Funksjoner og hvordan du konfigurerer GPO UAC i Windows 10

Windows -operativsystemer inneholder en rekke praktiske alternativer som hjelper oss med å forbedre sikkerheten i det og dets applikasjoner.

Et av disse sikkerhetstiltakene er den velkjente UAC (brukerkontokontroll) siden disse er utviklet for å forhindre at virus eller skadelig programvare blir introdusert i systemet som påvirker funksjonaliteten og driften, og i dag vil Solvetic gjøre en fullstendig analyse av hvordan UAC fungerer i Windows 10 og hvordan vi kan konfigurere det for å få mest mulig ut av det.

Hva er UACBrukerkontokontroll eller UAC, er en funksjonalitet i Windows 10 som hjelper oss med å forhindre at en viss type skadelig programvare blir installert på datamaskinen, som påvirker driften og i prosessen, det bidrar til at organisasjoner har muligheten til å implementere et skrivebord. Med administrasjon og ledelse forbedringer.

Takket være UAC vil applikasjoner og oppgaver alltid utføres i et sikkert miljø ved hjelp av en administratorkonto.

Med UAC vil det være mulig å blokkere automatisk installasjon av uautoriserte applikasjoner og unngå utilsiktede endringer i systemkonfigurasjonen siden alle truslene som en skadelig programvare har i koden kan komme for å ødelegge, stjele eller endre oppførselen til systemet.

Ved å implementere UAC kan vi tillate brukere å logge på datamaskinene sine med en standard brukerkonto, noe som gjør det lettere for dem å utføre oppgaver med tilgangsrettigheter knyttet til en standardkonto.

Slik fungerer UACNår du bruker UAC i Windows 10, må hver applikasjon som trenger å bruke administratortilgangstoken, be om din godkjenning eller installasjon.

Windows 10 beskytter systemprosesser og markerer deres integritetsnivå. Integritetsnivåer er tillitstiltak som implementeres for å optimalisere sikkerheten når du installerer et bestemt program.

En applikasjon som er vurdert som "høy" integritet, er en som utfører oppgaver som inkluderer å endre systemdata, for eksempel en diskpartisjonsapplikasjon, RAM -minnestyringsprogrammer, etc., mens en applikasjon med "lav" integritet er en. Som oppfyller oppgaver som på noen punkt kan påvirke operativsystemet, for eksempel en nettleser.

Programmer klassifisert med lavere integritetsnivåer kan ikke endre dataene i applikasjoner med høyere integritetsnivåer. Når en standardbruker prøver å kjøre et program som krever et administratortilgangstoken, krever UAC at brukeren oppgir gyldige administratoropplysninger for at den skal kunne utføre oppgaven, derfor må vi bekrefte den respektive tillatelsen når vi kjører et program.

Innloggingsprosess i UACNår UAC er implementert i Windows 10, vil alle brukere og administratorer som er i standardgruppen som standard ha tilgang til ressurser og ha muligheten til å kjøre applikasjoner i sikkerhetskonteksten til standardbrukere, som er begrenset.

Når en bruker logger seg på en datamaskin, oppretter systemet automatisk et tilgangstoken for den aktuelle brukeren, dette tilgangstokenet inneholder informasjon om tilgangsnivået som er gitt til brukeren, inkludert spesifikke sikkerhetsidentifikatorer (SID) og definert Windows -privilegier for hvert brukernivå og den respektive tillatelsen vil bli gitt eller ikke.

Når en administrator derimot logger seg på Windows 10, opprettes to separate tilgangstokener for denne brukeren: et standard brukertilgangstoken og et administratortilgangstoken.

Med standard brukertilgangstoken vil det være den samme brukerspesifikke informasjonen som administratortilgangstokenet, men Windows-administrasjonsrettigheter og tilhørende SID-er vil bli fjernet.

Standard brukeradgangstoken brukes til utførelse av applikasjoner som ikke utfører administrative oppgaver (standard brukerprogrammer) og dermed alle applikasjoner som utføres som en standardbruker, med mindre en bruker gir samtykke eller legitimasjon for å godkjenne et program som kan lage bruk av et fullt administrativt tilgangstoken.

På denne måten vil en bruker som tilhører gruppen Administratorer kunne logge på, surfe på nettet og lese e -post mens han bruker et standard brukertilgangstoken og når administratoren trenger å utføre en oppgave som krever tokenet. Administratortilgang, Windows 10 vil automatisk be brukeren om godkjenning, det er derfor når vi prøver å kjøre et program, vil vi se meldingen om godkjenning eller ikke til nevnte applikasjon.

