Pazīmes
Pēc palaišanas Microsoft sistēmas informācijas 7.0 (MSInfo32.exe), ja skatāt notikumu skatītāja lietojumprogrammu žurnālā var būt viens vai vairāki gadījumi brīdinājuma notikuma ID 63:
Notikuma tips: brīdinājums
Notikuma avots: WinMgmt
Notikuma Kategorija: neviens
Notikuma ID: 63
Date:Date
Time:Time
Lietotājs: lietotājvārds
Datoru:
Computer_name
Apraksts:
Sniedzēja, OffProv11, ir reģistrēts nosaukumvietā WMI Root\MSAPPS11 konts LocalSystem izmantošanai. Šis konts ir priviliģēta un nodrošinātājs var izraisīt drošības pārkāpumiem, ja to pareizi personificēt lietotāju pieprasījumus.
Lai iegūtu papildinformāciju, skatiet palīdzības un atbalsta centrā http://support.microsoft.com.
Piezīme. Windows pārvaldības instrumentācijas (WMI) nodrošinātājs ir programmatūras komponents, kas darbojas kā starpnieks starp krātuves komponentu kopējo informācijas modeli (CIM) un pārvaldītu objektu. Pakalpojumu sniedzēju pārvaldītā objekta datu pieprasījumus apstrādā un nosūta datus no pārvaldītā objekta CIM objektu pārvaldnieks komponents (CIMOM).
Iemesls
Šī problēma rodas, ja ir spēkā kāds no šiem nosacījumiem:
-
Lietojat Microsoft Office 2003 1. servisa pakotnes (SP1) vai Office 2007. gada sistēmas Microsoft Windows XP Service Pack 2 (SP2) — darbojas datorā.
-
Jāpiesakās datorā ar kontu, kam priviliģētām atļaujas, piemēram, administratora kontu.
Šis brīdinājuma notikums tiek ģenerēts dēļ atjauninājumi, kas iekļauti sistēmā Windows XP SP2. Šis brīdinājums notikums tiek ģenerēts uzsākot gadījumu OffProv11 nodrošinātājs.
Nav ieteicams mēģināt konfigurēt nodrošinātāju, lai izmantotu vairāk ierobežotu kontu, jo OffProv11 nodrošinātājs jau ir konfigurēta tā, lai izmantotu SelfHost. Turklāt OffProv11 nodrošinātājs ir jākonfigurē konts LocalSystem, jo OffProv11 sniedzējs ir interaktīvs pakalpojums.
Statuss
Šī darbība ir ar nolūku.
Papildinformācija
WMI nodrošinātājs apakšsistēma darbojas atsevišķas nodrošinātāji noteiktiem COM serveriem, pamatojoties uz to drošības līmeni. Tikai administratori var reģistrēt nodrošinātāji un konfigurējiet to drošības līmeni un izmantot kontu LocalSystem ir jākonfigurē tikai uzticamu pakalpojumu sniedzēji. Šis brīdinājuma notikumu reaģē kā audita ieraksts norāda, ka pakalpojumu sniedzējs darbojas ar atļaujām konts LocalSystem.
Daži WMI izmaiņas, kas iekļauti sistēmā Windows XP SP2 ir izveidoti tā, lai mazinātu problēmas, kas varētu rasties starp dažādām viesošanas modeļiem, šiem modeļiem viesošanas nodrošinātāji ielādēt. Microsoft Internet Information Services (IIS), Windows pakalpojumu vai uzņēmuma pakalpojums var būt citu resursdatoru. Sākt pakalpojumu sniedzējs, katrā resursdatora sākas ar nosaukumu WMIPRVSE jaunu procesu. Faktiskais pakalpojumu sniedzēja ielādē WMIPRVSE procesu. Lietojot viesošanas modeļi, WMIPRVSE process tiek startēts, izmantojot citu Windows akreditācijas datus. Tāpēc mēģina ielādēt Mngcli.exe piekļūt koplietojamo atmiņu, izmantojot citu akreditācijas datu nodrošinātāja tiek ielādēts OffProv11 nodrošinātāju, piemēram.
WMI drošība
Drošības WMI nosaukumvietu drošības pamatā.
