Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

170 Kapitel 6: Dienste
Abbildung 6.10 Anzeigen der Privilegien eines Dienstprozesses
Dienst-SIDs
Das Prozesstoken eines Dienstes enthält die SID NT-AUTORITÄT\DIENST (S-1-5-6). Indem
Sie bei einem laufenden Prozess nach dieser SID suchen, können Sie schnell feststellen, ob
der Prozess ein Dienst oder nur eine Anwendung ist.
Ab Windows Vista und Windows Server 2008 kann jedem Dienst auch eine dienstspezifische
SID zugewiesen werden, die sich aus seinem Namen ableitet. (Anders ausgedrückt: Dienste
mit demselben Namen haben auf unterschiedlichen Systemen identische SIDs.) Eine dienstspezifische
SID ermöglicht es, Diensten direkt Berechtigungen für beliebige geschützte
Objekte zuzuweisen. Sie kann auch genutzt werden, um den Dienst auf andere Weise zu
steuern, um zum Beispiel Ports in der Windows-Firewall und IPsec zu öffnen.
Sie können sich die SID eines Dienstes ansehen (auch solcher, die Sie noch gar nicht installiert
haben), indem Sie an der Eingabeaufforderung sc mit dem Argument showsid aufrufen.
Die Syntax lautet:
sc showsid [Dienstname]
Die SID eines Dienstes wird berechnet, indem der Unicodename des Dienstes (als Großbuchstaben)
an eine SHA-1-Hashfunktion übergeben und das Hashergebnis an »S-1-5-80-«
angehängt wird. Zum Beispiel lautet die SID für den Dienst W32Time: S-1-5-80-4267341169-
2882910712-659946508-2704364837-2204554466. Diese SID ist auf allen Windows Vistaund
Windows Server 2008-Systemen gleich.
Wenn Sie eine dienstspezifische SID zu einem Dienst hinzufügen, müssen Sie das tun, bevor
der Dienst gestartet wird. Sie können die SID nicht mehr ändern, wenn der Dienst erst einmal
läuft. Wenn eine dienstspezifische SID verwendet wird, wird sie zusammen mit der
Anmeldekonto-SID des Dienstes zum Prozesstoken des Dienstes hinzugefügt. Falls ein gemeinsam
genutzter Dienstprozess (zum Beispiel Svchost.exe) mehrere Dienste mit dienst-