Funzionalità e come configurare GPO UAC in Windows 10

I sistemi operativi Windows includono una serie di opzioni pratiche che ci aiutano a migliorare la sicurezza al suo interno e nelle sue applicazioni.

Una di queste misure di sicurezza è il noto UAC (User Account Control) poiché è stato sviluppato per impedire l'introduzione di virus o malware nel sistema che ne compromette l'operatività e il funzionamento e oggi Solvetic eseguirà un'analisi completa di come funziona l'UAC in Windows 10 e come possiamo configurarlo per ottenere il massimo da esso.

Cos'è l'UACUser Account Control o UAC, è una funzionalità di Windows 10 che ci aiuta a prevenire l'installazione di un certo tipo di malware sul computer, compromettendone il funzionamento e, nel processo, contribuisce alle organizzazioni che hanno la capacità di implementare un desktop. miglioramenti amministrativi e gestionali.

Grazie a UAC, le applicazioni e le attività verranno sempre eseguite in un ambiente sicuro utilizzando un account amministratore.

Con UAC sarà possibile bloccare l'installazione automatica di applicazioni non autorizzate ed evitare modifiche involontarie nella configurazione del sistema poiché tutte le minacce che un malware ha nel suo codice possono arrivare per distruggere, rubare o alterare il comportamento del sistema.

Implementando UAC, possiamo consentire agli utenti di accedere ai propri computer con un account utente standard, facilitando loro l'esecuzione di attività con i diritti di accesso associati a un account standard.

Come funziona l'UACQuando si utilizza UAC in Windows 10, ogni applicazione che deve utilizzare il token di accesso dell'amministratore deve richiedere l'approvazione o l'installazione sarà impossibile.

Windows 10 protegge i processi di sistema, contrassegnando i loro livelli di integrità. I livelli di integrità sono misure di affidabilità implementate per ottimizzare la sicurezza durante l'installazione di un determinato programma.

Un'applicazione con integrità "elevata" è un'applicazione che esegue attività che includono la modifica dei dati di sistema, come un'applicazione di partizione del disco, applicazioni di gestione della memoria RAM, ecc., mentre un'applicazione con integrità "bassa" è una che svolge attività che in alcuni point può influire sul sistema operativo, ad esempio un browser Web.

Le applicazioni classificate con livelli di integrità inferiori non possono modificare i dati nelle applicazioni con livelli di integrità superiori. Quando un utente standard tenta di eseguire un'applicazione che richiede un token di accesso amministratore, UAC richiede all'utente di fornire credenziali di amministratore valide per consentirgli di eseguire l'attività, motivo per cui quando eseguiamo un'applicazione dobbiamo confermare la rispettiva autorizzazione .

Processo di accesso in UACQuando UAC è implementato in Windows 10, per impostazione predefinita tutti gli utenti e gli amministratori che si trovano nel gruppo standard avranno accesso alle risorse e avranno la possibilità di eseguire applicazioni nel contesto di sicurezza degli utenti standard, che è limitato.

Ora, quando un utente accede a un computer, il sistema crea automaticamente un token di accesso per quel particolare utente, questo token di accesso include informazioni sul livello di accesso concesso all'utente, inclusi identificatori di sicurezza specifici (SID) e i privilegi di Windows definiti per ogni livello utente e il relativo permesso sarà concesso o meno.

Al contrario, quando un amministratore accede a Windows 10, verranno creati due token di accesso separati per questo utente: un token di accesso utente standard e un token di accesso amministratore.

Con il token di accesso utente standard ci saranno le stesse informazioni specifiche dell'utente del token di accesso amministratore, ma i privilegi amministrativi di Windows e i SID associati verranno rimossi.

Il token di accesso utente standard viene utilizzato per l'esecuzione di applicazioni che non svolgono attività amministrative (applicazioni utente standard) e quindi tutte le applicazioni eseguite come utente standard, a meno che un utente non fornisca il consenso o le credenziali per approvare un'applicazione che può rendere utilizzo di un token di accesso amministrativo completo.

In questo modo, un utente che appartiene al gruppo Administrators sarà in grado di accedere, navigare sul Web e leggere la posta utilizzando un token di accesso utente standard e quando l'amministratore deve eseguire un'attività che richiede il token. 10 chiederà automaticamente all'utente l'approvazione, ecco perché quando proveremo a eseguire un'applicazione vedremo il messaggio di approvazione o meno a detta applicazione.

Esperienza utente UACQuando viene implementato UAC, l'esperienza utente per un utente standard è diversa da quella degli amministratori in modalità di approvazione dell'amministratore, il che può influire sull'esecuzione di varie applicazioni.

