Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Einführung in Dienste 153
nach und nach bei der Entwicklung neuer Dienste das Prinzip der geringstmöglichen Rechte
einzuhalten. In Windows Server 2008 laufen 58 Prozent der installierten Dienste unter dem
SYSTEM-Kontext, gefolgt von LOKALER DIENST mit 26 Prozent und NETZWERKDIENST
mit 16 Prozent.
Diese Dienstanmeldekonten dienen dazu, die Dienste bei lokalen und Remoteressourcen zu
authentifizieren. Wenn Dienste die Kerberos-Authentifizierung (statt NTLM oder LM) nutzen
wollen, muss dem Dienstanmeldekonto außerdem mindestens ein Dienstprinzipalname
(Service Principal Name, SPN) zugewiesen sein. Der SPN dient dazu, einen Dienst eindeutig
zu identifizieren, sodass eine gegenseitige Authentifizierung zwischen einer Clientanwendung
und dem Dienst möglich ist.
Hinweis Kapitel 2, »Authentifizierung und Authentifizierungsprotokolle«, enthält weitere Informationen
zu NTLM und LM.
Dienststeuerungs-Manager
Alle Dienstanmeldekonten müssen das Recht Anmelden als Dienst besitzen, das dem Dienst
die Fähigkeit gibt, mit dem Dienststeuerungs-Manager (Service Control Manager, SCM) zu
kommunizieren und von ihm gesteuert zu werden. Das wiederum erlaubt dem Dienst, sich
anzumelden und auf Ressourcen zuzugreifen, ohne dass sich erst ein externer Sicherheitsprinzipal
anmelden muss.
Der SCM wird während des Windows-Systemstarts als RPC-Server (Remote Procedure
Call, Remoteprozeduraufruf) gestartet, damit Dienstverwaltungs- und -steuerungsprogramme
(Sc.exe, Services.msc, WMIC und so weiter) mit lokalen und Remotediensten kommunizieren
können. Der SCM hat die Aufgabe, während des Windows-Startprozesses Dienste automatisch
zu starten, die einen entsprechenden Startmodus haben. Der SCM liest die Dienstwerte
aus der Registrierung, meldet das Dienstkonto mit den ausgelesenen Anmeldeinformationen
auf dem lokalen Computer an, lädt das Benutzerprofil des Dienstkontos, startet den
Dienst in angehaltenem Zustand, verknüpft den Dienst mit dem Anmeldungstoken des
Dienstkontos und schließt den Dienststart ab. Der SCM erkennt alle registrierten Dienstabhängigkeiten
und startet sie bei Bedarf zuerst.
Der SCM hat viele Aufgaben im Zusammenhang mit Diensten, darunter:
Verwalten der Datenbank mit installierten Diensten
Starten von Diensten und Treiberdiensten entweder beim Systemstart oder auf Anforderung
Auflisten der installierten Dienste und Treiberdienste
Verwalten von Statusinformationen zu laufenden Diensten und Treiberdiensten
Übertragen von Steuerungsanforderungen an laufende Dienste
Sperren und Entsperren der Dienstdatenbank
Wenn der SCM einen Dienst starten muss, erstellt er eine Anmeldesitzung für das Anmeldekonto
des Dienstes, lädt das Benutzerprofil des zugehörigen Anmeldekontos und startet den
Dienst. Falls der SCM dabei erfolgreich war, verknüpft er das entstandene Prozesstoken (das
die SIDs und Privilegien des Dienstes definiert) mit dem Prozess des Dienstes.
Konfigurationsinformationen über jeden Dienst sind in der Windows-Registrierung unter
HKLM\System\CurrentControlSet\Services gespeichert. Abbildung 6.1 zeigt an einem Beispiel,
wie ein Registrierungseintrag für einen Dienst aussieht.