Detaljan opis znaèajke Data Execution Prevention (DEP) (Spreèavanje izvršavanja podataka) u sustavima Windows XP Service Pack 2, Windows XP Tablet PC Edition 2005 i Windows Server 2003

U ovom se èlanku opisuje znaèajka DEP u sustavima Windows XP SP2 i Microsoft Windows Server 2003 s paketom Service Pack 1 (SP1) te se obraðuju sljedeæe teme:

• Hardverski pojaèan DEP
• Softverski pojaèan DEP
• Prednosti
• Konfiguracija DEP-a na razini cijelog sustava
• Konfiguracija DEP-a po programima

Hardverski pojaèan DEP

Hardverski pojaèan DEP oznaèava sve memorijske lokacije procesa kao neizvršne, osim ako neka od njih eksplicitno ne sadrži izvršni kod. Postoji vrsta napada koja pokušava umetnuti i pokrenuti kod s neizvršnih memorijskih lokacija. DEP pomaže u spreèavanju tih napada tako što ih presreæe i inicira iznimku.

Hardverski pojaèan DEP oslanja se na hardverski procesor da bi oznaèio memoriju atributom koji naznaèava da se iz nje ne bi smio izvršavati kod. DEP funkcionira na temelju virtualnih memorijskih stranica te obièno mijenja neki bit u zapisu tablice stranica (PTE) kako bi oznaèio memorijsku stranicu.

Arhitektura procesora odreðuje naèin na koji se DEP implementira u hardver i na koji oznaèava virtualnu memorijsku stranicu. No procesori koji podržavaju hardverski pojaèan DEP mogu inicirati iznimku samo kada se kod izvršava sa stranice oznaèene odgovarajuæim skupom atributa.

Advanced Micro Devices (AMD) i Intel definiraju i isporuèuju arhitekture kompatibilne sa sustavom Windows koje su istodobno kompatibilne i s DEP-om.

Poèevši od sustava Windows XP SP2, 32-bitna verzija sustava Windows koristi jedno od sljedeæeg:

• Procesorsku znaèajku zaštite stranice zabranom izvršenja (NX) kako ju je definirao AMD.
• Znaèajku bita za onemoguæavanje izvršenja (XD) kako ju je definirao Intel.

Da bi koristio te procesorske znaèajke, procesor mora raditi u naèinu rada Physical Address Extension (PAE) (Proširenje fizièke adrese). Sustav Windows, meðutim, automatski omoguæava PAE radi podrške za DEP. Korisnici ne moraju zasebno omoguæivati PAE uz pomoæ parametra /PAE prilikom pokretanja sustava.

Napomena Buduæi da 64-bitne jezgre prepoznaju Address Windowing Extensions (AWE) (Proširenja adresnih prozora), u 64-bitnim verzijama sustava Windows ne postoji zasebni PAE u jezgrenom naèin rada.
Dodatne informacije o naèinima rada PAE i AWE u sustavu Windows Server 2003 potražite u Microsoftovoj bazi znanja u èlanku pod sljedeæim brojem:

Softverski pojaèan DEP

U sustav Windows XP SP2 ugraðen je dodatni skup sigurnosnih provjera za znaèajku Data Execution Prevention. Te su provjere, poznate pod nazivom softverski pojaèan DEP, osmišljene radi spreèavanja zloæudnog koda koji iskorištava mehanizme rukovanja iznimkama u sustavu Windows. Softverski pojaèan DEP radi na bilo kojem procesoru koji može pokretati sustav Windows XP SP2. Prema zadanim postavkama softverski pojaèan DEP štiti samo ogranièene sistemske binarne datoteke, neovisno od kapaciteta hardverski pojaèanog DEP-a procesora.

Prednosti

Glavna prednost DEP-a jest spreèavanje izvršavanja koda s podatkovnih stranica, kao što su stranice zadanog spremišta, razne stranice stogova i stranice memorijskih podruèja. Kod se obièno ne izvršava sa zadanog spremišta (heap) i stoga (stack). Hardverski pojaèan DEP prepoznaje kod koji se pokreæe s tih lokacija i inicira iznimku kada do izvršenja doðe. Ako se iznimkom ne rukuje, obrada æe se zaustaviti. Izvršavanje koda iz zaštiæene memorije u jezgrenom naèinu rada uzrokuje pogrešku sa zastojem.

DEP može pomoæi u spreèavanju jedne klase sigurnosnih upada. DEP posebno može pomoæi u spreèavanju zloæudnih programa u kojima virus ili neka druga vrsta napadaèa u neki proces umeæe dodatni kod, a zatim pokušava pokrenuti tako umetnuti kod. U sustavu s DEP-om izvršenje umetnutog koda uzrokuje iznimku. Softverski pojaèan DEP može sprijeèiti programe koji iskorištavaju mehanizam za rukovanje iznimkama u sustavu Windows.

Konfiguracija DEP-a na razini cijelog sustava

Konfiguracija DEP-a za cijeli sustav kontrolira se parametrom u datoteci Boot.ini. Ako ste prijavljeni kao administrator, možete jednostavno konfigurirati postavke DEP-a u dijaloškom okviru System (Sustav) u upravljaèkoj ploèi.

Windows podržava èetiri konfiguracije na razini sustava i za hardverski pojaèani i za softverski pojaèani DEP.Hardverski i softverski pojaèani DEP konfiguriraju se na isti naèin. Ako je pravilo za DEP na razini sustava postavljeno na OptIn, i softverski i hardverski pojaèan DEP štitit æe iste jezgrene binarne datoteke i programe sustava Windows. Ako sustav ne može koristiti hardverski pojaèani DEP, jezgrene binarne datoteke i programe sustava Windows štitit æe samo softverski pojaèani DEP.

