(0) exportieren Drucken
Alle erweitern
Erweitern Minimieren

Ereignis 1037 - Geschützter Modus

Veröffentlicht: Juni 2010

Letzte Aktualisierung: Juni 2010

Betrifft: Windows 7, Windows Vista

Durch die geschützten Modus wird der Schweregrad von Bedrohungen sowohl für Windows® Internet Explorer® als auch für Erweiterungen, die in Internet Explorer ausgeführt werden, gesenkt. Im geschützten Modus wird verhindert, dass schädlicher Code im Hintergrund über Schwachstellen in der Software installiert werden kann. Der geschützte Modus nutzt die Benutzeroberflächen-Rechteisolierung (User Interface Privilege Isolation, UIPI), um die Interaktion zwischen Internet Explorer und Systemressourcen, die Anwendungen höherer Integrität zugeordnet sind, zu blockieren.

Was ist der geschützte Modus?

Der geschützte Modus stellt eine wichtige Weiterentwicklung der Sicherheit von Internet Explorer dar. Er kann Benutzer vor Angriffen schützen, indem ein Internet Explorer-Prozess mit deutlich eingeschränkten Rechten unter Windows Vista® oder neueren Betriebssystemen ausgeführt wird. Obwohl der geschützte Modus nicht vor allen Arten von Angriffen schützt, reduziert er doch deutlich die Fähigkeit, Daten auf den Computer eines Benutzers zu schreiben, Daten zu ändern oder zu zerstören oder schädlichen Code zu installieren.

Während die meisten Sicherheitsfeatures von Internet Explorer für die Betriebssysteme Windows XP zur Verfügung stehen, ist der geschützte Modus nur unter Windows Vista oder neueren Betriebssystemen verfügbar, da er auf Sicherheitsfeatures basiert, die unter Windows Vista neu eingeführt wurden.

Grundlegende Informationen zur Integrität

Zusätzlich zu den Sicherheitsmechanismen der Zugriffssteuerung werden unter dem Betriebssystem Windows Label für die Integritätsebene für Prozesse und andere sicherungsfähige Objekte verwendet. Über die Integritätsebenen wird definiert, welche netzwerkgestützten Programme höheren Risiken vor Missbrauch ausgesetzt sind, da sie nicht vertrauenswürdige Inhalte aus unbekannten Quellen herunterladen. Durch die Ausführung dieser gefährdeten Programme mit stärker eingeschränkten Berechtigungen oder auf einer niedrigeren Integritätsebene als andere Programme werden das System oder Benutzerdatendateien vor Änderungen oder Beschädigungen durch schädlichen Code geschützt.

Beim geschützten Modus wird der Integritätsmechanimus von Windows Vista für die Ausführung des Internet Explorer-Prozesses auf niedriger Integritätsebene eingesetzt. Die wichtigsten Features des Integritätsmechanismus lauten wie folgt:

  • Sicherungsfähige Objekte, wie Dateien und Registrierungsschlüssel, verfügen über Sicherheitsbeschreibungen, die die Integritätsebene oder die Berechtigungsebene für den Schreibzugriff auf das Objekt definieren. Diese Integritätsebene wird durch einen neuen obligatorischen Zugriffssteuerungseintrag (Access Control Entry, ACE) in der Systemzugriff-Steuerungsliste (System Access-Control List, SACL) definiert, der als verbindliches Label bezeichnet wird. Objekte ohne verbindliche Label weisen implizit die mittlere Standardintegritätsebene auf.

  • Die Integritätsebene von Prozessen ist im Sicherheitszugriffstoken definiert. Im geschützten Modus weist Internet Explorer eine niedrige Integritätsebene auf; Anwendungen, die über das Startmenü gestartet werden, weisen eine mittlere Integritätsebene auf, und Anwendungen, die Administratorrechte erfordern, werden auf einer hohen Integritätsebene ausgeführt.

  • Prozesse niedriger Integrität können keinen Schreibzugriff auf Objekte auf einer höheren Integritätsebene erlangen, selbst wenn die SID des Benutzers über Schreibzugriff in der freigegebenen Zugriffssteuerungsliste (Discretionary Access Control List, DACL) verfügt. Unter dem Betriebssystem Windows wird vor der Überprüfung der Benutzerzugriffsberechtigungen zuerst die Integritätsebene überprüft.

Alle Dateien und Registrierungsschlüssel des Betriebssystems Windows nach Windows Vista weisen standardmäßig die mittlere Integritätsebene auf. Ein Prozess niedriger Integrität, wie z. B. Internet Explorer im geschützten Modus, erhält beim Versuch, vorhandene Dateien zu ändern, eine Fehlermeldung vom Typ "Zugriff verweigert".

Bei einigen Ordnern wurde die niedrige Integrität als verbindliches Label festgelegt. Einem Prozess auf niedriger Integritätsebene ist es möglich, Dateien in Ordnern mit niedriger Integrität zu erstellen und zu ändern. Der Ordner Temporary Internet Files enthält beispielsweise einen Ordner mit dem Namen Low, Hierbei handelt es sich um einen Ordner mit niedriger Integrität. Darüber hinaus werden sicherungsfähigen Objekten, Dateien oder sonstigen Objekten, die von Prozessen auf niedriger Integritätsebene erstellt werden, automatisch durch den Integritätsmechanismus verbindliche Label mit niedriger Integrität zugewiesen. Untergeordnete Prozesse, die von einem Prozess mit niedriger Integrität gestartet werden, werden standardmäßig ebenfalls auf niedriger Integritätsebene ausgeführt.

In der folgenden Tabelle sind die unterstützten Integritätszugriffsebenen und die entsprechenden Rechte dargestellt.

 

Integritätszugriffsebene (IL) Systemberechtigungen

Hoch

Administrativ. Es können vom Prozess Dateien im Ordner Programme installiert und in sensible Registrierungsbereiche wie HKEY_LOCAL_MACHINE geschrieben werden.

Mittel

Benutzer. Es können vom Prozess Dateien im Ordner Dokumente des Benutzers erstellt und geschrieben und in benutzerspezifische Bereiche der Registrierung wie HKEY_CURRENT_USER geschrieben werden.

Niedrig

Nicht vertrauenswürdig. Es kann vom Prozess nur in Verzeichnisse mit niedriger Integrität geschrieben werden, wie z. B. in den Ordner Temporary Internet Files\Low oder den Registrierungsschlüssel HKEY_CURRENT_USER\Software\LowRegistry.

Wartung

Benutzer können den geschützten Modus mithilfe des Dialogfelds Internetoptionen in Internet Explorer konfigurieren.

So konfigurieren Sie den geschützten Modus

  1. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit.

  2. Wählen Sie die zutreffende Zone von Webinhalten aus, und aktivieren oder deaktivieren Sie anschließend das Kontrollkästchen Geschützten Modus aktivieren (erfordert Internet Explorer-Neustart).

  3. Vergewissern Sie sich, dass die Änderungen am geschützten Modus erfolgreich waren. Suchen Sie hierzu nach der Meldung Protected Mode: On oder Protected Mode: Off (wird in der Statusleiste von Internet Explorer neben der Webinhaltszone angezeigt).

noteHinweis
Ein Administrator hat die Möglichkeit, den geschützten Modus mithilfe von Gruppenrichtlinien und des Registrierungsschlüssels URLACTION_LOWRIGHTS (0x00002500) URL Action Flags zu konfigurieren. Weitere Informationen finden Sie unter Übersicht über URL-Sicherheitszonen (möglicherweise in englischer Sprache) in MSDN.

Debuggen mithilfe des Internet Explorer-Kompatibilitätstest-Tools

Für das Debuggen von Problemen mit dem geschützten Modus steht Ihnen das Internet Explorer-Kompatibilitätstest-Tool (Internet Explorer Compatibility Test Tool, IECTT) zur Verfügung, das zum Lieferumfang des Anwendungskompatibilitäts-Toolkits (Application Compatibility Toolkit, ACT) gehört. Wird von Internet Explorer oder den Erweiterungen versucht, in sicherungsfähige Objekte im geschützten Modus zu schreiben, wird von IECTT ein Eintrag im Protokoll mit einer Beschreibung des Vorgangs und der Ergebnisse generiert. In der folgenden Liste werden die möglichen Werte in den Protokolleinträgen erläutert:

  1. ModuleName. Der Name der Datei, die den Prozess gestartet hat, bei dem versucht wird, auf sicherungsfähige Objekte zuzugreifen.

  2. VirtualizationAction. Stellt die Ergebnisse der Schreibvorgänge bereit, einschließlich eines der folgenden Werte:

    • InterceptedWrite. Gibt an, dass der Vorgang von der Kompatibilitätsebene abgehört wurde.

    • WriteIgnored. Gibt an, dass der Vorgang vom geschützten Modus ignoriert wurde, da es sich beim versuchten Prozess um einen Broker mit erhöhten Rechten handelt.

    • CreateVirtualCopy. Gibt an, dass eine Kopie des Objekts in einem virtuellen Verzeichnis von der Kompatibilitätsebene erstellt wurde.

    • CreateNew. Gibt an, dass ein neues Objekt in einem neuen Verzeichnis von der Kompatibilitätsebene erstellt wurde.

    • ObjectType. Gibt an, ob es sich beim Objekt um eine Datei- oder Registrierungseinstellung handelt.

  3. APIName. Gibt die Funktion an, die versucht hat, den gekennzeichneten Vorgang auszuführen, wie z. B. CreateFile oder RegOpenKey.

  4. ReqObjectPath. Der Speicherort des Objekts, das vom Vorgang zu ändern versucht wurde. Bei Objekten ohne Dateipfade ist dieser Eintrag leer.

  5. NewObjectPath. Gibt das Objekt an, das vom Vorgang geändert werden sollte, wenn der Schreibvorgang erfolgreich ausgeführt worden wäre.

  6. APIResult. Gibt das zurückgegebene Ergebnis der API-Funktion an, die versucht, den Schreibvorgang auszuführen.

  7. LastError. Der letzte von einer API-Funktion erhaltene Fehler.

Siehe auch

Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.

Community-Beiträge

HINZUFÜGEN
Anzeigen:
© 2014 Microsoft