Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

218 Kapitel 8: Überwachung
Wozu überwachen?
Beim Festlegen einer Richtlinie für die Sicherheitszugriffssteuerung müssen drei grundlegende
Steuerungsgruppen betrachtet werden: Authentifizierung (engl. authentication), Autorisierung
(engl. authorization) und Überwachung (engl. audit, manchmal auch als accounting,
Kontoführung, bezeichnet). Zugriffssteuerung (siehe Kapitel 2, »Authentifizierung und
Authentifizierungsprotokolle«) und Authentifizierung (siehe Kapitel 4, »Grundlagen der
Benutzerkontensteuerung«) werden als präventive Kontrollen (engl. preventative control)
eingeordnet. Sie sollen verhindern, dass etwas passiert, was Sie nicht erlaubt haben. Überwachung
gilt als Erkennungskontrolle (engl. detective control); sie verhindert nichts, hinterlässt
aber eine Spur, über die verfolgt werden kann, ob Ihre Sicherheitsrichtlinie verletzt
wurde und auf welche Weise.
Erkennungskontrolle, zum Beispiel Überwachungslisten (engl. audit trail), liefert Beweise,
dass Ihre präventiven Kontrollen funktionieren, selbst wenn Sie gerade nicht selbst alles
überwachen. Sie können die Überwachungslisten jederzeit auswerten, um zu prüfen, ob die
Tätigkeiten Ihrer Benutzer Ihren Absichten entsprechen.
Überwachungslisten liefern auch nützliche forensische Beweise für den Fall, dass sie gebraucht
werden. Es ist zu spät, wenn Sie Ihr System Protokolle generieren lassen, nachdem
ein Vorfall aufgetreten ist. In einem solchen Fall wollen Sie Informationen über Dinge, die
bereits passiert sind.
Wenn Sie wissen, welche Sicherheitsentscheidungen das System trifft, kann Ihnen das auch
bei der Problembehandlung helfen. Wenn die Fehlermeldung aus einem schlichten »Zugriff
verweigert« besteht, ist es nützlich, wenn Sie für Diagnosezwecke noch eine andere Informationsquelle
als die Fehlermeldung haben.
Und schließlich sind sich fast alle einig, dass viele juristische und organisatorische Regelwerke
die Aufzeichnung und Prüfung von Überwachungslisten vorschreiben. Zum Beispiel
schreiben manche Regelwerke für den medizinischen Bereich vor, dass Organisationen, die
Patientendaten sammeln und verarbeiten, sicherstellen müssen, dass nur autorisierte Personen
auf die Daten zugreifen können. Es wäre schwierig für eine Organisation, die Wirksamkeit
ihrer Zugriffssteuerung zu beurteilen, wenn keine Überwachungsliste verrät, wer tatsächlich
auf die Patientendaten zugegriffen hat.
So funktioniert die Windows-Überwachung
Das Windows-Überwachungssubsystem arbeitet mit Komponenten zusammen, die Sicherheitsentscheidungen
treffen, sowie mit dem Ereignisprotokolldienst, in dem zuverlässig
Sicherheitsereignisse generiert werden. Komponenten, die Sicherheitsentscheidungen treffen
(sogenannte Sicherheitsreferenzmonitore), benachrichtigen das Überwachungssubsystem,
sobald eine Sicherheitsentscheidung getroffen wurde oder andere sicherheitsrelevante Aktivitäten
stattfinden, und leiten die Details der Aktivität weiter. Das Überwachungssystem
formatiert diese Daten als Ereigniseinträge so, dass die Daten einen einheitlichen Aufbau
haben, und verwirft alle generierten Ereignisse, die laut den Überwachungsrichtlinien nicht
aufgezeichnet werden sollen. Die übrigen Ereignisse werden an den Ereignisprotokolldienst
gesendet, damit er sie im Sicherheitsprotokoll speichert. Abbildung 8.1 zeigt den Aufbau des
Überwachungssubsystems in Windows.