MS09-012: Описание обновления безопасности для изоляции служб Windows: апрель 2009 г.

Справка и поддержка по данному обновлению для системы безопасности

Пользователи домашних компьютеров в США и Канаде могут получить бесплатную поддержку по телефону 1-866-PCSAFETY. Пользователям в других странах следует обращаться в местное дочернее подразделение корпорации Майкрософт. Дополнительные сведения о том, как связаться с местным дочерним подразделением корпорации Майкрософт относительно проблем, связанных с обновлениями для системы безопасности, см. на веб-сайте международной поддержки корпорации Майкрософт по следующему адресу:

http://support.microsoft.com/common/international.aspx?rdpath=4 В Северной Америке также можно воспользоваться неограниченной бесплатной поддержкой по электронной почте или через службу разговоров. Для этого посетите веб-сайт корпорации Майкрософт по следующему адресу:

http://support.microsoft.com/oas/default.aspx?&prid=7552 Корпоративным клиентам поддержка по обновлениям для системы безопасности предоставляется через обычные службы поддержки.

Известные проблемы, возникающие после установки этого обновления для системы безопасности

• Признаки
  
  После применения данного обновления на сервере с Microsoft ISA Server Standard Edition, на котором используются более четырех процессорных ядер, служба Microsoft ISA Server Control не запускается. Кроме того, в журнале приложений регистрируется событие с кодом 14109.
  
  Причина
  
  Проблема может возникнуть, если исправление, выпущенное после 7 февраля 2007 г., установлено раньше данного обновления для системы безопасности. Эта проблема возникает из-за изменения способа, который используется в Windows для сообщения о количестве доступных процессоров. Данное изменение было впервые применено в пакете исправлений 932730. После применения этого исправления Windows Server 2003 сообщает данные сведения в точности тем же способом, который используется в Windows Vista и Windows Server 2008. Когда Windows сообщает о количестве процессорных ядер, большем четырех, служба ISA Server Control воспринимает это как сообщение о наличии более четырех процессоров. В результате выдается предупреждение, а затем служба Microsoft ISA Server Control и все зависимые службы прекращают работу.
  
  Примечание. Пакет исправлений 932730 не включен ни в один из пакетов обновления для Windows Server 2003.
  
  Дополнительные сведения об исправлении 932370 см. в следующей статье базы знаний Майкрософт:
  
  

  932370 Число физических процессоров, использующих технологию Hyper-Threading, и число физических многоядерных процессоров в Windows Server 2003 сообщаются неправильно (Эта ссылка может указывать на содержимое полностью или частично на английском языке)Дополнительные сведения о решении этой проблемы см. на веб-сайте корпорации Майкрософт по следующему адресу:
  
  

  http://blogs.technet.com/isablog/archive/2009/04/18/ms09-012-and-isa-server-standard-edition-14109-failures.aspxЧтобы устранить эту проблему в ISA Server 2004, установите накопительный пакет исправлений 970454. Дополнительные сведения о проблеме см. в следующей статье базы знаний Майкрософт:

  970454Описание пакета исправлений для ISA Server 2004, 2 июня 2009 г. (Эта ссылка может указывать на содержимое полностью или частично на английском языке)Чтобы устранить эту проблему в ISA Server 2006, установите пакет исправлений 970441.
  
  Дополнительные сведения об этой проблеме см. в следующей статье базы знаний Майкрософт:

  970441ИСПРАВЛЕНИЕ: после установки обновления MS09-012 на компьютере под управлением Windows Server 2003, на котором более четырех процессорных ядер, служба управления ISA Server перестает запускаться. (Эта ссылка может указывать на содержимое полностью или частично на английском языке)
  Примечание. Для ISA Server 2000 не было выпущено исправлений, поскольку основная фаза поддержки закончилась и эта проблема не является уязвимостью системы безопасности.
  
  

• После применения этого обновления и выполнения переустановки системы на месте с заменой предыдущего выпуска операционной системы новым выпуском, изменения, примененные пользователем, могут не сохраняться в следующих подразделах реестра:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders Проблема может возникнуть в следующих сценариях обновления:
  
  
  

  • Windows XP до Windows Vista;

  • Windows Server 2003 до Windows Server 2008;

  • Windows 2000 Server до Windows Server 2003.

