Sintomas
Depois de executar o 7.0 de informações de sistema do Microsoft (MSInfo32.exe), se visualizar o registo de aplicações no Visualizador de eventos, pode haver um ou mais instâncias da advertência 63 de ID de evento:
Tipo de evento: aviso
Origem do evento: WinMgmt
Categoria de evento: Nenhum
ID do evento: 63
Date:Date
Time:Time
Utilizador: nome_utilizador
Computador:
Computer_name
Descrição:
Um fornecedor, OffProv11, foi registado no espaço de nomes WMI, Root\MSAPPS11, para utilizar a conta LocalSystem. Esta conta é privilegiada e o fornecedor pode causar uma violação de segurança se não representar correctamente os pedidos do utilizador.
Para mais informações, consulte o Centro ajuda e suporte em http://support.microsoft.com.
Nota Um fornecedor de Windows Management Instrumentation (WMI) é um componente de software que se comporta como um mediador entre o componente de armazenamento do modelo CIM (Common Information) e o objecto gerido. O fornecedor processa os pedidos de dados para o objecto gerido e envia os dados do objecto gerido para o componente de Gestor de objectos CIM (CIMOM).
Causa
Este problema ocorre caso se verifiquem as seguintes condições:
-
Estiver a executar o Office system de 2007 ou Microsoft Office 2003 Service Pack 1 (SP1) no Microsoft Windows XP Service Pack 2 (SP2)-computador baseado no.
-
Iniciou sessão no computador com uma conta que tenha permissões elevadas, tais como a conta de administrador.
Este evento de aviso é gerado devido as actualizações incluídas no Windows XP SP2. Este evento de aviso é gerado quando uma instância do fornecedor OffProv11 é iniciada.
A Microsoft não recomenda que tente configurar o fornecedor para utilizar uma conta mais restrita, porque o fornecedor de OffProv11 já está configurado para utilizar SelfHost. Além disso, o fornecedor de OffProv11 tem de ser configurado para utilizar a conta LocalSystem, porque o fornecedor de OffProv11 é um serviço interactivo.
Estado
Este comportamento ocorre por predefinição.
Mais informações
O subsistema de fornecedor WMI é executado fornecedores individuais em servidores COM específicos com base no respectivo nível de segurança necessária. Apenas os administradores podem registar fornecedores e configurar o respectivo nível de segurança necessárias, e apenas os fornecedores de confiança deverão ser configurados para utilizar a conta LocalSystem. Este evento de aviso se comporta como um registo de auditoria para indicar que o fornecedor está em execução com as permissões da conta LocalSystem.
Algumas das alterações WMI que estão incluídas no Windows XP SP2 foram concebidas para ajudar a reduzir os problemas que poderão ocorrer entre os diferentes modelos de alojamento quando estes modelos de alojamento carregar fornecedores. Anfitriões diferentes podem incluir o Microsoft Internet Information Services (IIS), um serviço do Windows ou um serviço da empresa. Para iniciar um fornecedor, cada anfitrião inicia um novo processo denominado WMIPRVSE. O processo WMIPRVSE carrega o fornecedor actual. Quando utiliza modelos de alojamento diferentes, é iniciado o processo WMIPRVSE utilizando credenciais diferentes do Windows. Por conseguinte, o fornecedor que é carregado, por exemplo, o fornecedor de OffProv11, tenta carregar Mngcli.exe para obter acesso a memória partilhada utilizando estas credenciais diferentes.
Segurança WMI
A segurança WMI é baseada no espaço de nomes segurança.
A infra-estrutura WMI mantém uma lista de utilizadores que têm acesso a um espaço de nomes específico. Pode definir esta lista utilizando uma aplicação de WMI ou utilizando o script. Também pode alterar o espaço de nomes segurança utilizando o componente de controlo WMI. Para obter informações adicionais sobre como definir a segurança de utilizador do WMI ou sobre como definir a segurança de espaço de nomes WMI, visite os seguintes Web sites da Microsoft.
Definir a segurança do utilizador
http://technet2.microsoft.com/windowsserver/en/library/089bfd2f-f476-4bfb-ad01-6768b645a2941033.mspx?mfr=trueDefinir a segurança do espaço de nomes
Configuração DCOM
Segurança DCOM é uma definição de representação e autenticação. Autenticação significa que um processo identifica-se perante outro processo. Normalmente, a autenticação utiliza identificação de palavra-passe. Intervalo de níveis de autenticação do DCOM de "sem autenticação" a "autenticação encriptada por pacotes." Representação identifica a autoridade que um cliente concede um servidor para chamar processos diferentes. Durante uma verificação de segurança, o servidor representa o cliente que pede acesso ao recurso específico. Níveis de representação DCOM variam entre "nenhuma identificação" para "delegação completa".
Partilhar o processo de anfitrião do fornecedor
WMI reside num anfitrião de serviço partilhado com vários outros serviços. Para evitar parar todos os serviços quando um fornecedor de falhar, os fornecedores são carregados num processo separado do anfitrião com o nome Wmiprvse.exe. Mais do que um processo com este nome pode estar em execução. Cada processo pode ser executado numa conta diferente com segurança diferentes.
O anfitrião partilhado pode ser executado sob uma das seguintes contas de um processo de anfitrião Wmiprvse.exe:
-
LocalSystem
-
Serviço de rede
-
Serviço local
-
LocalSystemHostOrSelfHost
A conta LocalSystem
A conta LocalSystem é uma conta local predefinida que é utilizada pelo Gestor de controlo de serviços (SCM). Esta conta não é reconhecida pelo subsistema de segurança. Tem amplas permissões no computador local e funciona como o computador na rede. O token de segurança inclui NT AUTHORITY\SYSTEM identificador de segurança (SID) e o SID BUILTIN\Administradores. Estas contas têm acesso à maioria dos objectos de sistema operativo. O nome da conta em todas as regiões é ". \LocalSystem." O nome, "LocalSystem" ou"NomeComputador\LocalSystem" também pode ser utilizado. Esta conta não tem uma palavra-passe. Se especificar a conta LocalSystem numa chamada à função CreateService , quaisquer informações de palavra-passe fornecidas pelo utilizador são ignoradas.
Um serviço executado no contexto da conta LocalSystem herda o contexto de segurança do SCM. O SID do utilizador é criado a partir do valor SECURITY_LOCAL_SYSTEM_RID. Esta conta não está associada a qualquer conta de utilizador com sessão iniciada. Este comportamento tem as seguintes implicações de segurança:
-
Ramo de registo HKEY_CURRENT_USER está associado com o utilizador predefinido e não o utilizador actual. Para aceder a outro perfil de utilizador, representar esse utilizador e, em seguida, aceder o ramo de registo HKEY_CURRENT_USER.
-
Este serviço pode abrir o ramo de registo HKEY_LOCAL_MACHINE\SECURITY.
-
Este serviço apresenta as credenciais do computador para servidores remotos.
-
Se este serviço inicia uma linha de comandos e executa um ficheiro batch, o utilizador tem actualmente sessão iniciada foi possível parar este ficheiro de comandos, premindo CTRL + C. O utilizador tem actualmente sessão iniciada, em seguida, teria de acesso a uma linha de comandos que é executado sob permissões de LocalSystem.
