Opzioni di mitigazione processo

Questa funzionalità di sicurezza offre un sistema per sostituire le singole impostazioni MitigationOptions dei processi. Può essere usata per applicare numerosi criteri di sicurezza specifici alle applicazioni. Il nome dell'applicazione è specificato come nome del valore, inclusa l'estensione. Il valore è specificato come un campo bit con una serie di contrassegni in posizioni particolari. I bit possono essere impostati su 0 (l'impostazione è forzata come disattivata), 1 (l'impostazione è forzata come attivata) o ? (l'impostazione mantiene il proprio valore esistente prima della valutazione del GPO). Le posizioni dei bit riconosciute sono:

PROCESS_CREATION_MITIGATION_POLICY_DEP_ENABLE (0x00000001)
Abilita la Protezione esecuzione programmi (DEP) per il processo figlio

PROCESS_CREATION_MITIGATION_POLICY_DEP_ATL_THUNK_ENABLE (0x00000002)
Abilita l'emulazione thunk DEP-ATL per il processo figlio. L'emulazione thunk DEP-ATL consente al sistema di intercettare gli errori NX originati dal livello thunk ATL (Active Template Library).

PROCESS_CREATION_MITIGATION_POLICY_SEHOP_ENABLE (0x00000004)
Abilita SEHOP (Structured Exception Handler Overwrite Protection) per il processo figlio. SEHOP blocca gli exploit che usano la tecnica di sovrascrittura SEH (Structured Exception Handler).

PROCESS_CREATION_MITIGATION_POLICY_FORCE_RELOCATE_IMAGES_ALWAYS_ON (0x00000100)
Il criterio ASLR (Address Space Layout Randomization) riassegna forzatamente le immagini che non sono compatibili con le basi dinamiche operando come se fosse avvenuta una collisione delle basi delle immagini in fase di caricamento. Se sono richieste rilocazioni, le immagini che non hanno una sezione di rilocazione della base non verranno caricate.

PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_ON (0x00010000)
PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_OFF (0x00020000)
Il criterio di assegnazione casuale bottom-up, che include opzioni di assegnazione casuale dello stack, determina l'uso di una posizione casuale come indirizzo utente più basso.

Ad esempio, per abilitare PROCESS_CREATION_MITIGATION_POLICY_DEP_ENABLE e PROCESS_CREATION_MITIGATION_POLICY_FORCE_RELOCATE_IMAGES_ALWAYS_ON, disabilita PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_OFF e per mantenere i valori predefiniti di tutte le altre opzioni specifica un valore:
???????????????0???????1???????1

L'impostazione dei contrassegni non specificati qui su qualsiasi valore diverso da ? determina un comportamento indefinito.

Opzioni di mitigazione processo

Registry Hive	HKEY_LOCAL_MACHINE or HKEY_CURRENT_USER
Registry Path	SOFTWARE\Policies\Microsoft\Windows NT\MitigationOptions\ProcessMitigationOptions
Value Name	{number}
Value Type	REG_SZ
Default Value