Opcje ograniczania ryzyka procesów

Ta funkcja zabezpieczeń umożliwia zastępowanie poszczególnych ustawień opcji ograniczania ryzyka procesów. Służy ona do wymuszania różnych zasad zabezpieczeń dla określonych aplikacji. Nazwa aplikacji jest określana jako nazwa wartości (wraz z rozszerzeniem). Wartość jest określana jako pole bitowe z flagami na odpowiednich pozycjach. Bity mogą przyjmować wartości 0 (wymuszone wyłączenie ustawienia), 1 (wymuszone włączenie ustawienia) lub ? (ustawienie zachowuje wartość istniejącą przed wyznaczeniem wartości obiektu zasad grupy). Rozpoznawane lokalizacje bitów:

PROCESS_CREATION_MITIGATION_POLICY_DEP_ENABLE (0x00000001)
Włącza zapobieganie wykonywaniu danych dla procesu podrzędnego.

PROCESS_CREATION_MITIGATION_POLICY_DEP_ATL_THUNK_ENABLE (0x00000002)
Włącza emulację wywołania 32-bitowego DEP-ATL dla procesu podrzędnego. Emulacja wywołania 32-bitowego DEP-ATL powoduje przechwytywanie przez system błędów NX pochodzących z warstwy wywołań 32-bitowych biblioteki ATL.

PROCESS_CREATION_MITIGATION_POLICY_SEHOP_ENABLE (0x00000004)
Włącza funkcję ochrony przed zastępowaniem strukturalnej obsługi wyjątków (SEHOP) dla procesu podrzędnego. Funkcja SEHOP blokuje możliwość wykorzystania luk z użyciem techniki zastępowania strukturalnej obsługi wyjątków (SEH).

PROCESS_CREATION_MITIGATION_POLICY_FORCE_RELOCATE_IMAGES_ALWAYS_ON (0x00000100)
Zasady losowego generowania układu przestrzeni adresowej (ASLR) wymuszają zmianę bazy obrazów niezgodnych z bazą dynamiczną, symulując konflikt baz obrazów podczas ładowania. Jeśli wymagane są relokacje, obrazy bez sekcji relokacji bazy nie zostaną załadowane.

PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_ON (0x00010000)
PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_OFF (0x00020000)
Zasady generowania losowego od dołu do góry, które uwzględniają opcje generowania losowego stosu, powodują używanie losowej lokalizacji jako najniższego adresu użytkownika.

Na przykład w celu włączenia ustawień PROCESS_CREATION_MITIGATION_POLICY_DEP_ENABLE oraz PROCESS_CREATION_MITIGATION_POLICY_FORCE_RELOCATE_IMAGES_ALWAYS_ON należy wyłączyć ustawienie PROCESS_CREATION_MITIGATION_POLICY_BOTTOM_UP_ASLR_ALWAYS_OFF, a w celu pozostawienia wartości domyślnych wszystkich pozostałych opcji należy podać wartość:
???????????????0???????1???????1

Ustawienie niewymienionych tutaj flag na wartości inne niż ? spowoduje niezdefiniowane zachowanie.

Opcje ograniczania ryzyka procesów

Registry Hive	HKEY_LOCAL_MACHINE or HKEY_CURRENT_USER
Registry Path	SOFTWARE\Policies\Microsoft\Windows NT\MitigationOptions\ProcessMitigationOptions
Value Name	{number}
Value Type	REG_SZ
Default Value