UAC brukeropplevelseNår UAC er implementert, er brukeropplevelsen for en standardbruker forskjellig fra administratorer i modus for godkjenning av administratorer, noe som kan påvirke utførelsen av forskjellige applikasjoner.

Å få tilgang til systemet som en standard bruker vil bidra til å maksimere sikkerheten til et administrert miljø, ettersom vi vet at en slik bruker ikke vil ha myndighet til å installere uautorisert programvare.

Med UAC -høydekomponenten innebygd i Windows 10, vil standardbrukere enkelt kunne utføre en administrativ oppgave ved å angi gyldig legitimasjon for en lokal administratorkonto. Den innebygde UAC-høydekomponenten for standardbrukere er legitimasjonsindikatoren som hjelper deg med å administrere tillatelser når du kjører applikasjoner.

Med UAC aktivert i Windows 10, når vi prøver å kjøre et program, vil det bli bedt om autorisasjon, eller legitimasjonen til en gyldig lokal administratorkonto vil bli bedt om før du starter et program eller en oppgave som krever et fullt administratortilgangstoken.

Denne merknaden forsikrer oss om at ingen ondsinnet programvare kan installeres lydløst.

UAC Elevation NoticesHøydeoppfordringer i UAC er fargekodet for å være applikasjonsspesifikke, slik at vi umiddelbart kan identifisere en applikasjons sikkerhetsrisiko.

Når et program prøver å kjøre med et fullt administratortilgangstoken, analyserer Windows 10 først den kjørbare filen for å bestemme utgiveren og autoriserer dermed den respektive tilgangen til den. Windows 10 bruker tre kategorier i henhold til utgiveren:

• Windows 10

• Verifisert utgiver (signert)

• Utgiver ikke bekreftet (usignert)

Fargekodingen for høydeforespørsel i Windows 10 er som følger:

• Rød bakgrunn med et rødt skjoldikon: Indikerer at denne applikasjonen er blokkert av gruppepolicy eller er fra en blokkert utgiver.

• Blå bakgrunn med et blått og gullt skjoldikon: Indikerer at programmet er et Windows 10 administrativt program, for eksempel et kontrollpanelelement.

• Blå bakgrunn med et blått skjoldikon - Henviser til at denne applikasjonen er signert med Authenticode og er klarert på den lokale datamaskinen.

• Gul bakgrunn med et gult skjoldikon: Denne appen er usignert eller signert, men den lokale datamaskinen har ikke klarert den ennå.

SkjoldikonNoen elementer i kontrollpanelet i Windows 10, for eksempel dato og klokkegenskaper, har en kombinasjon av administrator- og standardbrukeroperasjoner, der kan standardbrukere se klokken og endre tidssonen, men et fullt administratortilgangstegn kan endres lokal systemtid.

Av denne grunn vil vi se følgende skjold på knappen Endre dato og klokkeslett i nevnte alternativ:

Dette indikerer at prosessen krever et fullt administratortilgangstoken og vil vise en UAC -høydeindikator når den klikkes.

UAC -arkitekturI diagrammet nedenfor kan vi se hvordan UAC er strukturert i Windows 10.

Komponentene i denne ordningen er:

Brukernivå

• Bruker utfører operasjon som krever privilegium - Brukeren utfører en operasjon som krever privilegium: I dette tilfellet, hvis operasjonen endrer filsystemet eller registret, kalles virtualisering. Alle andre operasjoner kaller ShellExecute.

• ShellExecute: ShellExecute ser etter ERROR_ELEVATION_REQUIRED -feilen fra CreateProcess. Hvis du mottar feilen, ringer ShellExecute til programinformasjonstjenesten for å prøve å utføre den forespurte oppgaven med det hevede symbolet.

• CreateProcess: Hvis programmet krever høyde, avviser CreateProcess anropet med ERROR_ELEVATION_REQUIRED.

Systemnivå

• Søknadsinformasjonstjeneste: Programinformasjonstjenesten hjelper til med å starte applikasjoner som krever en eller flere forhøyede rettigheter eller brukerrettigheter for å kjøre ved å opprette en ny prosess for programmet med en administrativ bruker full tilgangstoken når høyde er nødvendig.

• Løfte en ActiveX -installasjon - Løfte en ActiveX -installasjon: Hvis ActiveX ikke er installert, kontrollerer systemet UAC -glidebryteren. Hvis ActiveX er installert, er gruppepolicyinnstillingen for brukerkontokontroll valgt: Bytt til sikkert skrivebord når du ber om høyde.

• Kontroller UAC -glidebryterenivå - Kontroller UAC -nivået: UAC har fire varslingsnivåer å velge mellom og en glidebryter for å velge varslingsnivået: Høy, Middels, Lav eller Ingen varsling.

