Mehr Verlass auf Betriebssystem-Services Windows Vista und Server 2008 bieten höhere Sicherheit für Dienste

In allen Windows-Versionen sind die Dienste, oder auch Services, eines der Haupteinfallstore für Malware. Daher hat Microsoft für die Dienste unter Windows Vista und Windows Server 2008 zahlreiche Sicherheitsverbesserungen gegenüber älteren Client-OS-Versionen implementiert. So wurden beispielsweise Standardberechtigungen und Privilegien geändert. Mehr über die neuen Schutzmaßnahmen für Dienste erfahren Sie in diesem Beitrag.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Microsoft Deutschland GmbH

Die meisten betriebssystemintegrierten Dienste werden als DLL- oder EXE-Dateien aus dem Ordner %Systemroot%\System32 geladen. Dabei steht %Systemroot% in der Regel für den Ordner C:\Windows\. Ausführbare EXE-Dateien und Bibliotheken (von DLL, Dynamic Link Library) können aber auch an jeder anderen Stelle auf einem lokalen Laufwerk liegen.

Im Unterschied zu normalen Anwendungen sind Services dienstspezifische SIDs (Security ID) zugeordnet, die eine flexible Zugriffssteuerung ermöglichen. Außerdem bekommen alle Dienste ein Dienstanmeldekonto zugewiesen, das festlegt, in welchem Sicherheitskontext der Dienst läuft.

Vor allem bei diesen Diensteigenschaften gibt es bei Windows Vista und Windows Server 2008 im Gegensatz zu früheren Versionen einige entscheidende Unterschiede.

Ausführung im Anmeldungskontext mit möglichst geringen Privilegien

Dienstanmeldekonten dienen dazu, die Dienste bei lokalen und bei Netzwerkressourcen zu authentifizieren. Services können das jeweils integrierte integrierten Dienstanmeldekonte, aber auch ein beliebiges gültiges lokales oder Domänenbenutzerkonto verwenden.

In älteren Windows-Versionen laufen alle betriebssystemintegrierten Dienste standardmäßig im Kontext des SYSTEM-Kontos. Bereits mit Windows XP hat Microsoft dies geändert und die restriktiveren Konten LOKALER DIENST und NETZWERKDIENST eingeführt. Diese gewährleisten, dass Dienste mit den geringstmöglichen Rechten ausgeführt werden.

Das Konto SYSTEM besitzt die meisten standardmäßig aktivierten Privilegien, gefolgt von Mitgliedern der Gruppen Administratoren, LOKALER DIENST und NETZWERKDIENST. Über die wenigsten aktivierten Privilegien verfügen Standardbenutzer.

Um zusätzlichen Schutz zu bieten, können Windows Vista und Windows Server 2008 während des Dienststarts alle nicht benötigten Standardprivilegien entfernen, die dem Dienstanmeldekonto zugewiesen wurden. Dazu trägt der Dienst bei der Installation in einen Registrierungsschlüssel namens RequiredPrivileges ein, welche Privilegien er zwingend benötigt, um seine Aufgabe zu erfüllen (siehe Bild 1 der Bildergalerie).

Hostet ein Dienstprozess (zum Beispiel Svchost.exe) mehrere Dienste, werden immer die aktuell mindestens erforderlichen Privilegien für alle Dienste ermittelt und ggf. aktuell nicht mehr erforderliche Privilegien entfernt.

Seite 2: Dienstspezifische Zugriffssteuerung mittels Sicherheits-ID

(ID:2018413)