Slièno tome, ako je pravilo za DEP postavljeno na OptOut, programi izuzeti iz DEP zaštite bit æe izuzeti i iz hardverski i iz softverski pojaèanog DEP-a.

Postavke datoteke Boot.ini jesu sljedeæe:Napomena policy_level (razina pravila) definira se kao AlwaysOn (Uvijek ukljuèeno), AlwaysOff (Uvijek iskljuèeno), OptIn (Ukljuèivanje) ili OptOut (Iskljuèivanje).

Postojeæe /noexecute postavke u datoteci Boot.ini ne mijenjaju se prilikom instalacije sustava Windows XP SP2. One se ne mijenjaju ni ako se slika operacijskog sustava Windows premješta izmeðu raèunala sa ili bez hardverski pojaèane DEP podrške.

Tijekom instaliranja sustava Windows XP SP2 i Windows Server 2003 SP1 ili njihovih novijih verzija, po zadanom je omoguæena razina pravila OptIn, osim u sluèaju da se tijekom nenadzirane instalacije navede neka druga razina pravila. Ako postavka /noexecute=policy_level ne postoji u datoteci Boot.ini za neku od verzija sustava Windows koja podržava DEP, ponašanje je isto kao da je pridodana postavka /noexecute=OptIn.

Ako ste prijavljeni kao administrator, možete ruèno konfigurirati DEP da se prebacuje izmeðu naèela OptIn i OptOut na kartici Data Execution Prevention (Spreèavanje izvršavanja podataka) u prozoru System Properties (Svojstva sustava). Sljedeæi postupak opisuje kako se ruèno konfigurira DEP na raèunalu:

1. Kliknite Start, a zatim Run (Pokreni) te upišite sysdm.cpl i kliknite OK (U redu).
2. Na kartici Advanced (Dodatno) u odjeljku Performance (Performanse), kliknite Settings (Postavke).
3. Na kartici Data Execution Prevention (Spreèavanje izvršavanja podataka) provedite jedan od sljedeæih postupaka:
   • Kliknite Turn on DEP for essential Windows programs and services only (Ukljuèi DEP samo za bitne programe i servise sustava Windows) da biste odabrali pravilo OptIn.
   • Kliknite Turn on DEP for all programs and services except those I select (Ukljuèi DEP za sve programe i servise osim onih koje odaberem) da biste odabrali pravilo OptOut, a zatim kliknite Add (Dodaj) da biste dodali programe s kojima ne želite koristiti DEP.
4. Dvaput kliknite OK (U redu).

IT profesionalci mogu kontrolirati konfiguraciju DEP-a na razini sustava na razlièite naèine. Datoteka Boot.ini može se izravno mijenjati pomoæu mehanizama skriptiranja ili alata Bootcfg.exe ugraðenog u sustav Windows XP SP2.

Da biste konfigurirali DEP da se prebacuje na pravilo AlwaysOn pomoæu datoteke Boot.ini, slijedite ove korake:

1. Kliknite Start, desnom tipkom miša kliknite My Computer (Moje raèunalo), a zatim kliknite Properties (Svojstva).
2. Kliknite karticu Advanced (Dodatno), a zatim kliknite Settings (Postavke) u polju Startup and Recovery (Pokretanje i oporavak).
3. U polju System startup (Pokretanje sustava) kliknite Edit (Uredi). Otvorit æe se datoteka Boot.ini u programu Notepad (Blok za pisanje).
4. U programu Notepad (Blok za pisanje) kliknite Find (Traži) na izborniku Edit (Ureðivanje).
5. U okvir Find what (Traži) upišite /noexecute, a zatim kliknite Find Next (Traži sljedeæe).
6. U okviru Find (Traženje) kliknite Cancel (Odustani).
7. Zamijenite unos policy_level unosom AlwaysOn.
   
   UPOZORENJE Provjerite jeste li toèno upisali tekst. U datoteci Boot.ini sada bi trebalo pisati sljedeæe:
   /noexecute=AlwaysOn
8. U programu Notepad (Blok za pisanje) kliknite Save (Spremi) na izborniku File (Datoteka).
9. Dvaput kliknite OK (U redu).
10. Ponovo pokrenite raèunalo.

Za nenadzirane instalacije sustava Windows XP SP2 ili kasnijih verzija možete koristiti datoteku Unattend.txt da biste unaprijed postavili odreðenu konfiguraciju DEP-a. Za odreðivanje konfiguracije DEP-a na razini sustava možete koristiti stavku OSLoadOptionsVar u odjeljku [Data] datoteke Unattend.txt.

Konfiguracija DEP-a po programima

Radi kompatibilnosti programa možete selektivno onemoguæiti DEP za pojedine 32-bitne programe kada je DEP postavljen na razinu naèela OptOut. Za to se poslužite karticom Data Execution Prevention (Spreèavanje izvršavanja podataka) u prozoru System Properties (Svojstva sustava). Za IT profesionalce sustavu Windows XP SP2 pridodana je nadopuna za probleme programske nekompatibilnosti nazvana DisableNX. DisableNX onemoguæuje znaèajku Data Execution Prevention za program na koji se DisableNX primijeni.

DisableNX se može primijeniti na pojedini program uz pomoæ paketa Application Compatibility Toolkit. Dodatne informacije o kompatibilnosti aplikacija u sustavu Windows potražite pod temom Windows Application Compatibility (Kompatibilnost aplikacija sustava Windows) na ovom Microsoftovu web-mjestu:

Dodatne informacije potražite u èlanku iz Microsoftove baze znanja pod brojem