Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Diensthärtung 169
prozess teilen, alle Privilegien braucht, die dem Dienstanmeldekonto zugewiesen sind, werden
keine Privilegien entfernt. Und die Privilegien stehen allen Diensten zur Verfügung, die
im gemeinsam genutzten Host arbeiten. Anders ausgedrückt: Gemeinsam genutzte Prozesse
können den Nutzen der Privilegienanalyse deutlich verringern. Sie können sich ansehen,
welche Privilegien ein Dienst braucht (im Gegensatz zu den Privilegien, die dem Prozess
tatsächlich zugewiesen sind), indem Sie sc mit dem Argument qprivs aufrufen. Die Syntax
lautet:
sc Server qprivs [Dienstname]
Abbildung 6.9 zeigt ein Beispiel für den Befehl sc qprivs.
Abbildung 6.9 sc kann die von einem Dienst benötigten Privilegien anzeigen
Sie können auch das Befehlszeilenargument privs verwenden, um mit sc Privilegien festzulegen.
Die Syntax lautet:
sc Server privs [Privilegien]
Dabei steht [Privilegien] für eine Liste mit Privilegien, die durch Schrägstriche (/) getrennt
sind. Zum Beispiel können Sie die Privilegien für Sicherung und Wiederherstellung hinzufügen,
indem Sie SeBackupPrivilege/SeRestorePrivilege angeben. Dienstentwickler und
Systemadministratoren können die Möglichkeit, mit SCM Privilegien zu entfernen, nutzen,
um die Angriffsfläche von Diensten zu verringern. Allerdings sollten Benutzer und Administratoren
die von einem Dienst geforderten Privilegien nur ändern, nachdem sie die neue
Konfiguration sorgfältig analysiert und getestet haben.
Sie können auch den Process Explorer verwenden (Abbildung 6.10), um die Privilegien
(sowie Berechtigungen und SIDs) eines Dienstprozesses anzuzeigen. Denken Sie daran, dass
ein Privileg dem Dienst zur Verfügung steht, falls es hier aufgelistet wird (aktiviert oder deaktiviert).
Deaktiviert bedeutet nicht, dass es für alle Zeiten deaktiviert ist. Falls ein Privileg
nicht erlaubt ist, wird es gar nicht aufgelistet.