Windows 下有没有类似 SELinux 的机制？

[villivateur]

最近了解了下 SELinux ，我的理解就是：给每一个进程设置访问资源的权限。

我在 Windows 上有这样的困惑：比如我运行了一个黄油，然后黄油虽然没有申请 UAC 权限，但是偷偷读取了我的 .ssh/id_rsa，岂不是挺危险的。

了解到火绒有这样的文件保护机制，但火绒可信吗？

通过 https://www.wilderssecurity.com/threads/what-does-windows-offer-thats-similar-to-selinux.305609/ 了解到 integrity levels 这样一个概念，但是感觉功能差太远了。

[villivateur]

@zenghx 那个不能防止读

[yjd]

selinux 教最多的是如何关闭。
真会用的是少数。比较繁琐有时候还得自己写规则

[ho121]

实际上默认的规则没有阻止大部分软件读取 .ssh 文件夹下的内容

[disk]

@hantsuki 不是，你去看新版新出的功能，叫隐私模式，相当于预置了一组规则，需要付费的

[markgor]

@documentzhangx66 #18
你是没弄清楚 selinux 是什么吧....

[quan01994]

如果你需要 可以用 window 沙盒 ，运行玩

[LPeJuN6lLsS9]

@disk 你看下 NewBoxWindow.cpp 的源码就知道了，比标准沙盒更严格的模式就是默认开启隐私模式、撤销管理员权限啥的，完全没必要
以前为了去 5 秒弹窗还买了许可证，现在 plus 这个是没啥用，纯当捐赠了

[disk]

@hantsuki 一方面是激励捐赠，有时候懒得写规则就可以用它默认的了。更新还挺勤快的，增加了不少功能。

[lolizeppelin]

还吹 windows 的权限机制呢
ACL 设置麻烦到系统更新都能留下错误文件夹没能删除

傻逼 windows ！！！！

我觉得 windows 的 ACL 机制就挺像 selinux 的，只是大部分情况下不会接触而已.接触了就恶心到了

[documentzhangx66]

@markgor 楼主其实说的并不是 SELinux ，而是他需要一套能够精细化控制程序对不同位置文件 IO 权限的机制。这套机制 Windows 默认就有，只不过设置起来比较麻烦。

[LittleboyHarry]

SSH keys 不建议明文保存，创建时要配口令加密。若要记住口令、减少输入，请使用 win 自带的 ssh-agent 服务

参考： https://docs.microsoft.com/en-us/windows-server/administration/openssh/openssh_keymanagement

目前我认为安全隔离方案体验最好的是 Windows 专业版的沙盒技术，通过创建含文件夹映射或注册表的配置文件可以实现应用隔离

参考： https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-sandbox/windows-sandbox-configure-using-wsb-file

[CatCode]

https://superuser.com/questions/1397301/how-to-restrict-other-programs-from-reading-a-certain-file-on-windows-10
这个是我知道的 但似乎不是那么开箱即用

[CatCode]

@CatCode 这个里面提到的 FltMgr.sys ，Windows 上的第三方备份软件 Macrium Reflect 的 Macrium Image Guardian 功能的实现就与这个有关。