Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Typen von Sicherheitsprinzipalen 11
Administratoren mit der Sorge um den Schlaf gebracht, dass »jeder auf der Welt Berechtigungen
auf meinem Server hat«, und sehr drastische Schritte unternommen, um die Berechtigungen
so zu ändern, dass dieses vermeintliche Problem behoben wird. Meist führen diese
Veränderungen direkt in eine Katastrophe. Es gibt absolut keinen Grund, solche Änderungen
vorzunehmen. Wenn Sie wollen, dass Gäste Berechtigungen auf Ihrem Computer erhalten,
dann müssen Sie das Gastkonto aktivieren. Wenn Gäste keine Berechtigungen auf Ihrem
Computer erhalten sollen, lassen Sie das Gastkonto deaktiviert. Falls Gäste Berechtigungen
haben sollen, müssen Sie Berechtigungen für Jeder verwalten. Andernfalls unterscheidet
sich Jeder überhaupt nicht von Authentifizierte Benutzer. Manche Administratoren erklären,
dass sie diese Änderungen vornehmen, um eine »gestaffelte Verteidigung« zu implementieren.
Das wäre ein triftiges Argument, wenn wir »gestaffelte Verteidigung« als »Änderungen,
die wir anders nicht begründen können« definieren. Es ist schlicht so, dass diese Änderungen
praktisch keinen Sicherheitsgewinn bringen, aber ein sehr großes Risiko bedeuten. Lassen
Sie die Standardeinstellungen in Ruhe. Falls Sie das nicht überzeugt, sollten Sie sich den
Microsoft Knowledge Base-Artikel 885409 durchlesen. Er erklärt im Wesentlichen, dass der
umfassende Austausch des Berechtigungssystems Ihren Supportvertrag ungültig macht.
Wenn Sie das tun, bauen Sie quasi Ihr eigenes Betriebssystem, und Microsoft kann nicht
mehr garantieren, dass dieses Gebilde funktioniert.
Ebenfalls wichtig ist der Unterschied zwischen Benutzer, einer integrierten Gruppe, und
Authentifizierte Benutzer. Der Unterschied ist die offensichtliche Tatsache, dass Authentifizierte
Benutzer eben alle Benutzer umfasst, die sich am Computer authentifiziert haben,
darunter auch Benutzer in anderen Domänen; Benutzer, die Mitglieder von anderen lokalen
Gruppen als Benutzer sind; und Benutzer, die bei überhaupt keinen Gruppen Mitglied sind
(ja, so etwas gibt es). Anders ausgedrückt: Die Gruppe Benutzer ist viel, viel restriktiver als
Authentifizierte Benutzer. Trotzdem hat dieser Autor Organisationen erlebt, die versuchten,
Berechtigungen für Benutzer durch Berechtigungen für Authentifizierte Benutzer zu ersetzen,
um ihre Systeme besser zu schützen. Es muss hoffentlich nicht explizit gesagt werden,
dass diese Versuche meist kläglich scheiterten, sowohl was die Sicherheit betrifft als auch
insbesondere die Stabilität.
Dienste
Seit Jahren tobt eine Dauerdebatte über hostbasierte Firewalls. Viele Leute, eifrig unterstützt
von den Herstellern der entsprechenden Produkte, argumentieren, dass hostbasierte Firewalls
Filter für ausgehenden Verkehr haben müssen, wenn sie etwas taugen sollen. Nur so
ließe sich der Rest des Netzwerks vor einem befallenen Computer schützen. Objektivere
Experten weisen darauf hin, dass ein Computer, sobald er befallen ist, definitionsgemäß
schon Malware enthält. Und diese Malware kann die hostbasierte Firewall umgehen oder
gleich ganz abschalten.
Falls die Malware natürlich auf den Computer gelangt ist, indem sie über eine Anwendung
eingedrungen ist, die mit geringen Privilegien läuft, gilt dieses Argument nicht mehr. In den
letzten Jahren hat Microsoft viel Zeit aufgewendet, um Dienste so zu gestalten, dass sie mit
geringeren Privilegien laufen. Aber ein Dienst, der als ein bestimmter Benutzer läuft, kann
trotzdem beliebige andere Dienste steuern, die als derselbe Benutzer laufen, und kann alles
tun, was diese anderen Dienste können. Falls also Dienst A Verkehr durch die Firewall senden
kann, Dienst B aber nicht, kann Dienst B Dienst A übernehmen und Verkehr senden,
sofern beide als derselbe Benutzer laufen.