Планирование параметров безопасности для элементов ActiveX в Office 2013

Применимо к: Office 365 ProPlus

Последнее изменение раздела: 2016-12-16

Сводка. Описание способов изменения параметров так, чтобы сделать Microsoft ActiveX более безопасным в Office 2013, а также использования панели мониторинга телеметрии Office 2013 для исследования предупреждений элементов ActiveX.

Аудитория: ИТ-специалисты

Активное содержимое является распространенной угрозой безопасности. К типичным угрозам относятся элементы ActiveX, надстройки и макросы VBA. Этими уязвимостями могут воспользоваться программисты, которые пишут вредоносный код или создают вредоносные программы, которые затем запускаются на компьютерах пользователей. Угрозы активного содержимого представляют потенциальный риск для организации любого размера. В этой статье описаны способы, которыми Office 2013 помогает защищать элементы ActiveX. Безопасность надстроек и макросов VBA рассматривается в других статьях.

Office 2013 позволяет менять поведение элементов ActiveX и способ уведомления пользователей о потенциально небезопасных элементах управления с помощью специальных параметров безопасности. Подобные параметры обычно используются для выполнения следующих действий:

• Отключение элементов управления ActiveX

• Изменение способа инициализации элементов управления ActiveX на основании параметров безопасного режима, параметров "Безопасно для инициализации" (SFI) и "Небезопасно для инициализации" (UFI)

Сведения о настройке параметров безопасности в центре развертывания Office и административных шаблонах Office 2013 см. в статье Настройка параметров безопасности с использованием центра развертывания Office или групповой политики Office 2013.

В этой статье:

• Планирование параметров элементов ActiveX в Office 2013

• Отключение элементов ActiveX в Office 2013

• Изменение способа инициализации элементов ActiveX в Office 2013

• Параметры, связанные с элементами ActiveX, для Office 2013

Планирование параметров элементов ActiveX в Office 2013

Надежный элемент ActiveX представляет собой любой элемент ActiveX, подписанный надежным издателем, содержащийся в документе, открытом из надежного расположения, или считающийся надежным документом. Надежные элементы управления ActiveX по умолчанию загружаются в безопасном режиме с постоянными значениями, а пользователи не уведомляются о загруженных элементах управления ActiveX. Ненадежные элементы ActiveX загружаются по-разному в зависимости от пометки элемента ActiveX и наличия проектов VBA в файле вместе с элементом ActiveX. По умолчанию элементы ActiveX работают следующим образом:

• Если элемент ActiveX помечен как безопасный для инициализации (SFI) и содержится в документе, в котором отсутствует проект VBA, этот элемент управления загружается в безопасном режиме с использованием постоянных значений параметров. Панель сообщений не отображается, и пользователь не уведомляется о наличии элемента ActiveX. Чтобы использовалось подобное поведение, все элементы ActiveX в документе должны быть помечены как SFI.

• Если элемент ActiveX помечен как небезопасный для инициализации (UFI) и в документе отсутствует проект VBA, пользователь видит уведомление на панели сообщений, а элементы ActiveX отключаются. Однако пользователь может использовать панель сообщений для включения элементов ActiveX. Если пользователь включит элементы ActiveX, все элементы ActiveX (как UFI, так и SFI) будут загружены в безопасном режиме с постоянными значениями параметров.

• Если в документе, где присутствует проект VBA, имеются элементы, помеченные как UFI или SFI, пользователь видит уведомление на панели сообщений, а элементы ActiveX отключаются. Однако пользователь может использовать панель сообщений для включения элементов ActiveX. Если пользователь включит их, все элементы ActiveX (как UFI, так и SFI) будут загружены в безопасном режиме с постоянными значениями параметров.

Важно!
Если в реестре установлен бит аннулирования для элемента ActiveX, то этот элемент не загружается и не может быть загружен ни при каких обстоятельствах. Панель сообщений не отображается, и пользователю не сообщается о наличии элемента ActiveX.

Просмотр данных об элементе ActiveX с помощью панели мониторинга телеметрии Office 2013

Можно с легкостью узнать о применении элемента ActiveX в организации, используя Панель мониторинга телеметрииOffice 2013. Эта панель содержит встроенные отчет "Учет", который собирает и отображает уникальные данные экземпляра для каждого отслеживаемого решения Office, в том числе, содержит ли документ Office элементы ActiveX.

