Praxisbuch Windows-Sicherheit

Einleitung

Hunderte Millionen von Geräten nutzen die Microsoft-Windows-Plattform. Viele der weltweit größten Unternehmen verlassen sich auf die Sicherheit von Windows, um ihre Daten und ihre Kommunikation zu schützen, ebenso wie jeder, der seinen Code in der Azure-Cloud hostet. Aber weil Windows so wichtig für die Sicherheit des modernen Internets ist, ist es auch ein beliebtes Ziel für Angriffe.

Das Betriebssystem Windows NT begann 1993 damit, Sicherheitsaspekte in sein Design einzubeziehen, als es Benutzerkonten, die Kontrolle über Ressourcen und den Fernzugriff über ein Netzwerk einführte. In den mehr als 30 Jahren, die seitdem vergangen sind, hat sich bei der Windows-Sicherheit viel getan. Microsoft hat das ursprüngliche Authentifizierungsverfahren durch moderne Technologien ersetzt, den Mechanismus der Zugriffssteuerung um zusätzliche Features erweitert und die Plattform erheblich gegen Angriffe gehärtet.

Die Sicherheit der Windows-Plattform ist heute erstaunlich komplex, und viele Angriffe beruhen auf der Ausnutzung dieser Komplexität. Leider ist die Dokumentation von Microsoft in diesem Bereich oft unzureichend. Da Windows nicht quelloffen ist, kann man seine Sicherheit manchmal nur durch gründliche Forschung und Analyse verstehen.

Hier komme ich ins Spiel. Ich habe mehr als 20 Jahre als Entwickler und Sicherheitsforscher auf Windows-Plattformen verbracht und dabei ein Verständnis für die undokumentierten Ecken des Betriebssystems entwickelt. In diesem Buch gebe ich einen Teil meines umfangreichen Fachwissens in leicht verständlicher Form weiter. Wenn Sie die Prinzipien der Windows-Sicherheit beherrschen, werden Sie in der Lage sein, Ihr eigenes Forschungsprojekt zu starten oder Ihr Softwareprodukt zu verbessern.

An wen sich dieses Buch richtet

Ich habe dieses Buch für Menschen geschrieben, die mit Windows-Sicherheit arbeiten. Vielleicht sind Sie ein Entwickler von Windows-Software und möchten gewährleisten, dass Ihr Produkt sicher ist. Oder Sie sind ein Systemadministrator, der mit der Sicherung von Windows in einem Unternehmen betraut ist und nicht ganz versteht, wie die verschiedenen Sicherheitsfunktionen zusammenwirken, um die Plattform zu schützen. Oder Sie möchten als Forscher Löcher in das Betriebssystem bohren, um Sicherheitsschwachstellen zu finden.

Dieses Buch setzt voraus, dass Sie mit der Windows-Benutzeroberfläche und ihren grundlegenden Funktionen, wie beispielsweise dem Bearbeiten von Dateien, vertraut sind. Dennoch müssen Sie kein Windows-Experte sein: Für diejenigen, die ein wenig mehr Grundwissen benötigen, bieten die Kapitel 2 und 3 einen Überblick über das Betriebssystem und wie die verschiedenen Komponenten zusammenwirken.

Ich stütze mich in hohem Maße auf die Verwendung von PowerShell-Skripten, daher ist es hilfreich, wenn Sie einige Erfahrung mit dieser Sprache sowie mit dem .NET-Framework haben, auf dem sie basiert. Um Sie auf den neuesten Stand zu bringen, gibt Kapitel 1 einen schnellen Überblick über einige PowerShell-Features. Andernorts werde ich mich bemühen, esoterische Funktionen der Sprache zu vermeiden, damit der Code auch für Leser mit Kenntnissen anderer Skriptsprachen oder Shell-Umgebungen (wie Bash) zugänglich bleibt.

Aufbau des Buches

In jedem Kapitel werden wir die wichtigsten Sicherheitsfeatures behandeln, die in modernen Versionen von Windows implementiert sind. Außerdem werden wir mehrere in PowerShell geschriebene Beispiellösungen durchgehen, die Ihnen ein besseres Verständnis der im Kapitel vorgestellten Befehle vermitteln sollen. Im Folgenden finden Sie eine kurze Zusammenfassung der Inhalte der einzelnen Kapitel.