L'accesso al sistema come utente standard aiuterà a massimizzare la sicurezza di un ambiente gestito poiché sapremo che tale utente non avrà l'autorità per installare software non autorizzato.

Con il componente di elevazione UAC integrato in Windows 10, gli utenti standard saranno in grado di eseguire facilmente un'attività amministrativa immettendo credenziali valide per un account di amministratore locale. Il componente di elevazione UAC integrato per gli utenti standard è l'indicatore delle credenziali che aiuta a gestire le autorizzazioni durante l'esecuzione delle applicazioni.

Con UAC abilitato in Windows 10, ogni volta che si tenta di eseguire un'applicazione, verrà richiesta l'autorizzazione o verranno richieste le credenziali di un account di amministratore locale valido prima di avviare un programma o un'attività che richiede un token di accesso completo dell'amministratore.

Questo avviso ci assicura che nessun software dannoso può essere installato silenziosamente.

Avvisi di elevazione UACLe richieste di elevazione in UAC sono codificate a colori per essere specifiche dell'applicazione, consentendoci di identificare immediatamente il rischio per la sicurezza di un'applicazione.

Quando un'applicazione tenta di essere eseguita con un token di accesso amministratore completo, Windows 10 analizza prima il file eseguibile per determinarne l'autore e quindi, se valido, autorizza il rispettivo accesso. Windows 10 utilizza tre categorie secondo l'editore:

• Windows 10

• Editore verificato (firmato)

• Editore non verificato (non firmato)

La codifica a colori della richiesta di elevazione in Windows 10 è la seguente:

• Sfondo rosso con un'icona a forma di scudo rosso: indica che questa applicazione è bloccata da Criteri di gruppo o proviene da un editore bloccato.

• Sfondo blu con un'icona a forma di scudo blu e oro: indica che l'applicazione è un'applicazione amministrativa di Windows 10, ad esempio un elemento del Pannello di controllo.

• Sfondo blu con un'icona a forma di scudo blu: si riferisce al fatto che questa applicazione è firmata utilizzando Authenticode ed è attendibile sul computer locale.

• Sfondo giallo con un'icona a forma di scudo giallo: questa app non è firmata o firmata ma non è ancora considerata attendibile dal computer locale.

Icona scudoAlcuni elementi del Pannello di controllo in Windows 10, ad esempio le proprietà di data e ora, hanno una combinazione di operazioni di amministratore e utente standard, gli utenti standard possono vedere l'orologio e modificare il fuso orario, ma un token di accesso completo dell'amministratore da modificare ora del sistema locale.

Per questo motivo vedremo il seguente scudo sul pulsante Modifica data e ora in detta opzione:

Ciò indica che il processo richiede un token di accesso amministratore completo e verrà visualizzato un indicatore di elevazione UAC quando si fa clic.

Architettura UACNel diagramma seguente possiamo vedere come è strutturato UAC in Windows 10.

I componenti di questo schema sono:

Livello utente

• L'utente esegue un'operazione che richiede privilegi - L'utente esegue un'operazione che richiede privilegi: In questo caso, se l'operazione modifica il file system o il registro, viene chiamata la virtualizzazione. Tutte le altre operazioni chiamano ShellExecute.

• ShellExecute: ShellExecute cerca l'errore ERROR_ELEVATION_REQUIRED da CreateProcess. Se si riceve l'errore, ShellExecute chiama il servizio di informazioni sull'applicazione per tentare di eseguire l'attività richiesta con il simbolo in rilievo.

• Processo di creazione: Se l'applicazione richiede l'elevazione, CreateProcess rifiuta la chiamata con ERROR_ELEVATION_REQUIRED.

Livello di sistema

• Servizio informazioni applicazioni: Il servizio informazioni sull'applicazione consente di avviare le applicazioni che richiedono uno o più privilegi o diritti utente elevati per l'esecuzione creando un nuovo processo per l'applicazione con un token di accesso completo dell'utente amministrativo quando è richiesta l'elevazione.

• Elevazione di un'installazione ActiveX - Elevazione di un'installazione ActiveX: Se ActiveX non è installato, il sistema controlla il livello del dispositivo di scorrimento UAC. Se ActiveX è installato, l'impostazione dei criteri di gruppo Controllo account utente è selezionata: Passa a desktop protetto quando si richiede l'elevazione.

• Controlla il livello del cursore UAC - Controlla il livello UAC: UAC ha quattro livelli di notifica tra cui scegliere e un dispositivo di scorrimento per selezionare il livello di notifica: Alto, Medio, Basso o Nessuna notifica.

Esperienza utente UACImpostazioni dei criteri di sicurezza per il controllo dell'account utente
In Windows 10 possiamo utilizzare le politiche di sicurezza per configurare l'operazione di Controllo dell'account utente all'interno della nostra azienda.

