связывания документов с помощью ссылок. Именно ссылки объединили Интернет в единое пространство, дав...
Подробнее...
Привлекательные сайты...
Все эти проблемы имеют одно и то же решение – КОНТЕНТ. Контент, имеющий прямое отношение к теме сайта и обновляется регулярно, делает сайт «привлекательным». Привлекательные сайты оправдывают свое...
Подробнее...