Почему администраторы не имеют доступа к "системным" разрешениям?

Question

В Windows максимальный уровень привилегий, который вы можете иметь, - это права администратора. Но когда вы устанавливаете приложение, такое как антивирус, у них есть системные разрешения, которые на один уровень выше уровня администратора, и это то, чего я не понимаю.

Почему такие разрешения предоставляются приложению, а не пользователю? Такие приложения буквально имеют доступ ко всему, даже к местам, которые вы не можете видеть с разрешениями администратора, и могут помешать вам даже остановить процесс (который помогает вирусам защищаться). Они могут даже вводить вещи в загрузчик и, возможно, в BIOS. Почему Windows дает программам больше разрешений, чем администраторам?

Answer 1

Разница между SYSTEM и администраторами заключается не в безопасности, а в безопасности. Это в первую очередь для предотвращения случайного уничтожения людьми важных файлов и разделов реестра. (Возможно, это также защищает от неискушенного вредоносного ПО, но это не главная цель - администраторы могут сделать что-нибудь, если они будут достаточно стараться.)

Системные службы работают как SYSTEM потому что эта учетная запись специально предназначена для использования вещами, которые не привязаны к конкретному пользователю. Учетная запись SYSTEM также имеет специальную привилегию - SeTcbPrivilege , или Действовать как часть операционной системы - которая позволяет создавать токены входа для любого пользователя, не зная его пароля. Администраторы не имеют этой привилегии по умолчанию (хотя они могут назначать ее себе), потому что у них нет причин использовать ее - они устанавливают приложения для управления такими вещами. (Тем не менее, они могли бы написать свои собственные приложения, чтобы воспользоваться этими возможностями.)

Вы также упомянули способность некоторых программ не допускать прекращения работы. Они называются защищенными процессами и не могут быть прерваны каким-либо процессом пользовательского режима, даже тем, что работает как SYSTEM . Защита обеспечивается ядром, чтобы не допустить вмешательства вирусов в антивирусные программы.