  
  
  
  Проблема не возникает в следующих сценариях обновления:
  
  

  • Windows Vista до Windows 7;

  • Windows Server 2008 до Windows Server 2008 с пакетом обновления или до последующих серверных операционных систем.

  Чтобы избежать этой ситуации, перед выполнением обновления на месте необходимо создать резервную копию указанных подразделов. После завершения обновления и применения исправлений безопасности к системе повторно примените созданные резервные копии подразделов.

Вопросы и ответы для независимых поставщиков программного обеспечения (модель COM)

Вопрос 1. Как определить, подвержен ли конкретный продукт данной уязвимости?

Ответ 1.Дайте ответы на вопросы, перечисленные ниже.

1. Требует ли данный продукт запуска процесса COM-сервера службы, не относящейся к службам NT?

2. Запускается ли по умолчанию COM-сервер, экземпляр которого создается данным продуктом, в контексте учетной записи сетевой или локальной службы?
   

Если ответ на оба эти вопроса положителен, COM-сервер потенциально подвержен уязвимости. Чтобы точнее определить, уязвим ли COM-сервер, выполните описанные ниже действия.

1. Загрузите и установите программу Process Explorer с веб-сайта корпорации Майкрософт по адресу:

   http://technet.microsoft.com/ru-ru/sysinternals/bb896653.aspx

2. Запустите Process Explorer с учетной записью локального администратора.

3. В меню View ("Вид") наведите указатель на пункт Lower Pane View ("Нижняя область") и щелкните Handles ("Дескрипторы").

4. Выберите нужный серверный процесс, затем найдите в нижней области элемент Type = Token ("Тип = Маркер").

5. Выполните для продукта все наборы тестов.

6. Найдите в нижней области все собственные маркеры, чтобы выяснить, захвачен ли системный маркер.

Если серверный процесс удерживает системный маркер, выполните действия, перечисленные ниже.

1. Загрузите и установите средства отладки Windows с веб-сайта корпорации Майкрософт по адресу:

   http://www.microsoft.com/whdc/devtools/debugging/default.mspx

2. Запустите файл WinDBG.exe с учетной записью локального администратора.

3. В меню File ("Файл") выберите пункт Kernel Debug ("Отладка ядра"), чтобы запустить отладчик локального ядра.

4. Щелкните элемент File и нажмите кнопку Attach to a Process ("Присоединить к процессу").

5. Выберите нужный серверный процесс и нажмите кнопку ОК, чтобы выполнить присоединение.

6. Укажите путь к символам отладчика, как показано ниже. Замените путь к подчиненному хранилищу для объекта хранилище_подчиненного_сервера, например C:\Symbols.
   
   SRV*хранилище_подчиненного_сервера*http://msdl.microsoft.com/download/symbols

7. Создайте дамп сведений о маркере процесса.
   Извлеките адрес маркера из выходных данных команды !process, затем используйте команду dt nt!_TOKEN, чтобы вывести список отдельных полей структуры TOKEN.

8. Обратите внимание на поле маркера ImpersonationLevel.

Если серверный процесс удерживает системный маркер и поле ImpersonationLevel серверного процесса имеет значение SecurityImpersonation или SecurityDelegation, это означает, что компьютеры, на которых установлено данное приложение COM-сервера, подвержены уязвимости, которая описана в бюллетене MS09-012. Обеспечить безопасность COM-сервера можно с помощью специального идентификатора безопасности. Вопрос 2. Как определить, является ли данное приложение COM-сервером типа "запуск от имени"?

Ответ 2. Для COM-серверов типа "запуск от имени" подраздел реестра AppID должен содержать следующую запись RunAs:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{APPIDGUID}\"RunAs"="NT Authority\NetworkService". В частности, если запись RunAs имеет значение NT Authority\NetworkService или NT Authority\LocalService, COM-сервер может быть подвержен уязвимости, описанной в бюллетене MS09-012. Чтобы точно определить, так ли это, выполните действия, приведенные в ответе на вопрос 1.

Вопрос 3. Как можно обеспечить безопасность COM-сервера, установка которого выполняется конкретными продуктами?

