Служба захисту користувачів у windows 7

Більшість проблем, пов`язаних з безпекою в останніх версіях Windows були викликані однією головною причиною: більшість користувачів запускали Windows, володіючи правами адміністратора. Адміністратори можуть робити все що завгодно з комп`ютером, що працює під управлінням Windows: інсталювати програми, додавати пристрої, оновлювати драйвера, інсталювати оновлення, змінювати параметри реєстру, запускати службові програми, а також створювати і модифікувати облікові записи користувачів. Незважаючи на те, що це дуже зручно, наявність цих прав призводить до виникнення величезної проблеми: будь-яка шпигунська програма, що впровадили в систему, теж зможе працювати, маючи права адміністратора, і, таким чином, може завдати величезної шкоди, як самому комп`ютера, так і всьому, що до нього підключено.

У Windows XP цю проблему намагалися вирішити шляхом створення другого рівня облікових записів, званих обмеженими користувачами, які володіли тільки самими необхідними дозволами, але мали ряд недоліків. У Windows Vista знову спробували усунути цю проблему. Це рішення називається «Служба захисту користувачів», в основі якого був закладений принцип найменш привілейованого користувача.

Ідея полягає в тому, щоб створити рівень облікового запису, який би мав прав не більше, ніж йому було потрібно. Під такими обліковими записами неможливо вносити зміни в реєстр і виконувати інші адміністративні завдання. Служба захисту користувачів використовується для повідомлення користувача перед внесенням змін, які потребують прав адміністратора.

З появою UAC модель управління доступом змінилася таким чином, щоб можна було допомогти пом`якшити наслідки вносяться шкідливими програмами. Коли користувач намагається запустити певні компоненти системи або служби, з`являється діалог контролю обліковими записами, який дає користувачеві право вибору: чи продовжувати дію для отримання адміністративних привілеїв чи ні. Якщо користувач не володіє правами адміністратора, то він повинен у відповідному діалозі надати дані облікового запису адміністратора для запуску необхідної йому програми.

Для застосування установок UAC вимагає тільки схвалення адміністратора, в зв`язку з цим несанкціоновані програми не зможуть встановлюватися без явного згоди адміністратора. У цій статті докладно розписаний принцип роботи «Контролю облікових записів користувачів» в операційній системі Windows 7

У порівнянні з Windows Vista і Windows Server 2008 в операційних системах Windows 7 і Windows Server 2008 R2 з`явилися такі поліпшення в функціоналі контролю облікових записів користувачів:

• Збільшилася кількість завдань, які може виконувати звичайний користувач без запиту підтвердження адміністратором;
• Користувачеві з правами адміністратора дозволяється налаштовувати рівень UAC з «Панелі Управління»;
• Існують додаткові налаштування локальної політики безпеки, які дозволяють локальним адміністраторам змінювати поведінку повідомлень UAC для локальних адміністраторів в режимі адміністративного;
• Існують додаткові налаштування локальної політики безпеки, які дозволяють локальним адміністраторам змінювати поведінку повідомлень UAC для звичайних користувачів.

Більшості користувачів не потрібен настільки високий рівень доступу до комп`ютера і операційної системи. Найчастіше користувачі не підозрюють, що вони увійшли в систему як адміністратори, коли вони перевіряють електронну пошту, займаються веб-серфінгом або запускають програмне забезпечення. Шкідлива програма, встановлена адміністратором, може пошкодити систему і впливати на всіх користувачів. У зв`язку з тим, що UAC вимагає схвалення адміністратором застосування установки, несанкціоновані програми не зможуть бути встановленими автоматично без явного згоди адміністратором системи.

У зв`язку з тим, що UAC дозволяє користувачам запускати додатки як звичайні користувачі:

• ІТ-відділи можуть бути впевнені в цілісності їх навколишнього середовища, включаючи системні файли, журнали аудиту, а також налаштування системи;
• Адміністраторам більше не доводиться витрачати багато часу на визначення дозволів для задач на окремих комп`ютерах;
• Адміністраторам надається більш ефективний контроль над ліцензуванням програмного забезпечення, оскільки вони можуть забезпечити установку тільки авторизованих додатків. Їм більше не доведеться турбуватися про можливі загрози їх мереж через неліцензійного або шкідливого програмного забезпечення.

специфікації UAC

Маркер доступу. Маркери доступу містять інформацію безпеки сеансу входу, визначальну користувача, групи користувачів і привілеї. Операційна система використовує маркер доступу для контролю доступу до захищених об`єктів і контролює можливість виконання користувачем різних пов`язаних з системою операцій на локальному комп`ютері. Маркери доступу UAC - це особливий вид маркерів доступу, що визначають мінімальні привілеї, необхідні для роботи - привілеї інтерактивного доступу за замовчуванням для користувача Windows в системі з включеною функцією UAC. Другий маркер, маркер повного доступу адміністратора, має максимальні привілеї, дозволені для облікового запису адміністратора. Коли користувач входить в систему, то для цього користувача створюється маркер доступу. Маркер доступу містить інформацію про рівень доступу, який видається користувачеві, в тому числі ідентифікатори безпеки (SID).

Режим схвалення адміністратором. Режим адміністративного підтвердження - це конфігурація управління обліковими записами користувачів, в якій для адміністратора створюється призначений для користувача маркер комбінованого доступу. Коли адміністратор входить в комп`ютер з ОС Windows, йому призначаються два окремих маркера доступу. Якщо режим адміністративного підтвердження не використовується, адміністратор отримує тільки один маркер доступу, що надає йому доступ до всіх ресурсів Windows.

Запит згоди. Запит згоди відображається в тому випадку, коли користувач намагається виконати завдання, яке вимагає права адміністратора. Користувач дає згоду або відмовляється, натискаючи на кнопку «Так» або «Ні».

