Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

182 Kapitel 6: Dienste
Verwenden der eingeschränkten Gruppen in Gruppenrichtlinien
Falls benutzerdefinierte Dienstanmeldekonten mit kritischen Privilegien verwendet werden,
sollten Sie die eingeschränkten Gruppen in den Gruppenrichtlinien einsetzen, um die Zuweisung
von Berechtigungen zu erleichtern und zu verhindern, dass andere Konten versehentlich
diese Berechtigungen erhalten. Wenn eine Gruppe und ihre Mitglieder in den eingeschränkten
Gruppen definiert sind (Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Eingeschränkte
Gruppen), werden Änderungen an der Mitgliedschaft der
Gruppe, die außerhalb des Features Eingeschränkte Gruppen vorgenommen werden, von
den Gruppenrichtlinien rückgängig gemacht. Die Berechtigungen und Privilegien, die benutzerdefinierte
Anmeldekonten brauchen, können der Gruppe zugewiesen werden, und
danach wird die Mitgliedschaft der Gruppe mithilfe von Eingeschränkte Gruppen erzwungen.
Domänenadministratorkonten nach Möglichkeit nicht verwenden
Verwenden Sie auf Computern, die keine Domänencontroller sind, niemals benutzerdefinierte
Dienstanmeldekonten, die zur Gruppe Domänen-Admins (oder Gruppen mit ähnlich hohen
Privilegien) gehören. Falls ein Dienst, der ein Dienstanmeldekonto mit Privilegien von
Domänen-Admins verwendet, kompromittiert wird, ist praktisch die ganze Gesamtstruktur
kompromittiert. Probieren Sie irgendeinen anderen Kontotyp, zum Beispiel SYSTEM, und
testen Sie, ob der Dienst damit funktioniert. Alle Computer, die Dienstkonten mit hohen
Privilegien verwenden, sollten als hohes Risiko eingestuft werden und denselben Sicherheitseinschränkungen
und Richtlinien unterliegen wie Domänencontroller.
Verwenden von SYSTEM
Viele Leitfäden empfehlen, Dienstkonten, die SYSTEM-Zugriff benötigten, auf benutzerdefinierte
Dienstkonten mit weniger Privilegien umzustellen, falls der Dienst unter einem solchen
Konto ebenfalls funktioniert. Aber viele Administratoren schließen daraus, dass sie um
jeden Preis vermeiden sollten, Dienste unter SYSTEM auszuführen. Diese Administratoren
haben keinerlei Bedenken, ein benutzerdefiniertes Dienstkonto zu einem Domänen- oder
lokalen Administrator zu machen, und ignorieren dabei die Schutzmechanismen, die das
Konto SYSTEM bietet. Es gibt bei SYSTEM kein Kennwort, das ein Angreifer ausspähen
könnte. Falls ein Angreifer einen Dienst, der im SYSTEM-Kontext läuft, kompromittiert, hat
er möglicherweise den lokalen Computer übernommen, aber zumindest ist nicht automatisch
Ihre Domäne oder Gesamtstruktur kompromittiert. Das wäre der Fall, wenn der Angreifer
das Konto eines Domänenadministrators übernimmt.
Empfehlungen für Dienste besagen, dass Sie ein Dienstanmeldekonto mit möglichst wenigen
Privilegien verwenden sollten. Beginnen Sie mit LOKALER DIENST oder NETZ-
WERKDIENST, falls sie Ihre Anforderungen erfüllen. Falls Sie keinen Administrator- oder
SYSTEM-Zugriff brauchen, können Sie ein benutzerdefiniertes Dienstkonto anlegen, das
lediglich den Zugriff bietet, den Sie unbedingt benötigen. Falls ein Softwarehersteller behauptet,
Sie müssten seinen Dienst auf Nicht-Domänencontrollern im Kontext eines Domänenadministrators
ausführen, sollten Sie versuchen, ein benutzerdefiniertes Dienstkonto mit
Vollzugriff auf die Ressourcen zu verwenden, die der Dienst benötigt. Oder noch besser:
Geben Sie das Produkt zurück und verlangen Sie Ihr Geld zurück. Wenn irgendein Dienstkonto
Vollzugriffberechtigungen für kritische Datei- und Registrierungsressourcen bekommt,
ist das immer noch besser, als das Dienstanmeldekonto zur Gruppe Domänen-
Admins hinzuzufügen. Wenn der Dienst Vollzugriffberechtigungen auf die meisten Dateien