Windows Resource Protection

(слайд №12)

Windows Resource Protection (WRP) - технология, используемая в ОС Windows Vista взамен Windows File Protection. Она защищает ключи реестра и папки, наряду с критически важными системными файлами. Методы, используемые этой технологией для защиты ресурсов, заметно отличаются от аналогичных приёмов Windows File Protection.

Windows File Protection работала путём регистрации изменений файлов в Winlogon. Если защищённый системный файл подвергался изменениям, он восстанавливался из папки %WinDir%System32dllcache. Windows Resource Protection работает, устанавливая дискретные списки доступа (DACLs) и ACL для защищаемых объектов. Разрешение на чтение-запись WRP-защищённых объектов допускается лишь процессам, использующим службу Windows Modules Installer (TrustedInstaller.exe). Теперь даже у администраторов нет прав полного доступа к системным файлам.

WRP также защищает некоторые важные каталоги. Папка, содержащая только WRP-защищённые файлы, может быть заблокирована таким образом, что создание в ней файлов или подкаталогов разрешено лишь доверенному процессу. Возможна частичная блокировка, которую могут обойти администраторы. Важнейшие ключи реестра также защищаются; все его под-ключи и значения нельзя изменить. К тому же, WRP копирует в каталог %WinDir%WinSxSBackup только те файлы, что необходимы для перезагрузки системы, а не все, как это делает Windows File Protection, архивирующая в папку Dllcache содержимое системных каталогов целиком.

Таким образом, Windows Resource Protection применяет более эффективные и гибкие инструменты защиты данных: скажем, для изменения единичного защищённого объекта требуется лишь прописать это в ACL, в то время как Windows File Protection потребовалось бы отключить полностью.

(слайд №13)

На рисунке 12 представлено окно свойства cmd.exe в системе windows xp:

Рисунок 12.

Ниже мы рассмотрим, как файлы операционной системы (vista/7) защищены от модификаций. Перейдем в папку WindowsSystem32, выберем утилиту cmd.exe и при нажатии правой кнопки мыши выберем команду Properties. На вкладке Security убедимся в том, что полный доступ к утилите не имеют ни учетная запись System, ни запись Administrator (рис. 13).

Рис. 13. Контроль доступа к системному ресурсу

Теперь попробуем удалить утилиту cmd.exe — после подтверждения (кнопка Yes), диалоговой панели File Access Denied (кнопка Continue) и диалоговой панели User Account Control (кнопка Continue) мы получим сообщение о том, что данный файл удалить невозможно.

Как мы уже указали, только Trusted Installers могут модифицировать защищенные компоненты операционной системы (рис. 14).

Рис. 14. Windows Resource Protection в действии

Дата добавления: 2014-01-20