Запит облікових даних. Запит облікових даних відображається для звичайних користувачів в тому випадку, коли вони намагаються виконати завдання, для якої необхідний доступ адміністратора. Користувач повинен вказати ім`я та пароль облікового запису, яка входить в групу локальних адміністраторів.

Принцип роботи UAC

Служба захисту користувачів (UAC) допомагає запобігати зараженню комп`ютера від шкідливих програм, допомагаючи організаціям більш ефективно розгортати настільні додатки.

З використанням UAC, які програми й завдання завжди запускаються в безпечному області від неадміністраторской облікового запису, якщо адміністратор дає права для адміністративного доступу в системі.

Панель управління UAC дозволяє вибрати один з чотирьох варіантів:

1. Повідомляти при кожній зміні, внесена в систему: така поведінка є в Vista - діалог UAC з`являється щораз, коли користувач намагається внести будь-яка зміна в систему (настройка Windows, установка додатків і т.д.);
2. Повідомляти тільки тоді, коли програми намагаються внести зміни в систему: в цьому випадку повідомлення не з`явиться при внесенні змін до Windows, наприклад, через панель управління і оснащення;
3. Повідомляти тільки тоді, коли програми намагаються внести зміни в систему, без використання безпечного робочого столу: те ж саме, що і пункт 2, за винятком того, що діалог UAC з`являється у вигляді традиційного діалогу, а не в режимі безпечного робочого столу. Незважаючи на те, що це може виявитися зручним в разі використання певних графічних драйверів, що ускладнюють перемикання між робочими столами, цей режим є бар`єром на шляху додатків, що імітують поведінку UAC;
4. Ніколи не повідомляти: це налаштування повністю відключає UAC.

Процес входу в систему в Windows 7

На наступному малюнку показано як відрізняється процес входу в систему адміністратора від стандартного користувача.

Відео: Як відключити контроль облікових записів (uac) в windows

Для забезпечення безпеки, за замовчуванням, доступ до системних ресурсів і додатків, звичайним користувачам і адміністраторам надається в режимі звичайного користувача. Коли користувач входить в систему, то для нього створюється маркер доступу. Маркер доступу містить інформацію про рівень доступу, який задається користувачу, в тому числі і ідентифікатори безпеки (SID).

Коли адміністратор входить в систему, створюється два окремих користувальницьких маркера: маркер доступу стандартного користувача і маркер повного доступу адміністратора. У стандартному призначеному для користувача доступі міститься та ж інформація користувача, що і в маркері повного доступу адміністратора, але без адміністративних привілеїв і SID. Маркер доступу стандартного користувача використовується для запуску додатків, які не виконують адміністративні завдання. Доступ стандартного користувача використовується тільки для відображення робочого столу (explorer.exe). Explorer.exe є батьківським процесом, з-під якого користувач може запускати інші процеси, успадковані своїм маркером доступу. В результаті всі програми запускаються від імені звичайного користувача, крім тих випадків, коли додатки вимагає використання адміністративного доступу.

Користувач, який є членом групи «Адміністратори» може увійти в систему для перегляду веб-сторінок і читати електронні листи при використанні стандартного маркера призначеного для користувача доступу. Коли адміністратор повинен виконати завдання, яке вимагає від нього маркер адміністративного користувача, Windows 7 автоматично покаже повідомлення для використання адміністративних прав. Це повідомлення називається запитом облікових даних, а його поведінка може бути налаштоване за допомогою оснастки локальної політики безпеки (Secpol.msc) або групових політик.

Відео: Як відключити контроль облікових записів (UAC) на Windows 7

Кожна програма, яка вимагає маркер доступу адміністратора має запускатися зі згодою адміністратора. Винятком є взаємозв`язок між батьківським і дочірнім процесами. Дочірні процеси успадковують маркер доступу користувачів з батьківського процесу. Обидва процеси батька і дитини повинні мати однаковий рівень інтеграції.

Windows 7 захищає процеси за допомогою маркування рівнів інтеграції. Рівні інтеграції вимірюються довірою. Додатки з «високою» інтеграцією - це додатки, які виконують завдання, які можуть змінювати системні дані. А додатка з «низькою» інтеграцією - це виконувані завдання, які потенційно можуть завдати шкоди операційній системі. Додатки з більш низьким рівнем інтеграції не можуть змінювати дані в додатках з високим рівнем інтеграції.

Коли звичайний користувач намагається запустити додаток, яке вимагає маркер доступу адміністратора, UAC вимагає користувача надати дані адміністратора.

Призначені для користувача можливості UAC

При включеному UAC, призначені для користувача можливості відрізняються від можливостей адміністратора в режимі адміністративного. Існує ще більш безпечний метод входу в систему Windows 7 - створення основної облікової записи з правами звичайного користувача. Робота в якості звичайного користувача дозволяє максимально підвищити ступінь безпеки. Завдяки вбудованому в UAC компоненту повноважень звичайні користувачі можуть легко виконувати адміністративні завдання шляхом введення даних локального облікового запису адміністратора.

Відео: Відключення контролю облікових записів UAC в Windows 8

Альтернативний варіант запуску додатків звичайним користувачем є запуск додатків з підвищеними правами адміністратора. За допомогою вбудованого в UAC компонента облікових даних, члени локальної групи Адміністратори можуть легко виконувати адміністративні завдання шляхом надання стверджують даних. За замовчуванням, вбудований компонент облікових даних для облікового запису адміністратора в режимі схвалення називається запитом згод. Запит облікових даних UAC може бути налаштований за допомогою оснастки локальної політики безпеки (Secpol.msc) або групових політик.