Эта статья описывает возможности системы Windows Integrity Control (WIC), впервые представленной в Windows Vista, рассказывает о том, как защищаются объекты (типа папок и файлов), о разных уровнях защиты, об управлении WIC при помощи утилиты ICACLS.

Целостность системы - кому ты можешь доверять?

При создании последней версии операционной системы компании, Windows Vista, разработчики из Microsoft пытались сконструировать самую защищенную ОС из семейства Windows. Одна из функций, помогающая обезопасить ОС - Windows Integrity Control (WIC).

Предназначение WIC - защита объектов, таких как файлы, принтеры, именованные каналы, записи реестра и т.д., от атак, вредоносного софта и даже непреднамеренных ошибок пользователя. Концепция WIC основана на определении доверительных, надежных отношений между объектами и контролировании взаимодействия между ними на основе их уровня доверия.

Уровни WIC являются обязательными и стоят над назначаемыми правами контроля, такими как, например, права NTFS на файлы и папки, которые нам все прекрасно знакомы. Главная цель системы контроля - убедиться в том, что только объекты с уровнем, равным или большим, чем у объекта, могут взаимодействовать с ним. В сущности, если объекту доверяют в меньшей степени, то ему запрещено взаимодействие с объектами более высокого ранга.

Опять же, разрешения WIC стоят над нормальными разрешениями. Это означает, что даже в том случае, если файл или процесс имеет полный контроль над другим объектом, но его уровень меньше, чем у того, с кем он пытается взаимодействовать, то WIC переопределит разрешения и в доступе будет отказано.

Определение надежности при помощи WIC

Для наблюдения за взаимодействием между объектами, Windows в первую очередь определит надежность, или уровень целостности (integrity lev), каждого объекта. WIC назначает один из шести уровней для каждого объекта операционной системы:

• Untrusted - анонимные процессы автоматически попадают в эту категорию.
• Low - стандартный уровень при работе с Интернетом. Если IE запущен в Protected Mode, все файлы и процессы, ассоциированные с ним, назначаются в эту категорию. Некоторые папки, такие как, например, Temporary Internet Folder, также по умолчанию наделяются Низким уровнем доверия.
• Medium - в данном контексте работает большинство объектов. Стандартные пользователи получают Средний уровень и все объекты, специально не назначенные в другие группы, получают его по умолчанию.
• High - получают Администраторы. Это сделано специально для того, чтобы они не только могли взаимодействовать и изменять объекты низших уровней доверия, но и работать с другими объектами Высокого уровня, чего стандартные пользователи делать не могут.
• System - очевидно, что такой уровень зарезервирован за системой. Ядро Windows и его сервисы получают Системный уровень. Очевидно, что такой класс программ не дает себя изменять даже Администраторам с Высоким уровнем разрешения.
• Installer - высший уровень целостности, определяемый WIC. Его объекты могут удалять, деинсталлировать файлы всех предыдущих уровней.

С точки зрения влияния на безопасность Windows Vista, эти уровни безопасности защищают объекты высшего уровня от умышленного или непреднамеренного изменения или удаления менее важными объектами. Установив Средний уровень надежности в качестве значения по умолчанию для стандартных пользователей и для всех объектов, Vista защищает важнейшие компоненты компьютера от влияния угроз Интернета, которые (как мы уже сказали) по умолчанию получают малый доступ.

По аналогии, Администраторы более опытны, чем пользователи, и потому действуют на Высоком уровне доверия, а ядро операционной системы и ключевые сервисы работают с уровнем System, что дает уверенность в том, что даже взломанный аккаунт Администратора не сможет повлиять на ядро.

В целом, уровни управления WIC очень похожи на разрешения NTFS. Главное отличие состоит в том, что права NTFS раздаются человеком, они назначаются, а уровни WIC - обязательны. Проще говоря, права доступа на папки и файлы назначаются их владельцем или администратором, в то время как интегративные уровни WIC назначаются и определяются операционной системой.

Хотя верхние четыре уровня доверия мало чем отличаются и практической пользы приносят мало, главная функциональная нагрузка WIC лежит в различии между уровнями Low и Medium. Получение обязательного контроля от операционной системы, а не упование только на решения пользователей или администраторов, обычно обеспечивает большую безопасность на всех уровнях.

Защита Vista от угроз из Интернета

В то время как стандартные пользователи работают на Среднем уровне, а администраторы на Высоком, WIC подразумевает, что Internet и ассоциированные с ним файлы и процессы полностью враждебны, доверять им нельзя и потому они получают Низкий уровень доверия.

Когда пользователь получает письмо с линком, который ведет на враждебный сайт, и кликает на него, сайт может попытаться установить ту или иную разновидность вредоносного софта. Malware обычно копирует себя в некоторое место на жестком диске и изменяет записи реестра для своего существования после перезагрузки. Программа также может попытаться изменить или удалить другие файлы или начать исполнение других процессов для продолжения своей вредоносной деятельности.