DEP Data Execution Prevention (Prevenção de Execução de Dados)

Transcrição

1 DOCUMENTO REFERÊNCIA DEP Data Execution Prevention DEP / Segurança DATA DO DOCUMENTO PREPARADO POR 11/04/2007 Adolpho Souza DATA DA REVISÃO MODIFICADO POR VERSÃO 1.0 INTRODUÇÃO A Microsoft incluiu um recurso no windows que ajuda a proteger seu computador contra a inserção de códigos mal-intencionados em áreas da memória do computador reservadas para código não executável, implementando um conjunto de tecnologias baseadas em hardware e software chamado DEP. O DEP baseada em hardware é um recurso de determinados processadores que impede a execução de códigos em regiões da memória marcadas como armazenamento de dados. Este recurso é também conhecido como No-Execute e Execution Protection. O Windows também inclui DEP baseado em software, que foi projetado para reduzir explorações de mecanismos de manipulação de exceções no Windows. Ao contrário de um programa antivírus, as tecnologias DEP baseadas em hardware e software não foram projetadas para impedir que programas perigosos sejam instalados no seu computador. Em vez disso, elas monitoram os programas instalados para ajudar a determinar se eles estão usando a memória do sistema de forma segura. Para monitorar seus programas, a DEP baseada em hardware identifica locais da memória declarados como "não executável". Quando a memória é declarada como "não executável" e um programa tenta executar código da memória, o Windows fecha tal programa para impedir código mal-intencionado. Isto acontece independentemente de o código ser ou não mal-intencionado. Observação: O DEP baseada em software é parte integrante do Windows e vem ativada por padrão, independentemente das funções da DEP baseada em hardware do processador. Por padrão, a DEP baseada em software aplica-se a componentes e serviços centrais do sistema operacional. A configuração padrão da DEP foi projetada para proteger seu computador com o mínimo de impacto sobre a compatibilidade com aplicativos. No entanto, dependendo da configuração da DEP, é possível que alguns programas não funcionem corretamente. Você pode usar as tarefas descritas neste documento para configurar a DEP no seu computador. A Cadsoft recomenda a utilização da opção 1: Opções de configuração do DEP 1. Adicione programas à lista de exceção da DEP. 2. Desative a DEP para todo o computador. 3. Configurando as opções de DEP em todo o sistema. Página 1 de 6

2 1. ADICIONE PROGRAMAS À LISTA DE EXCEÇÃO DA DEP Para ativar a lista de exceção do DEP 1. Clique em Iniciar e em Painel de Controle. 2. Em Selecione uma categoria, clique em Desempenho e Manutenção. 3. Em ou um ícone do Painel de Controle, clique em Sistema. 4. Clique na guia Avançado. 5. Na guia Desempenho, clique em Configurações. Página 2 de 6

3 6. Clique na guia Prevenção de Execução de Dados. 7. Clique em Adicionar. 8. Localize e selecione o arquivo executável do aplicativo que está falhando e clique em Abrir. Para Windows 32 Bits: COM Surrogate: C:\Windows\System32\dllhost.exe IIS Worker Process: C:\Windows\system32\inetsrv\w3wp.exe Internet Explorer: C:\Arquivos de Programas\Internet Explorer\iexplore.exe Página 3 de 6

4 Para Windows 64 Bits: Somente aplicações 32 bits são permitidas na lista da DEP. COM Surrogate: C:\WINDOWS\SysWOW64\dllhost.exe IIS Worker Process: C:\WINDOWS\SysWOW64\inetsrv\w3wp.exe Internet Explorer: C:\Program Files (x86)\internet Explorer\IEXPLORE.EXE 9. Na caixa de diálogo de aviso, clique em OK. O programa selecionado aparece na área de programas da DEP. 10. Clique em Aplicar e em OK. Aparecerá uma caixa de diálogo solicitando a reinicialização do computador para que a configuração tenha efeito. Clique em OK. 2. DESATIVE A DEP PARA TODO O COMPUTADOR Para desativar a DEP deve ser usado o arquivo boot.ini 1. Clique em Iniciar e em Painel de Controle. 2. Em Selecione uma categoria, clique em Desempenho e Manutenção. 3. Em ou um ícone do Painel de Controle, clique em Sistema. 4. Clique na guia Avançado e, na área Inicialização e Recuperação, clique em Configurações. Página 4 de 6

5 5. Na área Inicialização do Sistema, clique em Editar. 6. No Bloco de Notas, clique em Editar e Localizar. 7. No campo Localizar, digite /noexecute e clique em Localizar Próxima. 8. Na caixa de diálogo Localizar, clique em Cancelar. 9. Substitua o nível de diretiva (por exemplo, "OptOut") por "AlwaysOff (sem as aspas). AVISO: Insira o texto cuidadosamente. Observação: O argumento do arquivo boot.ini deve ficar assim: /noexecute=alwaysoff 10. No Bloco de Notas, clique em Arquivo e em Salvar. 11. Clique em OK para fechar Inicialização e Recuperação. 12. Clique em OK para fechar Propriedades do Sistema e, em seguida, reinicie seu computador. Página 5 de 6

6 3. CONFIGURANDO AS OPÇÕES DA DEP EM TODO O SISTEMA Para fazer quaisquer alterações à DEP em seu computador, você deve modificar um argumento do arquivo de configuração boot.ini referente à instalação do Windows que estiver executando no momento. O argumento do boot.ini é: /noexecute =Policy_level A tabela 1 lista as opções para Policy_level. Tabela 1 Opções do nível de diretiva do boot.ini para DEP Nível de diretiva OptIn (configuração padrão) OptOut AlwaysOn AlwaysOff Descrição Foi aplicada proteção DEP somente aos componentes e serviços do sistema Windows A DEP está ativada para todos os processos. Os administradores podem criar manualmente uma lista de aplicativos específicos que não possuem proteção DEP A DEP está ativada para todos os processos A DEP não está ativada para nenhum processo IMPORTANTE: Após fazer quaisquer alterações no arquivo boot.ini, você deverá reinicializar o computador. Para obter mais informações sobre a proteção de memória do Windows, consulte: "A detailed description of the Data Execution Prevention (DEP) feature in Windows XP Service Pack 2, Windows XP Tablet PC Edition 2005, and Windows Server 2003" (em inglês) no site Microsoft em Página 6 de 6