Netzwerkzugriff: Clients einschränken, die Remoteaufrufe an SAM ausführen dürfen
Der Zeichenfolgenwert (`REG_SZ`) enthält einen Sicherheitsdeskriptor in Security Descriptor Definition Language (SDDL).
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictRemoteSAM
Der Zeichenfolgenwert (REG_SZ) enthält einen Sicherheitsdeskriptor in Security Descriptor Definition Language (SDDL). Windows verwendet dessen Zugriffssteuerungsliste für eine zusätzliche Prüfung eingehender Remoteaufrufe über das SAMRPC-Protokoll. Die Prüfung bestimmt, welche Sicherheitsprinzipale remote auf die lokale Datenbank des Security Accounts Manager (SAM) beziehungsweise auf einem Domänencontroller auf Active Directory zugreifen dürfen.
Der Wert O:BAG:BAD:(A;;RC;;;BA) legt die integrierte Administratorengruppe (BA) als Besitzer und primäre Gruppe fest. Seine DACL enthält genau einen erlaubenden Eintrag: Mitglieder dieser Administratorengruppe erhalten RC (READ_CONTROL) für die SAMRPC-Zugriffsprüfung. Remoteaufrufe anderer Sicherheitsprinzipale werden durch diese Prüfung abgewiesen.
Die Einstellung beschränkt damit insbesondere die entfernte Auflistung von Benutzern, Gruppen und Gruppenmitgliedschaften auf Administratoren des Zielsystems. Sie steuert nicht allgemein den Netzwerkzugriff, Remotedesktop, SMB-Freigaben oder andere RPC-Schnittstellen.
Hinweise
Sicherheit
Ohne eine entsprechende Beschränkung können auch Konten mit geringen Berechtigungen über SAMRPC Informationen über Benutzer, administrative Konten, Gruppen und Gruppenmitgliedschaften abfragen. Solche Informationen können die Erkundung eines Systems oder einer Domäne und die Auswahl weiterer Angriffsziele erleichtern.
Der konfigurierte Sicherheitsdeskriptor reduziert diese Offenlegung, indem er nicht administrative Remoteclients bereits an der SAMRPC-Schnittstelle zurückweist. Die Zulassung durch diesen Deskriptor gewährt jedoch weder vollständige Administratorrechte noch pauschalen Zugriff auf Kontodaten oder andere Systemressourcen. Auf Domänencontrollern bleiben außerdem die für einzelne Active-Directory-Objekte geltenden Berechtigungen wirksam.
Mögliche Nebenwirkungen
Anwendungen und Dienste können mit „Zugriff verweigert“ fehlschlagen, wenn sie Benutzer, Gruppen oder Mitgliedschaften remote über SAMRPC abfragen und ihr ausführendes Konto nicht zur integrierten Administratorengruppe des Zielsystems gehört.
Davon können beispielsweise die Generierung von Offlineadressbüchern in bestimmten Exchange-Versionen, das Kennwortrückschreiben durch Microsoft Entra Connect oder die Prüfung bestimmter Gruppenmitgliedschaften durch Remotedesktop-Lizenzserver betroffen sein. Die genaue Auswirkung hängt davon ab, ob die jeweilige Funktion tatsächlich Remote-SAM-Aufrufe verwendet und unter welchem Sicherheitskontext sie ausgeführt wird.
Hinweise
Die zugehörige Windows-Sicherheitsoption ist in der Verwaltungsoberfläche ab Windows 10 Version 1607 und Windows Server 2016 verfügbar. Unterstützte ältere Systeme können die zugrunde liegende Registrierungsfunktion abhängig von den installierten Windows-Updates ebenfalls auswerten.
Auf einem Domänencontroller bezieht sich die Beschränkung auf Remote-SAMRPC-Aufrufe an Active Directory. Der hier dokumentierte explizite Wert ist daher von dem versionsabhängigen, fest in Windows hinterlegten Standardverhalten bei nicht vorhandenem Registrierungswert zu unterscheiden.
Microsoft-Dokumentation
Microsoft Learn: Zugriffsprüfungen schlagen aufgrund von AuthZ fehl
Microsoft Learn: Referenz zur Azure-Policy-Gastkonfigurationsbaseline für Windows