Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Konstante/Wert Anzeigename Beschreibung
SeTakeOwnershipPrivilege
Übernehmen des Besitzes
von Dateien und
Objekten
SeTcbPrivilege Einsetzen als Teil des
Betriebssystems
SeTimeZone-
Privilege
SeTrustedCred-
ManAccess-
Privilege
SeUndock-
Privilege
RBAC/AZMAN 89
Erlaubt es, den Besitz eines beliebigen Objekts zu übernehmen,
unabhängig von der DACL des Objekts.
Wer dieses Privileg besitzt, kann einige sehr kritische Operationen
durchführen, zum Beispiel Prozesstoken mit beliebigen
SIDs erstellen.
Ändern der Zeitzone Ein neues Privileg in Windows Vista und Windows Server 2008.
Dieses Privileg wurde hinzugefügt, um Standardbenutzern zu erlauben,
die Zeitzone des Betriebssystems zu ändern, auch wenn sie
nicht berechtigt sind, die Systemuhr zu verstellen.
Auf Anmeldeinformations-Manager
als vertrauenswürdigemAufrufer
zugreifen
Entfernen des Computers
von der Dockingstation
Erlaubt erweiterten Zugriff auf das Anmeldeinformationsverwaltungs-Subsystem,
in erster Linie für die Datensicherung. Das
Privileg erlaubt, alle Einträge in der Anmeldeinformationsverwaltung
zu sichern und wiederherzustellen. Dieses Privileg wird
normalerweise überhaupt keinem Benutzer zugewiesen, aber
einige Prozesse, zum Beispiel WinLogon und LSASS (Local
Security Authority Subsystem), haben es in der Standardeinstellung.
Erlaubt es, ein Notebook ordnungsgemäß aus einer Dockingstation
zu entfernen. Allerdings kann jemand auch ohne dieses Privileg
einfach die Auswurftaste der Dockingstation drücken oder die Dockingstation
samt Computer stehlen.
Sie müssen unbedingt wissen, wie die Privilegien aus Tabelle 3.7 funktionieren. Genauso
wichtig ist, dass Sie wissen, welcher Gefahr Sie sich aussetzen, wenn Sie Privilegien von
Gruppen ändern (insbesondere entfernen), die sie in der Standardeinstellung haben. Das
kann sich negativ auf die Stabilität Ihres Computers auswirken – und so mancher Administrator
musste schon feststellen, dass es auch der Karriere einen Dämpfer versetzen kann.
Falls Sie diese Privilegien richtig verwalten, können Sie die Sicherheit Ihres Computers
verbessern, indem Sie die Zuweisung von Privilegien anpassen. Falls Sie dabei Fehler
machen, können Sie einen oder mehrere Computer unbenutzbar machen (wenn Sie Glück
haben) oder ernste Sicherheitslücken schaffen (wenn Sie Pech haben).
RBAC/AZMAN
Bevor wir das Thema Zugriffssteuerung hinter uns lassen und zu anderen Themen weitergehen,
sollte ich kurz den Autorisierungs-Manager (Authorization Manager, AZMAN) erwähnen.
AZMAN ist nicht neu in Windows Server 2008, aber er ist relativ unbekannt. Er soll es
den Entwicklern von Fremdherstellern ermöglichen, eigene Zugriffssteuerungsmechanismen
zu implementieren, unabhängig von denen, die das Betriebssystem zur Verfügung stellt. Insbesondere
können Entwickler AZMAN nutzen, um ein rollenbasiertes Zugriffssteuerungssystem
(Role-Based Access Control, RBAC) zu implementieren.
Was wir bisher beschrieben haben, ist eine identitätsbasierte Zugriffssteuerung. Statt die
Zugriffssteuerung von der Identität des Subjekts abhängig zu machen, arbeitet RBAC auf
Basis einer Rollenmitgliedschaft. Im Prinzip ist sie nicht inkompatibel zur identitätsbasierten
Zugriffssteuerung, aber die in der RBAC verwendeten Konstrukte leiten sich aus dem