Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

104 Kapitel 4: Grundlagen der Benutzerkontensteuerung
UAC-Remoteeinschränkungen
Wenn sich ein Administrator im Remotezugriff über die normalen Windows-Netzwerkfunktionen
an einem Windows Vista- oder Windows Server 2008-Computer anmeldet, arbeitet er
im Administratorbestätigungsmodus, genau wie bei einer lokalen Anmeldung. Um dieses
Verhalten zu ergänzen, beschränkt die UAC die Remoteverwaltung, was Administrator-
Loopback-Angriffe verhindern soll. Außerdem dient dies als Schutz vor böswilliger Software,
die lokal läuft, aber im Remotezugriff administrative Privilegien erlangt. Zum Beispiel
tritt ein Administrator-Loopback auf, wenn ein Benutzer sich mit einem gefilterten Zugriffstoken
anmeldet und Malware dann einfach den Befehl net use \\127.0.0.1\c$ ausführt, um
administrativen Zugriff auf das Dateisystem zu erlangen. Wenn die UAC-Remoteeinschränkungen
aktiviert sind, erhält auch das Loopback nur ein gefiltertes Zugriffstoken, keinen
vollständigen administrativen Zugriff. Dieses Verhalten arbeitet jeweils anders für unterschiedliche
Typen von Benutzerkonten, wie in den folgenden Abschnitten beschrieben.
Lokale Benutzerkonten
Nehmen wir an, ein Benutzer arbeitet lokal auf dem Server und ist Mitglied der lokalen
Gruppe Administratoren auf diesem Server. Er baut mit net use * \\Server\Freigabe eine
Remoteverbindung auf. Anders als bei älteren Windows-Versionen ist das Token, das auf
dem Server für den Benutzer verwendet wird, in diesem Fall kein vollständiges administratives
Token. Der Benutzer kann auf dem Remotecomputer keine Anhebung durchführen und
keine administrativen Aufgaben erledigen. Falls der Benutzer die Arbeitsstation mit einem
lokalen Konto administrieren will, muss er sich interaktiv am Remotecomputer anmelden,
zum Beispiel über Remoteunterstützung oder Remotedesktop.
Domänenbenutzerkonten
Wenn ein Benutzer, der ein Domänenbenutzerkonto hat, sich im Remotezugriff an einem
Computer anmeldet und Mitglied der lokalen Gruppe Administratoren ist, arbeitet dieser
Domänenbenutzer auf dem Remotecomputer mit einem vollständigen Administrator-Zugriffstoken.
Die UAC ist in diesem Fall nicht wirksam.
Verwalten der UAC-Remoteeinschränkungen
Sie können die UAC-Remoteeinschränkungen für lokale Konten deaktivieren und das Verhalten
wie unter Windows XP und Windows Server 2003 einstellen, indem Sie unter dem
folgenden Registrierungsschlüssel einen DWORD-Eintrag namens LocalAccountTokenFilterPolicy
erstellen und auf den Wert 1 setzen:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system
Zuordnen von Netzlaufwerken im Administratorbestätigungsmodus
Wenn ein Administrator, der im Administratorbestätigungsmodus arbeitet, ein Netzlaufwerk
zuordnet, wird diese Zuordnung nur mit der aktuellen Anmeldesitzung für das aktuelle Prozesszugriffstoken
verknüpft. Falls also ein Benutzer eine Eingabeaufforderung (Cmd.exe)
mit einem gefilterten Zugriffstoken ausführt und darin explizit eine Netzwerkfreigabe zuordnet,
steht diese Netzwerkfreigabe nicht in irgendwelchen angehobenen Cmd.exe-Instanzen
zur Verfügung, die unter einem vollständigen Administrator-Zugriffstoken laufen. Nur
im Fall von UNC-Pfaden werden die Sitzungen automatisch vom System verknüpft.