Windows Server 2003-Sicherheitshandbuch
Kapitel 4: Die Richtlinie für die Mitgliedsserver-Baseline
Auf dieser SeiteÜberblickIn diesem Kapitel werden die Konfigurationsanforderungen behandelt, die zum Verwalten einer Baseline-Sicherheitsvorlage für alle Server unter Microsoft® Windows Server™ 2003 mit Service Pack 1 (SP1) erforderlich sind. Das Kapitel bietet auch Verwaltungsanweisungen für die Einrichtung und Konfiguration eines sicheren Windows Server 2003 SP1-Systems in drei unterschiedlichen Umgebungen. Die Konfigurationsanforderungen in diesem Kapitel bilden die Grundlage für alle Verfahren, die in späteren Kapiteln dieses Handbuchs beschrieben werden. In diesen Kapiteln wird die Absicherung spezifischer Serverrollen beschrieben. Die Einstellungsempfehlungen in diesem Kapitel unterstützen Sie bei der Errichtung einer sicheren Grundlage für Geschäftsanwendungsserver in einer Unternehmensumgebung. Vor der Implementierung in der Produktionsumgebung müssen Sie jedoch sorgfältig testen, wie diese Sicherheitskonfigurationen zusammen mit den Geschäftsanwendungen Ihrer Organisation funktionieren. Die Empfehlungen in diesem Kapitel eignen sich für die meisten Organisationen und können sowohl auf vorhandene als auch auf neue Computer angewendet werden, auf denen Windows Server 2003 mit SP1 ausgeführt wird. Die Standardsicherheitskonfigurationen in Windows Server 2003 mit SP1 wurden von den Verfassern dieses Handbuchs untersucht, geprüft und getestet. Informationen zu sämtlichen Standardeinstellungen und eine ausführliche Erläuterung der einzelnen Einstellungen, die in diesem Kapitel diskutiert werden, finden Sie im Begleithandbuch Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP, das unter http://www.microsoft.com/germany/technet/sicherheit/topics/serversecurity/tcg/tcgch00.mspx heruntergeladen werden kann. Im Allgemeinen bieten die meisten der folgenden Konfigurationsempfehlungen größere Sicherheit als die Standardeinstellungen. Die Sicherheitseinstellungen, die in diesem Kapitel diskutiert werden, beziehen sich auf folgende drei Umgebungen:
In vielen Fällen wird in der Hochsicherheitsumgebung explizit die Standardeinstellung ausgewählt. Sie müssen damit rechnen, dass sich diese Konfiguration auf die Kompatibilität auswirkt, da es aufgrund des lokalen Anpassens einiger Einstellungen zu Anwendungsfehlern kommen kann. Einige Anwendungen müssen z. B. Zuweisungen von Benutzerrechten anpassen, damit ihrem Dienstkonto zusätzliche Berechtigungen erteilt werden. Da Gruppenrichtlinien Vorrang vor Richtlinien für lokale Computer haben, schlagen diese Vorgänge oft fehl. Sie sollten sämtliche Anwendungen gründlich prüfen, bevor Sie die empfohlenen Einstellungen auf Ihren Produktionscomputern bereitstellen. Dies trifft insbesondere auf Einstellungen für Hochsicherheitsumgebungen zu. In der folgenden Abbildung werden die drei Sicherheitsumgebungen und die darin jeweils unterstützten Clients aufgezeigt. Organisationen, die einen auf mehreren Phasen beruhenden Ansatz für die Sicherung ihrer Umgebungen verwenden möchten, können auf der Ebene von Umgebungen mit älteren Clients beginnen und dann schrittweise zu Umgebungen mit höherer Sicherheit übergehen, wenn ihre Anwendungen und Clientcomputer aktualisiert und mit strengeren Sicherheitseinstellungen getestet werden. Die folgende Abbildung zeigt, wie die INF-Sicherheitsvorlagen als Grundlage für die Mitgliedsserver-Baseline-Richtlinie (MSBP) der Unternehmensclient-Umgebung verwendet werden. In der Abbildung wird auch eine Möglichkeit aufgezeigt, wie diese Richtlinie verknüpft und auf alle Server in einer Organisation angewendet werden kann. Windows Server 2003 mit SP1 wird mit Standardeinstellungswerten geliefert, deren Konfiguration eine sichere Umgebung gewährleistet. In vielen Fällen werden in diesem Kapitel Einstellungen empfohlen, die sich von den Standardwerten unterscheiden. Es werden in diesem Kapitel auch bestimmte Standardwerte für alle drei Umgebungen erzwungen. Informationen zu sämtlichen Standardeinstellungen finden Sie im Begleithandbuch Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP unter http://www.microsoft.com/germany/technet/sicherheit/topics/serversecurity/tcg/tcgch00.mspx.  Abbildung 4.2: Die Sicherheitsvorlage Unternehmensclient-Mitgliedsserver-Baseline.inf wird in die Richtlinie für die Mitgliedsserver-Baseline importiert, die dann mit der Mitgliedsserver-Organisationseinheit verknüpft wird. Verfahren zur Absicherung bestimmter Serverrollen werden in den übrigen Kapiteln dieses Handbuchs definiert. Die wichtigsten in diesem Handbuch erläuterten Serverrollen sind folgende:
Viele der folgenden Einstellungen in der Mitgliedsserver-Baselinie-Richtlinie für die Unternehmensclient-Umgebung gelten auch für die Serverrollen in den drei in diesem Handbuch definierten Umgebungen. Die Sicherheitsvorlagen werden speziell für die Sicherheitsanforderungen der jeweiligen Umgebung zugewiesen. Die folgende Tabelle enthält die Namen der Baseline-Sicherheitsvorlagen für die drei Umgebungen. Tabelle 4.1: Baseline-Sicherheitsvorlagen für alle drei Umgebungen