UAC brukeropplevelseSikkerhetspolicyinnstillinger for brukerkontokontroll
I Windows 10 kan vi bruke sikkerhetspolicyer for å konfigurere driften av brukerkontokontroll i vårt selskap.

Disse kan konfigureres lokalt ved hjelp av snap-in-modulen for lokal sikkerhetspolicy (secpol.msc) eller konfigureres for domenet, organisasjonsenheten eller bestemte grupper som bruker gruppepolicy. Noen av de tilgjengelige retningslinjene er:

Brukerkontokontroll Administrator godkjenningsmodus for innebygd administratorkontoMed denne policyen kontrollerer vi oppførselen til modusen for godkjenning av administratorer for den integrerte administratorkontoen, og alternativene er:

• Aktivert: Når denne policyen er aktivert, bruker den innebygde administratorkontoen modusen for godkjenning av administratorer. Som standard vil enhver operasjon som krever forhøyelse av privilegier be brukeren om å godkjenne operasjonen.

• Funksjonshemmet: Det er standardalternativet, og med den kjører den innebygde administratorkontoen alle applikasjoner med fulle administrative rettigheter.

Brukerkontokontroll - lar UIAccess -appen be om høyde uten å bruke det sikre skrivebordetTakket være denne policyen vil det være mulig å kontrollere om programmer for tilgjengelighet for brukergrensesnitt (UIAccess eller UIA) automatisk kan deaktivere det sikre skrivebordet for høydemeldingene som brukes av en standard bruker. Dine alternativer er:

• Aktivert: Dette alternativet deaktiverer automatisk det sikre skrivebordet for høydebeskjeder.

• Funksjonshemmet: Det sikre skrivebordet kan bare deaktiveres av den interaktive skrivebordsbrukeren eller ved å deaktivere policyinnstillingen "Brukerkontokontroll: Bytt til sikker skrivebord ved høydeforespørsel".

Brukerkontokontroll - høydemeldingsadferd for administratorer i administrasjonsgodkjenningsmodusI denne policyen vil vi kontrollere oppførselen til høydeindikatoren for administratorer. De tilgjengelige alternativene er:

• Hev uten å spørre: Lar privilegerte kontoer utføre en operasjon som krever høyde uten behov for samtykke fra brukeren eller legitimasjon.

• Be om legitimasjon på det sikre skrivebordet: Når en operasjon krever heving av privilegier, blir brukeren bedt om å angi et privilegert brukernavn og passord på det sikre skrivebordet.

• Samtykkeforespørsel på det sikre skrivebordet: Når en operasjon krever en forhøyelse av privilegier, blir brukeren bedt om å velge Tillat eller Avvis handlingen på det sikre skrivebordet.

• Be om legitimasjon: Når en operasjon krever heving av privilegier, blir brukeren bedt om å angi et administrativt brukernavn og passord.

• Samtykkeforespørsel: Når en operasjon krever heving av privilegier, blir brukeren bedt om å velge Tillat eller Avvis.

• Samtykkeforespørsel for ikke-Windows-binære filer (standard): Når en operasjon for en ikke-Microsoft-applikasjon krever heving av privilegier, blir brukeren bedt om å velge Tillat eller Avvis på det sikre skrivebordet.

Brukerkontokontroll: høydeindikatoradferd for standardbrukereTakket være denne policyen kan vi kontrollere oppførselen til høydeindikatoren for standardbrukere. Alternativene er:

• Be om legitimasjon (standard): Når en operasjon krever heving av privilegier, blir brukeren bedt om å angi et administrativt brukernavn og passord.

• Avvis automatisk heisforespørsler: Når en operasjon krever heving av privilegier, vises en konfigurerbar tilgangstilgangsfeilmelding.

• Be om legitimasjon på det sikre skrivebordet: Når en operasjon krever heving av privilegier, blir brukeren bedt om å angi et annet brukernavn og passord på det sikre skrivebordet.

Brukerkontokontroll - oppdag appinstallasjoner og be om høydeMed denne policyen vil vi kunne kontrollere oppførselen til applikasjonsinstallasjonsdeteksjonen for datamaskinen.
Dine alternativer er:

• Aktivert (standard): Når en applikasjonsinstallasjonspakke som krever heving av rettigheter oppdages, blir brukeren bedt om å angi et administrativt brukernavn og passord.

• Funksjonshemmet: Deaktiverte installasjonspakker for apper blir ikke oppdaget, og høyder er påkrevd. Bedrifter som kjører standard bruker -skrivebord og bruker delegerte installasjonsteknologier, for eksempel Group Policy eller System Center Configuration Manager, bør deaktivere denne policyinnstillingen.

