Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

168 Kapitel 6: Dienste
Das Konto SYSTEM besitzt die meisten standardmäßig aktivierten Privilegien, gefolgt von
Mitgliedern der Gruppen Administratoren, LOKALER DIENST, NETZWERKDIENST und
zuletzt Standardbenutzer ohne erhöhte Privilegien. Tabelle 6.2 zeigt, welche Standardprivilegien
den integrierten Dienstanmeldekonten, Administratoren und Standardbenutzern zugewiesen
sind, sofern sie nicht anderweitig eingeschränkt sind.
Falls ein Privileg im Token eines Dienstprozesses vorhanden, aber deaktiviert ist, kann es
gewissermaßen als aktiviert betrachtet werden (weil der Dienst ein deaktiviertes Privileg
jederzeit aktivieren kann). Prozesse, die als Standardbenutzer laufen, besitzen nur fünf Standardprivilegien,
genauso wie nicht angehobene Prozesse, die unter der Benutzerkontensteuerung
als Administrator laufen. Ein angehobener Prozess hat deutlich mehr Privilegien in
seinem Token. Dienstanmeldekonten unterliegen nicht der Benutzerkontensteuerung, dies
gilt natürlich auch für das integrierte Konto Administrator.
Hinweis Windows Vista und Windows Server 2008 unterscheiden sich etwas bezüglich der Privilegien,
die Standardbenutzern zugewiesen werden. In Windows Vista bekommen Benutzer SeTimeZone, damit sie
die Zeitzone des Systems ändern können, ohne ein Administrator zu sein. In Windows Server 2008 wird
dieses Privileg durch SeCreateGlobal ersetzt, das für Freigabeobjekte gebraucht wird, etwa in den Terminaldiensten
und anderen Freigabediensten.
Microsoft hat alle Windows-Standarddienste in einer ausführlichen Gefahrenmodellierung
analysiert. Falls ein Dienst keinen SYSTEM-Zugriff benötigt, bekommt er stattdessen
LOKALER DIENST- oder NETZWERKDIENST-Zugriff. Indem das Dienstanmeldekonto
mit den geringstmöglichen Privilegien verwendet wird, verringert Microsoft die Bedrohung
durch eine böswillige Manipulation des Dienstes. Leider laufen zwar nur etwas über die
Hälfte der bereitgestellten Dienste im SYSTEM-Kontext, aber dies sind absolut gesehen
mehr Dienste als in Windows Server 2003. Das zeigt, wie stark der Funktionsumfang im
neuen Betriebssystem zugenommen hat.
Um zusätzlichen Schutz zu bieten, können Windows Vista und Windows Server 2008 während
des Dienststarts alle nicht benötigten Standardprivilegien entfernen, die einem Dienstanmeldekonto
zugewiesen wurden. Die Entwickler bei Microsoft haben alle Windows-
Standarddienste untersucht und nicht erforderliche Privilegien entfernt. Entsprechend laufen
viele Dienste (zum Beispiel DHCP-Client) mit weniger Privilegien, als dem Dienstanmeldekonto
zugewiesen sind, unter dem sie ausgeführt werden. Microsoft stellt viele nützliche
Tools zur Verfügung und ermuntert Entwickler, ihre eigenen Dienste zu analysieren und
unbenötigte Privilegien zu entfernen. Jedes Privileg weniger kann möglicherweise vor
einem Angriff schützen. Bei der Installation eines Dienstes kann der Dienst in einen Registrierungsschlüssel
namens RequiredPrivileges (siehe das Beispiel in Abbildung 6.1) eintragen,
welche Privilegien er unbedingt braucht, um seine Aufgabe zu erfüllen.
Der SCM untersucht die Privilegien, die der Dienst anfordert, und entfernt aus dem Anmeldekonto
des Dienstes alle Privilegien, die nicht als unbedingt erforderlich gekennzeichnet
sind. Falls keine Privilegien als erforderlich aufgelistet sind, entfernt der SCM alle zusätzlichen
Privilegien, die über den Standardsatz im Dienstanmeldekonto hinausgehen. Falls ein
Dienst mehr Privilegien anfordert, als dem Dienstanmeldekonto bereits zugewiesen sind,
wird der Dienst nicht gestartet.
Falls ein Dienstprozess (zum Beispiel Svchost.exe) mehrere Dienste hostet, berechnet der
SCM, welche Privilegien für alle Dienste mindestens benötigt werden, und entfernt dann die
nicht erforderlichen Privilegien. Falls allerdings einer der Dienste, die sich denselben Dienst-