Microsoft Dep

Der von der Hardwareseite durchgesetzte Data Execution Prevention markiert alle Speicherteile eines Vorgangs als nicht ausführungspflichtig, es sei denn, der Speicherteile beinhaltet ausdrücklich ausführungsfähige Codes. Data Execution Prevention trägt dazu bei, diese Attacken zu vermeiden, indem sie diese abfangen und eine Exception auslösen. Die hardwareerzwungene Verhinderung der Datenausführung ist ein Merkmal, das besagt, dass kein Programmcode aus diesem Bereich heraus gestartet werden darf.

Der Schutz vor Datenausführungen wird pro virtuellem Speicherbereich angewendet und verändert in der Regel ein Bit im PTE (Page Table Entry), um die Speicherkarte zu identifizieren. Je nach Prozessarchitektur unterscheidet sich die tatsächliche Hardware-Implementierung von Data Execution Prevention und Virtual Memory Pages Labeling. Allerdings können Prozessor, die hardwareerzwungene Datenausführungsprävention befürworten, eine Exception verursachen, wenn Quellcode von einer mit einem geeigneten Satz von Attributen versehenen Webseite ausgef??hrt wird.

AMD (Advanced Micro Devices) und Intel haben Windows kompatible Plattformen entwickelt und geliefert, die mit der Verhinderung von Datenausführungen auskommen. Bei diesen Überprüfungen handelt es sich um so genannte "softwareerzwungene Datenausführungsprävention", die verhindert, dass Programmcode mit bösartigen Inhalten die Ausnahmebehandlungsmechanismen in Windows ausnutzt. Softwaregestützte Datenausführungsprävention kann auf jedem beliebigen Rechner mit Windows XP SS2 durchgeführt werden.

Die softwareerzwungene Datenausführungsprävention sichert standardmäßig nur wenige Systembinaries, ungeachtet der hardwareerzwungenen DFÜ-Funktionen des Verarbeiters. Zu den Hauptvorteilen der Data Execution Prevention gehört, dass sie dazu beitragen kann, die Ausführung von Codes über mehrere Datensätze hinweg zu unterdrücken. Dazu gehören beispielsweise der Standard-Heap, mehrere Chargen und Storage-Pools. Hardwareerzwungene Verhinderung der Datenausführung entdeckt von diesen Stellen aus ausgeführter Programmcode und führt während der Ausführung zu einer Exception.

Prävention der Datenausführung kann dazu dienen, gewisse Arten der Nutzung von Sicherheitsschwachstellen zu vermeiden. Vor allem die Verhinderung der Datenausführung kann Ausfälle vermeiden, bei denen ein Virus oder ein anderer Angreifer weiteren Programmcode in einen Vorgang einsetzt und dann ausführt. Bei Systemen mit Data Execution Prevention würde die Durchführung des eingebetteten Quellcodes zu einer Exception auslösen.

Softwaregestützte Verhinderung der Datenausführung kann dazu dienen, Computerprogramme zu sperren, die Ausnahmeverarbeitungsmechanismen in Windows nutzen. Der Aufbau der Verhinderung der Datenausführung für das Betriebssystem wird durch entsprechende Parameter in der Start-Initialisierungsdatei festgelegt. Als angemeldeter Benutzer als Verwalter können Sie die Präventiveinstellungen für die Datenausführung über das Dialogfeld Systeme in der Systemsteuerung einrichten.

Windows-Unterstützung für vier systemübergreifende Konfigurationsmöglichkeiten zur Verhinderung von Hard- und Software-gestützten Datenausführungen. Die Datenausführungsprävention ist auf Rechnern mit Verarbeitern, die hardwaregestützte Datenausführungsprävention nutzen können, für eingeschränkte System-Binärdateien und Opt-in-Anwendungen standardmäßig eingeschaltet. In der Standardeinstellung bezieht sich die Verhinderung der Datenausführung bei dieser Einstellung nur auf Windows-System-Binärdateien. OptOutData Ausführungsschutz ist für alle Vorgänge voreingestellt.

Über das Dialogfeld Systeme in der Steuertafel können Anwender mithilfe des Dialogfelds Systeme in der Steuertafel automatisch eine Auflistung spezifischer Applikationen anlegen, die nicht der Datenausführungsprävention unterliegen. IT-Fachleute können mit dem Toolkit zur Anwendungskompatibilität eine oder mehrere Applikationen vom Datenschutz befreien. Korrekturen der Systemkompatibilität (Shims) werden zur Verhinderung der Datenausführung effektiv. AlwaysOnDie Verhinderung der Datenausführung betrifft das Gesamtsystem.

Sämtliche Vorgänge werden immer mit angewandter Datenausführungsprävention durchgeführt. Eine Ausnahmeliste für die Ausnahme von bestimmten Anträgen vom Datenschutz ist nicht verfügbar. Korrekturen der Systemkompatibilität (Shims) sind für die Verhinderung der Datenausführung nicht effektiv. Applikationen, die mit dem Toolkit zur Anwendungskompatibilität ausgeschlossen wurden, werden mit der Anwendung Data Execution Prevention durchgeführt. AlwaysOffDas Gesamtsystem ist nicht durch die Data Execution Prevention geschützt, ungeachtet der Unterstützung von DEP durch die Hardwaresysteme.

