Sintomas
Após a execução do Microsoft System Information 7.0 (MSInfo32.exe), se você exibir o log do aplicativo no Visualizador de eventos, pode haver uma ou mais instâncias de aviso de evento ID 63:
Tipo de evento: aviso
Origem do evento: WinMgmt
Categoria do Evento: Nenhuma
Identificação do evento: 63
Date:Date
Time:Time
Usuário: nome_do_usuário
Computador:
Computer_name
Descrição:
Um provedor, OffProv11, foi registrado no espaço para nome WMI, Root\MSAPPS11, para usar a conta LocalSystem. Essa conta é privilegiada e o provedor pode causar uma violação de segurança se ela não representar corretamente as solicitações do usuário.
Para obter mais informações, consulte o Centro de Ajuda e suporte em http://support.microsoft.com.
Observação: Um provedor de instrumentação de gerenciamento do Windows (WMI) é um componente de software que se comporta como um mediador entre o componente de armazenamento Common Information Model (CIM) e o objeto gerenciado. O provedor trata as solicitações de dados para o objeto gerenciado e envia dados de objeto gerenciado para o componente de Gerenciador de objeto CIM (CIMOM).
Causa
Esse problema ocorre se as seguintes condições forem verdadeiras:
-
Você estiver executando o sistema Office 2007 ou Microsoft Office 2003 Service Pack 1 (SP1) no Microsoft Windows XP Service Pack 2 (SP2)-com base em computador.
-
Você efetuou logon no computador com uma conta que tenha permissões elevadas, como a conta de administrador.
Esse evento de aviso é gerado por causa das atualizações que estão incluídas no Windows XP SP2. Esse evento de aviso é gerado quando uma instância do provedor OffProv11 é iniciada.
Não recomendamos que você tente configurar o provedor para usar uma conta mais restrita, pois o provedor OffProv11 já está configurado para usar SelfHost. Além disso, o provedor OffProv11 deve ser configurado para usar a conta LocalSystem porque o provedor OffProv11 é um serviço interativo.
Status
Esse comportamento é pré-definido.
Mais informações
O subsistema do provedor WMI é executado provedores individuais em servidores COM específicos com base em seu nível de segurança necessário. Somente os administradores podem registrar provedores e definir seu nível de segurança necessário e somente provedores confiáveis devem ser configurados para usar a conta LocalSystem. Esse evento de aviso se comporta como um registro de auditoria para indicar que o provedor está sendo executado com as permissões da conta LocalSystem.
Algumas das alterações WMI que estão incluídas no Windows XP SP2 são projetadas para ajudar a reduzir problemas que possam ocorrer entre diferentes modelos de hospedagem quando esses modelos de hospedagem carregar provedores. Hosts diferentes podem incluir Serviços de Informações da Internet da Microsoft (IIS), um serviço do Windows ou um serviço de empresa. Para iniciar um provedor, cada host inicia um novo processo é denominado WMIPRVSE. O processo WMIPRVSE carrega o provedor real. Quando usar os diferentes modelos de hospedagem, o processo WMIPRVSE é iniciado usando credenciais diferentes do Windows. Portanto, o provedor é carregado, como o provedor OffProv11, tenta carregar Mngcli.exe para obter acesso à memória compartilhada usando essas credenciais diferentes.
Segurança do WMI
Segurança do WMI baseia-se na segurança do namespace.
A infra-estrutura do WMI mantém uma lista de usuários que têm acesso a um namespace específico. Você pode definir esta lista, usando um aplicativo de WMI ou usando o script. Você também pode alterar a segurança do namespace usando o componente de controle WMI. Para obter informações adicionais sobre como configurar a segurança do usuário WMI ou sobre como configurar a segurança do espaço para nome WMI, visite os seguintes sites da Microsoft.
Configurando segurança do usuário
http://technet2.microsoft.com/windowsserver/en/library/089bfd2f-f476-4bfb-ad01-6768b645a2941033.mspx?mfr=trueDefinindo a segurança do namespace
Configuração do DCOM
Segurança do DCOM é uma configuração de representação e autenticação. Autenticação significa que um processo identifica-se ao outro processo. Normalmente, a autenticação usa identificação de senha. Intervalo de níveis de autenticação DCOM de "sem autenticação" a "autenticação criptografada por pacote." Representação identifica a autoridade que um cliente concede a um servidor para chamar processos diferentes. Durante uma verificação de segurança, o servidor representa o cliente que solicita acesso a determinado recurso. Níveis de representação DCOM variam de "sem identificação" a "delegação completa".
Processo de host de provedor de compartilhado
WMI reside em um host de serviço compartilhado com vários outros serviços. Para evitar interromper todos os serviços quando um provedor falhar, os provedores são carregados em um processo de host separado chamado Wmiprvse.exe. Pode ser executado mais de um processo com este nome. Cada processo pode ser executado em uma conta diferente com segurança diferentes.
O host compartilhado pode ser executado em uma das seguintes contas em um processo de host do Wmiprvse.exe:
-
LocalSystem
-
Serviço de rede
-
Serviço local
-
LocalSystemHostOrSelfHost
A conta LocalSystem
A conta do sistema local é uma conta local predefinida usada pelo Gerenciador de controle de serviços (SCM). Esta conta não é reconhecida pelo subsistema de segurança. Ele tem permissões extensivos no computador local e atua como o computador na rede. O token de segurança inclui NT AUTHORITY\SYSTEM identificação de segurança (SID) e o SID BUILTIN\Administrators. Essas contas têm acesso à maioria dos objetos do sistema operacional. É o nome da conta em todas as localidades ". \LocalSystem." O nome, "LocalSystem" ou"NomeDoComputador\LocalSystem" também pode ser usado. Esta conta não tem uma senha. Se você especificar a conta LocalSystem em uma chamada para a função CreateService , qualquer informação de senha que você fornecer será ignorada.
Um serviço executado no contexto da conta LocalSystem herda o contexto de segurança do SCM. O SID de usuário é criado a partir do valor SECURITY_LOCAL_SYSTEM_RID. Esta conta não está associada com qualquer conta de usuário de logon. Esse comportamento tem as seguintes implicações de segurança:
-
Seção do registro HKEY_CURRENT_USER é associada com o usuário padrão e não o usuário atual. Para acessar o perfil de outro usuário, representar o usuário e, em seguida, acessar a seção do registro HKEY_CURRENT_USER.
-
Este serviço pode abrir a seção de registro HKEY_LOCAL_MACHINE\SECURITY.
-
Este serviço apresenta as credenciais do computador a servidores remotos.
-
Se esse serviço inicia um prompt de comando e executará um arquivo em lotes, o usuário conectado no momento pode parar esse arquivo em lotes, pressionando CTRL + C. O usuário conectado no momento, em seguida, teria acesso ao prompt de comando que está executando em permissões de sistema local.
