Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Festlegen einer Überwachungsrichtlinie 227
angesprochen, das sogenannte Handle. Handles sind in einem bestimmten Prozess einmalig,
daher können Prozesse keine unbenannten Kernelobjekte sehen, die sie nicht selbst erstellt
haben, und auch nicht darauf zugreifen. Benannte Kernelobjekte sind für andere Prozesse
sichtbar, sofern ein Prozess keinen privaten Namespace anfordert. Falls benannte Kernelobjekte
nicht ausreichend geschützt werden, bergen sie die Gefahr, dass ein böswilliger
Prozess sie manipuliert, wodurch Fehler in den Prozessen ausgelöst werden könnten, die
diese Objekte normalerweise einsetzen. Dies wird als Squatting-Angriff bezeichnet. Audit-
BaseObjects und AuditBaseDirectories stehen zur Verfügung, damit Sie den Zugriff auf
diese Objekte überwachen und Squatting-Angriffe im Protokoll erkennen können.
Das Hauptproblem bei AuditBaseObjects und AuditBaseDirectories ist, dass sie sehr viele
Überwachungsdaten generieren können, weil im Rahmen des normalen Betriebs viele Zugriffe
auf diese Objekte stattfinden. Die angewendeten SACLs sind fest einprogrammiert
und können vom Benutzer nicht verändert werden. In Windows Vista und Windows Server
2008 wurden sie so verändert, dass nur Schreibzugriffe auf diese Objekte überwacht werden,
sodass sich die Menge der generierten Ereignisse gegenüber älteren Versionen deutlich verringert.
Eine andere Einschränkung des SACL-Mechanismus ist, dass SACLs während der
gesamten Lebensdauer des Objekts existieren. Sie werden angewendet, wenn das Objekt
erstellt wird, was bei Systemobjekten während des Systemstarts und bei Prozessen, die ihre
eigenen Objekte erstellen, während der Initialisierungsphase ist. Die SACLs ändern sich
nicht, bis das Objekt zerstört wird, was normalerweise beim Herunterfahren des Systems
(für Systemobjekte) oder Beenden des Prozesses passiert, der das Objekt erstellt hat. Das
bedeutet also, dass Sie neu starten müssen, um AuditBaseObjects oder AuditBaseDirectories
zu aktivieren oder deaktivieren.
Abbildung 8.8 Untersuchen eines Objekts im Process Explorer