Netzwerkzugriff: Anonyme Aufzählung von SAM-Konten und Freigaben nicht erlauben
Der Registry-Wert entspricht der Windows-Sicherheitsoption, die die anonyme Aufzählung von Konten im Security Accounts Manager (SAM) und von Netzwerkfreigaben steuert.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\System\CurrentControlSet\Control\Lsa\RestrictAnonymous
Der Registry-Wert entspricht der Windows-Sicherheitsoption, die die anonyme Aufzählung von Konten im Security Accounts Manager (SAM) und von Netzwerkfreigaben steuert. Der Datentyp ist DWORD. Der Wert 1 aktiviert die Einschränkung: Nicht authentifizierte Netzwerkverbindungen können die betreffenden Kontonamen und Freigabenamen nicht auflisten.
Die Einstellung verhindert nur die anonyme Aufzählung. Sie sperrt weder authentifizierte Benutzer noch ersetzt sie die Berechtigungen von Freigaben, Dateien oder anderen Ressourcen. Ob anonyme Verbindungen auf eine bestimmte Ressource zugreifen können, hängt weiterhin von deren Zugriffsberechtigungen und weiteren Sicherheitseinstellungen ab.
Hinweise
Sicherheit
Die Einschränkung reduziert Informationen, die ein nicht authentifizierter Angreifer zur Vorbereitung weiterer Angriffe sammeln kann. Ohne diese Einschränkung können offengelegte Konto- und Freigabenamen beispielsweise für gezielte Kennwortversuche oder Social-Engineering-Angriffe verwendet werden.
Der Wert gewährt oder entzieht keine allgemeinen Dateizugriffsrechte. Er schützt daher nicht vor Zugriffen, die durch andere Berechtigungen oder Richtlinien ausdrücklich zugelassen sind.
Mögliche Nebenwirkungen
Anonyme Clients können vorhandene freigegebene Ordner und Drucker nicht mehr auflisten. Anwendungen oder ältere Netzwerkumgebungen, die auf dieser anonymen Aufzählung beruhen, können dadurch Freigaben oder Konten nicht mehr automatisch ermitteln.
Die Einschränkung kann außerdem ältere domänenübergreifende Szenarien beeinträchtigen, in denen Konten über eine einseitige Vertrauensstellung aufgezählt werden müssen. Die historische Microsoft-Referenz nennt insbesondere Inkompatibilitäten mit Windows-NT-4.0-Vertrauensstellungen und sehr alten Windows-Clients.
Hinweise
RestrictAnonymous ist von RestrictAnonymousSAM zu unterscheiden. RestrictAnonymous betrifft die anonyme Aufzählung von SAM-Konten und Freigaben; RestrictAnonymousSAM gehört zur separaten Sicherheitsoption, die ausschließlich die Aufzählung von SAM-Konten einschränkt.
Die ältere Microsoft-Sicherheitsrichtlinienreferenz gibt an, dass diese Einstellung auf Domänencontrollern keine Wirkung hat. Die aktuelle CSP-Referenz dokumentiert die Einstellung weiterhin als gerätebezogene Sicherheitsoption, erläutert dieses Verhalten für Domänencontroller jedoch nicht näher.
Microsoft-Dokumentation
Microsoft Learn: Network access: Do not allow anonymous enumeration of SAM accounts and shares