Uac User Account Control

User Account Control - UAC
UAC es un componente de seguridad incluido en el Sistema Operativo a partir de Windows

Vista.
El objetivo de UAC (User Account Control) es minimizar el uso de “privilegios de

administración” por parte de los “usuarios estándar” en los equipos. De esta manera,
evitamos modificaciones del sistema operativo que puedan dar lugar a un comportamiento
no esperado.
Las ventajas principales de trabajar con los privilegios de usuario estándar por defecto, son
reducir el número de llamadas al help desk, así como minimizar el impacto de virus o
malware, por ejemplo.
Funcionamiento
Durante el proceso de logon se genera el token de acceso del usuario. En la generación de
dicho token se evalúan los SIDs y privilegios, de manera que si alguno se considera como
“elevado” se produce el split (o “división”) del token. Por una parte, se genera un token para
el “usuario estándar” con los SIDs y privilegios, y otro token elevado con todos SIDs y
privilegios del usuario.
Esta funcionalidad se denomina Protected Admin (PA). Con el Split del token incluso los
usuarios con privilegios de administración se comportan por defecto como “usuarios
estándar”, si en algún momento se requiere del uso de los privilegios elevados, se presentará
al usuario el aviso para utilizar las credenciales administrativas (es decir, el token elevado).
El Split del token se producirá siempre que:
❏ El usuario pertenezca a alguno de los grupos”administrativos”: Domain Admins,

Domain Controllers, Power Users, Print Operators, etc.
❏ Que el usuario tenga alguno de los privilegios “elevados”: Create a token object, Act
as part of the operating system, Debug Programs, Impersonate a client after
authentication,etc.
En la siguiente figura se muestra el comportamiento de Protected Admin:

Si el usuario que ha iniciado sesión en el equipo es un “usuario estándar” y la aplicación que
se está ejecutando necesita privilegios de administrador, el comportamiento por defecto es
solicitar al usuario las credenciales para realizar dicha operación. Este mensaje se recibe al
instalar o desinstalar una programa, abrir o cambiar la configuración del firewall, modificar la
configuración de las directivas de seguridad, configurar el acceso al escritorio remoto, etc. En
el caso de los “usuarios estándar” no se produce el split del token ya que dicha cuenta no
contiene ninguno de los SIDs o privilegios mencionados anteriormente.
En el caso de los administradores built-in (administrador del equipo y el administrador del

dominio) tampoco se produce el split del token ya que estos usuarios no están protegidos
por UAC.
Cuando es necesario un permiso o una contraseña para completar una tarea, UAC nos
advierte con uno de los cuatro tipos de cuadro de diálogo que se describen a continuación.
En la tabla siguiente se describen los distintos tipos de cuadro de diálogo usados como
notificación y se ofrecen instrucciones para responder a las notificaciones.
Icono Tipo Descripción
Una opción o característica que Este elemento tiene una firma digital válida
forma parte de Windows. que permite comprobar que su editor es
Microsoft. Si aparece este tipo de cuadro de
diálogo, normalmente resulta seguro
continuar.
Un programa que no forma parte Este programa tiene una firma digital válida,
de Windows. que ayuda a garantizar que es genuino y
permite comprobar la identidad del editor del
programa.
Un programa con un editor Este programa no tiene una firma digital

desconocido. válida de su editor. Esto no significa
necesariamente que haya un peligro, dado
que muchos programas legítimos más
antiguos no tienen firmas digitales.
El administrador del sistema ha Este programa ha sido bloqueado porque se
bloqueado este programa para sabe que no es de confianza.
que no pueda ejecutarlo.
Configuración
Para abrir Configuración del Control de cuentas de usuario, hacemos clic en el botón Inicio y,
a continuación, hacemos clic en Panel de control. En el cuadro de búsqueda, escribimos uac
y, a continuación, hacemos clic en Cambiar configuración de Control de cuentas de usuario.
A continuación se ofrece una descripción de la configuración de UAC y el posible impacto de

