Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

228 Kapitel 8: Überwachung
Es gibt keinen zentralen Informationsspeicher über Kernelobjekte. Die meisten Softwarehersteller
veröffentlichen diese Art von Informationen nicht, weil sie die interne Funktionsweise
der Software betreffen und nicht vom Benutzer konfiguriert werden können. Selbst wenn Sie
AuditBaseObjects oder AuditBaseDirectories aktivieren, werden Sie wahrscheinlich sehen,
dass es schwierig oder sogar unmöglich ist festzustellen, was ein bestimmtes Objekt tut oder
wofür es verwendet wird. Sie können nur darauf hoffen, dass der Name des Objekts besonders
aussagekräftig ist. Aus diesem Grund sollten Sie diese Einstellungen in Produktivumgebungen
nur dann aktivieren, wenn es unbedingt nötig ist. Sie können sich Basisobjekte
im Process Explorer (Abbildung 8.8.) ansehen, den Sie von Microsofts SysInternals-Website
unter http://www.microsoft.com/technet/sysinternals/SystemInformation/Process
Explorer.mspx herunterladen können.
Verbesserungen an Überwachungsrichtlinien
Neben dem GAP-Feature wurde in Windows Server 2008 eine Reihe kleinerer Verbesserungen
an den Überwachungsrichtlinien vorgenommen.
Benutzerspezifische Überwachungsrichtlinien
Windows XP führte einen Mechanismus ein, um benutzerspezifische Ausnahmen für
Überwachungsrichtlinien festzulegen, die sogenannte benutzerspezifische Überwachung
(engl. per user selective audit oder per-user auditing). In Windows Vista und Windows
Server 2008 gibt es diesen Mechanismus weiterhin, und er wurde enger in den Überwachungsrichtlinienmechanismus
integriert: Wo früher separate Tools erforderlich waren,
um benutzerspezifische Überwachungsrichtlinien festzulegen, können jetzt für benutzerspezifische
und Systemüberwachungsrichtlinien dieselben Tools (und ihre zugrunde liegenden
APIs) verwendet werden.
Delegieren von Überwachungsrichtlinien
Ein Windows-System erledigt sechs Aufgaben im Bereich der Überwachungsrichtlinien:
Prüfen des Sicherheitsereignisprotokolls
Löschen des Sicherheitsereignisprotokolls
Prüfen der Überwachungsrichtlinieneinstellungen
Festlegen der Überwachungsrichtlinien
Prüfen von SACLs
Festlegen von SACLs
Seit der Einführung von Windows NT wurden alle sechs Aufgaben zusammen delegiert,
dafür wurde das Privileg Verwalten von Überwachungs- und Sicherheitsprotokollen
(SeSecurityPrivilege) definiert.
In Windows Server 2003 wurde ein Mechanismus eingeführt, um die Berechtigungen in
Ereignisprotokollen über den Registrierungswert CustomSD festzulegen. (Weitere Informationen
finden Sie im Microsoft Knowledge Base-Artikel 323076.) Ereignisprotokollberechtigungen
erlauben es, die ersten beiden Aufgaben getrennt von den anderen, getrennt
voneinander und unabhängig von SeSecurityPrivilege zu delegieren.
In Windows Vista und Windows Server 2008 wurde ein neuer Mechanismus für die
Delegierung von Überwachungsrichtlinien eingeführt. Er erlaubt es, das Recht zum Prüfen
und/oder Einstellen von Überwachungsrichtlinien getrennt von den übrigen Aufgaben