Ответ 3 (для этапа тестирования в лабораториях). Если требуется обеспечить безопасность приложений COM-сервера, которые выполняются в режиме активации "запуск от имени", необходимо предусмотреть элементы управления как для клиента COM, так и для всех COM-серверов, подлежащих защите. Ниже приведены действия, которые можно выполнить, чтобы защитить приложения COM-сервера типа "запуск от имени" (при тестировании их собственными силами).

• Установите пакет центра Microsoft Security Response Center.
  

• Внесите в конфигурацию COM-сервера следующие изменения:

  HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{APPIDGUID} REG_DWORD AppIDFlags 0x2 /* Пример использования значения реестра AppIDFlags HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{60EE1F45-C0DD-4A1F-AA44-D97424600A16} REG_DWORD AppIDFlags 0x2 */ Примечание. Для внесения этих изменений необходимы учетные данные локального администратора.
  
  Если COM-сервер сетевой или локальной службы, содержащий привилегированные маркеры, не является службой NT или COM-сервером типа "запуск от имени", его следует преобразовать в одну из этих конфигураций во избежание уязвимости.

Ответ 3 (для существующих копий). Для клиентов, имеющих установленные COM-серверы, которые подвержены уязвимости, поставщик программного обеспечения должен опубликовать обновление, позволяющее применить эти изменения на соответствующих компьютерах.

Ответ 3 (для новых установок). Поставщик программного обеспечения должен предоставить интеллектуальное средство установки, способное определить наличие обновления безопасности 956572 в системе и включить раздел реестра AppIDFlags. Если обновление не установлено, программа установки может вывести сообщение об ошибке, уведомляющее о несовместимости системы, и завершить работу.

Клиент может определить наличие обновления для системы безопасности 956572 в операционной системе Windows Server 2003 или Windows XP способом, описанным ниже.

• Программа установки должна определить, существует ли следующий раздел реестра:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572. Если данная запись реестра существует, это означает, что обновление для системы безопасности 956572 присутствует.

Другой способ получения этих сведений для всех версий платформ Windows — использование запросов WMI. Чтобы узнать, установлено ли обновление для системы безопасности 956572 на компьютере, можно использовать следующий запрос:

SELECT * FROM WIN32_QUICKFIXENGINEERING WHERE HotfixID like ‘KB956572’Примечание. В системах Windows Vista с пакетом обновления 2 (SP2) и Windows Server 2008 с пакетом обновления 2 (SP2) исправление для данной уязвимости по умолчанию присутствует.

Вопросы и ответы для системных администраторов (модель COM)

Вопрос 1. Как определить, подвержены ли уязвимости какие-либо из этих служб в среде предприятия?

Ответ 1.Дайте ответы на вопросы, перечисленные ниже.

1. Требует ли данный продукт запуска процесса COM-сервера службы, не относящейся к службам NT?

2. Работает ли по умолчанию COM-сервер, запускаемый данным продуктом, в контексте учетной записи сетевой или локальной службы?
   

Если ответ на оба эти вопроса положителен, COM-серверы потенциально уязвимы. Чтобы обеспечить безопасность этих приложений COM-серверов, обратитесь к поставщику программного обеспечения, производящему данный продукт. Если приложение разработано собственными силами, выполните действия, описанные в ответе на вопрос 1 раздела "Вопросы и ответы для независимых поставщиков программного обеспечения (модель COM)".

Вопросы и ответы для независимых поставщиков программного обеспечения (Services.exe)

Вопрос 1. Как определить, подвержены ли конкретные продукты уязвимости, упомянутой в бюллетене MS09-012?

Ответ 1.Дайте ответы на вопросы, перечисленные ниже.

1. Выполняет ли продукт установку служб, запускаемых с помощью инфраструктуры диспетчера служб?

2. Запускаются ли по умолчанию службы, устанавливаемые данным продуктом, в контексте учетной записи сетевой или локальной службы?
   

3. Если служба работает в среде Windows Vista или Windows Server 2008, выполните следующую команду из командной строки с повышенными привилегиями:

   SC.EXE QSIDTYPE <имя_службы> Is the SERVICE_SID_TYPE value NONE?
   
