Modo Kernel vs Modo Usuario
¿Qué es Modo Kernel vs Modo Usuario?
Modo Kernel vs Modo UsuarioLos dos niveles de privilegio de CPU que aplican los sistemas operativos modernos: modo kernel (supervisor, anillo 0) con acceso completo al hardware, y modo usuario (anillo 3) limitado a su espacio de direcciones y a instrucciones no privilegiadas.
Las CPU modernas implementan anillos de proteccion; x86 define cuatro (0-3), pero los sistemas operativos mayoritarios solo usan el anillo 0 (kernel/supervisor) y el anillo 3 (usuario). En modo kernel, el procesador ejecuta instrucciones privilegiadas, escribe las tablas de paginas, accede a puertos de I/O y manipula el hardware. En modo usuario queda confinado a su espacio virtual y debe pedir servicios al kernel mediante puertas controladas: syscalls (syscall/sysenter en x86_64, svc en ARM64) o interrupciones de hardware. Esta frontera es lo que hace robusto al sistema operativo: un navegador que falla no toca al kernel y un proceso comprometido necesita un exploit de kernel para llegar al anillo 0. Los hipervisores anaden el anillo -1 (VMX root) y SMM y ARM TrustZone aportan estados aun mas privilegiados. Entender esta frontera es clave para razonar sobre EDR, rootkits y eBPF.
● Ejemplos
- 01
Un driver EDR en anillo 0 puede engancharse a proveedores ETW, mientras que un agente AV en modo usuario se limita a hooks de API e inspeccion de procesos.
- 02
Un rootkit de kernel abusa de un driver firmado para entrar al anillo 0 y ocultar procesos a las herramientas en modo usuario.
● Preguntas frecuentes
¿Qué es Modo Kernel vs Modo Usuario?
Los dos niveles de privilegio de CPU que aplican los sistemas operativos modernos: modo kernel (supervisor, anillo 0) con acceso completo al hardware, y modo usuario (anillo 3) limitado a su espacio de direcciones y a instrucciones no privilegiadas. Pertenece a la categoría de Identidad y acceso en ciberseguridad.
¿Qué significa Modo Kernel vs Modo Usuario?
Los dos niveles de privilegio de CPU que aplican los sistemas operativos modernos: modo kernel (supervisor, anillo 0) con acceso completo al hardware, y modo usuario (anillo 3) limitado a su espacio de direcciones y a instrucciones no privilegiadas.
¿Cómo funciona Modo Kernel vs Modo Usuario?
Las CPU modernas implementan anillos de proteccion; x86 define cuatro (0-3), pero los sistemas operativos mayoritarios solo usan el anillo 0 (kernel/supervisor) y el anillo 3 (usuario). En modo kernel, el procesador ejecuta instrucciones privilegiadas, escribe las tablas de paginas, accede a puertos de I/O y manipula el hardware. En modo usuario queda confinado a su espacio virtual y debe pedir servicios al kernel mediante puertas controladas: syscalls (syscall/sysenter en x86_64, svc en ARM64) o interrupciones de hardware. Esta frontera es lo que hace robusto al sistema operativo: un navegador que falla no toca al kernel y un proceso comprometido necesita un exploit de kernel para llegar al anillo 0. Los hipervisores anaden el anillo -1 (VMX root) y SMM y ARM TrustZone aportan estados aun mas privilegiados. Entender esta frontera es clave para razonar sobre EDR, rootkits y eBPF.
¿Cómo defenderse de Modo Kernel vs Modo Usuario?
Las defensas contra Modo Kernel vs Modo Usuario combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Modo Kernel vs Modo Usuario?
Nombres alternativos comunes: anillo 0 vs anillo 3, modo supervisor vs modo usuario.
● Términos relacionados
- defense-ops№ 367
Seguridad con eBPF
Uso de programas eBPF (extended Berkeley Packet Filter) que se ejecutan en el kernel Linux para aportar observabilidad y aplicacion de politicas sobre procesos, red y syscalls.
- identity-access№ 120
BPF LSM
Modulo de Seguridad de Linux que permite a programas eBPF verificados engancharse a hooks LSM y aplicar decisiones de control de acceso obligatorio sobre syscalls, ficheros, sockets y capabilities.
- identity-access№ 615
Capacidades de Linux
Funcionalidad del kernel Linux basada en el borrador POSIX.1e que divide el privilegio total de root en mas de 40 capacidades discretas asignables de forma independiente a procesos y ficheros.
- vulnerabilities№ 860
Escalada de privilegios
Clase de vulnerabilidades que permite al atacante obtener permisos superiores a los concedidos inicialmente, por ejemplo pasar de usuario normal a administrador.
- identity-access№ 1194
Control de cuentas de usuario (UAC)
Funcion de seguridad de Windows introducida en Vista que ejecuta las sesiones interactivas con un token limitado y pide consentimiento o credenciales antes de elevar una accion administrativa.