Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Privileg SYSTEM LOKALER
DIENST
NETZWERK-
DIENST
Adminis-
tratoren
SeSystemEnvironment D – – D –
SeSystemProfile A – – D –
SeSystemtime D D – D –
SeTakeOwnership D – – D –
SeTcb A – – – –
SeTimeZone A D – D –
SeTrustedCredManAccess – – – – –
SeUndock D – – D –
SeUnsolicitedInput – – – – –
Standard-
benutzer
Diensthärtung 167
Direkt aus der Praxis: Rechte und Privilegien
Rechte (engl. rights) geben (oder verweigern) einem Benutzer das Recht, sich auf bestimmte
Weise anzumelden. Die meisten Leute bringen Rechte und Privilegien durcheinander,
aber es sind ganz unterschiedliche Dinge. Zum Beispiel kann ein Benutzer das
Recht haben, sich lokal anzumelden, aber ihm wird das Recht verweigert, sich als Stapelverarbeitungsauftrag
anzumelden, und so weiter. Diese Rechte werden nur ausgewertet,
während sich ein Sicherheitsprinzipal anmeldet. Falls die Anmeldung erfolgreich ist, wird
anhand der Authentifiziererüberprüfung und der Benutzerrechtverifizierung das Zugriffstoken
des Prinzipals erstellt. Die Benutzerrechte werden nicht in das Zugriffstoken eingetragen.
Privilegien werden aber sehr wohl mit dem Zugriffstoken verknüpft. Sie werden
im Verlauf einer Anmeldesitzung ständig ausgewertet.
Ein Privileg erlaubt dem Prinzipal dagegen, nach der Anmeldung irgendeine Aktion
durchzuführen. Zum Beispiel heißt ein Privileg SeChangeNotifyPrivilege, in den Gruppenrichtlinien
wird es als Auslassen der durchsuchenden Überprüfung aufgelistet. Se-
ChangeNotifyPrivilege ist das grundlegendste Privileg in Windows, und es wird jedem
Prozess zugewiesen. Es erlaubt dem Prinzipal (oder genauer: einem Prozess, der im Namen
des Prinzipals arbeitet), bestimmte Sicherheitsprüfungen zu umgehen. Nehmen wir
zum Beispiel an, es gibt einen Ordner namens C:\ForYourEyesOnly008. In diesem Ordner
befindet sich eine Datei namens For009.txt. Der Ordner definiert nur Berechtigungen
für den Benutzer 008. Die Datei gewährt aber dem Benutzer 009 Leseberechtigungen.
Dank SeChangeNotifyPrivilege kann Benutzer 009 direkt auf die Datei zugreifen, ohne
dass der Zugriffsversuch abgewiesen wird, weil er den Ordner, in dem sich die Datei befindet,
nicht lesen kann. Hätte 009 dieses Privileg nicht in seinem Zugriffstoken, bekäme
er eine Fehlermeldung, weil das Verzeichnis ihm den Zugriff verweigert.
Jesper M. Johansson
Microsoft Security MVP