Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Festlegen einer Überwachungsrichtlinie 221
sourcenmanager aktiviert sind. Ist das der Fall, vergleicht die Zugriffsprüfungsroutine die
SACL des Objekts mit dem Ergebnis der Zugriffsprüfung, nachdem die DACL ausgewertet
wurde. Im Allgemeinen verläuft die Auswertung der SACL ganz ähnlich wie die für die
DACL. Falls eine SACL mit dem Objekt verknüpft ist und mindestens eine der SIDs im
Token des Anforderers irgendeiner SID in den ACEs der SACL entspricht und irgendeiner
der entsprechenden Zugriffe in den Zugriffsmasken der passenden ACEs der angeforderten
Zugriffsmaske entspricht, wird ein Ereignis generiert. Das Ereignis zeichnet die angeforderte
Zugriffsmaske auf, un zwar als Ereignis über das Öffnen eines Handles. Dieser Prozess
findet sowohl bei erfolgreichen als auch fehlgeschlagenen Zugriffsanforderungen statt. Das
jeweilige Ereignis zeichnet den Erfolg beziehungsweise Fehlschlag der Operation zum Öffnen
des Handles auf. Die Zugriffsmaske wird vom Objektmanager aufbewahrt; wenn später
weitere Operationen mit diesem Handle durchgeführt werden, führt das erste Auftreten
irgendeines überwachten Zugriffs dazu, dass ein Ereignis generiert wird.
Festlegen einer Überwachungsrichtlinie
In Windows Vista und Windows Server 2008 sind Überwachungsrichtlinien hierarchisch
organisiert. Das ist eine deutliche Verbesserung der Überwachungsrichtlinien. Bei älteren
Windows-Versionen war keine Struktur für Überwachungsrichtlinien vorgesehen, daher
konnte der Umfang der überwachten Bereiche nicht so detailliert eingestellt werden.
Vor Windows Vista wurde jedes Sicherheitsereignis in eine von neun Überwachungsrichtlinienkategorien
eingeordnet. Indem Sie die Erfolgs- oder Fehlerüberwachung für eine
Überwachungskategorie einschalten, aktivieren Sie alle Überwachungsereignisse für diese
Kategorie. Abbildung 8.2 zeigt, wie Überwachungsrichtlinien in Windows-Systemen vor
Vista aufgebaut sind.
Abbildung 8.2 Hierarchie der Überwachungsrichtlinien vor Windows Vista