Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

72 Kapitel 3: Objekte: Was Sie wollen
dung 3.10 zeigt das gefilterte Standardbenutzertoken für einen Administrator, der unter der
UAC arbeitet. Abbildung 3.11 zeigt das vollständige administrative Token für denselben
Benutzer.
Abbildung 3.10 Bei einem gefilterten Token wurden fast alle Privilegien
entfernt, und für die Gruppe Administratoren ist Deny eingetragen
Abbildungen 3.10 und 3.11 demonstrieren mehrere wichtige Punkte. Erstens: Im gefilterten
Token ist für die Administratoren-SID Deny (Verweigern) eingetragen. Das bedeutet, dass
sie nur verwendet werden kann, um den Zugriff auf etwas zu verweigern. Anders ausgedrückt:
Falls eine ACL einen Zulassen-ACE für Administratoren enthält, gibt es keine Übereinstimmung
mit dem gefilterten Token. Nur wenn der ACE ein Verweigern-ACE ist, ergibt
sich eine Übereinstimmung.
Zweitens: Viele Privilegien in beiden Token sind deaktiviert. Das bedeutet nicht, dass der
Benutzer diese Privilegien nicht einsetzen kann. Es bedeutet lediglich, dass ein Prozess, der
diese Privilegien braucht, sie erst aktivieren muss. Dazu reicht oft ein einfacher Funktionsaufruf
aus. Wenn die Privilegien deaktiviert werden, schützt das den Benutzer nur vor einer
unbeabsichtigten Nutzung der Privilegien. Es bedeutet keinen Sicherheitsvorteil.
Drittens: Sehen Sie sich die beeindruckende Zahl von SIDs im Token an. Auch wenn Sie nur
zwei Gruppen sehen, während Sie die Gruppenmitgliedschaft des Benutzers untersuchen (in
diesem Fall Benutzer und Administratoren), geben eine Menge weiterer SIDs unter anderem
an, wie der Benutzer sich angemeldet hat. Alle Subjekte außer anonymen Benutzern haben
standardmäßig die Jeder-SID in ihrem Token. Alle Subjekte, die sich authentifiziert haben
(also keine anonymen Benutzer oder Gäste), haben auch das Authentifizierte Benutzer-SID
in ihrem Token. Weil das Konto Gast in der Standardeinstellung deaktiviert ist, sind Jeder