Podroben opis funkcije prepreèevanja izvajanja podatkov (DEP) v operacijskih sistemih Windows XP s servisnim paketom SP2, Windows XP Tablet PC Edition 2005 in Windows Server 2003

V èlanku je opisana funkcija prepreèevanja izvajanja podatkov (DEP) v operacijskih sistemih Windows XP s servisnim paketom SP2 in Microsoft Windows Server 2003 s servisnim paketom SP1. V njem so opisane naslednje teme:

• Strojno vsiljen DEP
• Programsko vsiljen DEP
• Prednosti
• Konfiguracija funkcije DEP za celoten sistem
• Konfiguracija funkcije DEP po posameznih programih

Strojno vsiljen DEP

Strojno vsiljen DEP v postopku oznaèi vsa mesta v pomnilniku kot neizvedljive, razen èe mesto izrecno vsebuje izvedljivo kodo. Obstaja vrsta napadov, ki poizkuša vstaviti in zagnati kodo z neizvedljivih mest pomnilnika. DEP pomaga prepreèevati te napade tako, da jih prestreže in javi izjemo.

Strojno vsiljen DEP se zanaša na strojno opremo procesorja, da oznaèi pomnilnik z atributom, ki oznaèuje, da se iz tega pomnilnika koda ne sme izvajati. DEP deluje na podlagi navideznih pomnilniških strani. Pomnilniško stran oznaèi tako, da spremeni en bit v vnosu v tabelo strani (PTE).

Arhitektura procesorja doloèa, kako raèunalnik uvede DEP v strojno opremo in kako DEP oznaèuje navidezne pomnilniške strani. Procesorji, ki podpirajo strojno vsiljen DEP, pa lahko javijo izjemo, ko se koda izvaja s strani, ki je oznaèena s primernim naborom atributov.

Advanced Micro Devices (AMD) in Intel sta izdelala in zaèela dobavljati z operacijskim sistemom Windows združljive arhitekture, ki so združljive z DEP-om.

Z operacijskim sistemom Windows XP s servisnim paketom SP2 so 32-bitne razlièice sistema Windows zaèele uporabljati eno od naslednjih funkcij:

• Funkcijo procesorja »no-execute page-protection (NX)« podjetja AMD.
• Funkcijo »Execute Disable Bit (XD)« podjetja Intel.

Èe želite uporabljati te funkcije procesorja, mora procesor delovati v naèinu pripone fiziènega naslova, vendar pa sistem Windows samodejno omogoèi naèin pripone fiziènega naslova, s èimer podpira DEP. Uporabniku tako ni treba posebej omogoèiti naèina pripone fiziènega naslova z zagonskim stikalom /PAE.

Opomba Ker 64-bitna jedra upoštevajo naèin »Address Windowing Extensions« (AWE), v 64-bitnih razlièicah operacijskega sistema Windows ni loèenega jedra pripone fiziènega naslova.
Èe želite veè informacij o naèinih pripone fiziènega naslova in AWE v operacijskem sistemu Windows Server 2003, kliknite naslednjo številko èlanka iz Microsoftove zbirke znanja:

Programsko vsiljen DEP

V operacijskem sistemu Windows XP s servisnim paketom SP2 je dodaten nabor varnostnih preverjanj za prepreèevanje izvajanja podatkov. Ta preverjanja, imenovana programsko vsiljen DEP, blokirajo škodljivo kodo, ki izkorišèa mehanizme za obravanavnje izjem v operacijskem sistemu Windows. Programsko vsiljen DEP deluje v vseh procesorjih, ki delujejo v operacijskem sistemu Windows XP s servisnim paketom SP2. Programsko vsiljen DEP privzeto šèiti le omejene sistemske skupke kode, ne glede na zmožnosti procesorja za strojno vsiljen DEP.