   Вывод:

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <имя_службы> SERVICE_SID_TYPE: NONE 

   Если ответ на эти три вопроса положителен, служба потенциально уязвима. Чтобы точнее определить, уязвима ли служба, выполните действия, относящиеся к программе Process Explorer, как описано в ответе на вопрос 1 раздела "Вопросы и ответы для независимых поставщиков программного обеспечения (модель COM)".

Вопрос 2. Как обеспечить безопасность служб, установленных конкретными продуктами?

Ответ 2:

этап тестирования в лабораториях.
Ниже приведены действия, которые можно выполнить для защиты службы в ходе внутреннего тестирования перед тем, как она станет доступной для всех клиентов.

• Установите пакет центра Microsoft Security Response Center.
  

• Из командной строки с повышенными привилегиями выполните следующую команду:

  SC.exe SIDTYPE <имя_службы> UNRESTRICTED

• Перезапустите службу из диспетчера служб.

• Проверьте, получила ли служба идентификатор безопасности службы, выполнив следующую команду:

  SC.exe QSIDTYPE <имя_службы> Вывод:
  

  [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <имя_службы> SERVICE_SID_TYPE: UNRESTRICTED 

• Если отображается значение SERVICE_SID_TYPE = UNRESTRICTED, это означает, что службе назначен идентификатор безопасности.

• Отработайте все тестовые случаи, чтобы гарантировать отсутствие нарушений функциональности службы.

• Удалить идентификатор безопасности службы, назначенный службе, можно с помощью такой последовательности команд:

  SC.exe SIDTYPE <имя_службы> NONE
  SC.exe STOP <имя_службы>
  SC.exe START <имя_службы>

Существующие копии
Для клиентов, имеющих установленные службы, которые подвержены уязвимости, поставщик программного обеспечения должен опубликовать обновление, позволяющее применить идентификатор безопасности службы на соответствующих компьютерах. В идеале процесс обновления должен состоять из этапов, указанных ниже.

1. Внесите изменения в следующий раздел реестра:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<ServiceName>\ServiceSidType = 1

2. После обновления программа установки должна перезапустить систему.

При этом значение раздела ServiceSIDType службы <имя_службы> изменится на UNRESTRICTED.

Новые установки
Поставщик программного обеспечения должен найти интеллектуальное средство установки, способное определить наличие обновления безопасности 956572 в системе и включить раздел реестра ServiceSidType. Если обновление не установлено, программа установки может вывести сообщение об ошибке, уведомляющее о несовместимости системы, и завершить работу.

Клиент может определить наличие обновления для системы безопасности 956572 в операционной системе Windows Server 2003 или Windows XP способом, описанным ниже.

• Программа установки должна определить, существует ли следующий раздел реестра:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572. Если данная запись реестра существует, это означает, что обновление для системы безопасности 956572 присутствует.

Другой способ получения этих сведений для всех версий платформ Windows — использование запросов WMI. Чтобы узнать, установлено ли обновление для системы безопасности 956572 на компьютере, можно использовать следующий запрос:

SELECT * FROM WIN32_QUICKFIXENGINEERING WHERE HotfixID like 'KB956572'Примечание. Выпущенные версии Windows Vista и Windows Server 2008 уже содержат исправление для Services.exe, поэтому действия по обнаружению обновления не требуются.

Примечание. Если списки управления доступом на уровне пользователей (DACL) для продукта включают ресурсы с идентификатором безопасности учетной записи службы, для всех таких ресурсов (файлов, разделов реестра и т. п.) нужно повторно применить списки DACL с идентификатором безопасности службы. В противном случае при попытке получить доступ к этим ресурсам может быть нарушена функциональность продукта.

Чтобы проверить идентификатор безопасности, назначенный службе, выполните следующую команду:

SC.EXE SHOWSID <имя_службы>Идентификатор безопасности службы создается на основе хэш-кода имени службы и не меняется, пока имя службы остается прежним.

Вопросы и ответы для системных администраторов (Services.exe)

Вопрос 1. Как определить, подвержены ли уязвимости какие-либо из этих служб в среде предприятия?

Ответ 1. Дайте ответы на вопросы, перечисленные ниже.

1. Выполняет ли продукт установку служб, запускаемых с помощью инфраструктуры диспетчера служб?

