Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Neue Ereignisse in Windows Server 2008 233
Eine andere wichtige Änderung ist, dass in den Ereignissen über Registrierungs- und Active
Directory-Objektzugriffe die bisherigen und neuen Werte aufgeführt werden:
Ein Registrierungswert wurde geändert.
Antragsteller:
Sicherheits-ID: CONTOSO\Administrator
Kontoname: Administrator
Kontodomäne: CONTOSO
Anmelde-ID: 0x31e01
Objekt:
Objektname: \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Name des Objektwerts: StartupProgram
Handle-ID: 0x118
Vorgangstyp: Ein vorhandener Registrierungswert wurde geändert
Prozessinformationen:
Prozess-ID: 0xa58
Prozessname: C:\Windows\regedit.exe
Informationen zur Änderung:
Typ des alten Werts: REG_SZ
Alter Wert: C:\Windows\System32\windows_component.exe
Typ des neuen Werts: REG_SZ
Neuer Wert: C:\Windows\System32\malware.exe
In diesem Fall verrät uns das Ereignis, dass Administrator einen Wert namens StartupProgram
im Registrierungsschlüssel Run geändert hat (dieser Schlüssel listet Programme auf,
die automatisch ausgeführt werden, wenn sich ein Benutzer interaktiv anmeldet). Der normale
Wert, der auf Windows_component.exe verweist, wurde ersetzt und verweist jetzt auf
Malware.exe.
Es gibt viele neue Ereignisse in Windows Server 2008. Die Tabellen 8.1 bis 8.8 führen die
wichtigsten auf.
Tabelle 8.1 Änderungen am Verzeichnisdienst
Ereignis-ID Beschreibung
5136 Ein Verzeichnisdienstobjekt wurde geändert.
5137 Ein Verzeichnisdienstobjekt wurde erstellt.
5138 Die Löschung eines Verzeichnisdienstobjekts wurde rückgängig gemacht.
5139 Ein Verzeichnisdienstobjekt wurde verschoben.
5141 Ein Verzeichnisdienstobjekt wurde gelöscht.