——语言——开放的脆弱性和评估
弃用的报告

• 模式:Windows的定义
• 版本:5.11:5.11
• 上映日期:12/18/2014 09:00:00

< accesstoken_test >

accesstoken_test用于检查Windows访问令牌的属性以及与之相关的个人特权和权利。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用一个accesstoken_object和可选状态元素指定数据检查。

< accesstoken_object >

accesstoken_object元素是一个访问令牌测试用来定义对象评估。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。再一次,请参阅oval-definitions-schema中的一组元素的描述。

accesstoken_object由一个单一的安全原则,确定用户、组或计算机帐户相关联的令牌。

< accesstoken_state >

accesstoken_state元素定义了不同的信息,可以用来评估指定的访问令牌。这包括大量的用户可以授予的权利和权限。请参阅模式中各个元素的更多细节每一个代表什么。

= = AccesstokenBehaviors = =

AccesstokenBehaviors复杂类型定义了一个数量的行为,允许指定的accesstoken_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

< auditeventpolicysubcategories_state >

auditeventpolicysubcategories_state元素指定了不同的系统活动,可审计。审计事件政策分类测试将引用一个特定实例的状态定义具体的子类需要评估。请参阅模式中各个元素的更多细节每一个代表什么。

= = FileAuditPermissions53Behaviors = =

FileAuditPermissions53Behaviors复杂类型定义了一个数量的行为,允许指定的fileauditpermissions53_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

重要的是要注意,“max_depth”和“recurse_direction”“行为”元素的属性并不适用于“filepath”元素,只对“路径”和“文件名”元素。这是因为“filepath”元素代表一个特定的文件绝对路径和不可能递归在一个文件中。

FileAuditPermissions53Behaviors扩展win-def: FileBehaviors因此包括行为定义的类型。

< fileauditedpermissions_test >

文件审核权限测试用于检查与窗口相关的审计权限文件。注意,受托人的审计权限的审计权限SACL授予受托人或受托人的任何组的一员。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用fileauditedpermissions_object,和可选的国家元素引用fileauditedpermissions_state指定元数据来检查。

< fileauditedpermissions_object >

fileauditedpermissions_object元素使用文件审计权限测试定义对象用来evalutate指定的状态。fileauditedpermissions_object将收集所有Windows目录和文件类型(FILE_TYPE_CHAR, FILE_TYPE_DISK, FILE_TYPE_PIPE、FILE_TYPE_REMOTE FILE_TYPE_UNKNOWN)。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。

fileauditedpermissions_object被定义为一个Windows文件和受托人的名字。文件代表了文件评估,而受托人的名字代表了账户(SID)检查审计权限的。如果多个文件或SIDs匹配通过引用,那么每个可能的文件和SID的组合是一个匹配的文件审计权限对象。此外,一些行为可能会提供帮助指导的对象集合。有关更多信息,请参阅FileAuditPermissionsBehaviors复杂类型对具体行为。

< fileauditedpermissions_state >

fileauditedpermissions_state元素定义了不同的审计权限,可以与给定fileauditedpermissions_object有关。请参阅模式中各个元素的更多细节每一个代表什么。

= = FileAuditPermissionsBehaviors = =

FileAuditPermissionsBehaviors复杂类型定义了一个数量的行为,允许指定的fileauditpermissions_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

FileAuditPermissionsBehaviors扩展win-def: FileBehaviors因此包括行为定义的类型。

= = FileEffectiveRights53Behaviors = =

FileEffectiveRights53Behaviors复杂类型定义了一个数量的行为,允许指定的fileeffectiverights53_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

重要的是要注意,“max_depth”和“recurse_direction”“行为”元素的属性并不适用于“filepath”元素,只对“路径”和“文件名”元素。这是因为“filepath”元素代表一个特定的文件绝对路径和不可能递归在一个文件中。

FileEffectiveRights53Behaviors扩展win-def: FileBehaviors因此包括行为定义的类型。

< fileeffectiverights_test >

文件有效权利测试用于检查的有效权利与Windows文件。注意,受托人的有效访问权限的访问权限是DACL授予受托人或受托人的任何组的一员。fileeffectiverights_test元素中定义扩展了标准TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用fileeffectiverights_object和可选状态元素指定元数据来检查。