Die auf alle drei Umgebungen und daher alle Sicherheitsvorlagen für die Mitgliedsserver-Baseline zutreffenden Sicherheitseinstellungen werden im übrigen Teil des Kapitels erläutert. Die Baseline-Sicherheitsvorlagen bilden auch die Grundlage für die Domänencontroller-Sicherheitsvorlagen, die in Kapitel 5, „Richtlinie für die Domänencontroller-Baseline“, definiert sind. Die Sicherheitsvorlagen für die Domänencontrollerrolle umfassen Baseline-Einstellungen für das Gruppenrichtlinienobjekt der Domänencontrollergruppenrichtlinie, das in allen drei Umgebungen mit der Domänencontroller-Organisationseinheit verknüpft ist. Eine ausführliche Anleitung zum Erstellen der Organisationseinheiten und Gruppenrichtlinien und zum anschließenden Importieren der entsprechenden Sicherheitsvorlage in das jeweiligen Gruppenrichtlinienobjekt wird in Kapitel 2, „Absicherungsmechanismen von Windows Server 2003“, bereitgestellt. Hinweis: Einige Verfahren zum Absichern von Servern können nicht anhand von Gruppenrichtlinien automatisiert werden. Diese Verfahren werden in diesem Kapitel im Abschnitt „Zusätzliche Sicherheitseinstellungen“ beschrieben. Baseline-Richtlinie für Windows Server 2003Einstellungen auf der Mitgliedsserver-Organisationseinheitsebene legen die gemeinsamen Einstellungen für alle in diesem Handbuch erläuterten Mitgliedsserverrollen fest. Zum Anwenden dieser Einstellungen können Sie ein Gruppenrichtlinienobjekt erstellen, das mit der Mitgliedsserver-Organisationseinheit, der so genannten Baseline-Richtlinie, verknüpft ist. Durch das Gruppenrichtlinienobjekt wird die Konfiguration von spezifischen Sicherheitseinstellungen auf jedem Server automatisiert. Je nach der Rolle der einzelnen Server ist es erforderlich, die Serverkonten in die entsprechende untergeordnete Organisationseinheit der Mitgliedsserver-Organisationseinheit zu verschieben. Die folgenden Einstellungen werden in der Reihenfolge beschrieben, in der sie in der Benutzeroberfläche des Sicherheitskonfigurations-Editor-Snap-Ins (SCE) der Microsoft Management Console (MMC) erscheinen. ÜberwachungsrichtlinieAdministratoren sollten eine Überwachungsrichtlinie erstellen, in der festgelegt wird, welche Sicherheitsereignisse gemeldet und welche Benutzer- oder Computeraktivitäten in festgelegten Ereigniskategorien aufgezeichnet werden sollen. Die Administratoren können dann die sicherheitsrelevanten Aktivitäten überwachen. Dazu gehört z. B. die Überwachung der für Objektzugriffe verwendeten Konten, der An- und Abmeldezeiten der Benutzer sowie der Änderungen, die an den Einstellungen der Überwachungsrichtlinien vorgenommen werden. Vor dem Implementieren einer Überwachungsrichtlinie müssen Sie entscheiden, welche Ereigniskategorien in Ihrer Umgebung überwacht werden sollen. Die vom Administrator für die Ereigniskategorien ausgewählten Überwachungseinstellungen legen die Überwachungsrichtlinie der Organisation fest. Beim Definieren von Überwachungseinstellungen für bestimmte Ereigniskategorien können Administratoren eine den Sicherheitsanforderungen der Organisation entsprechende Überwachungsrichtlinie erstellen. Wenn keine Überwachungsrichtlinie festgelegt wurde, ist es schwierig oder unmöglich, die genauen Umstände einer Sicherheitsverletzung zu bestimmen. Sind die Überwachungseinstellungen jedoch so konfiguriert, dass für eine Vielzahl autorisierter Aktivitäten Ereignisse produziert werden, sind die Sicherheitsereignisprotokolle schnell mit unnötigen Daten überfüllt. Die folgenden Empfehlungen und Einstellungsbeschreibungen sollen Ihnen dabei helfen zu bestimmen, was überwacht werden soll, damit die gesammelten Daten relevant sind. Das Protokollieren fehlgeschlagener Ereignisse bietet häufig wertvollere Informationen als das Protokollieren erfolgreich ausgeführter Ereignisse, da fehlgeschlagene Ereignisse normalerweise auf Fehler hinweisen. Wenn sich ein Benutzer z. B. erfolgreich beim System anmeldet, wird dies in der Regel als normaler Vorgang angesehen. Wenn sich jedoch ein Benutzer mehrfach ohne Erfolg beim System anzumelden versucht, kann dies darauf hinweisen, dass sich ein Angreifer mit den Kontoanmeldeinformationen einer anderen Person unerlaubten Zugriff auf den Computer verschaffen möchte. In den Ereignisprotokollen werden die Ereignisse auf dem Computer aufgezeichnet. Microsoft Windows-Betriebssysteme verfügen über separate Ereignisprotokolle für Anwendungen, Sicherheitsereignisse und Systemereignisse. Im Sicherheitsprotokoll werden Überwachungsereignisse aufgezeichnet. Der Ereignisprotokoll-Container der Gruppenrichtlinie dient zum Definieren von Attributen für die Anwendungs-, Sicherheits- und Systemereignisprotokolle, z. B. maximale Protokollgröße, Zugriffsrechte für jedes Protokoll sowie Einstellungen für die Dauer und Methode der Aufbewahrung. Vor der Implementierung von Überwachungsprozessen müssen Organisationen entscheiden, wie die Daten erfasst, strukturiert und analysiert werden sollen. Große Mengen von Überwachungsdaten sind nur von Nutzen, wenn ihre Verwendung zuvor geplant wurde. Zudem kann beim Überwachen von Computernetzwerken die Leistung beeinträchtigt werden. Während eine bestimmte Kombination von Einstellungen sich u. U. nur geringfügig auf einen Endbenutzercomputer auswirkt, kann dieselbe Kombination erhebliche Auswirkungen auf einen Server mit hoher Auslastung haben. Daher sollten Sie testen, ob die Leistung beeinträchtigt ist, bevor neue Überwachungseinstellungen in der Produktionsumgebung bereitgestellt werden. Die folgende Tabelle enthält die empfohlenen Überwachungsrichtlinieneinstellungen für die drei in diesem Handbuch definierten Umgebungen. Die Einstellungen der meisten Werte sind für alle drei Umgebungen ähnlich. Weitere Informationen zu jeder Einstellung finden Sie in den Unterabschnitten im Anschluss an die Tabelle. Die Überwachungsrichtlinieneinstellungen können in Windows Server 2003 mit SP1 im Gruppenrichtlinienobjekt-Editor in folgendem Verzeichnis konfiguriert werden: Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien Eine Zusammenfassung der in diesem Abschnitt beschriebenen Einstellungen finden Sie in der Microsoft Excel®-Arbeitsmappe „Sicherheitseinstellungen unter Windows Server 2003“, die gemeinsam mit dem Handbuch heruntergeladen werden kann. Weitere Informationen zu den Standardeinstellungen und eine ausführliche Erläuterung der einzelnen Einstellungen, die in diesem Abschnitt diskutiert werden, finden Sie im Begleithandbuch Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP, das unter http://www.microsoft.com/germany/technet/sicherheit/topics/serversecurity/tcg/tcgch00.mspx heruntergeladen werden kann. Tabelle 4.2: Einstellungen für Überwachungsrichtlinien
