必須の整合性管理

必須整合性制御( MIC ) は、 Windows Vista 以降のコアセキュリティ機能であり、整合性レベル (IL) に基づいて実行中のプロセスに必須アクセス制御を追加します。IL は、オブジェクトの信頼性のレベルを表します。このメカニズムの目的は、同じユーザーアカウントで実行されている、より信頼性の高い他のコンテキストと比較して、信頼性が低い可能性のあるコンテキスト (プロセス、ファイル、およびその他のセキュリティ保護可能なオブジェクト) のアクセス許可を制限することです。

実装

必須整合性制御は、新しいアクセス制御エントリ (ACE) タイプを使用して定義され、セキュリティ記述子内のオブジェクトの IL を表します。Windows では、アクセス制御リスト(ACL) を使用して、ユーザーまたはグループにアクセス権 (読み取り、書き込み、および実行権限) と特権を付与します。IL は、初期化時にサブジェクトのアクセストークンに割り当てられます。サブジェクトがオブジェクト (ファイルなど) にアクセスしようとすると、セキュリティリファレンスモニターは、サブジェクトのアクセストークンの整合性レベルをオブジェクトのセキュリティ記述子の整合性レベルと比較します。Windows は、サブジェクトの IL がオブジェクトよりも高いか低いか、および新しいアクセス制御エントリ (ACE) の整合性ポリシーフラグに応じて、許可されるアクセス権を制限します。セキュリティサブシステムは、ACL が提供するユーザー制御による任意アクセスと区別するために、必須ラベルとして整合性レベルを実装します。

Windows Vistaでは、低( SID : S-1-16-4096)、中( SID: S-1-16-8192)、高( SID : S -1-16-12288)、システム( SID: S-1-16-16384) の 4 つの整合性レベルが定義されています。^[1]既定では、一般ユーザーによって開始されたプロセスには中IL が割り当てられ、昇格されたプロセスには高IL が割り当てられます。^{[2]整合性レベルを導入することで、MIC ではアプリケーションのクラスを分離できるようになり、潜在的に脆弱なアプリケーション (}インターネットに接続するアプリケーションなど) をサンドボックス化するなどのシナリオが可能になります。低IL のプロセスは低整合性プロセスと呼ばれ、Windows でアクセス制御が実施される高 IL のプロセスよりもアクセスが少なくなります。

アクセス制御リストを持つオブジェクト（ファイル、レジストリキー、その他のプロセスやスレッドを含む名前付きオブジェクトなど）には、システムアクセス制御リストにエントリがあり、そのエントリによってアクセスが制御され、オブジェクトを使用できるプロセスの最小整合性レベルが定義されます。Windows では、プロセスがオブジェクトに書き込みまたは削除できるのは、その整合性レベルがオブジェクトで指定された要求整合性レベル以上である場合のみです。^[2]さらに、プライバシー上の理由から、より高い IL を持つプロセスオブジェクトは、より低い IL を持つプロセスからの読み取りアクセスでも範囲外となります。 ^[3]

その結果、プロセスはより高いILを持つ別のプロセスと対話することができません。そのため、プロセスはWindows APIの関数^[4]を使用してより高いILのプロセスにDLLを挿入したり、関数^[5]を使用して別のプロセスにデータを送信したりするなどの機能を実行することはできません。CreateRemoteThread()WriteProcessMemory()

応用

プロセスはそれを生成したプロセスの整合性レベルを継承しますが、整合性レベルはプロセス作成時にカスタマイズできます。必須整合性制御は、ユーザーインターフェイス特権分離(UIPI) テクノロジでウィンドウメッセージの境界を定義するだけでなく、 Adobe Reader、Google Chrome、Internet Explorer、Windows Explorerなどのアプリケーションで、システム内の脆弱なオブジェクトからドキュメントを分離するために使用されます。^[1]

Internet Explorer 7 では、セキュリティゾーン設定に基づいて、Web ページを低整合性プロセスとして開くかどうかを制御する MIC ベースの「保護モード」設定が導入されています (オペレーティングシステムが MIC をサポートしている場合)。これにより、一部のセキュリティ脆弱性が防止されます。この場合、Internet Explorer は低 IL プロセスとして実行されるため、システムレベルのオブジェクトを変更することはできません。ファイルとレジストリの操作は仮想化されます。Adobe Reader 10 とGoogle Chrome は、マルウェアに対する脆弱性を軽減するためにこのテクノロジを導入している他の 2 つの注目すべきアプリケーションです。^[6]