В описанной ниже процедуре предполагается, что вы уже развернули и настроили Панель мониторинга телеметрииOffice. Дополнительные сведения о OfficeПанель мониторинга телеметрии в целом см. в статье Обзор телеметрии Office. Сведения о том, как развертывать телеметрию Office, см. в статье Развертывание панели мониторинга телеметрии.

Просмотр данных об использовании элемента ActiveX в отчете панели мониторинга телеметрии Office 2013

1. Откройте Панель мониторинга телеметрии и подключитесь к своей базе данных телеметрии.

2. В области навигации Панель мониторинга телеметрии выберите Настраиваемый отчет.

3. Когда откроется страница настраиваемого отчета, выберите Создание настраиваемого отчета.

4. В списке Поля сводной таблицы в разделе "Учет" найдите и выберите Содержит ActiveX. Просмотрите отчет на наличие предупреждений, связанных с ActiveX. Если нужно получить более подробные данные, выберите дополнительные поля в таблице Учет.

5. Если нужно, сохраните данные, а затем закройте Панель мониторинга телеметрии.

Отключение элементов ActiveX в Office 2013

Office 2013 позволяет отключить элементы управления ActiveX с помощью особого параметра. Это позволит предотвратить инициализацию элементов управления (загрузку) при открытии файлов, а также запретить пользователям добавлять элементы управления ActiveX в документ. В некоторых случаях отключенный элемент управления ActiveX может присутствовать в файле в виде красного значка "x" или другого символа, однако это означает, что элемент отключен и действия с ним возможны только после нажатия пользователем этого значка. Пользователям не сообщается об отключении элементов ActiveX.

Ниже приведены рекомендации по определению необходимости отключения элементов управления ActiveX.

Имя параметра групповой политики Отключение всех элементов ActiveX

• Описание. Этот параметр определяет, отключены ли элементы управления ActiveX в Office 2013. Этот параметр является глобальным и не может быть настроен отдельно для каждого приложения.

• Влияние. Если этот параметр включен, то элементы ActiveX не инициализируются, а пользователи не уведомляются о том, что элементы ActiveX отключены. Кроме того, пользователи не могут вставлять элементы ActiveX в документы. Элементы ActiveX могут предоставлять дополнительную функциональность в документах. Таким образом, их отключение может привести к отключению некоторых пользовательских функций. Следует убедиться, что пользователи осведомлены о значении этого параметра, так как приложение не уведомляет их об отключении элементов ActiveX. Перед включением параметра следует также определить, используются ли элементы ActiveX для предоставления критически важных функций.

• Рекомендации. В организациях со строгими требованиями к безопасности среды этот параметр обычно включается.

Примечание
Если этот параметр включен, то элементы управления ActiveX отключены в файлах, сохраненных в надежных расположениях.

Вы также можете использовать бит аннулирования COM Office, который появился в Office 2013, чтобы запретить запуск определенных объектов COM в приложениях Office 2013. Это относится и к элементам ActiveX. Эта возможность была доступна в Система Office 2007 , но зависела от значения бита аннулирования ActiveX в Internet Explorer. В Office 2013 можно использовать реестр, чтобы независимо выбирать, какие объекты COM не смогут выполняться при использовании Office 2013. Например, если для Office и Internet Explorer задан бит аннулирования для одного и того же элемента ActiveX, и между двумя параметрами возникает конфликт, то бит аннулирования COM Office имеет приоритет. Бит аннулирования COM Office часто устанавливается при применении обновления, включенного в бюллетень по безопасности Microsoft для устранения определенной проблемы с безопасностью Office 2013.

Предупреждение:
Не рекомендуется отменять действие по аннулированию объекта COM, так как это может привести к созданию уязвимостей. Бит аннулирования обычно устанавливается для предотвращения определенной ошибки, поэтому при отмене аннулирования элемента ActiveX следует проявлять особую осторожность.

Вы можете добавить AlternateCLSID (т. н. "бит Phoenix"), если требуется связать CLSID нового элемента ActiveX. Это необходимо, если к CLSID элемента ActiveX применен бит аннулирования модели COM Office для устранения угрозы безопасности. Office 2013 поддерживает использование AlternateCLSID только вместе с COM-объектами элементов ActiveX. Дополнительные сведения о поведении битов аннулирования, включая AlternateCLSID, см. в статье Как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer.