Anmeldeversuche überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob jede Instanz eines Benutzers, der sich von einem anderen für die Überprüfung des Kontos zuständigen Computer an- oder abmeldet, überwacht werden soll. Durch die Authentifizierung eines Domänenbenutzerkontos auf einem Domänencontroller wird ein Kontoanmeldeereignis erzeugt, das im Sicherheitsprotokoll des Domänencontrollers erfasst wird. Durch die Authentifizierung eines lokalen Benutzers auf einem lokalen Computer wird ein Anmeldeereignis erzeugt, das im lokalen Sicherheitsprotokoll erfasst wird. Abmeldungen werden nicht erfasst. Die Einstellung Anmeldeversuche überwachen ist für die Baseline-Richtlinien für ältere Clients und Unternehmensclients auf den Wert Erfolg und für die Hochsicherheitsumgebung sowohl auf Erfolg als auch auf Fehler gesetzt. In der folgenden Tabelle sind wichtige Sicherheitsereignisse aufgeführt, die von der Richtlinieneinstellung im Sicherheitsprotokoll erfasst werden. Diese Ereigniskennungen können nützlich sein, wenn Sie benutzerdefinierte Warnmeldungen zum Überwachen beliebigen Softwaresammlung, wie z. B. Microsoft Operations Manager (MOM), erstellen möchten. Tabelle 4.3: Ereignisse zu Anmeldeversuchen
Kontenverwaltung überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob jedes Kontenverwaltungsereignis auf einem Computer überwacht werden soll. Beispiele für Kontenverwaltungsereignisse:
Organisationen müssen feststellen können, wer Domänenkonten und lokale Konten erstellt, ändert oder löscht. Nicht autorisierte Änderungen können auf falsche Änderungen durch einen Administrator, der die Richtlinien der Organisation nicht versteht oder befolgt, oder auf absichtliche Angriffe hinweisen. Kontenverwaltungs-Fehlerereignisse weisen z. B. häufig darauf hin, dass ein Administrator auf niedrigerer Ebene oder ein Angreifer, der sich Zugang zum Konto eines Administrators auf niedrigerer Ebene verschafft hat, versucht, seine Berechtigungen zu erhöhen. Mithilfe der Protokolle können Sie feststellen, welche Konten ein Angreifer geändert und erstellt hat. Die Einstellung Kontenverwaltung überwachen ist für die Baseline-Richtlinien für ältere Clients und Unternehmensclients auf Erfolg und für die Baseline-Richtlinie für die Hochsicherheitsumgebung sowohl auf Erfolg als auch auf Fehler gesetzt. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Richtlinieneinstellung im Sicherheitsprotokoll aufgezeichnet werden. Diese Ereigniskennungen können nützlich sein, wenn Sie benutzerdefinierte Warnmeldungen zum Überwachen einer beliebigen Softwaresammlung, wie z. B. MOM, erstellen möchten. Der Großteil der Betriebsverwaltungssoftware kann mit Skripts so angepasst werden, dass auf diesen Sicherheitskennungen beruhende Ereignisse erfasst oder gekennzeichnet werden. Tabelle 4.4: Ereignisse zur Kontoverwaltung
Anmeldeereignisse überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob sämtliche An- und Abmeldeereignisse von einem Computer überwacht werden sollen. Die Einstellung Anmeldeereignisse überwachen erzeugt auf Domänencontrollern und auf lokalen Computern Einträge zur Überwachung der Domänenkontenaktivitäten bzw. Aktivitäten für lokale Konten. Wenn Sie die Einstellung Anmeldeereignisse überwachen auf Keine Überwachung setzen, ist es schwierig oder unmöglich festzustellen, welche Benutzer die Anmeldung bzw. einen Anmeldeversuch bei den Computern in der Organisation vorgenommen haben. Wenn Sie für einem Domänenmitglied den Wert Erfolg für die Option Anmeldeereignisse überwachen aktivieren, wird immer dann, wenn sich jemand beim Netzwerk anmeldet, ein Ereignis erzeugt, unabhängig davon, wo sich die Konten auf dem Netzwerk befinden. Wenn sich der Benutzer bei einem lokalen Konto anmeldet und Anmeldeversuche überwachen auf Aktiviert gesetzt ist, werden durch die Anmeldung zwei Ereignisse erzeugt. Selbst wenn Sie die Standardwerte für diese Richtlinieneinstellung nicht ändern, ist nach einer Sicherheitsverletzung kein Überwachungseintrag als Beweis zur Analyse verfügbar. Die Einstellung Anmeldeereignisse überwachen ist in den Baseline-Richtlinien für ältere Clients und Unternehmensclients auf die Werte Erfolg und in der Baseline-Richtlinie für die Hochsicherheitsumgebung sowohl auf Erfolg als auch auf Fehler gesetzt. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Richtlinieneinstellung im Sicherheitsprotokoll aufgezeichnet werden. Tabelle 4.5: Ereignisse zur Anmeldeüberwachung
Objektzugriffsversuche überwachenDiese Richtlinieneinstellung allein führt nicht zur Überwachung von Ereignissen. Durch die Einstellung Objektzugriffsversuche überwachen wird festgelegt, ob Benutzerzugriffe auf Objekte (z. B. Dateien, Ordner, Registrierungsschlüssel, Drucker) mit definierter Systemzugriffssteuerungsliste (SACL) überwacht werden sollen. Eine SACL besteht aus Zugriffssteuerungseinträgen (ACE). Jeder ACE enthält drei Informationen:
