Kiến trúc Hệ điều hành Windows

[dangquangminh]

Kiến trúc Hệ điều hành Windows


Hệ điều hành Windows đã phát triển thành một nền tảng điện toán doanh nghiệp mạnh mẽ, được sử dụng từ môi trường desktop hằng ngày cho đến các nền tảng server quy mô trung tâm dữ liệu. Kiến trúc của Windows đã trưởng thành để cung cấp tính ổn định và bảo mật hệ thống. Mặc dù Windows thường được biết đến như một hệ điều hành desktop, nhưng các phiên bản server của nó lại được ứng dụng rộng rãi trong các trung tâm dữ liệu doanh nghiệp. Kiến trúc tổng thể


Windows được thiết kế dựa trên hai thành phần chính:

• User Mode (Chế độ người dùng):
  Là nơi các tiến trình do người dùng khởi tạo chạy. Các tiến trình này chạy với đặc quyền thấp, không thể can thiệp trực tiếp vào các tiến trình cấp hệ thống. Thông qua các API, user mode cho phép ứng dụng yêu cầu truy cập vào tài nguyên hệ thống. Mỗi tiến trình trong user mode có không gian bộ nhớ riêng, ngăn chặn việc một ứng dụng có thể xâm nhập vào tiến trình khác, từ đó đảm bảo tính ổn định và an toàn.
• Kernel Mode (Chế độ nhân):
  Là nơi các tiến trình cốt lõi của hệ điều hành chạy với đặc quyền cao nhất, quản lý CPU và bộ nhớ. Các tiến trình kernel mode chạy trong cùng một không gian bộ nhớ, giúp tăng hiệu quả nhưng cũng tiềm ẩn rủi ro – một tiến trình bị lỗi có thể ảnh hưởng toàn bộ hệ thống. Để giảm thiểu rủi ro này, Windows yêu cầu driver và file hệ thống quan trọng phải có chữ ký số hợp lệ (Kernel Mode Code Signing).

User Mode chi tiết


Trong user mode, các loại tiến trình bao gồm:

• Non-service processes: Các tiến trình nền hỗ trợ đăng nhập hoặc quản lý phiên (vd: Smss.exe).
• Service processes: Các dịch vụ chạy để phục vụ người dùng, thường được quản lý bởi Service Control Manager (vd: Task Scheduler, Print Spooler).
• User applications: Các ứng dụng do người dùng trực tiếp khởi chạy.
• Operating system environment support: Các subsystem hỗ trợ môi trường khác, ví dụ Subsystem for UNIX-based Applications (SUA).

Khi ứng dụng trong user mode cần tài nguyên hệ thống (như ghi file, kết nối mạng), Windows sẽ cho phép chuyển ngữ cảnh sang kernel mode để thực thi, sau đó quay trở lại user mode. Cơ chế này được kiểm soát bởi lớp giao tiếp kernel nhằm ngăn truy cập trực tiếp. Kernel Mode chi tiết


Trong kernel mode, các thành phần chính bao gồm:

• Kernel Executive: Quản lý dịch vụ hệ thống như I/O, mạng, bộ nhớ.
• Kernel: Quản lý luồng (thread scheduling), ngắt hệ thống.
• Device Drivers: Điều khiển truy cập phần cứng.
• Hardware Abstraction Layer (HAL): Tầng trung gian trừu tượng phần cứng, cho phép Windows chạy trên nhiều nền tảng mà không cần chỉnh sửa nhân hệ điều hành.
• Window Management & Graphics Subsystem: Quản lý giao diện đồ họa và hiển thị.

Một số thành phần quan trọng:

• Ntoskrnl.exe – nhân hệ điều hành Windows
• Hal.dll – module HAL
• Win32k.sys – driver quản lý hiển thị và input
• Ntdll.dll, Kernel32.dll, Advapi32.dll, User32.dll, Gdi32.dll – các thư viện lõi hỗ trợ API hệ thống

Câu hỏi ôn tập

1. Các đoạn mã độc hại trong Windows có thể chia sẻ cùng không gian địa chỉ ảo và quản lý trực tiếp CPU, bộ nhớ sẽ chạy ở mode nào?
   → Kernel Mode
2. Loại tiến trình nào chạy trong phạm vi không gian bộ nhớ riêng của nó?
   → User Processes
3. Trong điều tra sự cố bảo mật Windows, yếu tố nào gây nguy hại lớn nhất đến tính toàn vẹn của hệ điều hành?
   → Driver độc hại chạy trong Kernel Mode

---

Góc nhìn chuyên gia


Điểm mấu chốt khi làm việc với Windows là phân tách rõ User Mode và Kernel Mode. Đây chính là cơ chế bảo vệ giúp hệ điều hành duy trì sự ổn định. Tuy nhiên, nếu kẻ tấn công có thể đưa mã độc (ví dụ driver chưa được ký) vào Kernel Mode, hậu quả có thể rất nghiêm trọng – từ rootkit ẩn mình, chiếm quyền kiểm soát hệ thống, cho đến phá hủy toàn bộ tính toàn vẹn dữ liệu.

Trong vận hành doanh nghiệp, quản trị viên cần chú trọng:

• Bật Driver Signature Enforcement để ngăn driver không hợp lệ.
• Theo dõi registry key HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems để giám sát subsystem đang hoạt động.
• Triển khai các giải pháp EDR/AV có khả năng phát hiện kernel-level rootkits.