Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

220 Kapitel 8: Überwachung
Direkt von der Quelle: Verbesserungen am Ereignisprotokolldienst
Das Ereignisprotokollmodul in Windows wurde für die Version 6.0 von Windows (Windows
Vista und Windows Server 2008) von Grund auf neu geschrieben. Die Leistungs-
und Skalierungsprobleme des alten Ereignisprotokollmoduls wurden weitgehend beseitigt.
Wo beim alten Ereignisprotokolldienst die effektive Protokolldateigröße maximal
4 GByte betrug (und deutlich weniger auf 32-Bit-Computern), können Protokolle im
neuen Dienst jetzt bis zu 2 53 -1 Byte groß werden, das ist über 1 Petabyte. Und wo das alte
Protokoll einen maximalen Durchsatz von wenigen Tausend Ereignissen pro Sekunde
hatte, wenn es als zirkulär eingerichtet wurde, kann das neue Protokoll Zehntausende von
Ereignissen pro Sekunde verarbeiten.
Das neue Ereignisprotokollmodul macht Ereignisse im XML-Format verfügbar, sodass
andere Anwendungen darauf zugreifen können. So können Ereignisse nicht nur selbstbeschreibend
sein, sondern das Modul kann Ereignisse auch anhand von XPATH-Ausdrücken
filtern. So ist eine Vielzahl von Filtermöglichkeiten in Anwendungen wie der Ereignisanzeige
machbar. Außerdem können Abonnements sehr detailliert definiert werden,
Überwachungsanwendungen können also ganz genau festlegen, welche Ereignisse sie
interessieren.
Eric Fitzgerald, Senior Program Manager Forefront Security
Wie bereits erwähnt, stammen die meisten Sicherheitsereignisse (mit Ausnahme der Ereignisse
über die Integrität des Überwachungssubsystems) aus Komponenten außerhalb des
Überwachungssubsystems. Jedes Ereignis wird unter ganz bestimmten Bedingungen ausgelöst.
Bei den meisten Ereignissen sind dies folgende Bedingungen:
Eine überwachbare Aktivität ist aufgetreten.
Überwachungsrichtlinien geben an, dass diese Aktivität protokolliert werden soll.
In einem Fall gibt es noch eine dritte Voraussetzung. Ressourcenmanager sind eine spezielle
Art von Sicherheitsreferenzmonitor, die den Zugriff auf einen Satz Objekte regeln. Wenn
Ressourcenmanager die Anforderung für den Zugriff auf ein Objekt erhalten, prüfen sie
nicht nur die Überwachungsrichtlinien, sondern vergleichen die Zugriffsanforderung auch
mit den jeweiligen Überwachungseinstellungen des angeforderten Objekts. Wie in Kapitel 2
beschrieben, haben Objekte in Windows eine Sicherheitsbeschreibung, die verschiedene
Aspekte der objektspezifischen Sicherheitsrichtlinie definiert. Teil der Sicherheitsbeschreibung
ist die DACL (Discretionary Access Control List). Dies ist die Liste der Berechtigungen
für das Objekt, bei dem die Zugriffsprüfung ausgeführt wird. Üblicherweise wird diese
Liste als die ACL des Objekts bezeichnet. Es ist aber noch eine zweite ACL mit jedem Objekt
verknüpft, die die Überwachungsrichtlinien für dieses Objekt festlegt und die Integritätsebene
(siehe Kapitel 2) für das Objekt enthält. Diese ACL wird offiziell als SACL (System
Access Control List, Systemzugriffssteuerungsliste) bezeichnet. Sie ist genauso aufgebaut
wie eine DACL, aber die einzelnen Zugriffssteuerungseinträge (Access Control Entry,
ACE) in der SACL gewähren keine Berechtigungen an Benutzern und Gruppen, sondern
legen fest, welche Zugriffe bei bestimmten Benutzern und Gruppen überwacht werden sollen.
Wenn eine Zugriffsprüfung ausgeführt wird, muss der Ressourcenmanager entscheiden, ob
eine Überwachung für diese konkrete Anforderung generiert wird. Erst stellt die Zugriffsprüfungsroutine
fest, ob die Überwachungsrichtlinien für den Objektzugriff bei diesem Res-