Wenn Sie die Einstellung Objektzugriffsversuche überwachen für die Erfassung von Erfolg-Werten konfigurieren, wird jedes Mal ein Überwachungseintrag generiert, wenn ein Benutzer erfolgreich auf ein Objekt mit definierter SACL zugreift. Wenn Sie diese Richtlinieneinstellung für die Erfassung von Fehler-Werten konfigurieren, wird jedes Mal ein Überwachungseintrag generiert, wenn ein Benutzer erfolglos auf ein Objekt mit definierter SACL zugreift. Organisationen sollten beim Konfigurieren von SACLs nur jene Aktionen definieren, die aktiviert sein sollen. Es kann z. B. sein, dass Sie die Überwachungseinstellung Daten schreiben und Daten anhängen für ausführbare Dateien aktivieren möchten, um Ersetzungen oder Änderungen dieser Dateien zu überwachen, weil Viren, Würmer und Trojaner meist ausführbare Dateien angreifen. Ebenso können Sie Änderungen an wichtigen Dokumenten oder den Zugriff auf solche Dokumente überwachen. Die Einstellung Objektzugriffsversuche überwachen ist in der Baseline-Richtlinie für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf den Standardwert Keine Überwachung gesetzt. Die Richtlinieneinstellung ist jedoch so konfiguriert, dass Fehler-Werte in der Baseline-Richtlinie für die Hochsicherheitsumgebung aufgezeichnet werden. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Richtlinieneinstellung im Sicherheitsprotokoll aufgezeichnet werden. Tabelle 4.6: Objektzugriffsereignisse
Richtlinienänderungen überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob jede Änderung in Richtlinien für die Zuweisung von Benutzerrechten, in Vertrauensrichtlinien oder in der Überwachungsrichtlinie selbst überwacht wird. Wenn Sie die Einstellung Richtlinienänderungen überwachen für die Erfassung von Erfolg-Werten konfigurieren, wird für jede erfolgreiche Änderung in Richtlinien für die Zuweisung von Benutzerrechten, in Überwachungsrichtlinien oder in Vertrauensrichtlinien ein Überwachungseintrag generiert. Wenn Sie diese Richtlinieneinstellung für die Erfassung von Fehler-Werten konfigurieren, wird für jede fehlgeschlagene Änderung in Richtlinien für die Zuweisung von Benutzerrechten, in Überwachungsrichtlinien oder in Vertrauensrichtlinien ein Überwachungseintrag generiert. Die empfohlenen Einstellungen ermöglichen die Anzeige aller Kontenberechtigungen, die ein Angreifer versucht zu erhöhen, indem er z. B. die Berechtigung Debuggen von Programmen oder die Berechtigung Sichern von Dateien und Verzeichnissen hinzuzufügen versucht. Die Einstellung Richtlinienänderungen überwachen ist in der Baseline-Richtlinie für alle drei in diesem Handbuch definierten Umgebungen zur Erfassung von Erfolg-Werten konfiguriert. Derzeit werden bei einer Einstellung auf Fehler-Werte keine bedeutungsvollen Ereignisse erfasst. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Richtlinieneinstellung im Sicherheitsprotokoll aufgezeichnet werden. Tabelle 4.7: Ereignisse zur Überwachung von Richtlinienänderungen
Rechteverwendung überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob jede Ausübung eines Benutzerrechts überwacht wird. Ist die Einstellung Rechteverwendung überwachen auf Erfolg gesetzt, wird bei jeder erfolgreichen Ausübung eines Benutzerrechts ein Überwachungseintrag generiert. Ist diese Richtlinieneinstellung auf Fehler gesetzt, wird bei jeder fehlgeschlagenen Ausübung eines Benutzerrechts ein Überwachungseintrag generiert. Für die folgenden Benutzerrechte werden auch dann keine Überwachungseinträge generiert, wenn die Einstellung Rechteverwendung überwachen konfiguriert ist, da diese Benutzerrechte viele Ereignisse im Sicherheitsprotokoll erzeugen. Die Computerleistung wäre beeinträchtigt, wenn folgende Benutzerrechte überwacht würden:
Die Einstellung Rechteverwendung überwachen wird in der Baseline-Richtlinie für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf dem Standardwert Keine Überwachung belassen. Die Richtlinieneinstellung ist jedoch so konfiguriert, dass Fehler-Werte in der Baseline-Richtlinie für die Hochsicherheitsumgebung aufgezeichnet werden. Der fehlgeschlagene Einsatz eines Benutzerrechts weist auf ein globales Netzwerkproblem hin und ist häufig ein Anzeichen für eine versuchte Sicherheitsverletzung. Organisationen sollten Rechteverwendung überwachen nur dann auf Aktivieren setzen, wenn bestimmte geschäftliche Gründe dies erfordern. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Einstellung im Sicherheitsprotokoll aufgezeichnet werden. Tabelle 4.8: Rechteverwendungsereignisse
Prozessverfolgung überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob detaillierte Überwachungsinformationen für Ereignisse wie Programmaktivierung, Prozessbeendigung, Handleduplizierung und indirekter Objektzugriff erfasst werden. Wenn Sie diese Richtlinieneinstellung auf Erfolg setzen, wird bei jedem erfolgreichen Durchführen eines überwachten Prozesses ein Überwachungseintrag generiert. Wenn Sie diese Richtlinieneinstellung auf Fehler setzen, wird bei jedem fehlgeschlagenen Durchführen eines überwachten Prozesses ein Überwachungseintrag generiert. Die Einstellung Prozessverfolgung überwachen erzeugt eine große Anzahl von Ereignissen, sodass sie in der Regel auf Keine Überwachung gesetzt ist. Diese Einstellung wird auch für die Baseline-Richtlinie für alle drei in diesem Handbuch definierten Umgebungen verwendet. Diese Richtlinieneinstellung kann sich jedoch bei einer Reaktion auf Zwischenfälle als sehr nützlich erweisen, da sie eine detaillierte Aufzeichnung der gestarteten Prozesse sowie des Startzeitpunkts bietet. In der folgenden Tabelle sind wichtige Sicherheitsereignisse enthalten, die von der Einstellung im Sicherheitsprotokoll aufgezeichnet werden. Tabelle 4.9: Prozessverfolgungsereignisse