WMI infrastruktūra uztur lietotājiem piekļūt noteiktu nosaukumvietas sarakstu. Šajā sarakstā var iestatīt, izmantojot WMI programmu vai skriptu. Nosaukumvietu drošības var arī mainīt, izmantojot WMI vadības komponents. Lai iegūtu papildinformāciju par to, kā iestatīt WMI lietotāja drošību vai par to, kā iestatīt WMI nosaukumvietu drošības, apmeklējiet šīs Microsoft vietnes.
Lietotāju drošības iestatījums
http://technet2.microsoft.com/windowsserver/en/library/089bfd2f-f476-4bfb-ad01-6768b645a2941033.mspx?mfr=trueDrošības iestatījumu nosaukumvieta
DCOM konfigurācija
DCOM drošības ir autentifikācija un personifikācijas iestatījumu. Autentifikācijas nozīmē, ka viens process identificē sevi cits process. Parasti autentifikācija izmanto identifikācijas paroli. DCOM autentifikācijas līmeni, sākot ar "nav autentifikācijas" uz "-pakete šifrētu autentifikāciju." Personifikācijas norāda iestādi, kas klientam piešķir servera jāsazinās ar citu procesu. Servera drošības pārbaudes laikā impersonates klients, kas pieprasa piekļuvi noteiktam resursam. DCOM personifikācijas līmenis, sākot ar "nav identifikācijas" uz "pilnīgu deleģēšanu."
Dalīta nodrošinātāju viesošanas process
WMI atrodas koplietojamā pakalpojuma viesošana vairākus citus pakalpojumus. Izvairīties visi pakalpojumu sniedzējs, neizdodas apturēt pakalpojumu sniedzēji tiek ielādēti atsevišķu viesošanas process nosaukts Wmiprvse.exe. Var darboties vairākas procesu ar šādu nosaukumu. Katrā procesā var darboties ar citu kontu ar citu drošību.
Kādā no šiem kontiem Wmiprvse.exe viesošanas process var palaist koplietošanas resursdatorā:
-
LocalSystem
-
Tīkla
-
LocalService
-
LocalSystemHostOrSelfHost
Konts LocalSystem
LocalSystem ir iepriekš Lokālais konts, ko izmanto pakalpojumu vadības pārvaldnieks (SCM). Drošības apakšsistēmas neatpazīst šo kontu. Tas ir plaši atļaujas lokālajā datorā un darbojas kā tīkla datorā. Drošības pilnvaru tās ietver NT AUTHORITY\SYSTEM drošības ID (SID) un BUILTIN\Administrators SID. Lielākā daļa no operētājsistēmas objektu piekļūt šos kontus. Visi lokalizācijas konta nosaukums ir ". \LocalSystem." Vārds "LocalSystem" vai"ComputerName\LocalSystem" var izmantot arī. Šim kontam nav paroles. Ja norādāt izsaucot funkciju OpenSCManager konts LocalSystem, tiek ignorēts visas paroles informāciju.
Pakalpojums, kas darbojas saistībā ar konts LocalSystem pārmanto SCM drošības kontekstā. Lietotāja SID tiek veidoti SECURITY_LOCAL_SYSTEM_RID vērtību. Šis konts nav saistīts ar jebkuru pieteicies lietotāja konts. Šī problēma ietekmē šo drošību:
-
Reģistra stropā HKEY_CURRENT_USER ir saistīta ar noklusējuma lietotāja un nav pašreizējam lietotājam. Piekļuve cita lietotāja profilu, personificēt lietotāju un pēc tam piekļūt reģistra stropā HKEY_CURRENT_USER.
-
Šis pakalpojums izsauc HKEY_LOCAL_MACHINE\SECURITY reģistra stropu.
-
Šis pakalpojums piedāvā attālos serveros lietotāja akreditācijas datus.
-
Ja šis pakalpojums tiek startēts komandu uzvednes un darbojas pakešfaila pašreiz pieteicies lietotājs var pārtraukt šo pakešfailu, nospiežot taustiņu kombināciju CTRL + C. Pēc tam lietotājs pašlaik ir pieteicies datorā būs pieejami no komandu uzvednes, kas darbojas saskaņā ar LocalSystem atļaujas.
