Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

232 Kapitel 8: Überwachung
Netzwerkinformationen:
Arbeitsstationsname: DC
Quellnetzwerkadresse: 127.0.0.1
Quellport: 0
Detaillierte Authentifizierungsinformationen:
Anmeldeprozess: User32
Authentifizierungspaket: Negotiate
Übertragene Dienste: -
Paketname (nur NTLM): -
Schlüssellänge: 0
Sie sehen mehrere deutliche Änderungen in diesem Ereignis. Erstens wurde das Ereignisformat
so geändert, dass Sie die gesuchten Informationen einfacher und schneller finden
können. Ähnliche Informationen wurden für die Anzeige in Abschnitten zusammengefasst.
Ein Standardabschnitt, Antragsteller, wurde in den meisten Ereignissen hinzugefügt, um die
Rolle des Benutzers deutlicher zu machen. Der Antragsteller ist das Konto, das dafür verantwortlich
ist, dass dieses Ereignis generiert wurde. Es ist das Konto, das die überwachte
Aktivität ausgeführt hat. In diesem Fall ist es SYSTEM. Warum? Weil die Aktivität nicht
»ein Benutzer hat sich angemeldet« ist. Die Aktivität ist »ein Benutzerkonto wurde angemeldet«,
also im Passiv. Ein Prozess, der als SYSTEM läuft (in diesem Fall WinLogon), hat
die Anmeldung angefordert. Ein weiterer Satz von Feldern beschreibt den Benutzer, der
angemeldet wurde.
Anschließend führen Ereignisse automatisierungsfreundliche Zuordnungsfelder und für
Menschen leicht lesbare Textfelder auf. Zum Beispiel wird die Prozess-ID (PID) durch den
Prozesspfad ergänzt.
Die Ereignisanzeige scheint den Namen des Benutzerkontos zweimal anzuzeigen, aber in
Wirklichkeit ist das erste Exemplar jedes Kontos als Sicherheits-ID (SID, siehe Kapitel 1,
»Subjekte, Benutzer und andere Akteure«) gespeichert, das zweite als Name. Die Ereignisanzeige
übersetzt die SID automatisch in einen Kontonamen, wo immer das möglich ist.
Weil die Namen aber zusätzlich auch in Textform gespeichert sind, wird der Name (und die
unübersetzte SID) auch dann angezeigt, wenn Sie sich an einem anderen Computer anmelden,
wo die Übersetzung nicht möglich ist, oder wenn das Konto gelöscht wurde. Wenn
Namen nicht aufgelöst werden konnten, war das in Vorgängerversionen bei der Auswertung
des Sicherheitsprotokolls ein häufiges Ärgernis.
Es wurden weitere Informationen hinzugefügt. Beträfe dieses Beispiel eine NTLM-Anmeldung,
würde das jeweilige NTLM-Protokoll aufgelistet (LM, NTLM V1 oder NTLM V2),
und falls ein NTLMv2-Sitzungsschlüssel ausgehandelt worden wäre, würde die Schlüssellänge
ausgegeben werden. Das hilft Ihnen, wenn Sie die Migration in eine Umgebung ohne
NTLM planen und im Vorfeld herausfinden möchten, welche Folgen das hat.
Eine Reihe kleinerer, aber wichtiger Änderungen am Format wurden durchgeführt. Zum
Beispiel wird das Feld Anmelde-ID nicht mehr wie in älteren Versionen als oberes und unteres
DWORD angegeben, zum Beispiel »(0x0,0x16d30b)«. Das Komma bewirkte, dass dieses
Feld schlecht auszuwerten war. Stattdessen wird das Feld jetzt als Einzelwert in hexadezimaler
Notation angezeigt. Prozess-IDs werden ebenfalls hexadezimal angezeigt.