Systemereignisse überwachenDurch diese Richtlinieneinstellung wird festgelegt, ob das Neustarten und Herunterfahren eines Computers bzw. Ereignisse, die Computersicherheit oder das Sicherheitsprotokoll betreffen, überwacht werden. Wenn Sie diese Richtlinieneinstellung auf Erfolg setzen, wird ein Überwachungseintrag generiert, wenn ein Systemereignis erfolgreich ausgeführt wurde. Wenn Sie diese Richtlinieneinstellung auf Fehler setzen, wird ein Überwachungseintrag generiert, wenn die Ausführung eines Systemereignisses fehlgeschlagen ist. In der folgenden Tabelle sind die nützlichsten, erfolgreich ausgeführten Ereignisse für diese Einstellung aufgeführt. Tabelle 4.10: Systemereignismeldungen zum Überwachen von Systemereignissen
Zuweisen von BenutzerrechtenDie Einstellungen für die Zuweisung von Benutzerrechten versorgen Benutzer und Gruppen mit Anmelderechten oder Berechtigungen für die Computer in der Organisation. Ein Beispiel für ein Anmelderecht ist das Recht, sich an einem Computer interaktiv anzumelden. Ein Beispiel für eine Berechtigung ist das Recht, einen Computer herunterzufahren. Beide Arten werden Benutzern oder Gruppen durch Administratoren als Teil der Sicherheitseinstellungen eines Computers zugewiesen. Hinweis: In diesem Abschnitt gilt „Nicht definiert“ nur für Benutzer. Administratoren besitzen weiterhin das Benutzerrecht. Lokale Administratoren können Änderungen vornehmen, alle domänenbasierten Gruppenrichtlinieneinstellungen haben jedoch Vorrang, wenn diese aktualisiert oder erneut angewendet werden. Die Einstellungen für die Zuweisung von Benutzerrechten können in Windows Server 2003 mit SP1 im Gruppenrichtlinienobjekt-Editor in folgendem Verzeichnis konfiguriert werden: Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien Für die verschiedenen Servertypen in der Organisation gelten unterschiedliche Standardeinstellungen für die Zuweisung von Benutzerrechten. Windows Server 2003 weist z. B. vordefinierten Gruppen auf Mitgliedsservern und Domänencontrollern unterschiedliche Rechte zu. (Ähnlichkeiten zwischen vordefinierten Gruppen auf verschiedenen Servertypen sind in der folgenden Liste nicht dokumentiert.)
Die Gruppe Gäste und die Benutzerkonten „Gast“ und „Support_388945a0“ besitzen in unterschiedlichen Domänen jeweils eindeutige SIDs. Daher muss diese Gruppenrichtlinie für die Zuweisung von Benutzerrechten u. U. auf einem Computer geändert werden, auf dem nur die spezifische Zielgruppe vorhanden ist. Alternativ dazu können die Richtlinienvorlagen auch einzeln bearbeitet werden, um die entsprechenden Gruppen in die INF-Dateien einzuschließen. Eine Gruppenrichtlinie für Domänencontroller könnte z. B. auf einem Domänencontroller in einer Testumgebung erstellt werden. Hinweis: Aufgrund der eindeutigen SIDs für Mitglieder der Gruppe Gäste, „Support_388945a0“ und „Gast“ können einige Einstellungen zum Absichern von Servern anhand der in diesem Handbuch enthaltenen Sicherheitsvorlagen nicht automatisiert werden. Diese Einstellungen werden im Abschnitt „Zusätzliche Sicherheitseinstellungen“ weiter unten in diesem Kapitel beschrieben. Dieser Abschnitt enthält eine ausführliche Beschreibung der empfohlenen MSBP-Einstellungen für die Zuweisung von Benutzerrechten für alle drei in diesem Handbuch definierten Umgebungen. Eine Zusammenfassung der in diesem Abschnitt beschriebenen Einstellungen finden Sie in der Microsoft Excel-Arbeitsmappe „Sicherheitseinstellungen unter Windows Server 2003“, die gemeinsam mit dem Handbuch heruntergeladen werden kann. Informationen zu den Standardeinstellungen und ausführliche Erklärungen zu den in diesem Abschnitt beschriebenen Einstellungen finden Sie im Begleithandbuch Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP. Die folgende Tabelle enthält die empfohlenen Einstellungen für die Zuweisung von Benutzerrechten für die drei in diesem Handbuch definierten Umgebungen. Weitere Informationen zu jeder Einstellung finden Sie in den Unterabschnitten im Anschluss an die Tabelle. Tabelle 4.11: Empfehlungen zu den Einstellungen für die Zuweisung von Benutzerrechten
Auf diesen Computer vom Netzwerk aus zugreifenDurch diese Richtlinieneinstellung wird festgelegt, welche Benutzer und Gruppen eine Verbindung zu dem Computer über das Netzwerk herstellen dürfen. Sie ist für eine Reihe von Netzwerkprotokollen erforderlich. Hierzu zählen SMB-basierte Protokolle (Server Message Block), NetBIOS, CIFS (Common Internet File System), HTTP und COM+ (Component Object Model Plus). Die Einstellung Auf diesen Computer vom Netzwerk aus zugreifen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. Berechtigungen, die in Windows Server 2003 mit SP1 der Sicherheitsgruppe Jeder zugewiesen wurden, bieten anonymen Benutzern zwar keinen Zugriff mehr, aber Gastgruppen und -konten können weiterhin über die Sicherheitsgruppe Jeder Zugriff erhalten. Aus diesem Grund wird der Sicherheitsgruppe Jeder in der Hochsicherheitsumgebung das Benutzerrecht Auf diesen Computer vom Netzwerk aus zugreifen verweigert. Der Schutz vor Angriffen auf den Gastzugriff zur Domäne wird dadurch verbessert. In der Hochsicherheitsumgebung werden diese Benutzerrechte nur den Gruppen Administratoren, Authentifizierte Benutzer und DOMÄNENCONTROLLER DER ORGANISATION zugewiesen. Einsetzen