Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

88 Kapitel 3: Objekte: Was Sie wollen
Konstante/Wert Anzeigename Beschreibung
SeIncrease-
QuotaPrivilege
SeIncrease-
WorkingSet-
Privilege
SeLoadDriver-
Privilege
SeLockMemory-
Privilege
SeMachine-
AccountPrivilege
SeManage-
VolumePrivilege
SeProfileSingle-
ProcessPrivilege
SeRelabelPrivilegeSeRemoteShutdownPrivilege
SeRestorePrivilege
SeSecurityPrivilege
SeShutdown-
Privilege
SeSyncAgent-
Privilege
SeSystem-
Environment-
Privilege
SeSystemProfile-
Privilege
SeSystemtime-
Privilege
Anpassen von Speicherkontingenten
für einen
Prozess
Arbeitssatz eines Prozesses
vergrößern
Laden und Entfernen
von Gerätetreibern
Sperren von Seiten im
Speicher
Hinzufügen von Arbeitsstationen
zur Domäne
Durchführen von Volumewartungsaufgaben
Erstellen eines Profils für
einen Einzelprozess
Verändern einer Objektbezeichnung
Erzwingen des Herunterfahrens
von einem Remotesystem
aus
Wiederherstellen von
Dateien und Verzeichnissen
Verwalten von Überwachungs-
und Sicherheitsprotokollen
Herunterfahren des
Systems
Synchronisieren von
Verzeichnisdienstdaten
Verändern der Firmwareumgebungsvariablen
Erlaubt es zu ändern, wie viel Arbeitsspeicher einem Prozess zugewiesen
ist.
Dieses Privileg ist relativ neu. Früher wurde dieses Verhalten durch
SeIncreaseQuotaPrivilege gesteuert. SeIncreaseWorkingSetPrivilege
erlaubt es, die Arbeitsseiten für eigene Prozesse zu ändern. Es ist
daher weniger kritisch.
Erlaubt es, einen Gerätetreiber zu laden. Dies ist ein sehr kritisches
Privileg, weil es erlaubt, Code zu laden, der im Kernel
ausgeführt wird, also ohne irgendwelche Sicherheitseinschränkungen.
Erlaubt es, Seiten im Speicher zu sperren, sodass sie nicht auf
Festplatte ausgelagert werden.
Erlaubt es, Computer in einer Domäne hinzuzufügen. Dieses Privileg
hat auf einem eigenständigen Computer keine Auswirkungen.
Erlaubt es, bestimmte Aufgaben direkt auf einem Datenträgervolume
durchzuführen, zum Beispiel das Volume zu defragmentieren.
Erlaubt es, bestimmte Leistungsdaten im Zusammenhang mit dem
Datei-Prefetching in einem Prozess zu sammeln.
Erlaubt einem Benutzer, die Beschriftung (label) eines Objekts zu
ändern, selbst wenn der Benutzer dessen SACL nicht ändern darf.
Wie der Name andeutet, erlaubt dieses Privileg, das System im
Remotezugriff herunterzufahren.
Ein sehr kritisches Privileg, das es erlaubt, in beliebige Dateien
oder Registrierungsschlüssel zu schreiben.
Erlaubt es, das Sicherheitsereignisprotokoll zu verwalten, zum Beispiel
die Größe zu ändern, das Protokoll zu leeren und seine Ereignisse
anzusehen.
Erlaubt es, den Computer normal herunterzufahren.
Erlaubt es, alle Objekte und Eigenschaften in Active Directory
zu lesen.
Manche Computer speichern Systemkonfigurationsparameter in
nichtflüchtigem RAM. Dieses Privileg erlaubt es, diese Parameter zu
ändern.
Erstellen eines Profils der Erlaubt es, Leistungsdaten zum gesamten System abzurufen.
Systemleistung
Ändern der Systemzeit Erlaubt es, die Systemuhr zu ändern. Das gilt als kritische Operation,
denn wenn ein Benutzer die Systemuhr verstellen kann, ist er in der
Lage, die Reihenfolge von Überwachungsereignissen zu verfälschen.