Запуск от имени участника группы "Пользователи"
Обновлен: Ноябрь 2007
В данном разделе описано, как настройка учетных записей пользователей Windows как участников группы "Пользователи" (в отличие от группы "Администраторы") повышает уровень безопасности за счет уменьшения шанса заражения вирусом из вредоносного кода.
Угрозы безопасности
При запуске от имени администратора система становится уязвимой для определенных атак, способных нарушить систему безопасности, например, вредоносная программа типа "Троянский конь" и переполнение буфера. Простое посещение веб-узла в качестве администратора может нанести вред системе, поскольку вредоносный код, загруженный с веб-узла, может атаковать компьютер. В случае успеха, он наследует права администратора и затем может выполнять такие действия, как удаление всех файлов, форматирование жесткого диска и создание новых учетных записей пользователя с правами администратора.
Группы пользователей, не обладающих правами администраторов
Учетные записи пользователей Windows, которые обычно используют разработчики, нужно добавить в группы "Пользователи" или "Опытные пользователи". Разработчиков также следует внести в группу отладки. Участник группы "Пользователи" может выполнять типовые задачи, включающие выполнение программ и посещение веб-узлов. Компьютер, на котором будут выполняться эти задачи, не будет подвергаться излишнему риску. Участник группы "Опытные пользователи" может выполнять такие задачи, как установка приложений, установка принтера и запускать большинство операций из панели управления. Если требуется выполнить такие административные задачи, как обновление операционной системы или настройка параметров системы, то войти следует с использованием учетной записи администратора на время, необходимое для выполнения административной задачи. Также можно использовать команду runas операционной системы Windows для запуска отдельных приложений с использованием прав администратора.
Подвержение клиентов угрозам безопасности
Особенно важно не включать разработчиков в группу "Администраторы", поскольку помимо защиты компьютеров разработчиков, предотвращается случайная запись разработчиками кода, который требует включения клиентов в группу "Администраторы" для выполнения разработанного приложения. Если код, требующий доступа с правами администратора, внедрен во время разработки, то во время его выполнения возникнет сбой, предупреждающий о том, что для запуска приложения клиенты должны обладать правами администраторов.
Код, для которого требуются привилегии администратора
Для выполнения некоторых операций требуется доступ с правами администратора. По возможности следует рассмотреть альтернативные варианты кодирования. Ниже приведены примеры кодов операций, для которых требуется доступ с правами администратора:
Запись в защищенные области файловой системы, например, в каталоги Windows или Program Files
Запись в защищенные области реестра, например, HKEY_LOCAL_MACHINE
Установка сборок в глобальный кэш сборок (GAC)
В основном эти действия должны выполняться только программами установки приложений. Это дает возможность пользователям только временно воспользоваться статусом администратора.
Отладка
Пользователь может провести отладку любых приложений (машинных или неуправляемых), которые были запущены из Visual Studio участником, не обладающим правами администратора, если он станет участником группы отладки. В том числе, поддерживается возможность присоединения выполняющегося приложения с использованием команды "Присоединение к процессу". Однако для отладки машинного или управляемого приложения, которое было запущенно другим пользователем, необходимо быть участником группы "Администраторы".