Das von der Hard- und Software durchgesetzte Data Execution Prevention und das von der Hard- und Software durchgesetzte Data Execution Prevention sind auf die selbe Art und Weise aufgesetzt. Bei der systemweiten Datenschutzrichtlinie für die Datenausführungsprävention, die auf Anmelden gesetzt ist, werden dieselben Windows-Kern-Binärdateien und -Programme sowohl durch die hardwareerzwungene Datenausführungsprävention als auch durch die softwareerzwungene Datenausführungsprävention gesichert.

Falls das Betriebssystem keine hardwaregestützte Datenausführungsprävention nutzen kann, sind die Windows-Kernbinaries und Anwendungen nur durch softwaregestützte Datenausführungsprävention gesichert. Auch wenn Sie ein Windows-Betriebssystem-Image zwischen Rechnern mit und ohne Hardware-Unterstützung zur Verhinderung von Datenausführungen bewegen, werden die Änderungen nicht vorgenommen. Beim Installieren von Windows XP SP2 und Windows Server 2003 oder höher ist die OptIn-Richtlinienebene automatisch eingeschaltet, es sei denn, bei einer unbeaufsichtigten Installierung wird eine andere Richtlinienebene festgelegt.

Falls die Angabe /noexecute=policy level im Startup-Eintrag für eine Windowsversion mit Support für Data Execution Prevention nicht enthalten ist, ist das gleiche wie bei der Einbeziehung der option /noexecute=OptIn. Als angemeldeter Benutzer können Sie die Verhinderung der Datenausführung zwischen den Richtlinien Abmeldung und Abmeldung auf der Karteireiter Verhinderung der Datenausführung im Dialogfeld Systemeigenschaften in manueller Weise einrichten.

Die folgende Vorgehensweise beschreibt, wie Sie die Verhinderung der Datenausführung auf dem PC manuell konfigurieren: Klicke auf Starten, klicke auf Run, gib system. kpl. in das Eingabefeld Open ein, und klicke dann auf OK. Wählen Sie auf der Karteikarte Advanced unter System Performance den Befehl Settings. Wählen Sie die Karteikarte Data Execution Prevention, und befolgen Sie dann eine der untenstehenden Anweisungen:

Auf Verhinderung der Datenausführung nur für benötigte Windowsprogramme und -Services einschalten anklicken, um die OptIn-Richtlinie zu wählen. Auf Datenausführungsprävention für alle Computerprogramme und Services außer den markierten deaktivieren anklicken, um die OptOut-Richtlinie zu wählen. Wählen Sie dann Add und fügt die Applikationen hinzu, für die die Data Execution Prevention nicht genutzt werden soll.

Doppelklicken Sie auf OK. IT-Profis können die systembasierte Konfiguration der Verhinderung von Datenausführungen mit einer Vielzahl von Verfahren kontrollieren. Um mit der Konfigurationsdatei Booten. ini zur Verhinderung der Datenausführung zur AlwaysOn-Richtlinie zu gelangen, gehen Sie wie folgt vor. Kicken Sie auf Starten, rechtsklicken Sie auf Arbeitsplatz, in dem Sie sich befinden, und dann auf Properties.

Wählen Sie auf der Karteikarte Advanced unter Startup and Restore den Befehl Settings. Unter Startup klickst du auf Edit. Wählen Sie im Bearbeitungsprogramm im Menüpunkt Bearbeitung den Befehl Suche. Gib im Eingabefeld Suche nach /noexecute ein, und klicke dann auf Weiter. Im Dialogfeld Find auf Cancel tippen.

Wählen Sie im Bearbeitungsprogramm im Dateimenü die Option Save. Doppelklicken Sie auf OK. Bei unbeaufsichtigten Installation von Windows XP SS2 können Sie die Akte unbeaufsichtigt. txt verwenden, um eine spezifische Sicherheitskonfiguration der Datenausführungsprävention vorzufüllen. Über den Befehl OSLoadOptionsVar im Abschnitt[Data] der Akte Unaufmerksam. txt können Sie eine systemgroße Konfiguration der Verhinderung der Datenausführung festlegen.

Wenn die Verhinderung der Datenausführung aus Kompatibilitätsgründen auf die Richtlinienebene OptOut eingestellt ist, kann sie für individuelle 32-Bit-Anwendungen gezielt abgeschaltet werden. Dazu können Sie auf der Karteikarte Data Execution Prevention im Dialogfeld Systemeigenschaften die Data Execution Prevention für eine Applikation gezielt ausschalten. DisableNX schaltet die Verhinderung der Datenausführung für das jeweilige Anwendungsprogramm aus.