Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

226 Kapitel 8: Überwachung
besagt, dass ein entsprechendes System in der Lage sein muss, sofort alle überwachbaren
Aktivitäten abzubrechen, falls das Überwachungssystem keine Sicherheitsereignisse generieren
oder speichern kann. In Windows wird dies dadurch implementiert, dass das System
angehalten wird (in Form eines Bluescreens), wenn das Überwachungssystem nicht in der
Lage ist, Sicherheitsereignisse aufzuzeichnen. Wenn dieser Fall eintritt, können nur Administratoren
sich anmelden, nachdem das System neu gestartet ist. Dies gilt so lange, bis das
Sicherheitsereignisprotokoll geleert und die Bedingung beseitigt wurde, die den Fehler ausgelöst
hat.
Verwenden Sie diese Einstellung nur, wenn sie unbedingt gebraucht wird. Sie kann einen
möglichen Repudiation-Angriff in einen wirksamen Denial-of-Service-Angriff verwandeln.
CrashOnAuditFail hat drei Zustände:
Das Feature ist nicht aktiviert.
Das Feature ist aktiviert, aber das System wurde noch nicht angehalten.
Das Feature ist aktiviert, das System wurde wegen eines Überwachungssystemfehlers
angehalten und das System wurde neu gestartet. Nur Administratoren des Computers
können sich anmelden. Bis CrashOnAuditFail auf aktiviert oder deaktiviert zurückgesetzt
und das Protokoll geleert wurde, ist es normalen Benutzern nicht möglich, sich anzumelden.
Die Einstellung FullPrivilegeAuditing bewirkt, dass für alle Privilegien außer SeAuditPrivilege
Ereignisse zur Privilegiennutzung (sofern über Überwachungsrichtlinien aktiviert)
generiert werden. Normalerweise werden für die folgenden Privilegien keine Privilegiennutzungsereignisse
generiert:
Auslassen der durchsuchenden Überprüfung (SeChangeNotifyPrivilege)
Debuggen von Programmen (SeDebugPrivilege)
Erstellen eines Tokenobjekts (SeCreateTokenPrivilege)
Ersetzen eines Tokens auf Prozessebene (SeAssignPrimaryTokenPrivilege)
Generieren von Sicherheitsüberwachungen (SeAuditPrivilege)
Sichern von Dateien und Verzeichnissen (SeBackupPrivilege)
Wiederherstellen von Dateien und Verzeichnissen (SeRestorePrivilege)
Diese Privilegien werden ignoriert, weil sie von normalen Betriebssystemfunktionen und
Anwendungen sehr häufig verwendet werden. Im Fall der Privilegien zum Sichern und Wiederherstellen
treten sie auch in großen Mengen kurz hintereinander auf, wenn eine entsprechende
Operation ausgeführt wird. Und würde das Privileg zum Generieren von Überwachungsereignissen
selbst überwacht, würde sich das Protokoll mit diesem Ereignis füllen;
daher wird SeAuditPrivilege niemals überwacht. Sie können es sich folgendermaßen vorstellen:
Jedes Ereignis im Sicherheitsereignisprotokoll ist auch ein Privilegiennutzungsereignis
zu SeAuditPrivilege. Jedenfalls ist dies eine weitere Einstellung, die Sie wahrscheinlich
nicht aktivieren sollten, sofern dafür keine zwingenden Gründe vorliegen.
Die Einstellungen AuditBaseObjects und AuditBaseDirectories bewirken, dass benannte
Kernelobjekte (zum Beispiel Mutexe und Semaphore) SACLs zugewiesen bekommen, wenn
sie erstellt werden. AuditBaseDirectories wirkt sich auf Containerobjekte aus, AuditBase-
Objects auf Objekte, die keine anderen Objekte enthalten können. Basisobjekte (engl. base
object) werden normalerweise benutzt, um Aktivitäten zwischen zwei Prozessen zu synchronisieren.
Die meisten Kernelobjekte sind nicht benannt, sie werden nur über eine Zahl