Select the product you need help with
Empfohlene Vorgehensweisen und Leitfaden für Verfasser von DACLs für DiensteArtikel-ID: 914392 - Produkte anzeigen, auf die sich dieser Artikel bezieht Dieser Artikel ist eine Übersetzung des folgenden englischsprachigen Artikels der Microsoft Knowledge Base: 914392
(http://support.microsoft.com/kb/914392/EN-US/
)
Best practices and guidance for writers of service discretionary access control listsBitte beachten Sie: Bei diesem Artikel handelt es sich um eine Übersetzung aus dem Englischen. Es ist möglich, dass nachträgliche Änderungen bzw. Ergänzungen im englischen Originalartikel in dieser Übersetzung nicht berücksichtigt sind. Die in diesem Artikel enthaltenen Informationen basieren auf der/den englischsprachigen Produktversion(en). Die Richtigkeit dieser Informationen in Zusammenhang mit anderssprachigen Produktversionen wurde im Rahmen dieser Übersetzung nicht getestet. Microsoft stellt diese Informationen ohne Gewähr für Richtigkeit bzw. Funktionalität zur Verfügung und übernimmt auch keine Gewährleistung bezüglich der Vollständigkeit oder Richtigkeit der Übersetzung. Auf dieser SeiteZusammenfassung
Discretionary Access Control Lists (DACLs) für Dienste sind wichtige Komponenten für die Sicherheit von Arbeitsstationen und Servern. Dieser Microsoft Knowledge Base-Artikel erläutert, wie DACLs für Dienste zu interpretieren sind. Außerdem enthält der Artikel einen Leitfaden mit empfohlenen Vorgehensweisen für Verfasser von DACLs für Dienste, den diese beachten sollten, wenn sie Programme entwickeln und deren Sicherheit beurteilen möchten.
EinführungDer vorliegende Microsoft Knowledge Base-Artikel kann als Leitfaden dazu dienen, die Sicherheit von DACLs für Dienste auf solider Grundlage zu bewerten. Weitere InformationenUm die DACLs für einen Dienst anzeigen zu lassen, verwenden Sie den Befehl sc in Verbindung mit dem Argument sdshow wie im folgenden Beispiel aufgezeigt. Dabei steht Dienstname für den Namen des Dienstes, dessen DACLs Sie anzeigen lassen möchten: sc sdshow Dienstname Die Ausgabe dieses Befehls sieht etwa wie folgt aus:
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS)
Diese Beispielausgabe für den Befehl sc zeigt die Sicherheitsbeschreibung eines Dienstes in der SDDL-Syntax (SDDL = Security Descriptor Definition Language). Weitere Informationen zur SDDL-Syntax finden Sie auf der folgenden Microsoft-Website:http://msdn2.microsoft.com/en-us/library/aa379567.aspx
Wenn Sie die Anfälligkeit einer DACL beurteilen möchten, sind diverse Faktoren zu berücksichtigen. In den folgenden Tabellen wird erläutert, wie die Ergebnisse des Befehls sc zu lesen sind, wie die einzelnen Berechtigungszeichenfolgen zu interpretieren sind, und wie Sie ermitteln, wem die Berechtigung jeweils erteilt wurde.
(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)
Sie können die in Klammern eingeschlossenen Zeichenfolgen jeweils einzeln auswerten, indem Sie den folgenden Schlüssel verwenden: (Allow/Deny;;Berechtigungszeichenfolge;;;SID oder Akronym für integrierte Konten oder Gruppen) Jedes Paar aus zwei Buchstaben in der Berechtigungszeichenfolge steht für eine bestimmte Berechtigung: Tabelle minimieren
Besondere Vorsicht ist in diesem Zusammenhang bei der Berechtigung "Konfiguration ändern" (ChangeConf (DC)) geboten. Wenn Sie ermitteln möchten, ob Ihr Dienst für einen Angriff anfällig ist, bei dem versucht wird, Berechtigungen zu manipulieren, untersuchen Sie die Berechtigung "ChangeConf". Diese Berechtigung eröffnet ihrem Träger die Möglichkeit, die Konfiguration des Dienstes so zu ändern, dass sie auch für die Binärdatei gilt, die beim Start des Dienstes ausgeführt wird. Auch mit den Berechtigungen "WDac (WD)" und "WOwn (WO)" sollten Sie sehr vorsichtig umgehen, weil beide dazu verwendet werden könnten, die Berechtigungen auf "LocalSystem" (Lokales System) anzuheben. Stellen Sie sicher, dass diese Berechtigungen keinen Benutzern erteilt werden, die eigentlich nur über sehr eingeschränkte Berechtigungen verfügen dürften. Die folgende Tabelle listet die Codes auf, anhand derer der Typ von Benutzer identifiziert wird, dem in der SDDL-Syntax der Zugriff gewährt wird. Tabelle minimieren
Interpretation einer DACL-Zeichenfolge im SDDL-FormatDiese Informationen beschreiben, wie das Beispiel für eine DACL-Zeichenfolge zu interpretieren ist, das Sie am Anfang des Artikels finden. Bei dieser Interpretation wird jeder Eintrag für die Zugriffssteuerung (ACE, Access Control Entry) einzeln aufgeführt.