Brukerkontokontroll: bare last opp kjørbare filer som er signert og validert
Ved å bruke denne policyen definerer du signeringskontroller for offentlig nøkkelinfrastruktur (PKI) for alle interaktive applikasjoner som ber om heving av privilegier.

IT -administratorer kan kontrollere hvilke programmer som kan kjøres ved å legge til sertifikater i Trusted Publishers -sertifikatlageret på lokale datamaskiner. Dine alternativer er:

• Aktivert: Fremmer validering av sertifikatsertifiseringsbanen for en gitt kjørbar fil før den får kjøre.

• Funksjonshemmet: Gjennomfører ikke validering av sertifikatsertifiseringsbane før en bestemt kjørbar fil får kjøre.

Brukerkontokontroll: bare løft UIAccess -programmer som er installert på sikre stederMed denne policyen vil det være mulig å kontrollere om applikasjoner som ber om å kjøre med et brukergrensesnitts tilgjengelighetsintegritetsnivå (UIAccess) må ligge på et sikkert sted i filsystemet. Trygge steder er begrenset til følgende ruter:

 \ Program Files \, \ Windows \ system32 \, \ Program Files (x86) \. 

Dine alternativer er:

• Aktivert: Hvis et program ligger på et sikkert sted i filsystemet, kjører det bare med UIAccess -integritet.

• Funksjonshemmet: Et program kjører med UIAccess -integritet, selv om det ikke er på et trygt sted i filsystemet.

Brukerkontokontroll - Aktiver modus for godkjenning av administratorerVed å implementere denne policyen vil vi kunne kontrollere oppførselen til alle policyinnstillinger for brukerkontokontroll (UAC) for datamaskinen. Hvis du endrer denne policyinnstillingen, må du starte datamaskinen på nytt. De tilgjengelige alternativene er:

• Aktivert: Lar den innebygde administratorkontoen og alle andre brukere som er medlemmer av gruppen Administratorer kjøre i modus for godkjenning av administratorer.

• Funksjonshemmet: Hvis denne policyinnstillingen er deaktivert, vil Security Center varsle deg om at den generelle sikkerheten til operativsystemet er redusert.

Brukerkontokontroll - bytt til sikkert skrivebord når du ber om høydeMed denne policyen vil det være mulig å kontrollere om meldingen om heisforespørsel vises på den interaktive brukerens skrivebord eller på det sikre skrivebordet. Der kan vi etablere følgende:

• Aktivert: Alle heisforespørsler går til det sikre skrivebordet, uavhengig av varslingsinnstillingene for administratorer og standardbrukere.

• Funksjonshemmet: Alle heisforespørsler går til den interaktive brukerens skrivebord. Det brukes standardinnstillinger for bruker- og administratoratferd.

• Alle disse alternativene er funnet ved hjelp av tastekombinasjonen + R og utføre kommandoen secpol.msc

I det viste vinduet går vi til ruten Lokale retningslinjer / sikkerhetsalternativer.

Konfigurasjon av registernøklerUAC -registernøklene finnes i den følgende banen til registerredigereren som vi får tilgang til ved hjelp av nøklene og utførelsen regedit:

 HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System

De tilgjengelige postene er:

FilterAdministratorTokenalternativene er:

 0 (standard) = deaktivert 1 = aktivert

EnableUIADesktopToggleDine alternativer er:

 0 (standard) = deaktivert 1 = aktivert

ConsentPromptBehaviorAdminDine alternativer er:

 0 = Hev uten å be 1 = Spør om legitimasjon på sikkert skrivebord 2 = Spør om samtykke på sikkert skrivebord 3 = Spør om legitimasjon 4 = Spør om samtykke 5 (standard) = Spør om samtykke for ikke-Windows-binære filer

ConsentPromptBehaviorUserDine muligheter er:

 0 = Nekt forespørsler om høyde automatisk 1 = Spør om legitimasjon på sikkert skrivebord 3 (standard) = Spør om legitimasjon

EnableInstallerDetectionDine alternativer er:

 1 = Aktivert (standard for Home -utgaver) 0 = Deaktivert (standard for Enterprise -utgaver)

ValidateAdminCodeSignaturesDine alternativer er:

 0 (standard) = deaktivert 1 = aktivert

EnableSecureUIAPathsDine alternativer er:

 0 = Deaktivert 1 (Standard) = Aktivert

EnableLUADine alternativer er:

 0 = Deaktivert 1 (Standard) = Aktivert

Som vi har forstått, har UAC blitt utviklet for å hjelpe oss med å ha bedre kontroll over prosessene som kjøres i Windows 10, og alltid tenke på sikkerheten og personvernet til hver bruker.