Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

174 Kapitel 6: Dienste
Die Windows-Firewall liefert ein gutes Beispiel, wie die SCHREIBEN EINGESCHRÄNKT-
SID verwendet wird. Die Windows-Firewall ist naturgemäß Angriffen ausgesetzt, die über
den eingehenden Verkehr eintreffen. Es gibt vier Windows-Firewalldienste: Windows-Firewall
(Mpssvc), Base Filtering Engine (Bfe), Diagnoserichtliniendienst (Dps) und Leistungsprotokolle
und -warnungen (Pla). Windows legt diese vier Dienste unter derselben Svchost.exe-Instanz
an. Alle Dienste sind als schreibeingeschränkt markiert und enthalten die
SCHREIBEN EINGESCHRÄNKT-SID (Abbildung 6.15).
Abbildung 6.15 Der Process Explorer zeigt eine SCHREIBEN
EINGESCHRÄNKT-SID für einen Dienst an
Mit dem Befehl icacls /t /findsid "NT-AUTORITÄT\SCHREIBEN EINGESCHRÄNKT" können Sie
feststellen, welche geschützten Objekte explizite Berechtigungen für die SCHREIBEN
EINGESCHRÄNKT-SID haben. In meinem Testsystem liefert die Icacls-Abfrage zwei
Dateien im Zusammenhang mit der Windows-Sicherheitskonfiguration, in die die Dienste
schreiben können.
Sie können den SID-Typ eines Dienstes mit dem Befehl sc sidtype festlegen. Die Syntax
lautet:
sc sidtype [Dienstname]
Änderungen am SID-Typ werden erst wirksam, wenn der Dienst gestartet oder neu gestartet
wird. Endbenutzer und Administratoren sollten SID-Typen nur ändern, wenn sie die Folgen
genau getestet und analysiert haben.
Hinweis Es gibt eine EINGESCHRÄNKT-SID, die restriktiver als die SCHREIBEN EINGESCHRÄNKT-
SID ist, weil sie verhindert, dass neben Schreib- auch Leseoperationen durchgeführt werden.