als Teil des BetriebssystemsDurch diese Richtlinieneinstellung wird festgelegt, ob ein Prozess die Identität eines beliebigen Benutzers annehmen und dadurch Zugriff auf die dem Benutzer zugänglichen Ressourcen erlangen kann. Normalerweise erfordern nur einfache Authentifizierungsdienste dieses Benutzerrecht. Das Benutzerrecht Einsetzen als Teil des Betriebssystems ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. Für die Hochsicherheitsumgebung ist diese Richtlinieneinstellung allerdings auf einen Nullwert oder einen leeren Wert gesetzt. Dadurch wird dieses Benutzerrecht keiner Sicherheitsgruppe bzw. keinem Konto gewährt. Anpassen von Speicherkontingenten für einen ProzessDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer das maximale Arbeitsspeicherkontingent, das für einen Prozess zur Verfügung steht, anpassen können. Sie ist bei Anpassung des Computers von Nutzen, kann allerdings missbraucht werden. Ein Angreifer könnte dieses Benutzerrecht ausnutzen, um eine DoS-Attacke zu starten. Die Einstellung Anpassen von Speicherkontingenten für einen Prozess ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht jedoch nur den Gruppen Administrator, NETZWERKDIENST und LOKALER DIENST zugewiesen. Lokal anmelden zulassenDurch diese Richtlinieneinstellung wird festgelegt, welche Benutzer sich interaktiv bei dem angegebenen Computer anmelden können. Der Benutzer benötigt dieses Benutzerrecht, um sich durch Drücken der Tastenkombination STRG+ALT+ENTF anmelden zu können. Jedes Konto mit diesem Benutzerrecht kann zur Anmeldung an der lokalen Konsole des Computers verwendet werden. Das Benutzerrecht Lokal anmelden zulassen ist in Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf die Gruppen Administratoren, Sicherungs-Operatoren und Hauptbenutzer beschränkt. Dadurch wird verhindert, dass sich unautorisierte Benutzer anmelden können, die ihre Berechtigungsebene erhöhen oder Viren in die Umgebung einschleusen möchten. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Anmeldung über Terminaldienste zulassenDurch diese Richtlinieneinstellung wird festgelegt, welche Benutzer oder Gruppen sich als Terminaldiensteclients anmelden können. Für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen ist das Benutzerrecht Anmeldung über Terminaldienste zulassen auf die Gruppen Administratoren und Remotedesktopbenutzer beschränkt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur Mitgliedern der Gruppe Administratoren zugeteilt. Sichern von Dateien und VerzeichnissenDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer Berechtigungen für Dateien und Verzeichnisse umgehen können, um den Computer zu sichern. Sie wird nur verwendet, wenn eine Anwendung versucht, über das NTFS-Sicherungs-API Zugriff zu erlangen, z. B. mit einem Sicherungsprogramm wie NTBACKUP.EXE. Andernfalls gelten die normalen Berechtigungen für Dateien und Verzeichnisse. Die Einstellung Sichern von Dateien und Verzeichnissen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Auslassen der durchsuchenden PrüfungDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer Ordner durchsuchen können, ohne dass bei der Navigation über einen Objektpfad im NTFS-Dateisystem oder in der Registrierung die spezielle Berechtigung „Ordner durchsehen“ überprüft wird. Das Benutzerrecht ermöglicht dem Benutzer nicht, den Inhalts eines Ordners anzuzeigen. Der Benutzer ist nur berechtigt, die entsprechenden Verzeichnisse zu passieren. Die Einstellung Auslassen der durchsuchenden Überprüfung ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Authentifizierte Benutzer zugewiesen. Ändern der SystemzeitDurch diese Richtlinieneinstellung wird festgelegt, welche Benutzer die Uhrzeit und das Datum der internen Uhr des Computers ändern können. Benutzer, denen dieses Benutzerrecht zugewiesen wird, können die Ausgabe der Ereignisprotokolle beeinflussen, die von der internen Uhr des Computers mit einem Zeitstempel versehen werden. Wenn die Zeit des Computers geändert wird, enthalten die Protokolle nicht die Zeit, zu der Ereignisse tatsächlich aufgetreten sind. Die Einstellung Ändern der Systemzeit ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Hinweis: Abweichungen zwischen der Uhrzeit auf dem lokalen Computer und der Uhrzeit auf den Domänencontrollern können beim Kerberos-Authentifizierungsprotokoll Probleme verursachen. Dies kann dazu führen, dass Benutzer sich nicht mehr bei der Domäne anmelden können oder nach der Anmeldung nicht für den Zugriff auf Domänenressourcen autorisiert werden. Auslagerungsdatei erstellenDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer eine Auslagerungsdatei erstellen und ihre Größe anpassen können. Dazu legt der Benutzer im Dialogfeld Systemeigenschaften auf der Registerkarte Erweitert im Feld Leistungsoptionen für bestimmte Laufwerke eine Auslagerungsdateigröße fest. Die Einstellung Auslagerungsdatei erstellen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Erstellen eines TokenobjektsDurch diese Richtlinieneinstellung wird festgelegt, ob ein Prozess ein Token erstellen kann. Wenn der Prozess NtCreateToken() oder andere APIs zur Tokenerstellung verwendet, kann anschließend mithilfe dieses Tokens auf alle lokalen Ressourcen zugegriffen werden. Die Einstellung Erstellen eines Tokenobjekts ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt Für die Hochsicherheitsumgebung ist diese Richtlinieneinstellung auf einen Nullwert oder einen leeren Wert gesetzt. Dadurch steht dieses Benutzerrecht keiner Sicherheitsgruppe bzw. keinem Konto zu. Globale Objekte erstellenDiese Richtlinieneinstellung lässt zu, dass Benutzer globale Objekte erstellen, die in allen Sitzung zur Verfügung stehen. Benutzer haben auch ohne dieses Recht die Möglichkeit, für ihre Sitzungen spezifische Objekte zu erstellen. Die Einstellung Globale Objekte erstellen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt Für die Hochsicherheitsumgebung wird dieses Benutzerrecht nur den Gruppen DIENST und Administratoren zugewiesen. Permanente freigegebene Objekte erstellenDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer Verzeichnisobjekte im Objekt-Manager erstellen können, also das Recht zur Erstellung von Ordnern, Druckern und anderen Objekten besitzen. Sie ist für Kernelmoduskomponenten von Nutzen, die den Objekt-Namespace erweitern. Diese Komponenten beinhalten dieses Benutzerrecht automatisch. Deshalb ist es in der Regel nicht erforderlich, dieses Benutzerrecht Benutzern ausdrücklich zuzuweisen. Die Einstellung Permanente freigegebene Objekte erstellen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt Für die Hochsicherheitsumgebung ist diese Richtlinieneinstellung auf einen Nullwert oder einen leeren Wert gesetzt. Dadurch steht dieses Benutzerrecht keiner Sicherheitsgruppe bzw. keinem Konto zu. Debuggen von ProgrammenDurch diese Richtlinieneinstellung wird festgelegt, welche Benutzer einen Prozess oder den Kernel debuggen können. Sie bietet Zugriff auf wichtige Komponenten des Betriebssystems. In Produktionsumgebungen sollte nur in extremen Fällen ein Debugging stattfinden, z. B. zur Problembehandlung einer für das Geschäft notwendigen Anwendung, die in der Testumgebung nicht effektiv beurteilt werden kann. Die Einstellung Debuggen von Programmen ist für die Umgebung mit älteren Clients auf Nicht definiert gesetzt. In der Unternehmensclient-Umgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Für die Hochsicherheitsumgebung ist diese Richtlinieneinstellung auf einen Nullwert oder einen leeren Wert gesetzt. Dadurch steht dieses Benutzerrecht keiner Sicherheitsgruppe bzw. keinem Konto zu. Hinweis: Unter Windows Server 2003 mit SP1 kann das Entfernen des Benutzerrechts Debuggen von Programmen dazu führen, dass der Windows-Update-Dienst nicht verwendet werden kann. Patches können jedoch weiterhin manuell heruntergeladen und installiert oder auf anderen Wegen angewendet werden. Das Entfernen dieses Benutzerrechts kann auch den Clusterdienst beeinträchtigen. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel Anwenden strengerer Sicherheitseinstellungen auf einem Windows Server 2003-basierten Clusterserver (in englischer Sprache) unter http://support.microsoft.com/kb/891597/en-us. Den Zugriff auf diesen Computer vom Netzwerk aus verweigernHinweis: Die Konten ANONYME ANMELDUNG, „Vordefinierter Administrator“, „Support_388945a0“ und „Gast“ sowie alle betriebssystemfremden Dienstkonten sind nicht in der INF-Sicherheitsvorlage enthalten. Diese Konten und Gruppen besitzen für jede Domäne in der Organisation eindeutige SIDs. Daher müssen sie manuell hinzugefügt werden. Weitere Informationen finden Sie im Abschnitt „Manuelle Absicherungsverfahren“ am Ende dieses Kapitels. Durch diese Richtlinieneinstellung wird festgelegt, welche Benutzer über das Netzwerk auf Computer zugreifen können. Dabei können eine Reihe von Netzwerkprotokollen, einschließlich SMB-basierter Protokolle, NetBIOS, CIFS, HTTP und COM+ nicht verwendet werden. Diese Richtlinieneinstellung ersetzt das Benutzerrecht Auf diesen Computer vom Netzwerk aus zugreifen, wenn ein Benutzerkonto beiden Einstellungen unterliegt. Für alle drei in diesem Handbuch definierten Umgebungen wird das Benutzerrecht Den Zugriff auf diesen Computer vom Netzwerk aus verweigern den Gruppen Gäste, ANONYME ANMELDUNG und „Support_388945a0“ sowie allen Dienstkonten, die nicht Teil des Betriebssystems sind, zugewiesen. Die Konfiguration dieser Richtlinieneinstellung für andere Gruppen kann dazu führen, dass die Möglichkeiten von Benutzern mit speziellen Administratorrollen in der Umgebung eingeschränkt sind. Sie müssen sicherstellen, dass dies keine negativen Auswirkungen auf delegierte Aufgaben hat. Anmeldung als Batchauftrag verweigernHinweis: Die Konten ANONYME ANMELDUNG, „Vordefinierter Administrator“, „Support_388945a0“ und „Gast“ sowie alle betriebssystemfremden Dienstkonten sind nicht in der INF-Sicherheitsvorlage enthalten. Diese Konten und Gruppen besitzen für jede Domäne in der Organisation eindeutige SIDs. Daher müssen sie manuell hinzugefügt werden. Weitere Informationen finden Sie im Abschnitt „Manuelle Absicherungsverfahren“ am Ende dieses Kapitels. Durch diese Richtlinieneinstellung wird festgelegt, welche Konten sich beim Computer nicht als Stapelverarbeitungsauftrag anmelden können. Ein Stapelverarbeitungsauftrag ist keine Batchdatei (BAT), sondern eine Batchwarteschlangeneinrichtung. Dieses Benutzerrecht wird von Konten benötigt, die den Taskplaner zum Planen von Aufgaben verwenden. Das Benutzerrecht Anmeldung als Batchauftrag verweigern setzt das Benutzerrecht Anmelden als Stapelverarbeitungsauftrag außer Kraft, das das Planen von Aufträgen ermöglichen könnte, die extrem viel Systemressourcen verbrauchen. Dies könnte einen Denial-of-Service verursachen. Deshalb wird das Benutzerrecht Anmeldung als Batchauftrag verweigern in der Baseline-Richtlinie für alle drei in diesem Handbuch definierten Umgebungen der Gruppe Gäste und dem Benutzerkonto „Support_388945a0“ zugewiesen. Wenn Sie die Zuweisung des Benutzerrechts an die empfohlenen Konten