Prednosti

Osnovna prednost DEP-a je v tem, da prepreèuje izvajanje kode s podatkovnih strani, kot so strani privzete kopice, strani raznih skladov in strani zaloge pomnilnika. Po navadi se koda ne izvaja s privzete kopice in s sklada. Strojno vsiljen DEP zazna kodo, ki se izvaja s teh mest, in javi izjemo, ko se izvajanje zaène. Èe izjema ni obravnavana, se postopek ustavi. Izvajanje kode iz zašèitenega pomnilnika v jedrnem naèinu povzroèi zaustavitveno napako.

DEP pomaga blokirati vrsto varnostnih vdorov. Natanèneje, DEP pomaga blokirati škodljive programe, v katere virus ali kakšna druga vrsta napada vstavi postopek z dodatno kodo, nato pa poskuša izvajati vstavljeno kodo. V sistemu, ki uporablja DEP, izvajanje vstavljene kode povzroèi izjemo. Programsko vsiljen DEP pomaga blokirati programe, ki izkorišèajo mehanizme za obravnavanje izjem v operacijskem sistemu Windows.

Konfiguracija funkcije DEP za celoten sistem

Konfiguracijo funkcije DEP za sistem nadzirate s stikali v datoteki Boot.ini. Èe ste prijavljeni kot skrbnik sistema, lahko na nadzorni plošèi v pogovornem oknu System (Sistem) preprosto konfigurirate nastavitve funkcije DEP.

Windows podpira štiri konfiguracije za celoten sistem, tako za strojno kot tudi za programsko vsiljen DEP.Strojno vsiljen in programsko vsiljen DEP konfigurirate na enak naèin. Èe je pravilnik funkcije DEP za celoten sistem nastavljen na »OptIn«, so tako jedro kot programi operacijskega sistema Windows zašèiteni tako s strojno vsiljenim kot tudi s programsko vsiljenim DEP-om. Èe sistem ne more uporabljati strojno vsiljenega DEP-a, bodo jedro in programi zašèiteni le s programsko vsiljenim DEP-om.

Èe pa je pravilnik za DEP za celoten sistem nastavljen na »OptOut«, bo za programe, ki so izkljuèeni iz zašèite DEP, izkljuèen tako strojno kot tudi programsko vsiljen DEP.

Nastavitve v datoteki Boot.ini so naslednje:Opombaraven_pravilnika se doloèi kot AlwaysOn, AlwaysOff, OptIn ali OptOut.

Z namestitvijo operacijskega sistema Windows XP s servisnim paketom SP2 se obstojeèe nastavitve /noexecute v datoteki Boot.ini ne spremenijo. Te nastavitve se prav tako ne spremenijo, èe se slika operacijskega sistema Windows prenaša med raèunalniki, ki imajo oziroma nimajo podpore za strojno vsiljen DEP.

Med namestitvijo operacijskega sistema Windows XP s servisnim paketom SP2 in in Windows Server 2003 s servisnim paketom SP1 ali novejših razlièic je raven pravilnika »OptIn« privzeto omogoèena, razen èe je v nespremljani namestitvi doloèena druga raven pravilnika. Èe v datoteki Boot.ini ni nastavitve /noexecute=raven_pravilnika za razlièico operacijskega sistema Windows, ki podpira DEP, se sistem vede tako, kot da bi bila vnesena nastavitev /noexecute=OptIn.

Èe ste prijavljeni kot skrbnik sistema, lahko v oknu System properties (Sistemske lastnosti) na kartici Data Excecution prevention (Prepreèevanje izvajanja podatkov) konfiguracijo funkcije DEP roèno preklapljate med pravilnikoma »OptIn« in »OptOut«. Roèna konfiguracija DEP-a v raèunalniku je opisana v naslednjem postopku:

