DCOM: Ограничения компьютера на запуск в синтаксисе SDDL (Security Descriptor Definition Language)
Описаны рекомендации, расположение, значения и соображения безопасности для параметра политики безопасности DCOM: Ограничения компьютера на запуск в синтаксисе SDDL (Security Descriptor Definition Language).
Справка
Этот параметр политики аналогичен параметру DCOM: Ограничения компьютера на доступ в синтаксисе SDDL (Security Descriptor Definition Language) в том отношении, что с его помощью можно определять дополнительные элементы управления, которые отвечают за доступ ко всем приложениям на основе DCOM на устройстве. Однако ACL, которые задаются этим параметром политики, управляют локальными и удаленными запросами на запуск модели COM (а не запросами доступа) на устройстве. Их следует рассматривать как дополнительную проверку доступа, которая выполняется по списку управления доступом (ACL) для всего устройства при запуске сервера на основе модели COM. Если при проверке доступа происходит сбой, то запрос на вызов, активацию или запуск отклоняется. (Эта проверка выполняется в дополнение к проверкам доступа по спискам ACL для сервера.) В действительности она обеспечивает минимальный стандарт авторизации, который должен применяться для запуска всех серверов на основе модели COM. Параметр политики DCOM: Ограничения компьютера на доступ в синтаксисе SDDL (Security Descriptor Definition Language) отличается в этом плане в том, что он обеспечивает минимальную проверку доступа, которая применяется в отношении попыток получить доступ к уже запущенному серверу на основе модели COM.
Такие ACL для всего устройства позволяют переопределить слабые параметры безопасности, заданные приложением с помощью функции CoInitializeSecurity, или параметры безопасности конкретного приложения. Они обеспечивают минимальный стандарт безопасности, который должен применяться независимо от параметров конкретного сервера на основе модели COM. Эти ACL выступают в роли централизованного расположения, где администратор может задать общую политику авторизации, применяемую ко всем серверам на основе модели COM.
Параметр DCOM: ограничения на запуск на компьютере в синтаксисе SDDL позволяет задать ACL двумя способами. Можно ввести дескриптор безопасности в формате SDDL или предоставить пользователям и группам разрешения "Локальный доступ" или "Удаленный доступ" либо отозвать их. Для определения содержимого ACL, который необходимо применить с помощью этого параметра, рекомендуем использовать встроенный пользовательский интерфейс. Параметры ACL, применяемые по умолчанию, зависят от используемой версии Windows.
Возможные значения
Пусто
В локальной политике безопасности удаляется ключ принудительного применения политики. Это значение удаляет политику и задает для нее состояние "Не определено". Чтобы задать пустое значение, следует открыть редактор ACL и очистить список, а затем нажать кнопку "ОК".
User-defined input SDDL-представления пользователей и прав
При указании пользователей или групп, которым предоставляется разрешение, поле дескриптора безопасности заполняется с использованием представления SDDL (Security Descriptor Definition Language) этих групп и прав. Пользователям и группам могут в явной форме предоставляться права "Разрешить" и "Запретить" как на локальный, так и на удаленный доступ.
Расположение
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Локальные политики\Параметры безопасности
Значения по умолчанию
В следующей таблице приведены фактические и действующие значения по умолчанию для этой политики. Значения по умолчанию также указаны на странице свойств политики.
| Тип сервера или объект групповой политики | Значение по умолчанию |
|---|---|
Политика домена по умолчанию |
Пусто |
Политика контроллера домена по умолчанию |
Пусто |
Параметры автономного сервера по умолчанию |
Пусто |
Действующие параметры контроллера домена по умолчанию |
Не определено |
Действующие параметры рядового сервера по умолчанию |
Не определено |
Действующие параметры клиентского компьютера по умолчанию |
Не определено |
Управление политикой
В данном разделе описываются компоненты и средства, доступные для управления этой политикой.
Необходимость перезагрузки
Нет. Изменения этой политики вступают в силу без перезагрузки компьютера после их локального сохранения или распространения через групповую политику.
Групповая политика
Параметры реестра, которые создаются в результате этой политики, имеют приоритет над предыдущими параметрами реестра в этой области. Служба удаленного вызова процедур ((RpcSs) проверяет ограничения компьютера по новым разделам реестра в разделе Policies; эти записи имеют приоритет над существующими разделами реестра в разделе OLE.
Если вам запрещен доступ к активации и запуску приложений DCOM из-за изменений, внесенных в DCOM в этой операционной системе Windows, то для управления активацией и запуском DCOM на устройстве можно использовать этот параметр политики.
С помощью параметра политики DCOM: Ограничения компьютера на запуск в синтаксисе SDDL (Security Descriptor Definition Language) можно указать, какие пользователи и группы могут удаленно и локально запускать и активировать приложения DCOM на устройстве. Это позволяет восстановить возможность управления приложением DCOM для администраторов и указанных пользователей. Для этого откройте параметр политики DCOM: Ограничения компьютера на запуск в синтаксисе SDDL (Security Descriptor Definition Language) и нажмите кнопку Изменение правил безопасности. Укажите группы, которые необходимо включить, и соответствующие разрешения на запуск на устройстве. При этом будет определен параметр и задано соответствующее значение SDDL.
Соображения безопасности
В этом разделе описывается, каким образом злоумышленник может воспользоваться компонентом или его конфигурацией, как применить меры противодействия и каковы возможные негативные последствия реализации этих мер.
Уязвимость
Многие приложения на основе модели COM включают код безопасности (например, вызов функции CoInitializeSecurity), однако они используют слабые параметры, которые не защищают от несанкционированного доступа к процессу. В более ранних версиях Windows нельзя переопределить эти параметры и применить более эффективные меры безопасности, поскольку для этого требуется внести изменения в само приложение. Злоумышленник может пытаться воспользоваться слабой системой безопасности в приложении, выполнив атаку через вызовы модели COM.
Кроме того, инфраструктура модели COM включает службу удаленного вызова процедур (RPCSS) — системную службу, выполняющуюся во время и после запуска компьютера. Она отвечает за активацию COM-объектов и запуск таблицы объектов, а также предоставляет вспомогательные службы для удаленного взаимодействия с DCOM. Эта служба предоставляет интерфейсы RPC, которые можно вызвать удаленно. Поскольку некоторые серверы на основе модели COM разрешают удаленную активацию компонентов без проверки подлинности, эти интерфейсы может вызвать любой пользователь, даже тот, кто не проходил проверку подлинности. В результате RPCSS может атаковать злоумышленник, который использует удаленный компьютер, подлинность которого не проверялась.
Меры противодействия
Для защиты отдельных приложений или служб на основе модели COM установите для этого параметра политики соответствующий список ACL для всего компьютера.
Возможные последствия
Windows использует ACL на основе модели COM по умолчанию, если они установлены. Их изменение может привести к сбоям в работе некоторых приложений или компонентов, которые используют связь DCOM. Если вы используете сервер на основе модели COM и переопределили параметры безопасности по умолчанию, убедитесь, что список ACL включает разрешения на запуск конкретного приложения для соответствующих пользователей. В противном случае необходимо изменить список ACL с разрешениями на запуск для конкретного приложения и указать в нем пользователей с правами активации, чтобы в работе приложений и компонентов Windows, использующих DCOM, не возникали сбои.