导读微软对Linux的支持仍在继续，该公司的最新项目表明，它试图提高系统的安全性和完整性。这家Windows制造商已经推出了一个名为完整性策略执行
微软对Linux的支持仍在继续，该公司的最新项目表明，它试图提高系统的安全性和完整性。这家Windows制造商已经推出了一个名为“完整性策略执行(IPE)”的Linux安全模块(LSM)。
内核附加组件使管理员可以选择配置策略，以在整个系统上强制执行完整性要求。可以创建允许运行的二进制文件列表，并指定在允许执行之前需要检查的属性。
Microsoft在设计IPE时并未考虑通用Linux系统。而是专门用于具有特定目的的设备，例如由所有者构建，配置和管理的嵌入式系统-Microsoft提供了数据中心中的网络防火墙设备的示例。想法是系统中不应存在未知数，以帮助进一步增强安全性。
在IPE文档中，Microsoft说：
理想情况下，利用IPE的系统不打算用于通用计算，也不使用第三方构建的任何软件或配置。理想的利用IPE的系统具有可变和不变的组件，但是，所有二进制可执行代码都是不变的。
该公司指出，为了获得最佳安全性，必须验证内核和根文件系统，这一点很重要。Microsoft指出了IPE的一些限制：
IPE无法验证匿名可执行存储器的完整性，例如gcc闭包和libffi或JIT代码创建的蹦床。不幸的是，由于这是动态生成的代码，因此IPE无法从该代码的构建位置到运行位置检测到该代码没有被篡改。结果，IPE无法为动态生成的代码解决此问题。
通过<解释器> <文件>调用这些脚本时，IPE无法验证解释语言程序的完整性。这是因为解释器执行这些文件的方式不会通过IPE的其中一个钩子将脚本本身评估为可执行代码。在打开文件并适当响应错误代码之后，尝试将文件映射到可执行内存(+ X)，可以使口译员对IPE的使用有所了解。这也适用于包含的文件或高价值文件，例如关键系统组件的配置文件。计划在IPE内部解决这一具体差距。