Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

172 Kapitel 6: Dienste
Auch wenn Sie NT SERVICE\ voranstellen müssen, damit Windows den richtigen Sicherheitsprinzipal
findet, konvertiert Windows die eingegebene Bezeichnung in den reinen
Kurznamen (zum Beispiel W32Time), sobald Sie die Schaltfläche Namen überprüfen anklicken.
Aber es reicht nicht, wenn Sie nur den Kurznamen eingeben, um Berechtigungen zu
definieren.
Sie können NT SERVICE\Dienstname oder die SID des Dienstes verwenden, wenn Sie
Zugriffssteuerungsberechtigungen mit dem Tool Icalcs konfigurieren (Abbildung 6.13).
Abbildung 6.13 Festlegen von Berechtigungen für einen Dienst mit Icacls
Wie wichtig eine dienstspezifische SID ist, kann gar nicht oft genug betont werden. Vor
Windows Vista bekamen Dienste die Berechtigungen gewährt, die das Dienstanmeldekonto
besaß. Falls dem Dienstanmeldekonto (zum Beispiel LOKALER DIENST) zusätzliche Berechtigungen
gewährt werden mussten, damit ein Dienst richtig funktionierte, standen sie
allen Diensten zur Verfügung, die dasselbe Dienstanmeldekonto verwendeten. Jetzt können
Berechtigungen für einzelne Dienste gewährt oder verweigert werden. Und weil Dienste
SIDs haben, kann die Überwachung für Objektzugriffsversuche einfacher aufdecken, welche
Dienstzugriffe gelingen oder fehlschlagen. Außerdem kann so der Netzwerkverkehr vom
Dienst gesteuert werden. Zum Beispiel aktiviert die Windows-Firewall standardmäßig die
Filterung für ausgehenden Verkehr, sodass jeder Dienst nur Verkehr auf seinen explizit genehmigten
Ports übertragen darf.
Übrigens können Sie auch anzeigen, welche Berechtigungen mit einem Dienst verknüpft
sind (das heißt, wer welchen Zugriff auf den Dienst hat), indem Sie den Befehl sc mit dem
Befehlszeilenargument sdshow aufrufen. Die Syntax lautet:
sc sdshow [Dienstname]
Das Ergebnis wird im SDDL-Format ausgegeben. Sie können das optionale Argument showrights
hinzufügen, um die SDDL-Ausgabe in einfacher lesbare Zugriffssteuerungseinträge
zu konvertieren. Sie können sich die Berechtigungen natürlich auch in den normalen Windows-GUIs
und mit dem Process Explorer ansehen.