Технология Mandatory Integrity Control (MIC) (принудительный контроль целостности)

Существуют так называемые Shatter-атаки, целью которых является запуск кода в контексте чужого процесса. Уменьшить возможность использования этой уязвимости возможно оградив процессы с высокими привилегиями от обычных.

Технология MIC разделяет процессы на шесть уровней целостности (Integrity Level) (IL):

· Доверенный инсталлятор. Объекты, имеющие статус доверенного инсталлятора имеют наивысший уровень доверия из возможных и могут вносить изменения в ОС.

· Системный. Объекты, имеющий данный статус, являются общими службами или объектами, которые являются частью ОС. С данным приоритетом, к примеру, запускаются учётные записи локальных или сетевых служб.

· Высокий. Учётная запись администратора запускается с высоким уровнем доверия, впрочем, как и другие учётные записи продвинутых пользователей, таких как оператор архива или оператор шифрования. Практически во всех случаях, когда код запущен с высоким уровнем доверия, он может вносить изменения в ОС.

· Средний. Это обычный уровень для стандартных учётных записей и связанных с ними данных.

· Низкий. Такой статус имеют учётная запись Everyone и временные файлы.

· Недоверенный. Такой статус присваивается анонимной и гостевой учётным записям.

IL представлены идентификаторами безопасности (Security Identification Number) (SID), которые представляют также пользователей и группы, уровень которых закодирован в относительном идентификаторе (Relative Identification Number) (RID) идентификатора SID.

Уровни целостности конфигурируются с помощью Label политик уровней целостности и политик уровней целостности маркеров доступа. Первые определяются в Label ACE и определяют как ограничивается доступ к объекту, вторые определяют как Label политики уровней целостности применяются к субъекту, представленному маркером доступа.

Уровень целостности маркера доступа, т.е. субъекта, который им представлен, определяется исходя из того, к какой группе принадлежит пользователь:

· LocalSystem, LocalService, NetworkService ¾ System;

· Administrators, Backup Operators, Network Configuration Operators, Cryptographic Operators ¾ High;

· Authenticated Users ¾ Medium;

· Everyone (World) ¾ Low;

· Anonymous ¾ Untrusted.

Уровень целостности объекта представляет Access Control Entry (ACE) нового типа, представленного в ОС Windows Vista, — Label ACE, в списке управления системным доступом (System Access Control List) (SACL) дескриптора безопасности объекта. SID в Label ACE соответствует IL объекта, а с помощью флагов ACE кодируется политика целостности объекта, это показано на рис. 8.4. Чтобы процесс мог изменить IL объекта, он должен иметь доступ "Смена владельца" (WRITE_OWNER) к объекту и IL, равный или более высокий, чем у объекта. При этом процесс может установить IL, только равный его собственному IL или ниже. Привилегия "Изменение метки объекта" (SeReLabelPrivilege) дает процессу возможность изменить IL любого объекта, к которому процесс имеет доступ, и даже установить IL выше собственного IL процесса. Однако по умолчанию эта привилегия не назначается никакой учетной записи.

Большинство объектов не имеет явного IL (обязательно IL должны иметь процессы (как объекты), потоки, маркеры доступа и задачи), поэтому к ним по умолчанию применяется средний (Medium) уровень целостности. Уровень IL, отличный от среднего, могут иметь объекты, создаваемые процессом, работающим с низким (Low) IL или исполняемый файл которых имеет низкий уровень целостности.

Рис. 8.4. Label ACE в SACL объекта.

Поиск по сайту: