Quali sono i rischi per la sicurezza nell'esecuzione di un servizio Windows come "Sistema locale"?

Question

Ho scritto un servizio .NET di Windows che funziona come "Sistema locale". Recentemente ho letto che, in esecuzione come sistema locale potrebbe esporre le credenziali di sistema agli hacker consentendo loro di prendere in consegna il sistema. Quali sono i rischi coinvolti e come posso prevenirli quando eseguo il servizio come sistema locale.

Answer 1

I servizi in esecuzione come LocalSystem fanno parte dello spazio attendibile del sistema. Tecnicamente parlando, hanno il privilegio SeTcbName. Questo significa, tra l'altro, che tali servizi possono alterare qualsiasi impostazione di sicurezza, concedere loro stessi privilegi e generalmente fare qualsiasi cosa che Windows può fare.

Come risultato, qualsiasi difetto nel servizio - input non pubblicizzato passato a funzioni di sistema, percorsi di ricerca di dll errati, sovraccarichi del buffer, qualsiasi cosa - diventa un buco di sicurezza critico. Questo è il motivo per cui nessun amministratore di sistema in un ambiente aziendale consentirà l'installazione del servizio se viene eseguito con LocalSystem. Utilizzare gli account LocalService e NetworkService.

Answer 2

Con qualsiasi servizio eseguito o credo in qualsiasi applicazione, è necessario che l'applicazione rimuova le autorizzazioni non necessarie per ridurre l'impatto degli hacker.

Quindi, se il servizio non ha bisogno di scrivere nella directory locale, o eliminare, quindi rimuovere tale autorizzazione.

Inoltre, è possibile verificare se è necessario accedere alle chiavi del Registro di sistema.

Ci sono varie autorizzazioni che è possibile rimuovere per limitare il danno che si può fare.

Modifica: è possibile effettuare una ricerca per S2. Window Services per trovare ulteriori informazioni sui rischi dovuti al sistema locale. http://www.sans.org/top20/

Answer 3

Credo che il problema principale è che se qualcuno scoprirà un bug di sicurezza nel vostro servizio che gli permette di risorse di sistema di accesso e/o l'esecuzione di codice - l'accesso/esecuzione con diritti di sistema locale (che sono gli stessi di built negli amministratori). La domanda è: sei assolutamente sicuro che il tuo servizio sia a prova di hacker ?? : P