Есть ли окна, эквивалентные chroot?

24

В системе * nix я могу использовать chroot для изоляции двух процессов друг от друга и от остальной части системы. Есть ли подобная система безопасности под окнами? Или есть какой-нибудь способ запретить двум процессам читать / записывать файлы друг друга?

windows windows-server-2008 security chroot ладья
источник
1
Я не уверен, что тег безопасности здесь гарантирован. kerneltrap.org/Linux/Abusing_chroot
MDMarra
1
@ The Rook - В этом обсуждении ядра разработчики ядра обсуждают тот факт, что chroot никогда не предназначался для устройства безопасности /
MDMarra
1
@ The Rook - Да, я просто говорил, что вы можете перефразировать вопрос. Существуют расширения для chroot или spins в концепции (например, тюрьмы), которые были разработаны с учетом безопасности. В своем посте вы упоминаете chroot как защитное устройство, которым оно никогда не предназначалось.
MDMarra
1
@ Натан Адамс Я согласен, но "безопасность в слоях".
Ладья
1
Похоже , я спросил что - то довольно подобное здесь . Вам когда-нибудь удавалось настроить это на Windows Server? Ответ, который вы приняли, не объясняет, как это сделать, и не говорит, что это невозможно ...
RomanSt

Ответы:

5

Я не уверен, что вы получите что-то в Windows путем хроматирования - есть ли у вас особые потребности?

В случае каких-либо лучших результатов на Google является http://www.winquota.com/wj/ .

Возможно, виртуализация приложений может быть вариантом? Microsoft может сказать следующее:

В физической среде каждое приложение зависит от своей ОС для ряда услуг, включая распределение памяти, драйверы устройств и многое другое. Несовместимость между приложением и его операционной системой может быть решена с помощью виртуализации сервера или виртуализации представления; но для несовместимости между двумя приложениями, установленными на одном и том же экземпляре ОС, вам необходима Application Virtualization.

Джон Роудс
источник
5
Один из моих процессов был плохо написан и очень небезопасен, руководство не хочет его исправлять, потому что это будет «слишком дорого». Я ожидаю, что этот процесс в конечном итоге станет собственностью, и я хочу ограничить влияние на мою систему. Если вы действительно верите, что нечего получить, вы должны прочитать больше о chroots.
Ладья
1
@Rook Потому что в Windows вы можете иметь права доступа, отделенные от структуры файловой системы. Если не принимать во внимание ваше замечание в разделе комментариев этого ответа , то именно такой подход большинство людей выбирает для изоляции частей файловой системы от процесса, который не авторизован для доступа к ней; просто дайте пользователю процесс, запущенный под доступом к подмножеству файловой системы и служб, которые ему нужны.
Асад Саидуддин
@Asad Saeeduddin Говоря о файловых системах, разве Windows просто не запускает ненадежные исполняемые файлы, найденные на флешках USB ? Какой сейчас год?
Ладья
У меня есть особая потребность, не связанная с безопасностью - эта программа, которую я переношу, рассчитывает работать на своей собственной корневой файловой системе, и было бы огромным усилием перенести ее для правильного использования текущих каталогов. К счастью, он работает независимо от файловой системы - в Windows он просто растянется по корню диска, на котором он запущен. Если бы я мог просто «псевдоним» корневого каталога в Windows к какому-либо подкаталогу, это было бы намного чище и проще для отслеживания, поэтому я хотел бы получить chroot.
Фонд Моника иск
7

Песочница http://www.sandboxie.com/

Не совсем как у chroot. Он устанавливает песочницу для каждой программы, которую вы укажете. Это может легко держать процессы изолированными.

Джейсон Берг
источник
2

Я бы не стал использовать ничего подобного, вы работаете под Windows mate.

NTFS обладает наиболее детализированными правами доступа, которые вы можете найти. Нетрудно позволить процессу начать с пользователя с более низким уровнем привилегий, и только предоставив этому пользователю доступ к файлам этого единственного приложения.

Не нужно использовать что-то вроде chroot, который не является инструментом безопасности, когда вы уже можете определить, что пользователю разрешено делать, что и в каком каталоге.

Он ничем не отличается от того, что дает Apache под Linux своего собственного пользователя, ему разрешено работать только внутри его папок.

Хорошо Dokey
источник
2
Это правильный ответ о том, почему chroot не нужен
Джим Б
@rook, тогда они не смогли следовать инструкциям BPSAD и PTH, чтобы устранить атаки золотых билетов. Насколько я знаю, это все еще работает только на * nix основе.
Джим Б
Разделение @Jim B может показаться чуждым на платформе, которая обычно предоставляет административные права браузеру, базе данных и веб-серверу. однако, песочницы - очень важная мера глубокой защиты, независимо от платформы.
Ладья
@rook, я думаю, что вы путаете права с изоляцией, Windows по умолчанию изолирует процессы. Процессы могут получить доступ к другому процессу или интегрироваться с ним или влиять на него, только если у него есть разрешение.
Джим Б.
@ JimB, я не думаю (так что, если я полностью не понял ваш комментарий). Например, запуск процесса в Windows 7 не выдает запроса безопасности, после чего процесс может прочитать 90% вашего накопителя без необходимости запрашивать об этом какой-либо системный процесс. Только если она попытается изменить, скажем, «C: \ Program Files», ОС сможет ударить по запястьям, но это не безопасность, это фундаментальные основы, которые почти не рассматриваются.
dimitarvp