Povinné řízení integrity

Povinné řízení integrity (MIC) poskytuje mechanismus pro řízení přístupu k zabezpečitelným objektům. Tento mechanismus je kromě volitelného řízení přístupu a vyhodnocuje přístup před kontrolami přístupu u volitelného seznamu řízení přístupu (DACL) objektu.

Mic používá úrovně integrity a povinné zásady k vyhodnocení přístupu. objekty zabezpečení a zabezpečitelné objekty jsou přiřazeny úrovně integrity, které určují jejich úrovně ochrany nebo přístupu. Například objekt s nízkou úrovní integrity nemůže zapisovat do objektu se střední úrovní integrity, i když daCL objektu umožňuje přístup k zápisu k objektu.

Systém Windows definuje čtyři úrovně integrity: nízká, střední, vysoká a systém. Standardní uživatelé dostávají střední, zvýšenou úroveň uživatelů se zvýšenou úrovní. Procesy, které spustíte, a objekty, které vytvoříte, obdrží úroveň integrity (střední nebo vysoké) nebo nízké, pokud je úroveň spustitelného souboru nízká; systémové služby přijímají integritu systému. Objekty, které nemají popisek integrity, jsou považovány za médium operačního systému; tím zabráníte úpravám neoznačeného objektu kód s nízkou integritou. Systém Windows navíc zajišťuje, aby procesy spuštěné s nízkou úrovní integrity nemohly získat přístup k procesu, který je přidružený ke kontejneru aplikace.

Popisky integrity

Popisky integrity určují úrovně integrity zabezpečitelných objektů a objektů zabezpečení. Popisky integrity jsou reprezentovány identifikátory SID integrity . Identifikátor SID integrity zabezpečitelného objektu je uložen v jeho seznamu řízení přístupu systému (SACL). SACL obsahuje SYSTEM_MANDATORY_LABEL_ACEpoložku řízení přístupu (ACE), která zase obsahuje identifikátor SID integrity. Všechny objekty bez identifikátoru SID integrity se považují za střední integritu.

Identifikátor SID integrity objektu zabezpečení je uložený v jeho přístupovém tokenu. Přístupový token může obsahovat jeden nebo více identifikátorů SID integrity.

Podrobné informace o definovaných identifikátorech SID integrity naleznete v tématu známé identifikátory SID.

Vytvoření procesu

Když se uživatel pokusí spustit spustitelný soubor, vytvoří se nový proces s minimální úrovní integrity uživatele a úrovní integrity souboru. To znamená, že nový proces se nikdy nespustí s vyšší integritou než spustitelný soubor. Pokud uživatel správce spustí program s nízkou integritou, token pro nové funkce procesu s nízkou úrovní integrity. To pomáhá chránit uživatele, který spustí nedůvěryhodný kód před škodlivými činy prováděnými tímto kódem. Uživatelská data, která jsou na typické úrovni integrity uživatelů, jsou chráněna proti tomuto novému procesu proti zápisu.

Povinné zásady

SYSTEM_MANDATORY_LABEL_ACE ACE v SACL zabezpečitelného objektu obsahuje masku přístupu, která určuje přístup, který objekty zabezpečení s úrovněmi integrity nižší než objekt jsou uděleny. Hodnoty definované pro tuto masku přístupu jsou SYSTEM_MANDATORY_LABEL_NO_WRITE_UP, SYSTEM_MANDATORY_LABEL_NO_READ_UPa SYSTEM_MANDATORY_LABEL_NO_EXECUTE_UP. Ve výchozím nastavení systém vytvoří každý objekt s maskou přístupu SYSTEM_MANDATORY_LABEL_NO_WRITE_UP.

Každý přístupový token také určuje povinné zásady nastavené místní autoritou zabezpečení (LSA) při vytváření tokenu. Tato zásada je určena TOKEN_MANDATORY_POLICY strukturou přidruženou k tokenu. Tuto strukturu lze dotazovat voláním funkce GetTokenInformation s hodnotou parametru TokenInformationClass nastavenou na TokenMandatoryPolicy.