• Teil I gibt einen Überblick über das Windows-Betriebssystem aus der Programmierperspektive. Er soll Ihnen die Grundlagen vermitteln, die Sie zum Verständnis der anderen Teile des Buches benötigen.
  • - Kapitel 1: PowerShell-Testumgebung einrichtenIn diesem Kapitel richten Sie PowerShell ein, damit Sie die Beispiele aus den folgenden Kapiteln ausführen können. Dazu gehört die Installation eines von mir geschriebenen PowerShell-Moduls, das mit Windows und seinen Sicherheitsfunktionen interagiert. Das Kapitel bietet auch einen Überblick über die PowerShell.
  • - Kapitel 2: Der Windows-KernelIn diesem Kapitel werden die Grundlagen des Windows-Kernels und seiner Systemaufrufschnittstelle behandelt, ein Thema, das für die Entwicklung eines soliden Verständnisses der Windows-Sicherheit entscheidend ist. Ich beschreibe auch den Objekt-Manager, der zur Verwaltung von Ressourcen dient.
  • - Kapitel 3: Anwendungen im BenutzermodusDie meisten Anwendungen verwenden nicht direkt die Systemaufrufschnittstelle des Kernels, sondern eine Reihe von Programmierschnittstellen (APIs) auf höherer Ebene. Dieses Kapitel befasst sich mit Windows-Funktionen wie der Dateiverwaltung und der Registry.
• Teil II behandelt die für die Sicherheit wichtigste Komponente des Windows-Kernels, den Sicherheitsreferenzmonitor (Security Reference Monitor, SRM). Wir werden uns alle Aspekte der Zugriffssteuerung ansehen, angefangen bei der Erstellung der Benutzeridentität bis zur Sicherung einer einzelnen Ressource, wie beispielsweise einer Datei.
  • - Kapitel 4: ZugriffstokenWindows weist jedem laufenden Prozess ein Zugriffstoken zu, das die Identität des Benutzers gegenüber dem System darstellt. In diesem Kapitel werden die verschiedenen Komponenten beschrieben, die im Token gespeichert sind und zur Überprüfung des Zugriffs verwendet werden.
  • - Kapitel 5: SicherheitsdeskriptorenJede sicherheitsrelevante Ressource benötigt eine Beschreibung, wer auf sie zugreifen darf und welche Art von Zugriff gewährt wird. Dies ist der Zweck von Sicherheitsdeskriptoren. In diesem Kapitel werden wir ihre interne Struktur behandeln und beschreiben, wie Sie sie erstellen und manipulieren können.
  • - Kapitel 6: Sicherheitsdeskriptoren lesen und zuweisenUm die Sicherheit des Systems zu überprüfen, müssen Sie in der Lage sein, den Sicherheitsdeskriptor einer Ressource abzufragen. In diesem Kapitel wird erklärt, wie diese Abfrage für verschiedene Arten von Ressourcen erfolgt. Es behandelt auch die vielen komplexen Möglichkeiten, mit denen Windows den Ressourcen Sicherheitsdeskriptoren zuweist.
  • - Kapitel 7: Der Prozess der ZugriffsprüfungWindows verwendet die Zugriffsprüfung, um festzustellen, welcher Zugriff einem Benutzer auf eine Ressource gewährt werden soll. Bei diesem Vorgang werden das Token und der Sicherheitsdeskriptor verwendet und ein Algorithmus zur Bestimmung des gewährten Zugriffs wird angewendet. In diesem Kapitel wird eine PowerShell-Implementierung des Algorithmus durchgespielt, um dessen Aufbau eingehend zu untersuchen.
  • - Kapitel 8: Weitere Anwendungsfälle für die ZugriffsprüfungObwohl Windows die Zugriffsprüfung in erster Linie verwendet, um den Zugriff auf Ressourcen zu gewähren, wird sie manchmal auch verwendet, um andere Sicherheitseigenschaften zu bestimmen, wie beispielsweise die Sichtbarkeit von Ressourcen und ob ein Prozess mit einer niedrigen Berechtigungsstufe läuft. Dieses Kapitel behandelt diese alternativen Anwendungsfälle für die Zugriffsprüfung.
  • - Kapitel 9: SicherheitsüberwachungDie Zugriffsprüfung kann Protokolle über die Ressourcen erstellen, auf die ein Benutzer zugegriffen hat, und zwar mit welcher Zugriffsebene. In diesem Kapitel werden diese Richtlinien zur Systemüberwachung behandelt.
• Teil III enthält Einzelheiten zur Windows-Authentifizierung, zu den Mechanismen, die die Identität eines Benutzers für die Zwecke der Zugriffssteuerung überprüfen.
  • - Kapitel 10: Windows-AuthentifizierungDa das Thema Authentifizierung recht komplex ist, fasst dieses Kapitel die Authentifizierungsstruktur und -dienste zusammen, von denen der Rest der Authentifizierungsmechanismen abhängt.
  • - Kapitel 11: Active DirectoryMit Windows 2000 wurde ein neues Modell für die Vernetzung von Windows-Systemen in Unternehmen eingeführt, bei dem alle Authentifizierungsinformationen in einem Netzwerkverzeichnis gespeichert werden, das Benutzer und Administratoren abfragen und ändern können. Dieses Kapitel behandelt, wie Active Directory Informationen speichert und vor böswilligen Änderungen schützt.
  • - Kapitel 12: Interaktive AuthentifizierungDas häufigste Authentifizierungsszenario unter Windows besteht darin, dass ein Benutzer seinen Benutzernamen und sein Kennwort in seinen Computer eingibt und...