Protección de recursos de Windows

La Protección de recursos de Windows es una función introducida en Windows Vista y Windows Server 2008. Está disponible en todos los sistemas operativos Windows posteriores y reemplaza a la Protección de archivos de Windows . La Protección de recursos de Windows impide la sustitución de archivos, claves de registro y carpetas críticos del sistema . La protección de estos recursos evita fallos del sistema. ^{[ 1 ]} La forma en que protege los recursos difiere completamente del método utilizado por la Protección de archivos de Windows.

La Protección de recursos de Windows (WRP) funciona registrándose para recibir notificaciones de cambios de archivos en Winlogon . Si se detecta algún cambio en un archivo del sistema protegido, el archivo modificado se restaura desde una copia en caché ubicada en %WinDir%\WinSxS\Backup . ^{[ 2 ]} La Protección de recursos de Windows funciona estableciendo listas de control de acceso discrecional (DACL) y listas de control de acceso (ACL) definidas para los recursos protegidos. El permiso para el acceso completo para modificar los recursos protegidos por WRP está restringido a los procesos que utilizan el servicio Instalador de módulos de Windows ( C:\Windows\servicing\TrustedInstaller.exe ). Los administradores ya no tienen derechos completos sobre los archivos del sistema; deben usar SetupAPI o tomar posesión del recurso y agregar las entradas de control de acceso (ACE) apropiadas para modificarlo o reemplazarlo. La cuenta TrustedInstaller se utiliza para proteger los archivos principales del sistema operativo y las claves del registro .

La Protección de recursos de Windows protege una gran cantidad de tipos de archivos:

*.acm *.ade *.adp *.app *.asa *.asp *.aspx *.ax *.bas *.bat *.bin *.cer *.chm *.clb *.cmd *.cnt *.cnv *.com *.cpl *.cpx *.crt *.csh *.dll *.drv *.dtd *.exe *.fxp *.grp *.h1s *.hlp *.hta *.ime *.inf *.ins *.isp *.its *.js *.jse *.ksh *.lnk *.mad *.maf *.mag *.mam *.man *.maq *.mar *.mas *.mat *.mau *.mav *.maw *.mda *.mdb *.mde *.mdt *.mdw *.mdz *.msc *.msi *.msp *.mst *.mui *.nls *.ocx *.ops *.pal *.pcd *.pif *.prf *.prg *.pst *.reg *.scf *.scr *.sct *.shb *.shs *.sys *.tlb *.tsp *.url *.vb *.vbe *.vbs *.vsmacros *.vss *.vst *.vsw *.ws *.wsc *.wsf *.wsh *.xsd *.xsl 

WRP también protege varias carpetas críticas. Una carpeta que contenga solo archivos protegidos por WRP puede bloquearse para que solo el usuario TrustedInstaller pueda crear archivos o subcarpetas en ella. Una carpeta puede bloquearse parcialmente para permitir que los administradores creen archivos y subcarpetas en ella. Las claves de registro esenciales instaladas por Windows Vista también están protegidas. Si una clave está protegida por WRP, todas sus subclaves y valores pueden estar protegidos.

WRP copia únicamente los archivos necesarios para reiniciar Windows en el directorio de caché ubicado en %WinDir%\WinSxS\Backup . Los archivos críticos que no son necesarios para reiniciar Windows no se copian en el directorio de caché, a diferencia de la Protección de archivos de Windows, que almacenaba en caché todos los tipos de archivos protegidos en la carpeta Dllcache . El tamaño del directorio de caché y la lista de archivos copiados a la caché no se pueden modificar. ^{[ 2 ]}

La Protección de recursos de Windows aplica medidas más estrictas para proteger los archivos. Por lo tanto, la Protección de archivos de Windows no está disponible en Windows Vista. Para reemplazar un archivo protegido, era necesario desactivar completamente la Protección de archivos de Windows; la Protección de recursos de Windows funciona elemento por elemento mediante la configuración de listas de control de acceso (ACL). De esta forma, al tomar posesión de un elemento, este puede reemplazarse, mientras que los demás permanecen protegidos.

El Comprobador de archivos del sistema también está integrado con WRP. ^{[ 3 ]} En Windows Vista, se puede usar Sfc.exe para comprobar rutas de carpetas específicas, incluidas la carpeta de Windows y la carpeta de arranque.

En Windows Vista y Server 2008, el acceso completo a la Protección de recursos de Windows está restringido al usuario TrustedInstaller. El servicio Instalador de módulos de Windows puede reemplazar recursos utilizando los siguientes métodos:

• Instalación de Service Packs de Windows ^{[ 4 ]}
• Instalación de actualizaciones y parches de Windows
• Realizar actualizaciones del sistema operativo

Se genera un mensaje de error si las aplicaciones intentan reemplazar un recurso WRP utilizando métodos diferentes. En estos casos, se deniega el acceso al recurso a las aplicaciones o instaladores. ^{[ 5 ]}

• Protección de archivos de Windows
• Comprobador de archivos del sistema
• Lista de control de acceso
• Identificador de seguridad

• Evolucionando el organismo de software - Blogs de MSDN, Chris Jackson (Archivado del original)