< fileeffectiverights_object >

fileeffectiverights_object元素使用的文件有效的权利测试定义对象用于evalutate对指定的状态。fileeffectiverights_object将收集所有Windows目录和文件类型(FILE_TYPE_CHAR, FILE_TYPE_DISK, FILE_TYPE_PIPE、FILE_TYPE_REMOTE FILE_TYPE_UNKNOWN)。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。

fileeffectiverights_object被定义为一个Windows文件和受托人的名字。文件代表了文件评估,而受托人的名字代表了账户(SID)检查有效的权利。如果多个文件或SIDs匹配通过引用,那么每个可能的文件和SID的组合是一个匹配的文件有效权利对象。此外,一些行为可能会提供帮助指导的对象集合。有关更多信息,请参阅FileEffectiveRightsBehaviors复杂类型对具体行为。

< fileeffectiverights_state >

fileeffectiverights_state元素定义了不同的权利,可以与给定fileeffectiverights_object相关。请参阅模式中各个元素的更多细节每一个代表什么。

= = FileEffectiveRightsBehaviors = =

FileEffectiveRightsBehaviors复杂类型定义了一个数量的行为,允许指定的fileeffectiverights_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

FileEffectiveRightsBehaviors扩展win-def: FileBehaviors因此包括行为定义的类型。

< group_test >

group_test允许不同的用户和组,直接属于特定群体(由名称标识),进行测试。group_test收集系统上的组织时,它应该只包括本地和内置的组帐户,而不是域组帐户。然而,重要的是要注意,域组帐户仍然可以抬起头来。同时,注意,不会找得到解决的子用户群间接用户和组的成员。如果子组需要解决,它使用sid_object应该做的。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用group_object和可选状态元素指定元数据来检查。

< group_object >

group_object元素所使用的一组测试来定义特定群体(s)(由名称标识)评估。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。再一次,请参阅oval-definitions-schema中的一组元素的描述。

< group_state >

group_state元素列举了不同的用户和组与Windows组直接相关。请参阅模式中各个元素的更多细节每一个代表什么。

= = PrinterEffectiveRightsBehaviors = =

PrinterEffectiveRightsBehaviors复杂类型定义了一个数量的行为,允许指定的pritnereffectiverights_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

< process_test >

process_test用于检查中发现Windows进程的信息。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用process_object和可选状态元素引用process_state元素指定检查的过程信息。

< process_object >

process_object元素使用的流程测试定义的具体流程(es)评估。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。再一次,请参阅oval-definitions-schema中的一组元素的描述。

process_object定义命令行用于启动过程(es)。

< process_state >

process_state元素定义了不同的元数据与Windows的过程。这包括命令行、pid、ppid图片路径,和当前目录。请参阅模式中各个元素的更多细节每一个代表什么。

< regkeyauditedpermissions53_state >

regkeyauditedpermissions53_state元素定义了不同的审计权限,可以与给定regkeyauditedpermissions53_object有关。请参阅模式中各个元素的更多细节每一个代表什么。

= = RegkeyAuditPermissions53Behaviors = =

RegkeyAuditPermissions53Behaviors复杂类型定义了一个数量的行为,允许指定的registrykeyauditedpermissions53_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

RegkeyAuditPermissions53Behaviors扩展win-def: RegistryBehaviors因此包括行为定义的类型。

< regkeyauditedpermissions_test >

注册表关键审计权限测试用于检查审计权限与Windows注册表键相关联。注意,受托人的审计权限的审计权限SACL授予受托人或受托人的任何组的一员。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用regkeyauditedpermissions_object和可选状态元素指定元数据来检查。

< regkeyauditedpermissions_object >

regkeyauditedpermissions_object元素使用一个注册表关键审计权限测试定义对象用于evalutate对指定的状态。每个对象中定义扩展了标准ObjectType oval-definitions-schema和一个应该参考ObjectType描述的更多信息。组常见元素允许使用过滤器创建复杂对象和设置逻辑。

regkeyauditedpermissions_object被定义为Windows注册表键和受托人的名字。蜂巢和关键元素代表注册表被评估的关键,而受托人的名字代表了账户(SID)检查审计权限的。如果多个键或SIDs匹配通过引用,那么每个可能的文件和SID的组合是一个匹配的文件审计权限对象。此外,一些行为可能会提供帮助指导的对象集合。有关更多信息,请参阅RegkeyAuditPermissionsBehaviors复杂类型对具体行为。

< regkeyauditedpermissions_state >

regkeyauditedpermissions_state元素定义了不同的审计权限,可以与给定regkeyauditedpermissions_object有关。请参阅模式中各个元素的更多细节每一个代表什么。

= = RegkeyAuditPermissionsBehaviors = =

RegkeyAuditPermissionsBehaviors复杂类型定义了一个数量的行为,允许指定的registrykeyauditedpermissions_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

