Контроль облікових записів (UAC) — функція безпеки Windows, яка запускає програми з правами звичайного користувача й запитує підтвердження, коли дії потрібні права адміністратора.
Як працює UAC
UAC з’явився у Windows Vista 2007 року, щоб зменшити шкоду від звички користувачів постійно працювати з правами адміністратора. Коли адміністратор входить у систему, Windows створює два маркери доступу: відфільтрований маркер звичайного користувача для повсякденних програм і повний маркер адміністратора. Якщо програмі потрібні підвищені права — для встановлення ПЗ чи зміни системних налаштувань, — UAC показує запит:
- запит згоди («Так/Ні») для членів групи «Адміністратори»;
- запит облікових даних для звичайних користувачів, які мають ввести пароль адміністратора.
Запит зазвичай відображається на «безпечному робочому столі», з яким інші програми не можуть взаємодіяти. UAC також використовує рівні цілісності та віртуалізацію файлів і реєстру для застарілих застосунків.
Чому UAC важливий
UAC підтримує принцип мінімальних привілеїв: шкідливе ПЗ, запущене користувачем, не отримує автоматично повного контролю над системою. Утім, Microsoft не вважає UAC межею безпеки, а за типових налаштувань деякі довірені бінарні файли Windows підвищують права без запиту. Зловмисники використовують це в техніках обходу UAC (MITRE ATT&CK T1548.002): наприклад, перехоплюють ключі реєстру Windows, які зчитують програми з автоматичним підвищенням прав, як-от fodhelper.exe або eventvwr.exe, і команда зловмисника виконується з високим рівнем цілісності без жодного запиту. Обхід UAC — частий крок підвищення привілеїв у масового шкідливого ПЗ і програм-вимагачів.
Рекомендації
- Не вимикати UAC і на критичних системах обирати рівень «Завжди сповіщати».
- Надавати користувачам звичайні облікові записи, а для адміністрування використовувати окремі.
- Відстежувати зміни ключів реєстру, пов’язаних з автопідвищенням, і незвичні дочірні процеси програм з автоматичним підвищенням прав.
