Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

74 Kapitel 3: Objekte: Was Sie wollen
Ablauf der Zugriffsprüfung
Wenn ein Prozess versucht, auf ein geschütztes Objekt zuzugreifen, vergleicht das Betriebssystem
das Zugriffstoken erst mit der DACL und dann (sofern vorhanden) mit der SACL des
Objekts. Der Vergleich mit der DACL konzentriert sich auf drei Faktoren:
Der geforderte Zugriff (zum Beispiel Lesen, Schreiben, Ausführen, Löschen)
Die SIDs im Token
Die ACEs in der DACL des Objekts
Der Vergleichsprozess beginnt damit, dass alle SIDs im Token ausgewertet werden, die auf
Verweigern gesetzt sind. Falls irgendeine dieser SIDs einer SID in einem Verweigern-ACE
entspricht, vergleicht das Betriebssystem den angeforderten Zugriff mit der Zugriffsmaske
im ACE. Falls irgendwelche Bits in beiden auf 1 gesetzt sind, wird der Zugriffsversuch an
diesem Punkt verweigert. Weitere Vergleiche werden nicht mehr durchgeführt.
Falls keine Übereinstimmungen mit Verweigern-SIDs gefunden werden, wertet der Prozess
als Nächstes jeden einzelnen ACE aus. Es gibt drei mögliche Bedingungen, die bewirken,
dass die Auswertung abgebrochen wird. Erstens wird die Auswertung sofort beendet, falls
irgendein ACE oder eine Kombination von ACEs irgendeiner Kombination der SIDs im
Token den geforderten Zugriff vollständig gewährt. Falls das passiert, wird der Zugriff erlaubt.
Zweitens: Falls irgendein Verweigern-ACE gefunden wird, der irgendeiner SID im Token
irgendeines der geforderten Zugriffsrechte verweigert, wird die Auswertung abgebrochen
und der Zugriffsversuch wird verweigert.
Drittens und letztens: Falls das Ende der ACL erreicht ist, wird die Auswertung abgebrochen.
Falls an diesem Punkt nicht alle geforderten Zugriffsrechte von irgendeinem ACE
gewährt wurden, wird der Zugriffsversuch verweigert.
Unabhängig davon, wie die Zugriffsprüfung ausgeht, wertet das Betriebssystem als Nächstes
die SACL aus (sofern vorhanden) und prüft, ob ein Überwachungsereignis generiert werden
soll.
Wie Sie sich nach der bisherigen Beschreibung der Zugriffsprüfung bestimmt schon denken
können, ist wichtig, in welcher Reihenfolge die ACEs ausgewertet werden. Nehmen wir an,
Sie haben ein Verweigern-ACE, das dem Benutzer Zugriff auf das Objekt verbietet, sowie
einen ACE, das einer der SIDs im Token des Benutzers entspricht und alle geforderten Zugriffsrechte
gewährt. Wenn dieser Zulassen-ACE zuerst abgearbeitet wird, wird die Auswertung
abgebrochen und der Zugriffsversuch wird gewährt. Aus diesem Grund müssen ACEs
in einer ACL in einer bestimmten Reihenfolge gespeichert sein:
1. Nichtgeerbte Verweigern-ACEs
2. Nichtgeerbte Zulassen-ACEs
3. Geerbte Verweigern-ACEs
4. Geerbte Zulassen-ACEs
Verschiedene Tools, zum Beispiel die ACL-UI, speichern die ACEs in dieser Reihenfolge.
Sie korrigieren auch eine ACL, deren Reihenfolge nicht stimmt, sobald sie geöffnet wird.
Außerdem stellt das Befehlszeilentool icacls.exe das Argument /verify zur Verfügung, mit
dem Sie prüfen können, ob ACLs die richtige Reihenfolge haben. Das Betriebssystem erzwingt
diese Reihenfolge aber nicht automatisch, und es kommt erschreckend oft vor, dass