Bei der folgenden Beispiel-DACL wird dem authentifizierten Benutzern die Berechtigung "Konfiguration ändern" (ChangeConf) nicht erteilt: (A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO) Mit dieser DACL werden authentifizierten Benutzern nur die folgenden Berechtigungen eingeräumt:
Der Gruppe "Lokales System" (LocalSystem/SY) werden die gleichen Berechtigungen erteilt wie der Gruppe "Hauptbenutzer". Erstere verfügt jedoch zusätzlich über die Berechtigungen "Anhalten" und "Pause". Dies ist durchaus angemessen. Die nächsten zwei kurzen ACEs verleihen dem lokalen Dienstkonto und dem Netzwerkdienstkonto die Berechtigung, den Dienst anzuhalten. Auch dies ist durchaus angemessen, weil sowohl das lokale Dienstkonto als auch das Netzwerkdienstkonto lokale Konten mit einem großen Wirkungsbereich sind. Der Gruppe "Netzwerkkonfigurations-Operatoren" (NO) wird jedoch auch die Berechtigung "Konfiguration ändern" (ChangeConf) erteilt. Die Gruppe "Netzwerkkonfigurations-Operatoren" wurde in Windows XP hinzugefügt, um vertrauenswürdigen Benutzern die Möglichkeit zu geben, Netzwerkeinstellungen zu ändern, ohne über vollständige Administratorberechtigungen zu verfügen. Standardmäßig ist die Gruppe "Netzwerkkonfigurations-Operatoren" leer. Diese Gruppe wird zuweilen verwendet, um bestimmten Benutzern Netzwerkkonfigurationsberechtigungen einzuräumen. Diese Berechtigung kann zum Beispiel einem Benutzer mit einem tragbaren Computer erteilt werden. Benutzer in der Gruppe "Netzwerkkonfigurations-Operatoren" können in vielen Fällen physisch auf die betreffenden Computer zugreifen. Der eigentliche Zweck dieser Gruppe ist jedoch, solchen Benutzern keine vollständigen Administratorberechtigungen einräumen zu müssen. Über diese DACL sollte der Gruppe "Netzwerkkonfigurations-Operatoren" daher nicht die Berechtigung "Konfiguration ändern" (ChangeConf) erteilt werden. Empfohlene VorgehensweisenBeschränken Sie die Verwendung von DACLs für Dienste auf Benutzer, die eine bestimmte Zugriffsberechtigung benötigen. Lassen Sie bei der Vergabe der folgenden Berechtigungen besondere Vorsicht walten. Wenn die folgenden Berechtigungen einem Benutzer oder einer Gruppe mit eigentlich stark eingeschränkten Berechtigungen eingeräumt werden, könnten sie dazu missbraucht werden, die Berechtigungen auf dem Computer zu "Lokales System" (LocalSystem) heraufzustufen:
http://msdn2.microsoft.com/en-us/library/ms685981.aspx
(http://msdn2.microsoft.com/en-us/library/ms685981.aspx)
EigenschaftenArtikel-ID: 914392 - Geändert am: Donnerstag, 15. Februar 2007 - Version: 1.4 Die Informationen in diesem Artikel beziehen sich auf:
Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verfügung. Microsoft übernimmt keinerlei Gewährleistung dafür, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erwünschten Ergebnisse erzielen. Die Entscheidung darüber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung für Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.
| SPRACHE AUSWÄHLEN
 |
Zum Anfang