RegkeyAuditPermissionsBehaviors扩展win-def: RegistryBehaviors因此包括行为定义的类型。

< regkeyeffectiverights53_state >

regkeyeffectiverights53_state元素定义了不同的权利,可以与给定regkeyeffectiverights53_object相关。请参阅模式中各个元素的更多细节每一个代表什么。

= = RegkeyEffectiveRights53Behaviors = =

RegkeyEffectiveRights53Behaviors复杂类型定义了一个数量的行为,允许指定的registrykeyeffectiverights53_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

RegkeyEffectiveRights53Behaviors扩展win-def: RegistryBehaviors因此包括行为定义的类型。

< regkeyeffectiverights_test >

注册表键有效权利测试用于检查的有效权利与Windows文件。注意,受托人的有效访问权限的访问权限是DACL授予受托人或受托人的任何组的一员。regkeyeffectiverights_test元素中定义扩展了标准TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用regkeyeffectiverights_object和可选状态元素指定元数据来检查。

< regkeyeffectiverights_object >

< regkeyeffectiverights_state >

regkeyeffectiverights_state元素定义了不同的权利,可以与给定regkeyeffectiverights_object相关。请参阅模式中各个元素的更多细节每一个代表什么。

= = RegkeyEffectiveRightsBehaviors = =

RegkeyEffectiveRightsBehaviors复杂类型定义了一个数量的行为,允许指定的registrykeyeffectiverights_object更详细的定义。注意,使用这些行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

RegkeyEffectiveRightsBehaviors扩展win-def: RegistryBehaviors因此包括行为定义的类型。

= = SharedResourceAuditedPermissionsBehaviors = =

SharedResourceAuditedPermissionsBehaviors复杂类型定义了一个行为,允许指定的sharedresourceauditedpermissions_object更详细的定义。注意,使用这种行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

= = SharedResourceEffectiveRightsBehaviors = =

SharedResourceEffectiveRightsBehaviors复杂类型定义了一个行为,允许指定的sharedresourceeffectiverights_object更详细的定义。注意,使用这种行为可能会导致一些独特的结果。例如,一个双重否定表示类型条件可能会创建一个对象的实体包括除了一个特定的项目,但使用行为,可能会增加项目。

< user_test >

user_test用于检查Windows用户的信息。user_test收集系统上的用户时,它应该只包括本地和内置的用户帐户,而不是域用户帐户。然而,重要的是要注意,仍然可以抬起头域用户账户。注意团体的集合,用户成员,不是递归。唯一的组织,将收集的用户直接成员。例如,如果一个用户是a组的一员,和a组B组的一员,唯一的组,将收集组a,它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用一个user_object和可选状态元素指定元数据来检查。

< user_object >

< user_state >

user_state元素列举了不同群体(由名称来标识),Windows用户可能属于。请参阅模式中各个元素的更多细节每一个代表什么。

< user_sid_test >

user_sid_test用于检查Windows用户的信息。当user_sid_test收集用户SIDs系统上,它应该只包括本地和内置的用户SIDs和域用户SIDs。然而,重要的是要注意,域用户SIDs仍然可以抬起头来。注意团体的集合,用户成员,不是递归。唯一的组织,将收集的用户直接成员。例如,如果一个用户是a组的一员,和a组B组的一员,唯一的组,将收集组a,它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用user_sid_object和可选状态元素指定元数据来检查。

< user_sid_object >

user_sid_object代表一组用户在Windows系统上。这组(这可能只包含一个用户)标识SID。

< user_sid_state >

user_sid_state元素列举了不同群体(SID)确认的Windows用户可能属于。请参阅模式中各个元素的更多细节每一个代表什么。

< wmi_test >

wmi测试用于检查wmi访问的信息。它扩展了标准中定义的TestType oval-definitions-schema,另一个应该参考TestType描述的更多信息。所需的对象元素引用wmi_object和可选状态元素指定元数据来检查。

< wmi_object >

< wmi_state >

= = EntityStateSharedResourceTypeType = =

EntityStateSharedResourceTypeType复杂类型定义了不同的值是有效的共享资源的类型实体的状态。注意,Windows API返回一个DWORD值和椭圆形使用常数的名称,通常是为这些定义返回值。这样做是为了增加可读性和可维护性的椭圆的定义。空字符串也可以作为一个有效的值来支持一个空元素,发现当一个变量引用中使用实体类型。注意,当使用模式匹配和变量必须小心确保正则表达式和变量值与枚举值一致。

同样重要的是要注意,特殊的共享资源是用于远程管理,进程间通信和管理股票。