Questi possono essere configurati localmente utilizzando lo snap-in Criteri di sicurezza locali (secpol.msc) o configurati per il dominio, l'unità organizzativa o gruppi specifici tramite Criteri di gruppo. Alcune delle politiche disponibili sono:

Controllo dell'account utente Modalità di approvazione dell'amministratore per l'account amministratore integratoCon questa policy controlliamo il comportamento della modalità di approvazione dell'amministratore per l'account amministratore integrato e le opzioni sono:

• Abilitato: Quando questo criterio è abilitato, l'account amministratore integrato utilizza la modalità di approvazione dell'amministratore. Per impostazione predefinita, qualsiasi operazione che richiede l'elevazione dei privilegi richiederà all'utente di approvare l'operazione.

• Disabilitato: È l'opzione predefinita e con essa l'account amministratore integrato esegue tutte le applicazioni con privilegi amministrativi completi.

Controllo dell'account utente: consente all'applicazione UIAccess di richiedere l'elevazione senza utilizzare il desktop protettoGrazie a questa policy sarà possibile controllare se i programmi di accessibilità dell'interfaccia utente (UIAccess o UIA) possono disabilitare automaticamente il desktop sicuro per i messaggi di elevazione utilizzati da un utente standard. Le tue opzioni sono:

• Abilitato: Questa opzione disabilita automaticamente il desktop protetto per le richieste di elevazione.

• Disabilitato: Il desktop protetto può essere disabilitato solo dall'utente del desktop interattivo o disabilitando l'impostazione del criterio "Controllo dell'account utente: passa al desktop protetto su richiesta di elevazione".

Controllo dell'account utente - Comportamento del messaggio di elevazione per gli amministratori in modalità di approvazione dell'amministratoreIn questa politica controlleremo il comportamento dell'indicatore di elevazione per gli amministratori. Le opzioni disponibili sono:

• Alza senza chiedere: Consente agli account con privilegi di eseguire un'operazione che richiede l'elevazione senza la necessità del consenso o delle credenziali dell'utente.

• Richiedi le credenziali sul desktop sicuro: Quando un'operazione richiede l'elevazione dei privilegi, all'utente viene richiesto di immettere un nome utente e una password privilegiati sul desktop protetto.

• Richiesta di consenso sul desktop sicuro: Quando un'operazione richiede un'elevazione dei privilegi, all'utente viene richiesto di selezionare Consenti o Nega l'azione sul desktop protetto.

• Richiedi le credenziali: Quando un'operazione richiede l'elevazione dei privilegi, all'utente viene richiesto di immettere un nome utente e una password amministrativi.

• Richiesta di consenso: Quando un'operazione richiede l'elevazione dei privilegi, all'utente viene richiesto di selezionare Consenti o Nega.

• Richiesta di consenso per binari non Windows (impostazione predefinita): Quando un'operazione per un'applicazione non Microsoft richiede l'elevazione dei privilegi, all'utente viene richiesto di selezionare Consenti o Nega sul desktop protetto.

Controllo dell'account utente: comportamento dell'indicatore di elevazione per utenti standardGrazie a questa policy possiamo controllare il comportamento dell'indicatore di elevazione per gli utenti standard. Le opzioni sono:

• Richiedi credenziali (predefinito): Quando un'operazione richiede l'elevazione dei privilegi, all'utente viene richiesto di immettere un nome utente e una password amministrativi.

• Nega automaticamente le richieste di aumento: Quando un'operazione richiede l'elevazione dei privilegi, viene visualizzato un messaggio di errore di accesso all'accesso configurabile.

• Richiedi le credenziali sul desktop sicuro: Quando un'operazione richiede l'elevazione dei privilegi, all'utente viene richiesto di immettere un nome utente e una password diversi sul desktop protetto.

Controllo dell'account utente: rileva le installazioni di app e richiedi l'elevazioneCon questa politica saremo in grado di controllare il comportamento del rilevamento dell'installazione dell'applicazione per il computer.
Le tue opzioni sono:

• Abilitato (predefinito): Quando viene rilevato un pacchetto di installazione dell'applicazione che richiede l'elevazione dei privilegi, all'utente verrà richiesto di immettere un nome utente e una password amministrativi.

• Disabilitato: I pacchetti di installazione di app disabilitati non vengono rilevati e vengono richieste le elevazioni. Le aziende che eseguono desktop utente standard e utilizzano tecnologie di installazione delegata, ad esempio Criteri di gruppo o System Center Configuration Manager, devono disabilitare questa impostazione di criteri.

Controllo account utente: carica solo file eseguibili firmati e convalidati
Utilizzando questo criterio, si definiscono i controlli di firma dell'infrastruttura a chiave pubblica (PKI) per qualsiasi applicazione interattiva che richiede l'elevazione dei privilegi.

