Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Abbildung 8.1 Aufbau des Windows-Überwachungssubsystems
So funktioniert die Windows-Überwachung 219
Hinweis Die meisten Windows-Komponenten, die Überwachungsereignisse generieren, prüfen selbst die
Überwachungsrichtlinien, bevor sie ein Ereignis an das Überwachungssubsystem melden. Das verhindert
unnötigen Ressourcenverbrauch.
Das Windows-Überwachungssubsystem ist im LSA-Prozess (Local Security Authority), der
in der Windows-Prozessliste als Lsass.exe aufgeführt wird, und im Windows-Kernel implementiert.
Die LSA enthält die Benutzermoduskomponenten von Windows, die die Sicherheitsrichtlinie
erzwingen und andere Sicherheitsfunktionen durchführen, zum Beispiel Authentifizierung.
Komponenten wie zum Beispiel Authentifizierungspakete liegen innerhalb
der LSA und liefern Ereignisse direkt an das Überwachungssubsystem. Komponenten, die
im Benutzermodus außerhalb der LSA laufen, sind zum Beispiel die Active Directory-
Domänendienste (Active Directory Domain Services, AD DS) und Anwendungen, die Windows-Überwachungs-APIs
verwenden und Ereignisse über RPC an die LSA liefern. Der
Kernel enthält eine generische Überwachungsschnittstelle, die von Kernelkomponenten wie
zum Beispiel Treibern benutzt wird. Er enthält außerdem den Objekt-Manager, dem die
Aufgabe zufällt, die meisten Objektzugriffsversuchsereignisse zu generieren. Ereignisse
werden entweder über das Ereignisverfolgungsmodul des Kernels (ETW) oder über RPC an
den Ereignisprotokolldienst übergeben. Die meisten Ereignisse, die im Kernel generiert
werden, werden direkt an das ETW geliefert, aber Ereignisse, die aufwendiger formatiert
werden müssen, werden für diese Aufgabe an die LSA weitergeleitet. Die LSA liefert die
meisten Ereignisse über ETW an das Ereignisprotokoll, wobei sie den RPC-Kanal in erster
Linie für Fälle verwendet, in denen Fehler in einem Teil des Überwachungssubsystems aufgetreten
sind.