Windows Vista und Server 2008 bieten höhere Sicherheit für Dienste

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Microsoft Deutschland GmbH

Dienstspezifische Zugriffssteuerung mittels Sicherheits-ID

Zu den wichtigen Neuerungen unter Windows Vista und Windows Server 2008 gehört, dass jedem Dienst zusätzlich zur Prozesstoken-SID NT-AUTORITÄT\DIENST (S-1-5-6), eine dienstspezifische SID zugewiesen wird. Sie wird aus dem Namen des Dienstes abgeleitet, indem der Unicodename des Dienstes an eine SHA-1-Hashfunktion übergeben und das Hashergebnis an „S-1-5-80-“ angehängt wird. Diese SID ist auf allen Windows Vista- und Server-2008-Systemen gleich.

Dienstspezifische SIDs ermöglichen es, Diensten direkte Berechtigungen für beliebige geschützte Objekte zuzuweisen. Sie kann auch genutzt werden, um für einen Dienst zum Beispiel spezifische Ports in der Windows-Firewall und IPsec zu öffnen.

In früheren Windows Versionen erhalten Dienste immer die Berechtigungen, die das Dienstanmeldekonto besitzt. Benötigt hier ein Dienstanmeldekonto zusätzliche Berechtigungen, so werden diese für alle Dienste erweitert, die dasselbe Dienstanmeldekonto verwenden.

Es ist möglich die SID eines Dienstes anzuzeigen. Möglich ist dies mit dem Befehlszeilentool SC (siehe Bild 2) und dem Parameter showsid aufrufen.

Sc showsid [Dienstname]

Beispiel:

C:\Windows\System32>sc showsid dnsNAME: dnsDIENST-SID: S-1-5-80-3615928406-775414823-3337150244-1678472394-1165027386

Weiterhin kann angezeigt werden, welche Berechtigungen mit einem Dienst verknüpft sind, d.h. wer welchen Zugriff auf einen Dienst hat. Hierzu steht der Parameter sdshow zur Verfügung

sc sdshow [Dienstname]

Seite 3: Zugriffsbeschränkungen mittels Firewall-Einstellungen

(ID:2018413)