Segurança: quanto acesso o TrustedInstaller precisa?

Question

Estou tentando bloquear meus servidores IIS e SQL. Eu tenho uma lista de itens para verificar, mas a lista de verificação não leva em conta a conta TrustedInstaller, que parece ter permissões de arquivo para tudo.

Um problema que estou tendo é que eu preciso fazer algumas alterações de registro / dll. Muitas das entradas de registro que preciso modificar, assim como toda a pasta System32, são de propriedade do TrustedInstaller. Para fazer as alterações que preciso fazer, estou tendo que apropriar-me dos arquivos / entradas de registro e, em seguida, conceder acesso adicional a mim mesmo.

Outro problema que estou tendo é o bloqueio de certas pastas, como as dlls do IIS no system32. Eu quero minimizar o número de contas que têm acesso a essa pasta, e estou percebendo novamente que o TrustedInstaller é proprietário e tem controle total sobre esses arquivos.

Então, para que exatamente o TrustedInstaller é usado, e ele precisa ser o proprietário desses arquivos? Se não o dono, requer controle total sobre esses arquivos?

Estou usando o Windows Server 2008 R2.

    

Answer 1

Você não precisa alterar as permissões de segurança.

Nas versões recentes do Windows nos arquivos do Windows, como System32, apenas TrustedInstaller tem permissões de modificação, nem mesmo a conta System .

Desde o Windows Vista e o Windows Server 2008, o Windows Services pode estar nas ACLs de uma pasta. E a conta TrustedInstaller é o Instalador de Módulos do Windows do Serviço que é usado para arquivos de alteração quando o Windows está executando uma atualização.

Você não precisa nem deve alterar esse comportamento padrão.