Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

106 Kapitel 4: Grundlagen der Benutzerkontensteuerung
Option 2 schlägt ebenfalls fehl. EXAMPLE\Denise ist nur Mitglied von Benutzer. Es ist
kein Administratorkonto, daher ist keine Anhebung möglich.
Option 3 schlägt fehl, denn obwohl EXAMPLE\Administrator (indirekt) Mitglied von
VORDEFINIERT\Administratoren ist, hat sich dieses Konto noch nie auf Denise-PC angemeldet.
Weil der Computer offline ist, muss die Authentifizierung von Domänenkonten
anhand des Kennwortverifizierers durchgeführt werden. (In Kapitel 2, »Authentifizierung
und Authentifizierungsprotokolle«, finden Sie Informationen zu zwischengespeicherten
Anmeldeinformationen.) Zwischengespeicherte Anmeldeinformationen gibt es nur für
Benutzer, die sich vorher interaktiv angemeldet haben. Daher gibt es keine Daten, anhand
derer EXAMPLE\Administrator authentifiziert werden könnte. Außerdem sollte erwähnt
werden, dass es äußerst leichtsinnig wäre, auf einer Mitgliedarbeitsstation eine Anhebung
auf einen Domänenadministrator durchzuführen. Die Gründe sind in Kapitel 14, »Schützen
des Netzwerks«, beschrieben.
Option 4 schlägt aus denselben Gründen fehl wie Option 3.
Option 5 funktioniert. DENISE-PC\Denise ist ein lokales Konto. Daher werden keine
zwischengespeicherten Anmeldeinformationen benötigt. Es ist Mitglied von VOR-
DEFINIERT\Administratoren, daher kann eine Anhebung auf dieses Konto durchgeführt
werden. Und es ist nicht deaktiviert, daher kann eine Anmeldung damit vorgenommen
werden.
Ich meine, dass dieser Bericht gut erklärt, welche Konten für eine UAC-Anhebung genutzt
werden können und welche Beziehung zwischen Domänenkonten, Kennwortverifizierern
und UAC besteht.
Jesper M. Johansson
Windows Security MVP
Blockierte Anwendungsanhebungen bei Anmeldung
Windows Vista und Windows Server 2008 blockieren administrative Anwendungen, die
versuchen, im Anmeldungsstartpfad des Benutzers zu starten. Viele Fremdhersteller legen
Programme in den Anmeldungsstartpfad des Benutzers, um sicherzustellen, dass sie jedes
Mal ausgeführt werden, wenn sich der Benutzer anmeldet. Diese Lösung mag bequem sein,
sie verursacht aber oft Anwendungskompatibilitätsprobleme, wenn der Benutzer, der sich
anmeldet, kein Administrator ist, die Anwendung dies aber voraussetzt. Dieses Verhalten ist
auch praktisch für Malware, die sich einfach im Anmeldungsstartpfad des Benutzers einnisten
kann. Künftig wird jedes Mal, wenn sich der Benutzer anmeldet, die Malware unbemerkt
mit Administratorzugriff ausgeführt, ohne dass der Benutzer zugestimmt hat. Um dieses
Verhalten zu blockieren, bieten Windows Vista und Windows Server 2008 dem Benutzer die
Möglichkeit, die Liste der blockierten Programme zu verwalten. Eine Anhebungsmeldung
benachrichtigt den Benutzer (Abbildung 4.8), und das Symbol in der Taskleiste erlaubt dem
Benutzer, das blockierte Programm auszuführen oder die Verwaltungsoberfläche zu öffnen
(Abbildung 4.9).