Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Tools zum Verwalten von Berechtigungen 81
Direkt von der Quelle: Ändern von ACLs kann die Gesundheit Ihres
Netzwerks und Ihre Karriere gefährden
Wenn Sie versuchen, einen Computer zu schützen, können ACLs Verbündete oder Gegner
sein. Ich bin Mitglied des Solution Accelerator Teams bei Microsoft. Unter anderem
erstellt mein Team die Sicherheitsratgeber für viele Microsoft-Produkte. ACLs sind ein
Aspekt der Sicherheit, mit dem wir uns immer beschäftigen, den wir aber selten in größerem
Maßstab verwenden. Viele Fremdhersteller empfehlen, die Standard-ACLs eines
Systems zu ändern. Manche beschreiben kleinere Anpassungen, andere eine große Zahl
von Änderungen. Vor einigen Jahren veröffentlichten wir KB885409, um die Probleme zu
beschreiben, die sich aufgrund solcher Änderungen ergeben können.
Eines der größten Probleme beim Ändern von ACLs für Systemdateien und Dienstprogramme
ist die unbekannte (aber oft deutliche) Auswirkung auf Anwendungskompatibilität.
Vor einigen Jahren hatten wir einen Kunden, der die ACLs im Stammverzeichnis des
Laufwerks C:\ änderte und diese Änderungen an alle Unterordner weitergab. Diese Konfiguration
wurde dann in allen Umgebungen der Firma bereitgestellt, was dazu führte,
dass Tausende von Computern nicht mehr benutzbar waren. Unabsichtlich hatten sie die
Sicherheit verringert und Dutzende von Dienstprogrammen und Anwendungen lahmgelegt.
Änderungen an den ACLs einzelner Dateien können diese Gefahr verringern, aber trotzdem
die gewünschten Ergebnisse bringen. Die Dienstprogramme, die in jedem Betriebssystem
oder Produkt enthalten sind, bringen den Administratoren große Vorteile. Oft kann
auch ein Angreifer diese Dienstprogramme nutzen, um Details über die Umgebung auszuforschen,
diverse Untaten zu begehen oder seine Spuren zu verwischen. Sie sollten
sorgfältig überlegen, ob Sie die Nutzung dieser Ressourcen einschränken. Einerseits verringern
Sie dadurch möglicherweise bestimmte Bedrohungen für das System, es kann
aber auch reichlich lästig werden, wenn Sie das System warten oder mitten in der Nacht
eine Problembehandlung durchführen müssen.
Im Lauf der Jahre hat sich Microsoft mit großer Sorgfalt um dieses Detail gekümmert,
und unser Team hat festgestellt, dass deutlich weniger Bedarf besteht, die Standard-ACLs
zu verändern. Trotzdem sind solche Änderungen immer ein Faktor, den Sie im Rahmen
einer Risikoanalyse für ein System beachten müssen. Das gilt insbesondere für Bereiche
und Anwendungen, die sensible Daten enthalten.
Chase Carpenter, Product Unit Manager
Solution Accelerators – Security and Compliance
Tools zum Verwalten von Berechtigungen
Es gibt drei große Klassen von Tools zum Verwalten von Berechtigungen: integrierte GUI
Tools, zum Beispiel die ACL-UI, integrierte Befehlszeilentools (Command-Line Interface,
CLI), zum Beispiel Icacls, und andere Tools, zum Beispiel Subinacl. In diesem Abschnitt
sehen wir uns kurz die wichtigsten dieser Tools an. Die ACL-UI ist relativ selbsterklärend
und wir haben uns bereits weiter oben damit beschäftigt. Daher konzentriert sich dieser Abschnitt
auf die beiden anderen Kategorien.