unterlassen, kann dies ein Sicherheitsrisiko darstellen. Anmeldung als Dienst verweigernDurch diese Richtlinieneinstellung wird festgelegt, ob innerhalb des angegebenen Kontos Dienste gestartet werden können. Die Einstellung Anmeldung als Dienst verweigern ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. Für die Hochsicherheitsumgebung ist diese Richtlinieneinstellung auf einen Nullwert oder einen leeren Wert gesetzt. Dadurch steht dieses Benutzerrecht keiner Sicherheitsgruppe bzw. keinem Konto zu. Lokale Anmeldung verweigernDurch diese Richtlinieneinstellung wird festgelegt, ob sich Benutzer direkt über die Computertastatur anmelden können. Die Einstellung Lokale Anmeldung verweigern ist für Umgebungen mit älteren Clients oder Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. Dieses Benutzerrecht wird in der Hochsicherheitsumgebung jedoch nur der Gruppe Gäste und dem Benutzerkonto „Support_388945a0“ zugewiesen. Wenn Sie die Zuweisung des Benutzerrechts an die empfohlenen Konten unterlassen, kann dies ein Sicherheitsrisiko darstellen. Anmeldung über Terminaldienste verweigernHinweis: Die Konten ANONYME ANMELDUNG, „Vordefinierter Administrator“, „Support_388945a0“ und „Gast“ sowie alle betriebssystemfremden Dienstkonten sind nicht in der INF-Sicherheitsvorlage enthalten. Diese Konten und Gruppen besitzen für jede Domäne in der Organisation eindeutige SIDs. Daher müssen sie manuell hinzugefügt werden. Weitere Informationen finden Sie im Abschnitt „Manuelle Absicherungsverfahren“ am Ende dieses Kapitels. Durch diese Richtlinieneinstellung wird festgelegt, ob sich Benutzer als Terminaldiensteclients anmelden können. Nachdem Sie den Baseline-Mitgliedsserver einer Domänenumgebung hinzugefügt haben, müssen keine lokalen Konten für den Netzwerkzugriff auf den Server verwendet werden. Domänenkonten können zur Verwaltung und Endbenutzerverarbeitung auf den Server zugreifen. Für alle drei in diesem Handbuch definierten Umgebungen wird der Gruppe Gäste das Benutzerrecht Anmeldung über Terminaldienste verweigern zugewiesen, damit eine Anmeldung über Terminaldienste nicht möglich ist. Computer und Benutzerkonten für Delegierungszwecke vertrauenDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer die Einstellung Für Delegierungszwecke vertraut für einen Benutzer oder ein Computerobjekt in Active Directory ändern können. Benutzer oder Computer, denen dieses Benutzerrecht gewährt wird, müssen auch Schreibzugriff auf die Kontosteuerungsflags des Objekts haben. Der Missbrauch dieses Benutzerrechts kann dazu führen, dass nicht autorisierte Benutzer die Identität anderer Benutzer im Netzwerk annehmen. Die Einstellung Computer und Benutzerkonten für Delegierungszwecke vertrauen ist für Umgebungen mit älteren Clients oder Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht jedoch nur der Gruppe Administratoren zugewiesen. Erzwingen des Herunterfahrens von einem Remotesystem ausDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer einen Computer von einem Remotestandort im Netzwerk aus herunterfahren können. Jeder Benutzer, der einen Computer herunterfahren kann, könnte einen Denial-of-Service verursachen. Daher sollte dieses Benutzerrecht streng beschränkt werden. Die Einstellung Erzwingen des Herunterfahrens von einem Remotesystem aus ist für Umgebungen mit älteren Clients oder Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur der Gruppe Administratoren zugewiesen. Generieren von SicherheitsüberwachungenDurch diese Richtlinieneinstellung wird festgelegt, ob ein Prozess Überwachungseinträge im Sicherheitsprotokoll erzeugen kann. Da das Sicherheitsprotokoll zum Verfolgen von unautorisiertem Systemzugriff dienen kann, könnten Konten mit Schreibzugriff auf das Sicherheitsprotokoll verwendet werden, um dieses Protokoll mit sinnlosen Ereignissen zu füllen. Wenn Sie den Computer zum bedarfsabhängigen Überschreiben von Ereignissen konfigurieren, kann ein Angreifer mit dieser Funktion Beweise für seine unautorisierten Aktivitäten entfernen. Wenn Sie den Computer so konfigurieren, dass er herunterfährt, wenn im Sicherheitsprotokoll keine Ereignisse erfasst werden können, kann ein Angreifer diese Funktion einsetzen, um einen Denial-of-Service zu verursachen. Die Einstellung Generieren von Sicherheitsüberwachungen ist für Umgebungen mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht nur den Konten NETZWERKDIENST und LOKALER DIENST zugewiesen. Annehmen der Clientidentität nach AuthentifizierungDurch diese Richtlinieneinstellung wird festgelegt, ob im Auftrag eines authentifizierten Benutzers ausgeführte Anwendungen die Identität von Clients annehmen können. Wenn dieses Benutzerrecht für diese Art von Identitätswechsel erforderlich ist, können unautorisierte Benutzer einen Client nicht dazu verleiten, eine Verbindung mit einem von ihnen erstellten Dienst herzustellen (z. B. durch einen Remoteprozeduraufruf oder durch Named Pipes), damit sie die Identität des Clients annehmen können. Der nicht autorisierte Benutzer könnte diese Möglichkeit zum Erhöhen seiner Berechtigungen auf Verwaltungs- oder Systemebene verwenden. Die Einstellung Annehmen der Clientidentität nach Authentifizierung ist für die Umgebung mit älteren Clients und Unternehmensclient-Umgebungen auf Nicht definiert gesetzt. In der Hochsicherheitsumgebung wird dieses Benutzerrecht jedoch nur der Gruppe Administratoren und dem Konto DIENST zugewiesen. Anheben der ZeitplanungsprioritätDurch diese Richtlinieneinstellung wird festgelegt, ob Benutzer die Basisprioritätsklas |