Microsoft Office 2010 では、 Excel、PowerPoint、Word 用の「保護されたビュー」という分離されたサンドボックス環境が導入され、潜在的に危険なドキュメントがシステム上のコンポーネント、ファイル、その他のリソースを変更することを禁止しています。^[7]保護されたビューは整合性の低いプロセスとして動作し、Windows Vista 以降のバージョンの Windows では、MIC と UIPI を使用してサンドボックスをさらに制限します。^[8]

ただし、場合によっては、高 IL プロセスが低 IL プロセスに対して特定の機能を実行する必要があるか、低 IL プロセスが高 IL プロセスだけがアクセスできるリソースにアクセスする必要があります (たとえば、保護モードで Web ページを表示する場合、インターネットからダウンロードしたファイルをユーザーが指定したフォルダーに保存する)。^{[1]高 IL プロセスと低 IL プロセスは、ファイル、}名前付きパイプ、LPC 、またはその他の共有オブジェクトを使用して、相互に通信できます。共有オブジェクトの整合性レベルは低 IL プロセスと同程度に低くする必要があり、低 IL プロセスと高 IL プロセスの両方で共有する必要があります。^[3] MIC は低 IL プロセスが高 IL プロセスとオブジェクトを共有することを防止しないため、高 IL プロセスの欠陥をトリガーして低 IL プロセスに代わって動作させ、スクワッティング攻撃を引き起こす可能性があります。 ^[3] ただし、MIC を利用するユーザーインターフェイス権限分離を使用することで、シャッター攻撃を防ぐことができます。

参照

参考文献

^ abc Matthew Conover. 「Windows Vista セキュリティモデルの分析」(PDF)。Symantec Corporation。2008年 5 月 16 日のオリジナル(PDF)からアーカイブ。2007年 10 月 8 日に取得。
^ ab Riley, Steve (2006 年 7月 22 日)。「Windows Vista の必須整合性制御」。Microsoft Docs アーカイブ。Microsoft 。
^ abc Russinovich, Mark (2007 年 2 月 12 日) 。「PsExec、ユーザーアカウント制御、およびセキュリティ境界」。Windowsブログアーカイブ。Microsoft 。
^ 「CreateRemoteThread 関数」。Windowsデベロッパーセンター。Microsoft。2018年 12 月 5日。
^ 「WriteProcessMemory 関数」。Windowsデベロッパーセンター。Microsoft。2018年 12 月 5日。
^ Brad Arkin (2010-07-10). 「Adobe Reader 保護モードの紹介」Adobe Systems . 2010-09-10閲覧。
^ 「Office 2010 の保護されたビュー設定を計画する」。Microsoft Docsアーカイブ。Microsoft。2011年 8 月 5 日。
^ Keizer, Gregg (2009 年 8 月 19 日)。「Microsoft が Office 2010 の「サンドボックス」セキュリティを強化」。Computerworld。IDG。2017年1月23 日閲覧。

さらに読む

「 Windows Vista 整合性メカニズムテクニカルリファレンス」。Microsoft Docs アーカイブ。Microsoft。2007年 7 月 5 日。
「保護モード API の概要」。Microsoft Docsアーカイブ。Microsoft。2007年 8 月 15 日。

外部リンク

Windows Integrity Control の概要: セキュリティフォーカスの記事
Microsoft の保護モード Internet Explorer からの脱出

[symantec-1] Matthew Conover. 「Windows Vista セキュリティモデルの分析」(PDF)。Symantec Corporation。2008年 5 月 16 日のオリジナル(PDF)からアーカイブ。2007年 10 月 8 日に取得。

[steve-2] Riley, Steve (2006 年 7月 22 日)。「Windows Vista の必須整合性制御」。Microsoft Docs アーカイブ。Microsoft 。

[mark-3] Russinovich, Mark (2007 年 2 月 12 日) 。「PsExec、ユーザーアカウント制御、およびセキュリティ境界」。Windowsブログアーカイブ。Microsoft 。

[4] 「CreateRemoteThread 関数」。Windowsデベロッパーセンター。Microsoft。2018年 12 月 5日。

[5] 「WriteProcessMemory 関数」。Windowsデベロッパーセンター。Microsoft。2018年 12 月 5日。

[6] Brad Arkin (2010-07-10). 「Adobe Reader 保護モードの紹介」Adobe Systems . 2010-09-10閲覧。

[PlanProtectedView-7] 「Office 2010 の保護されたビュー設定を計画する」。Microsoft Docsアーカイブ。Microsoft。2011年 8 月 5 日。

[Office2010PVComputerworld-8] ^ Keizer, Gregg (2009 年 8 月 19 日)。「Microsoft が Office 2010 の「サンドボックス」セキュリティを強化」。Computerworld。IDG。2017年1月23 日閲覧。