Важно!
Не меняйте параметры реестра, если вы не обладаете большим опытом и не понимаете возможные последствия. При неправильном изменении реестра могут возникнуть серьезные проблемы. Для дополнительной защиты сделайте резервную копию реестра, прежде чем менять его. Это позволит восстановить реестр, если возникнет проблема.

Бит аннулирования COM Office в реестре настраивается в разделе HKLM/Software/Microsoft/Office/Common/COM Compatibility/{CLSID}, где CLSID представляет собой идентификатор класса для объекта COM. Чтобы включить бит аннулирования COM Office, необходимо добавить ключ реестра, в том числе идентификатор CLSID элемента ActiveX, а затем добавить значение 0x00000400 в параметр "Флаги совместимости" типа REG_DWORD.

Примечание
На поведение битов аннулирования (для Internet Explorer и Office COM) может повлиять включение категоризации COM в Office 2013. Дополнительные сведения см. в статье Планирование параметров категоризации объектов COM для Office 2013.

Элементы управления, которые возможно потребуется занести в список запрещенных для Office:

• Microsoft HTA Document 6.0 - 3050F5C8-98B5-11CF-BB82-00AA00BDCE0B

• htmlfile - 25336920-03F9-11CF-8FD0-00AA00686F13

• htmlfile_FullWindowEmbed - 25336921-03F9-11CF-8FD0-00AA00686F13

• mhtmlfile - 3050F3D9-98B5-11CF-BB82-00AA00BDCE0B

• Элемент управления веб-браузера - 8856F961-340A-11D0-A96B-00C04FD705A2

• DHTMLEdit - 2D360200-FFF5-11d1-8d03-00a0c959bc0a

Изменение способа инициализации элементов ActiveX в Office 2013

В Office 2013 поддерживается особый параметр безопасности, позволяющий контролировать инициализацию элементов ActiveX на основании параметров SFI, UFI и безопасного режима. SFI, UFI и безопасный режим представляют собой параметры, настраиваемые разработчиками при создании элементов ActiveX. Если элементы ActiveX помечены, как SFI, для инициализации используются безопасные источники данных. Безопасным источником данных является надежный известный источник, который не приводит к нарушению безопасности. Элементы управления, не помеченные SFI, считаются UFI.

Безопасный режим — это еще один механизм, с помощью которого разработчики могут обеспечить безопасность элементов ActiveX. Если разработчик создает элемент ActiveX, реализующий безопасный режим, такой элемент управления может быть инициализирован двумя способами: в безопасном и небезопасном режиме. Если элемент управления запускается в безопасном режиме, используются некоторые ограничения функциональных возможностей элемента управления. Если же используется небезопасный режим инициализации, ограничения на функциональные возможности элемента не налагаются. Например, если элемент ActiveX, предназначенный для чтения и записи файлов, запущен в безопасном режиме, он поддерживает только операции чтения, а в небезопасном режиме — как чтение, так и запись файлов. В безопасном режиме могут быть инициализированы только элементы ActiveX, помеченные как SFI. Элементы ActiveX в режиме UFI всегда запускаются в небезопасном режиме.

Если инициализация элементов управления ActiveX недостаточна для организации, а отключение элементов управления не требуется ActiveX, необходимо следовать приведенным ниже рекомендациям для определения способа инициализации элементов управления ActiveX.

Имя параметра групповой политики Инициализация элементов ActiveX

• Описание. Этот параметр определяет способ инициализации элементов ActiveX для всех приложений Office 2013. Этот параметр является глобальным, и его настройка для отдельных приложений невозможна. Для этого параметра можно выбрать один из шести возможных уровней безопасности:

  • Уровень безопасности 1    Элемент управления загружается вне зависимости от пометки, а также используются постоянные значения (при их наличии). Этот параметр отключает вывод запросов пользователей.

  • Уровень безопасности 2   Если элемент управления помечен как элемент SFI, то он загружается в безопасном режима, а также используются постоянные значения (при их наличии). Если элемент управления не помечен как SFI, он загружается в небезопасном режиме с постоянными значениями (при их наличии) или используются параметры по умолчанию (параметры первой инициализации). Этот уровень схож с конфигурацией по умолчанию, но оповещение пользователей в этом случае отключается.

