Umleitungsschutz konfigurieren
Diese Einstellung steuert den Umleitungsschutz des Windows-Druckspoolers.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows NT\Printers\RedirectionGuardPolicy
Diese Einstellung steuert den Umleitungsschutz des Windows-Druckspoolers. Der Schutz verhindert, dass Dateioperationen des Spoolerprozesses über nicht vertrauenswürdige Dateisystemumleitungen auf andere Pfade gelenkt werden.
Der Wert unterstützt folgende Zustände:
0: Umleitungsschutz deaktiviert. Der Druckspooler kann Dateisystemumleitungen verwenden.1: Umleitungsschutz aktiviert. Entsprechende Umleitungen werden nicht verfolgt.2: Überwachungsmodus. Ereignisse werden so protokolliert, als wäre der Schutz aktiv; die Umleitungen werden jedoch nicht blockiert.
Hinweise
Weitere Wirkungen
Der Überwachungsmodus ermöglicht es, betroffene Dateioperationen zu erkennen, ohne ihr Verhalten zu verändern. Er bietet selbst keinen Schutz vor der Ausnutzung einer solchen Umleitung.
Sicherheit
Der Druckspooler führt bestimmte Dateioperationen mit erhöhten Berechtigungen aus. Ohne Umleitungsschutz könnte ein Angreifer versuchen, einen vom Spooler verwendeten Pfad beispielsweise über eine Verzeichnisverbindung auf ein anderes Ziel umzulenken. Dadurch könnten privilegierte Dateioperationen unbeabsichtigt auf geschützte Systembereiche wirken.
Der aktivierte Umleitungsschutz verkleinert diese Angriffsfläche, insbesondere für Pfadumleitungen, die von einem Benutzer ohne Administratorrechte erzeugt wurden. Er beseitigt jedoch keine anderen Schwachstellen des Druckspoolers und ersetzt weder Datei- und Verzeichnisberechtigungen noch andere Drucksicherheitsrichtlinien.
Mögliche Nebenwirkungen
Dateioperationen des Spoolers können fehlschlagen, wenn eine Druckkomponente auf einer vom Umleitungsschutz nicht akzeptierten Dateisystemumleitung beruht. Der Überwachungsmodus blockiert solche Vorgänge nicht und verursacht daher nicht diesen Funktionsverlust.
Hinweise
Microsoft dokumentiert 1 als Standardwert. Auch wenn die zugehörige administrative Richtlinie deaktiviert oder nicht konfiguriert ist, verwendet der Druckspooler standardmäßig den aktivierten Umleitungsschutz. Dies ist vom expliziten Registry-Wert 0 zu unterscheiden, der den Schutz ausschaltet.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – Drucker – ConfigureRedirectionGuardPolicy