Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

154 Kapitel 6: Dienste
Abbildung 6.1 Registrierungseintrag für einen Dienst
Sowohl Dienste als auch Treiber liegen unter dem genannten Registrierungsschlüssel Services.
Dienste erkennen Sie daran, dass der Eintrag Type den Wert 0x10 (ein Dienst, der in
seinem eigenen Prozess als eigenständiges Programm läuft) oder 0x20 (ein Dienst, der in
einem gemeinsam genutzten Prozess läuft) hat. Ein Treiber hat in Type den Wert 0x1 (Kerneltreiber)
oder 0x2 (Dateisystemtreiber) eingetragen. Außerdem ist der Wert Start bei einem
Dienst immer 2 (automatisch), 3 (manuell) oder 4 (deaktiviert), bei Treibern dagegen 0 (Systemstart)
oder 1 (System).
Alle Dienstanmeldekonten besitzen ein zugehöriges Kennwort. Integrierte Dienstkonten
bekommen von Windows lange und komplexe Kennwörter zugewiesen. Administratoren
können diese Kennwörter nicht ohne Weiteres auflisten. Sie brauchen sie auch niemals zu
ändern. Benutzerdefinierte Kennwörter für Dienstanmeldekonten müssen von Administratoren
festgelegt werden, und sie sind in einem geschützten Bereich der lokalen Registrierung
gespeichert. Alle Kennwörter von Dienstkonten können von einem lokalen Administrator
mithilfe einer speziellen Software aufgelistet werden.
Dienstports
Die meisten Dienste haben ein Handle für einen Endpunkt, über den Informationen gesendet
oder empfangen werden. Normalerweise wird dieses Handle anhand der TCP- oder UDP-
Portnummer (zum Beispiel Terminaldienste unter der TCP-Portnummer 3389) und der
IP-Adresse angegeben, aber Dienste können auch RPC, Named Pipes oder andere gültige
Listenerprotokolle (zum Beispiel Net.msmq) verwenden. Den TCP/IP-Port eines Dienstes
können Sie mit dem Process Explorer von Windows Sysinternals auflisten (Abbildung 6.2).
Stattdessen können Sie auch an der Befehlszeile netstat -anob eingeben.
Wenn der Dienst eine TCP-Portnummer verwendet, überwachen die meisten Dienste (ab
Windows Vista) in der Standardeinstellung automatisch sowohl TCP Version 4 als auch TCP
Version 6. Falls die IP-Adresse des Ports als 0.0.0.0 aufgeführt ist, antwortet der Dienst auf
Verbindungen mit beliebigen Schnittstellenports, auch auf dem lokalen Host. Falls die IP-
Adresse des Ports als 127.0.0.1 aufgeführt ist, beantwortet der Dienst nur Verbindungsversuche
vom lokalen Host. Falls der Dienst eine bestimmte IP-Adresse überwacht (zum Beispiel
192.168.1.10), beantwortet der Dienst nur Verbindungsversuche zu genau dieser IP-Adresse.