Příznaky
Po spuštění Microsoft 7.0 informace o systému (MSInfo32.exe), při zobrazení protokolu aplikace v prohlížeči událostí může být jedna nebo více instancí událost ID 63 upozornění:
Typ události: upozornění
Zdroj události: WinMgmt
Kategorie události: žádný
ID události: 63
Date:Date
Time:Time
User: uživatelské_jméno
Počítač:
Computer_name
Popis:
Zprostředkovatel OffProv11, byl registrován v oboru názvů služby WMI Root\MSAPPS11 používat účet LocalSystem. Tento účet je privilegován a zprostředkovatel může způsobit porušení zabezpečení, pokud správně nezosobní požadavky uživatele.
Další informace naleznete v tématu Nápověda a odborná pomoc na http://support.microsoft.com.
Poznámka: Zprostředkovatel Windows Management Instrumentation (WMI) je softwarová součást, která se chová jako zprostředkovatel mezi součástí úložiště modelu CIM (Common Information) a spravovaného objektu. Poskytovatel zpracovává požadavky na data pro spravovaného objektu a odešle data z objektu spravované součást Správce objektů CIM (CIMOM).
Příčina
K tomuto problému dochází, pokud jsou splněny následující podmínky:
-
Se systémem Office 2007 nebo Microsoft Office 2003 Service Pack 1 (SP1) v systému Microsoft Windows XP Service Pack 2 (SP2)-počítače se systémem.
-
Jste přihlášeni k počítači pomocí účtu se zvýšenými oprávněními, například účet správce.
Tato událost upozornění je generována z důvodu aktualizací, které jsou zahrnuty v aktualizaci Windows XP SP2. Tato událost upozornění je generována při spuštění instance zprostředkovatele OffProv11.
Společnost Microsoft nedoporučuje, že pokusíte nakonfigurovat zprostředkovatele používat více omezeného účtu, protože OffProv11 poskytovatel je již nakonfigurován pro použití SelfHost. Kromě toho zprostředkovatel OffProv11 nakonfigurování na používat účet LocalSystem, protože zprostředkovatel OffProv11 je interaktivní služba.
Stav
Toto chování je záměrné.
Další informace
Podsystém zprostředkovatele WMI spustí v konkrétní servery COM, které jsou založeny na jejich požadované úrovně zabezpečení jednotlivých poskytovatelů. Pouze správci mohou registrovat poskytovatele a nakonfigurovat jejich požadované úrovně zabezpečení a pouze důvěryhodných zprostředkovatelů by měly být nakonfigurovány pro použití účtu LocalSystem. Tato událost upozornění se chová jako záznam auditu události označíte, že zprostředkovatel je spuštěna s oprávněními účtu LocalSystem.
Některé změny služby WMI, které jsou zahrnuty v aktualizaci Windows XP SP2 jsou určeny k omezení problémů, které mohou nastat mezi různých hostitelských modelů při těchto hostitelských modelů načtení zprostředkovatelů. Různí hostitelé mohou obsahovat Internetová informační služba (IIS), služba systému Windows nebo služby organizace. Chcete-li spustit zprostředkovatele, každého hostitele spustí nový proces, který je s názvem WMIPRVSE. Proces WMIPRVSE načte vlastní zprostředkovatele. Při použití různých hostitelských modelů je spuštěn proces WMIPRVSE pomocí různých pověření systému Windows. Proto zprostředkovatele, který je načten jako zprostředkovatel OffProv11 pokusí načíst Mngcli.exe získat přístup k sdílené paměti pomocí těchto různých pověření.
Zabezpečení služby WMI
Zabezpečení služby WMI je založena na zabezpečení oboru názvů.
Infrastruktura služby WMI udržuje seznam uživatelů, kteří mají přístup ke konkrétní obor názvů. Tento seznam můžete nastavit pomocí aplikace WMI nebo pomocí skriptu. Zabezpečení oboru názvů můžete také změnit pomocí komponenty řízení služby WMI. Další informace o nastavení zabezpečení uživatele služby WMI nebo jak nastavit zabezpečení oboru názvů WMI naleznete na následujících webech společnosti Microsoft.
Nastavení zabezpečení uživatele
http://technet2.microsoft.com/windowsserver/en/library/089bfd2f-f476-4bfb-ad01-6768b645a2941033.mspx?mfr=trueNastavení zabezpečení oboru názvů
Konfigurace DCOM
Zabezpečení modelu DCOM je ověřování a zosobnění nastavení. Ověřování znamená, že jeden proces identifikuje jiným procesem. Ověřování se obvykle používá identifikační heslo. Model DCOM ověřování úrovně v rozsahu od "ověření" "šifrované ověřování paketů." Zosobnění identifikuje orgán, že uděluje klient server volat různé procesy. Během ověření zabezpečení serveru zosobní klienta, který požaduje přístup k určitému prostředku. Úrovně zosobnění DCOM v rozsahu od "žádná identifikace" "úplné delegování."
Sdílený proces hostitele zprostředkovatele
WMI je umístěn ve sdílené služby hostitele s několika dalšími službami. Aby nedošlo k zastavení všech služeb při zprostředkovatele se nezdaří, jsou načteny do samostatného hostitelského procesu s názvem Wmiprvse.exe zprostředkovatele. Může být spuštěn více než jeden proces s tímto názvem. Každý proces lze spustit s jiným účtem s různými zabezpečení.
Podle jednoho z následujících účtů v hostitelský proces Wmiprvse.exe sdílené hostitele spustit:
-
Účet LocalSystem
-
NetworkService
-
LocalService
-
LocalSystemHostOrSelfHost
Účet LocalSystem
Účet LocalSystem je předdefinovaný místní účet, který používá správce řízení služby (SCM). Tento účet není rozpoznáván podsystém zabezpečení. Má rozsáhlá práva v místním počítači a jedná jako počítač v síti. Jeho token zabezpečení zahrnuje NT AUTHORITY\SYSTEM ID zabezpečení (SID) a SID účtu BUILTIN\Administrators. Tyto účty mají přístup k většině objektů operačního systému. Je název účtu ve všech národních prostředích ". \LocalSystem." Název "LocalSystem" nebo"Název_počítače\LocalSystem" lze také použít. Tento účet nemá heslo. Pokud zadáte účet LocalSystem volání funkce CreateService , jakékoli heslo informace, které poskytnete je ignorována.
Služba spuštěná v kontextu účtu LocalSystem zdědí kontext zabezpečení správce SCM. Identifikátor SID uživatele je vytvořen z hodnoty SECURITY_LOCAL_SYSTEM_RID. Tento účet není přidružen jakýkoli účet přihlášeného uživatele. Toto chování má následující důsledky na zabezpečení:
-
Podregistru HKEY_CURRENT_USER registru je přidružen k výchozí uživatel a nikoliv aktuálnímu uživateli. Chcete-li zobrazit profil jiného uživatele, zosobnit uživatele a jejich pozdějším podregistru HKEY_CURRENT_USER.
-
Tuto službu lze spustit HKEY_LOCAL_MACHINE\SECURITY podregistr registru.
-
Tato služba představuje pověření počítače ke vzdáleným serverům.
-
Pokud tuto službu spuštění příkazového řádku a spustí dávkový soubor, aktuálně přihlášeného uživatele mohla přestat tento dávkový soubor stisknutím kombinace kláves CTRL + C. Aktuálně přihlášený uživatel by pak mít přístup k příkazového řádku, který je spuštěn pod účtem LocalSystem oprávnění.