Gli amministratori IT possono controllare quali applicazioni possono essere eseguite aggiungendo certificati all'archivio certificati di Autori attendibili sui computer locali. Le tue opzioni sono:

• Abilitato: Promuove la convalida del percorso di certificazione del certificato per un determinato file eseguibile prima che possa essere eseguito.

• Disabilitato: Non impone la convalida del percorso di certificazione del certificato prima che sia consentita l'esecuzione di un determinato file eseguibile.

Controllo dell'account utente: eleva solo le applicazioni UIAccess installate in posizioni sicureCon questo criterio sarà possibile controllare se le applicazioni che richiedono di essere eseguite con un livello di integrità dell'accessibilità dell'interfaccia utente (UIAccess) devono risiedere in una posizione sicura nel file system. Le posizioni sicure sono limitate ai seguenti percorsi:

 \ Programmi \, \ Windows \ system32 \, \ Programmi (x86) \. 

Le tue opzioni sono:

• Abilitato: Se un'applicazione risiede in una posizione sicura nel file system, viene eseguita solo con l'integrità di UIAccess.

• Disabilitato: Un'applicazione viene eseguita con l'integrità di UIAccess anche se non si trova in una posizione sicura nel file system.

Controllo dell'account utente - Abilita la modalità di approvazione dell'amministratoreImplementando questo criterio, saremo in grado di controllare il comportamento di tutte le impostazioni dei criteri di controllo dell'account utente (UAC) per il computer. Se modifichi questa impostazione dei criteri, devi riavviare il computer. Le opzioni disponibili sono:

• Abilitato: Consente l'esecuzione dell'account amministratore integrato e di tutti gli altri utenti membri del gruppo Administrators in modalità Approvazione amministratore.

• Disabilitato: Se questa impostazione di criteri è disabilitata, Centro sicurezza ti avviserà che la sicurezza complessiva del sistema operativo è stata ridotta.

Controllo dell'account utente: passa al desktop protetto quando richiedi l'elevazioneCon questo criterio sarà possibile controllare se il messaggio di richiesta di passaggio viene visualizzato sul desktop dell'utente interattivo o sul desktop protetto. Lì possiamo stabilire quanto segue:

• Abilitato: Tutte le richieste di sollevamento vanno al desktop protetto, indipendentemente dalle impostazioni dei criteri di comportamento delle notifiche per gli amministratori e gli utenti standard.

• Disabilitato: Tutte le richieste di sollevamento vengono inviate al desktop dell'utente interattivo. Vengono utilizzate le impostazioni standard dei criteri di comportamento dell'utente e dell'amministratore.

• Tutte queste opzioni si trovano utilizzando la combinazione di tasti + R ed eseguendo il comando secpol.msc

Nella finestra visualizzata andremo al percorso Criteri locali/Opzioni di sicurezza.

Configurazione delle chiavi di registroLe chiavi di registro UAC possono essere trovate nel seguente percorso dell'editor del registro a cui accediamo utilizzando le chiavi ed eseguendo regedit:

 HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System

I record disponibili sono:

FiltroToken amministratorele opzioni sono:

 0 (Default) = Disabilitato 1 = Abilitato

EnableUIADesktopToggleLe tue opzioni sono:

 0 (Default) = Disabilitato 1 = Abilitato

ConsensoPromptComportamentoAdminLe tue opzioni sono:

 0 = Aumenta senza chiedere conferma 1 = Richiedi credenziali su desktop protetto 2 = Richiedi consenso su desktop protetto 3 = Richiedi credenziali 4 = Richiedi consenso 5 (impostazione predefinita) = Richiedi consenso per file binari non Windows

ConsensoPromptComportamentoUtenteLe tue possibilità sono:

 0 = Nega automaticamente le richieste di elevazione 1 = Richiedi credenziali su desktop protetto 3 (Predefinito) = Richiedi credenziali

EnableInstallerDetectionLe tue opzioni sono:

 1 = Abilitato (predefinito per le edizioni Home) 0 = Disabilitato (predefinito per le edizioni Enterprise)

Convalida codice amministratore firmeLe tue opzioni sono:

 0 (Default) = Disabilitato 1 = Abilitato

EnableSecureUIAPathsLe tue opzioni sono:

 0 = Disabilitato 1 (Default) = Abilitato

AbilitaLUALe tue opzioni sono:

 0 = Disabilitato 1 (Default) = Abilitato

Come abbiamo capito, UAC è stato sviluppato per aiutarci ad avere un migliore controllo sui processi che vengono eseguiti in Windows 10, pensando sempre alla sicurezza e alla privacy di ogni utente.