  • Уровень безопасности 3   Если элемент управления помечен как элемент SFI, то он загружается в небезопасном режиме, а также используются постоянные значения (при их наличии). Если элемент управления не помечен как SFI, то программа выводит предупреждение, сообщающее пользователю об этом. Если пользователь нажимает в диалоговом окне кнопку Нет, то элемент управления не загружается. В противном случае он загружается с параметрами по умолчанию для первой инициализации.

  • Уровень безопасности 4   Если элемент управления помечен как элемент SFI, то он загружается в безопасном режиме, а также используются постоянные значения (при их наличии). Если элемент управления не помечен как SFI, то программа выводит предупреждение, сообщающее пользователю об этом. Если пользователь нажимает в диалоговом окне кнопку Нет, то элемент управления не загружается. В противном случае он загружается с параметрами по умолчанию для первой инициализации.

  • Уровень безопасности 5   Если элемент управления помечен как элемент SFI, то он загружается в небезопасном режиме, а также используются постоянные значения (при их наличии). Если элемент управления не помечен как SFI, то программа выводит предупреждение, сообщающее пользователю об этом. Если пользователь нажимает в диалоговом окне кнопку Нет, то элемент управления не загружается. В противном случае он загружается с постоянными значениями.

  • Уровень безопасности 6   Если элемент управления помечен как элемент SFI, то он загружается в безопасном режиме, а также используются постоянные значения (при их наличии). Если элемент управления не помечен как SFI, то программа выводит предупреждение, сообщающее пользователю об этом. Если пользователь нажимает в диалоговом окне кнопку Нет, то элемент управления не загружается. В противном случае он загружается с постоянными значениями.

• Влияние. Если элемент управления не помечен как SFI, это свидетельствует о том, что он может повлиять на работу компьютера, или о том, что элемент управления не протестирован во всех возможных ситуациях и может представлять угрозу для безопасности. Кроме того, некоторые элементы ActiveX не учитывают параметр реестра для безопасного режима и могут загружать постоянные данные, даже если настроен этот параметр. В таких случаях элементы ActiveX инициализируются в безопасном режиме. Включение этого параметра при выбранном уровне безопасности 2, 4 или 6 приводит к повышению безопасности элементов ActiveX, корректно помеченных как SFI. Во вредоносных и плохо разработанных программах элемент ActiveX может быть некорректным образом помечен как SFI.

• Рекомендации. В большинстве организаций данный параметр включается, а также выбирается уровень безопасности 2, в котором используются те же критерии инициализации, что и в конфигурации по умолчанию, но предупреждения на панели сообщений не выводятся. В организациях со строгими требованиями к безопасности среды этот параметр обычно отключается. Отключен — это значение по умолчанию.

Параметры, связанные с элементами ActiveX, для Office 2013

В приложениях Office 2013 также используется ряд других параметров, влияющих на поведение элементов управления ActiveX. При изменении параметров элементов управления ActiveX в соответствии со специальными требованиями безопасности среды может потребоваться настройка следующих параметров:

• Загрузить элементы управления в Forms3   Этот параметр определяет инициализацию элементов управления ActiveX в формах UserForms.

• Отключить все уведомления панели безопасности   Этот параметр отключает отображение предупреждений на панели сообщений, в том числе предупреждений о небезопасных элементах управления ActiveX.

Примечание
Последние сведения о параметрах политики см. в книге Excel 2013 Office2013GroupPolicyAndOCTSettings_Reference.xls, которая входит в состав файлов административных шаблонов Office 2013. Дополнительные сведения см. в статье Файлы административных шаблонов Office 2013 (ADMX, ADML) и центр развертывания Office на сайте TechNet.

См. также

Руководство по безопасности Office 2013
Обзор безопасности в Office 2013
Настройка параметров безопасности с использованием центра развертывания Office или групповой политики Office 2013
Угрозы безопасности и контрмеры для выпуска 2013 системы Microsoft Office
Планирование параметров безопасности для надстроек в Office 2013
Планирование параметров безопасности для макросов VBA для Office 2013