1. Kliknite Start, Run (Zaženi), vnesite sysdm.cpl in kliknite OK (V redu).
2. Na kartici Advanced (Dodatno), v razdelku Performance (Uèinkovitost delovanja) kliknite Settings (Nastavitve).
3. Na kartici Data Execution Prevention (Prepreèevanje izvajanja podatkov DEP) uporabite enega od naslednjih postopkov:
   • Èe želite izbrati pravilnik »OptIn«, kliknite Turn on DEP for essential Windows programs and services only (Vkljuèi DEP samo za bistvene programe in storitve sistema Windows).
   • Èe želite izbrati pravilnik »OptOut«, kliknite Turn on DEP for all programs and services except those I select (Vkljuèi DEP za vse programe in storitve razen tistih, ki jih izberem) in nato Add (Dodaj), èe želite dodati programe, za katere ne želite uporabljati funkcije DEP.
4. Dvakrat kliknite OK (V redu).

Raèunalniški strokovnjaki lahko nadzirajo konfiguracijo funkcije DEP v celotnem sistemu na veè naèinov. Datoteko Boot.ini lahko spreminjajo neposredno z mehanizmi za skriptno izvajanje ali z orodjem Bootcfg.exe, ki je vkljuèeno v servisni paket SP2 za Windows XP.

Èe želite konfigurirati funkciijo DEP tako, da bo z datoteko Boot.ini preklopila na pravilnik »AlwaysOn«, sledite tem korakom:

1. Kliknite Start, z desno tipko miške kliknite Moj raèunalnik in nato kliknite Lastnosti.
2. Kliknite jezièek Advanced (Dodatno) in nato v polju Startup and Recovery (Zagon in obnovitev) kliknite Settings (Nastavitve).
3. V polju System startup (Zagon sistema) kliknite Edit (Uredi). Datoteka Boot.ini odpre Beležnico.
4. V Beležnici v meniju Edit (Urejanje) kliknite Find (Najdi).
5. V polje Find what (Najdi) vnesite /noexecute in kliknite Find next (Nadaljuj iskanje).
6. V pogovornem oknu Find (Iskanje) kliknite Cancel (Preklièi).
7. Zamenjajte raven_pravilnika z AlwaysOn.
   
   OPOZORILO Preprièajte se, ali ste besedilo vnesli pravilno. Datoteka Boot.ini bi morala sedaj izgledati tako:
   /noexecute=AlwaysOn
8. V Beležnici v meniju File (Datoteka) kliknite Save (Shrani).
9. Dvakrat kliknite OK (V redu).
10. Znova zaženite raèunalnik.

Za nespremljane namestitve servisnega paketa SP2 za Windows XP ali novejših razlièic lahko v datoteki Unattend.txt vnaprej izpolnite doloèeno konfiguracijo DEP-a. Z vnosom »OSLoadOptionsVar« v razdelku [Podatki] datoteke Unattend.txt lahko doloèite konfiguracijo DEP-a za celoten sistem.

Konfiguracija funkcije DEP po posameznih programih

Da bi zagotovili združljivost programov, lahko DEP onemogoèite za posamezne 32-bitne programe, èe ste za DEP izbrali raven pravilnika »OptOut«. DEP za doloèen program onemogoèite v oknu System Properties (Sistemske lastnosti) na kartici Data Execution Prevention (Prepreèevanje izvajanja podatkov DEP). Za raèunalniške strokovnjake je v servisni paket SP2 za Windows XP vkljuèen popravek, imenovan »DisableNX«. Popravek za združljivost »DisableNX« onemogoèi DEP za program, za katerega se popravek uporabi.

Popravek za združljivost »DisableNX« lahko uporabite za program s kompletom orodij za združljivost programov. Èe želite veè informacij o združljivosti programov v operacijskem sistemu Windows, glejte Windows Application Compatibility (Združljivost programov v operacijskem sistemu Windows) na naslednjem Microsoftovem spletnem mestu:

Èe želite veè informacij, kliknite to številko èlanka iz Microsoftove zbirke znanja:

Èe želite veè informacij, kliknite to številko èlanka iz Microsoftove zbirke znanja: