Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

166 Kapitel 6: Dienste
Geringstmögliche Privilegien
Windows-Privilegien legen fest, was ein Sicherheitsprinzipal auf einem Computer tun kann.
(Anders ausgedrückt: Privilegien sind nicht mit einem bestimmten geschützten Objekt verknüpft.)
Windows Server 2008 hat 35 unterschiedliche Privilegien (SeImpersonatePrivilege,
SeCreateGlobalPrivilege und so weiter), die einem Sicherheitsprinzipal zugewiesen werden
können. Tabelle 6.2 listet die verfügbaren Privilegien auf. Sie können sich die Privilegien
auch in den Gruppenrichtlinien unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale
Richtlinien\Zuweisen von Benutzerrechten ansehen. In den Gruppenrichtlinien
sind allerdings auch 9 Rechte aufgeführt, die eigentlich keine Privilegien sind.
Tabelle 6.2 Privilegien für Dienstanmeldekonten, die standardmäßig aktiviert sind.
A = standardmäßig aktiviert; D = standardmäßig deaktiviert, kann aber aktiviert werden;
– = Privileg nicht zugewiesen und kann nicht aktiviert werden
Privileg SYSTEM LOKALER
DIENST
NETZWERK-
DIENST
Adminis-
tratoren
Standard-
benutzer
AssignPrimaryToken D D D – –
SeAudit A D D – –
SeBackup D – – D –
SeChangeNotify A A A A A
SeCreateGlobal A A A A A
SeCreatePagefile A – – D –
SeCreatePermanent A – – – –
SeCreateSymbolicLink A – – D –
SeCreateToken – – – – –
SeDebug A – – D –
SeEnableDelegation – – – D –
SeImpersonate A A A A A
SeIncreaseBasePriority A – – D –
IncreaseQuotaPrivilege D D D D –
SeIncreaseWorkingSet A D D D D
SeLoadDriver D – – D –
SeLockMemory A – – – –
SeMachineAccount – D D D D
SeManageVolume D – – D –
SeProfileSingleProcess A – – D –
SeRelabel – – – – –
SeRemoteShutdown – – – D –
SeRestore D – – D –
SeSecurity D – – D –
SeShutdown D – – D –
SeSyncAgent – – – – –