Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

152 Kapitel 6: Dienste
Was ist ein Dienst?
Um Dienste verstehen zu können, müssen Sie wissen, wodurch sich ein Dienst von einer
normalen Anwendung unterscheidet. Die meisten von Microsoft installierten Windows-
Dienste werden als DLL- oder EXE-Dateien aus dem Ordner \System32 geladen, sie können
aber auch an jeder anderen gültigen Stelle auf einem lokalen Laufwerk liegen. Dienste werden
in Sitzung 0 mit Systemintegritätsebene und bei aktivierter Datenausführungsverhinderung
(Data Execution Prevention, DEP) gestartet; sie enthalten die Sicherheits-ID (Security
Identifier, SID) DIENST und die Datei- und Registrierungsvirtualisierung ist deaktiviert. Im
Unterschied zu normalen Anwendungen können Dienste dienstspezifische SIDs zugeordnet
haben, die eine flexible Zugriffssteuerung ermöglichen.
Hinweis Kapitel 1, »Subjekte, Benutzer und andere Akteure«, enthält weitere Informationen zu SIDs.
Kapitel 4, »Grundlagen der Benutzerkontensteuerung«, enthält weitere Informationen zur Virtualisierung.
Anmeldekonten für Dienste
Alle Dienste bekommen ein Dienstanmeldekonto zugewiesen, das festlegt, in welchem primären
Sicherheitskontext der Dienst läuft. Die integrierten Dienstanmeldekonten sind SYS-
TEM, LOKALER DIENST und NETZWERKDIENST. Administratoren und Entwickler können
aber nach Belieben neue Konten anlegen und verwenden. Mithilfe der Rechte, Berechtigungen
und Privilegien, die dem Dienstanmeldekonto zugewiesen sind, wird in erster Linie
(wenn auch nicht ausschließlich) gesteuert, welchen Zugriff ein bestimmter Dienst auf lokale
und Netzwerkressourcen erhält. Tabelle 6.1 listet die integrierten Dienstanmeldekonten auf
und beschreibt, welchen Zugriff sie auf lokale und Remoteressourcen haben.
Tabelle 6.1 Integrierte Dienstanmeldekonten
Name des Anmeldekontos Lokale Ressourcen Netzwerkressourcen
SYSTEM
(Oft auch als Lokales System
oder LokalesSystem bezeichnet.
Es kann NT-AUTORITÄT\ vorangestellt
sein.)
LOKALER DIENST
(Es kann NT-AUTORITÄT\ vorangestellt
sein.)
NETZWERKDIENST
(Es kann NT-AUTORITÄT\ vorangestellt
sein.)
Das Konto mit den höchsten
Privilegien auf einem Computer.
Es hat vollständigen Zugriff auf
alle Ressourcen.
Hat den Zugriff, der normalerweise
authentifizierten Benutzern zugewiesen
ist, mit etwas höheren
Privilegien.
Ähnlich wie LOKALER DIENST.
Hat den Zugriff, der normalerweise
authentifizierten Benutzern
zugewiesen ist, mit etwas höheren
Privilegien.
Stellt die Verbindung zu Netzwerkressourcen
mit dem Sicherheitskontext des Computers
her, auf dem das Konto liegt.
Stellt die Verbindung zu Netzwerkressourcen
mit einem Null-Sitzungskonto (anonyme
Anmeldeinformationen) her.
Ähnlich wie das Konto SYSTEM. Es stellt
die Verbindung als der Computer her. Das
Remotetoken enthält auch die SIDs für
Jeder und Authentifizierte Benutzer.
Dienste können die integrierten Dienstanmeldekonten verwenden, aber auch irgendein gültiges
lokales oder Domänenbenutzerkonto. In älteren Windows-Versionen liefen alle von
Microsoft bereitgestellten Dienste unter dem SYSTEM-Kontext. Leider widersprach dies
dem Prinzip der geringstmöglichen Rechte. Mit Windows XP hat Microsoft die restriktiveren
Konten LOKALER DIENST und NETZWERKDIENST eingeführt und damit begonnen,