2. Запускаются ли по умолчанию службы, устанавливаемые данным продуктом, в контексте учетной записи сетевой или локальной службы?
   
   Примечание. Если служба выполняется в среде Windows Vista или Windows Server 2008, для того чтобы определить контекст, в командной строке с повышенными привилегиями выполните следующую команду:

   SC.exe QSIDTYPE <имя_службы> Вывод:
   

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <имя_службы> SERVICE_SID_TYPE: UNRESTRICTED 

   Если ответ на эти три вопроса положителен, данные службы потенциально уязвимы. Чтобы обеспечить безопасность этих служб, обратитесь к поставщику программного обеспечения, предоставившему их. Если служба разработана собственными силами, выполните действия, описанные в ответе на вопрос 1 раздела "Вопросы и ответы для независимых поставщиков программного обеспечения (модель COM)".

Вопросы и ответы для независимых поставщиков программного обеспечения (WMI)

Вопрос 1. Как определить, в безопасном ли режиме запущен поставщик WMI, используемый продуктом?

Ответ 1.

1. Откройте MOF-файлы для поставщиков WMI и проверьте наличие одной из следующих моделей размещения:
   

   • NetworkServiceHost;

   • NetworkServiceHostToSelfHost;

   • LocalServiceHost;

   • NULL (только для Windows Vista или Windows Server 2008).

2. Только поставщики WMI, предоставленные в комплекте с продуктом, могут считаться защищенными по умолчанию, поскольку являются частью пакета для защиты от хищения маркера. Если ваш поставщик является таковым, в идеале он должен быть защищен после установки пакета для защиты от хищения маркера. Чтобы убедиться в этом, проверьте значения реестра в подразделе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders. Если поставщик защищен, должна отображаться запись, аналогичная следующей:

   <Пространство_имен>:_Win32Provider.Name ="<имя_поставщика>" REG_SZ 0. 

3. Если конкретный поставщик указан в этом списке, его запуск будет выполняться в безопасном режиме.

4. Если имя поставщика не отображается в разделе реестра SecureHostProviders и модель размещения соответствует одной из моделей, указанных в действии 1, это означает, что поставщик запускается в небезопасном контексте Wmiprvse.exe и является причиной уязвимости компьютера к атаке хищения маркера.

Вопрос 2. Как определить, в безопасном ли режиме запущен поставщик WMI, используемый продуктом?

Ответ 2.

1. Войдите в систему компьютера, на котором установлен продукт, с учетной записью администратора.

2. Загрузите и установите программу Process Explorer с веб-сайта корпорации Майкрософт по адресу:

   http://technet.microsoft.com/ru-ru/sysinternals/bb896653.aspx

3. Запустите Process Explorer с учетной записью локального администратора.

4. В меню View ("Вид") наведите указатель на пункт Lower Pane View ("Нижняя область") и щелкните Handles ("Дескрипторы").

5. С помощью диспетчера задач определите и закройте все процессы Wmiprvse.exe, запущенные в контексте сетевой или локальной службы.

6. Выполните для приложения тест, реализующий запрос WMI с помощью определенного поставщика WMI. При этом будет создан новый процесс WMIPrvSE.exe для обслуживания нового, только что выполненного запроса WMI.

7. На панели инструментов Process Explorer выберите команду View DLLs ("Просмотр библиотек DLL").

8. В нижней панели должна отобразиться библиотека DLL, загруженная в созданный процесс WMIPrvSE.exe.

9. Дважды щелкните процесс WMIPrvSE.exe, чтобы открыть диалоговое окно Properties ("Свойства").

10. Перейдите на вкладку Security ("Безопасность") и проверьте выполнение следующих условий:
    

    • идентификатор безопасности (SID) сеанса входа в систему должен иметь вид "S-1-5-5-****";

    • идентификатор безопасности сеанса входа в систему должен быть помечен как владелец;

    • идентификатор безопасности WMI для ServiceAcccount {Local Service|Network Service} должен быть помечен как владелец:
      

      • идентификатор безопасности WMI для локальной службы:
        
        S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952;

      • идентификатор безопасности WMI для сетевой службы:
        
        S-1-5-86-615999462-62705297-2911207457-59056572-3668589837.