cada configuración en la seguridad del equipo.
Notificarme siempre
Ésta es la configuración más segura. Se nos notificará antes de que los programas realicen
cambios al equipo o a la configuración de Windows que requieran los permisos de un
administrador.
Cuando se nos notifique, el escritorio aparecerá atenuado y deberá aprobar o denegar la

solicitud en el cuadro de diálogo de UAC antes de poder cualquier realizar cualquier acción en
el equipo.
La atenuación del escritorio se denomina escritorio seguro porque no se pueden ejecutar

otros programas mientras esté atenuado.
Por cambios en el equipo
Se le notificará antes de que los programas realicen cambios al equipo que requieren
permisos de administrador.
No recibirá notificaciones si usted intenta realizar cambios en la configuración de Windows

que requieren permisos de administrador.
Se le notificará si un programa fuera de Windows intenta realizar cambios en la configuración

de Windows.
Por lo general es seguro permitir que se realicen cambios en la configuración Windows sin
que se nos notifique. Sin embargo, determinados programas incluidos con Windows pueden
recibir comandos o datos.
El software malintencionado se aprovecha de esta situación y usa estos programas para

instalar archivos o cambiar la configuración del equipo. Deberemos tener siempre cuidado a
la hora de permitir que programas se pueden ejecutar en el equipo.
Por cambios en el equipo (no atenuar escritorio)

Se nos notificará antes de que los programas realicen cambios en el equipo que requieran
No se nos notificará si intenta realizar cambios en la configuración de Windows que requieran

Se nos notificará si un programa que se encuentra fuera de Windows intenta realizar cambios
en una configuración de Windows.
Debido a que el cuadro de diálogo de UAC no se encuentra en el escritorio seguro con esta
configuración, es posible que otros programas puedan interferir con el aspecto visual del
diálogo. Esto supone un pequeño riesgo para la seguridad si ya tiene un programa
malintencionado ejecutándose en el equipo.
Nunca
No se nos notificará antes de que se realicen cambios en el equipo. Si ha iniciado sesión
como administrador, los programas pueden realizar cambios en el equipo sin que usted lo
sepa.
Si hemos iniciado sesión como usuario estándar, se denegará automáticamente los cambios
que requieran permisos de administrador.
En esta opción, UAC queda desactivado y no protege el equipo, lo que puede suponer un
riesgo importante para la seguridad.
Autor: Fabian Martinez Portantier
Colaboradores: Franco Vergara
Fuentes:
❏ http://blogs.technet.com
❏ www.microsoft.com
❏ www.seguridadjabali.com

Uac User Account Control

Cargado por

Copyright:

Formatos disponibles

Uac User Account Control

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Uac User Account Control

Cargado por

Copyright:

Formatos disponibles

User Account Control - UAC

UAC es un componente de seguridad incluido en el Sistema Operativo a partir de Windows

El objetivo de UAC (User Account Control) es minimizar el uso de “privilegios de

El Split del token se producirá siempre que:

❏ El usuario pertenezca a alguno de los grupos”administrativos”: Domain Admins,

En la siguiente figura se muestra el comportamiento de Protected Admin:

En el caso de los administradores built-in (administrador del equipo y el administrador del

Icono Tipo Descripción

Un programa con un editor Este programa no tiene una firma digital

A continuación se ofrece una descripción de la configuración de UAC y el posible impacto de

Cuando se nos notifique, el escritorio aparecerá atenuado y deberá aprobar o denegar la

La atenuación del escritorio se denomina escritorio seguro porque no se pueden ejecutar

No recibirá notificaciones si usted intenta realizar cambios en la configuración de Windows

Se le notificará si un programa fuera de Windows intenta realizar cambios en la configuración

El software malintencionado se aprovecha de esta situación y usa estos programas para

Por cambios en el equipo (no atenuar escritorio)

No se nos notificará si intenta realizar cambios en la configuración de Windows que requieran

Colaboradores: Franco Vergara

También podría gustarte