ID sự kiện 63 xảy ra khi bạn chạy chương trình thông tin hệ thống Microsoft Office 2007 hoặc Office 2003

Bảo mật WMI

Bảo mật WMI dựa trên tên bảo mật.

Cơ sở hạ tầng WMI duy trì một danh sách người dùng có quyền truy cập vào một tên cụ thể. Bạn có thể thiết lập danh sách này bằng cách sử dụng một ứng dụng WMI hoặc bằng cách sử dụng lệnh. Bạn cũng có thể thay đổi tên bảo mật bằng cách sử dụng phần điều khiển WMI. Để biết thêm thông tin về cách đặt WMI người dùng bảo mật hoặc về cách đặt WMI tên bảo mật, ghé thăm Web site sau của Microsoft.

Thiết đặt bảo mật người dùng

http://technet2.microsoft.com/windowsserver/en/library/089bfd2f-f476-4bfb-ad01-6768b645a2941033.mspx?mfr=trueThiết đặt bảo mật không gian tên

http://msdn2.microsoft.com/en-us/library/aa393613.aspx

Cấu hình DCOM

Bảo mật DCOM là xác thực và mạo danh cài đặt. Xác thực có nghĩa là một quá trình xác định tự xử lý khác. Thông thường, xác thực sử dụng mật khẩu nhận dạng. DCOM xác thực cấp khoảng từ "không xác thực" để "cho mỗi gói mã xác thực." Đóng vai xác định quyền khách hàng cho máy chủ gọi quá trình khác nhau. Trong hộp bảo mật, máy chủ impersonates khách hàng yêu cầu quyền truy cập vào tài nguyên cụ thể. Đóng vai DCOM độ nằm trong khoảng từ "không xác định" vào "Uỷ nhiệm đầy đủ."

Nhà cung cấp máy chủ quá trình chia sẻ

WMI nằm trong máy chủ Dịch vụ chia sẻ với một số dịch vụ khác. Để tránh dừng tất cả các dịch vụ khi nhà cung cấp không thành công, nhà cung cấp được nạp vào trình riêng máy chủ có tên Wmiprvse.exe. Nhiều trình có tên này có thể chạy. Mỗi tiến trình có thể chạy trong một tài khoản khác với bảo mật khác.

Lưu trữ được chia sẻ có thể chạy trong một tài khoản sau đây trong quá trình lưu trữ Wmiprvse.exe:

• LocalSystem

• NetworkService

• LocalService

• LocalSystemHostOrSelfHost

Tài khoản LocalSystem

Tài khoản LocalSystem là tài khoản cục bộ định sử dụng bộ điều khiển dịch vụ (SCM). Tài khoản này không được nhận dạng bằng hệ thống bảo mật. Có nhiều quyền trên máy tính cục bộ và hoạt động như máy tính trên mạng. Mã thông báo bảo mật của nó bao gồm bảo mật NT AUTHORITY\SYSTEM ID (SID) và BUILTIN\Administrators SID. Các tài khoản có quyền truy cập vào hầu hết các đối tượng hệ điều hành. Tên tài khoản trong tất cả các ngôn ngữ khác ". \LocalSystem." Tên là "LocalSystem" hoặc"ComputerName\LocalSystem" cũng có thể sử dụng. Tài khoản này không có mật khẩu. Nếu bạn chỉ định tài khoản LocalSystem trong một hoạt động CreateService , bất kỳ thông tin mật khẩu bạn cung cấp sẽ bị bỏ qua.


Dịch vụ chạy trong ngữ cảnh của tài khoản LocalSystem kế thừa bối cảnh bảo mật SCM. Người dùng SID tạo giá trị SECURITY_LOCAL_SYSTEM_RID. Tài khoản này không liên quan đến bất kỳ tài khoản người dùng đăng nhập. Hiện tượng này có tác động bảo mật sau:

• Trung tâm đăng ký HKEY_CURRENT_USER được liên kết với người dùng mặc định và không có người dùng hiện tại. Để truy cập vào hồ sơ người dùng khác, mạo danh người dùng và sau đó truy cập Trung tâm đăng ký HKEY_CURRENT_USER.
  

• Dịch vụ này có thể mở Trung tâm đăng ký HKEY_LOCAL_MACHINE\SECURITY.

• Dịch vụ này trình bày thông tin máy tính từ xa máy chủ.

• Nếu dịch vụ này bắt đầu một dấu nhắc lệnh và chạy tệp bó hiện đăng nhập người dùng có thể dừng tệp bó này bằng cách nhấn CTRL + C. Người dùng hiện đăng nhập rồi sẽ có quyền truy cập vào dấu nhắc lệnh đang chạy dưới quyền LocalSystem.