11. Щелкните элемент Permission ("Разрешение") и убедитесь в том, что в списке не отображается ни сетевая, ни локальная служба. Это и будет являться подтверждением того, что поставщик теперь запускается в безопасном режиме.

Вопрос 3. Каким образом поставщик программного обеспечения может обеспечить безопасность поставщика WMI, используемого в его продукте?

Ответ 3.В пакет для защиты от хищения маркера включены три раздела реестра, которые позволят поставщикам программного обеспечения настроить свои поставщики WMI.

• HKLM\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders
  
  
  Все поставщики, перечисленные в этом разделе, всегда будут запускаться в безопасном режиме.

• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders
  
  Если поставщик указан в этом разделе реестра, он будет запускаться в небезопасном режиме. Это раздел позволяет поставщику программного обеспечения добавить исключение для отдельного поставщика WMI, если его запуск в безопасном режиме может вызывать проблемы совместимости. По умолчанию этот раздел не содержит записей.

• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost
  
  
  Если для данного глобального раздела реестра задано значение "1", запуск всех поставщиков WMI на компьютере выполняется в безопасном режиме, независимо от того, перечислены ли они в разделах реестра, указанных выше. По умолчанию значение "1" не установлено, так как корпорацией Майкрософт не выполнялось тестирование поведения всех возможных приложений сторонних разработчиков при таком значении.

Чтобы обеспечить безопасность поставщика WMI, в раздел HKLM\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders добавьте следующее значение реестра:

<Пространство_имен>:_Win32Provider.Name ="<имя_поставщика>" REG_SZ 0. 

Обязательно убедитесь в нормальном выполнении всех тестовых сценариев после внесения этого изменения.

Вопросы и ответы для системных администраторов (WMI)

Вопрос 1. Как можно определить, что поставщик WMI, используемый в организации, работает в небезопасном режиме?

Ответ 1.

1. Войдите в систему компьютера, на котором установлен продукт, с учетной записью администратора.

2. Загрузите и установите программу Process Explorer с веб-сайта корпорации Майкрософт по адресу:

   http://technet.microsoft.com/ru-ru/sysinternals/bb896653.aspx

3. Запустите Process Explorer с учетной записью локального администратора.

4. В меню View ("Вид") наведите указатель на пункт Lower Pane View ("Нижняя область") и щелкните Handles ("Дескрипторы").

5. С помощью диспетчера задач определите и закройте все процессы Wmiprvse.exe, запущенные в контексте сетевой или локальной службы.

6. Выполните для приложения тест, реализующий запрос WMI с помощью определенного поставщика WMI. При этом будет создан новый процесс WMIPrvSE.exe для обслуживания нового, только что выполненного запроса WMI.

7. На панели инструментов Process Explorer выберите команду View DLLs ("Просмотр библиотек DLL").

8. В нижней панели должна отобразиться библиотека DLL, загруженная в созданный процесс WMIPrvSE.exe.

9. Дважды щелкните процесс WMIPrvSE.exe, чтобы открыть диалоговое окно Properties ("Свойства").

10. Перейдите на вкладку Security ("Безопасность") и проверьте выполнение следующих условий:
    

    1. сетевая или локальная служба (Network Service, Local Service) имеет полные права на доступ к процессу Wmiprvse.exe;

    2. идентификатор безопасности сеанса входа в систему (в виде "S-1-5-5-****") не помечен как владелец;

    3. для ServiceAcccount {Local Service|Network Service} не создан идентификатор безопасности WMI (он не должен отображаться в разделе Group ["Группа"]);

       • идентификатор безопасности WMI для локальной службы: S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952;

       • идентификатор безопасности WMI для сетевой службы: S-1-5-86-615999462-62705297-2911207457-59056572-3668589837.

Вопрос 2. Как обеспечить безопасность уязвимого поставщика WMI?

Ответ 2.

1. Откройте редактор реестра.

2. Перейдите к следующему подразделу реестра:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders

3. Добавьте значение реестра для защиты поставщика WMI, используя следующий формат:

   <Пространство_имен>:_Win32Provider.Name ="<имя_поставщика>" REG_SZ 0 

4. Перезапустите службу WMI, выполнив следующие команды:
   

   • Sc stop winmgmt

   • Sc start winmgmt