Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

82 Kapitel 3: Objekte: Was Sie wollen
Cacls und Icacls
Cacls (change ACLs) ist seit vielen Jahren in Windows integriert. Es ist ein Befehlszeilentool,
das in Windows 2000 nicht vollständig aktualisiert wurde, als sich das Vererbungsmodell
änderte. Daher führte Microsoft in Windows Vista und Windows Server 2008 Icacls
(improved cacls) ein. Es ist zwar ein viel leistungsfähigeres Tool als Cacls, aber Icacls leidet
noch unter einigen Kinderkrankheiten und weist einen deutlichen Nachteil auf: Es bietet
keine Möglichkeit, einfach eine ACL als SDDL-Zeichenfolge auszugeben. Dieses Problem
wird hoffentlich bald beseitigt, weil Cacls gerade ausgemustert wird, früher oder später wird
es wohl ganz aus dem Betriebssystem verschwinden.
Neben der grundlegenden Funktionalität bringt Icacls einige erweiterte Features mit, die
vorher nicht in integrierten Tools zur Verfügung standen:
Speichern und Wiederherstellen von ACLs. Mit den Befehlszeilenargumenten /save und
/restore kann Icacls eine ACL speichern. Sie können die ACL in einer Datei speichern
und diese Datei sogar ansehen. Diese Datei ist aber keine Textdatei, auch wenn sie so
aussieht. Sie hat in Wirklichkeit ein binäres Format, das einer Unicode-Textdatei ähnelt,
bei dem aber die entsprechende Zwei-Byte-Markierung am Anfang fehlt. Wenn Sie die
Datei daher im Windows-Editor öffnen, fügt der Editor diese Markierung ein. Das führt
dazu, dass Ihre ACLs nicht mehr aus der Datei wiederhergestellt werden können. Es
kann daher sinnvoll sein, beim Speichern Ihrer Dateien die Erweiterung .bin anzuhängen,
damit sie als Binärdateien interpretiert werden.
Ersetzen von SIDs. Die Fähigkeit, Berechtigungen, die einer SID gewährt wurden, auf
eine andere SID zu übertragen, ist ein sehr nützliches Feature in Icacls. Geben Sie dazu
zusammen mit /restore das Befehlszeilenargument /substitute an, wenn Sie eine ACL
wiederherstellen.
Ändern des Besitzers. Mit dem Befehlszeilenargument /setowner kann Icacls den Besitzer
eines Objekts ändern.
Alle Berechtigungen für einen bestimmten Benutzer finden. Es kommt recht häufig vor,
dass Sie eine Liste aller Berechtigungen brauchen, die einem bestimmten Benutzer gewährt
werden. Mit dem Befehlszeilenargument /findsid ist das ganz einfach. Diese
Funktion kann zum Beispiel bei der Überwachung nützlich sein.
Zurücksetzen von ACLs. Falls eine ACL aus irgendwelchen Gründen zerstört wurde,
können Sie sie mit dem Argument /reset auf die geerbte ACL zurücksetzen. Denken Sie
aber daran, dass Ihnen dies nicht hilft, wenn Sie die Berechtigungen auf ihre Standardeinstellungen
zurücksetzen wollen, falls Sie Berechtigungen für wichtige Betriebssystemdateien
zerstört haben. Diese Dateien verwenden normalerweise keine geerbten Berechtigungen.
Es gibt keine Möglichkeit, die Standardberechtigungen wiederherzustellen.
Aus diesem Grund wird der Support verweigert, falls Sie Berechtigungen für wichtige
Betriebssystemdateien ändern. Weitere Informationen finden Sie in KB 885409.
Zulassen/Verweigern/Entfernen. Sie können natürlich Berechtigungen für beliebige SIDs
gewähren, verweigern und entfernen.
Einstellen der Integritätsebene. Icacls bietet auch die Fähigkeit, Integritätsebenen zu
verwalten. Ich habe es bereits einige Male erlebt, dass Benutzer Objekte nicht löschen
konnten, weil sie mit mittlerer Integrität (Standardwert) angemeldet waren und das Objekt
eine hohe Integritätsebene hatte. Das Befehlszeilenargument /setintegritylevel
kann ein solches Problem beseitigen.