Zugriff vom Netzwerk auf diesen Computer verweigern
Dieses Benutzerrecht bestimmt, welchen Konten und Gruppen eine Netzwerkanmeldung am Computer ausdrücklich verweigert wird.
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [Privilege Rights] SeDenyNetworkLogonRight =
Dieses Benutzerrecht bestimmt, welchen Konten und Gruppen eine Netzwerkanmeldung am Computer ausdrücklich verweigert wird. Netzwerkanmeldungen werden unter anderem für den Zugriff auf SMB-Datei- und Druckerfreigaben verwendet.
Die leere Zuweisung entfernt alle Konten und Gruppen aus der Verweigerungsliste. Dadurch wird kein Konto mehr allein durch SeDenyNetworkLogonRight von einer Netzwerkanmeldung ausgeschlossen. Dies beseitigt insbesondere eine mögliche Sperre für lokale Konten, die auf Freigaben eines anderen Computers zugreifen sollen.
Die leere Liste erteilt jedoch kein Zugriffsrecht. Das verwendete Konto muss weiterhin zur Netzwerkanmeldung berechtigt sein, erfolgreich authentifiziert werden und über die erforderlichen Freigabe- und Dateisystemberechtigungen verfügen. Netzwerk- und Firewallbeschränkungen bleiben ebenfalls wirksam.
Hinweise
Sicherheit
Ein zugewiesenes Verweigerungsrecht hat Vorrang vor dem korrespondierenden Benutzerrecht „Auf diesen Computer vom Netzwerk aus zugreifen“. Durch das Leeren entfällt dieser ausdrückliche Vorrang für sämtliche Konten, einschließlich lokaler Konten und lokaler Administratorkonten.
Damit wird eine Schutzschicht gegen unerwünschte Netzwerkzugriffe entfernt. Konten, die sich anschließend über das Netzwerk anmelden können, können freigegebene Ressourcen sowie bestimmte Konto- und Gruppeninformationen ermitteln und – abhängig von ihren Berechtigungen – auf freigegebene Dateien zugreifen oder diese verändern.
Für lokale Administratorkonten erhöht die fehlende Verweigerung außerdem das Risiko lateraler Bewegungen: Gelangen Angreifer an wiederverwendbare Anmeldeinformationen oder Kennworthashes, können sie diese unter Umständen für Netzwerkanmeldungen an anderen Computern verwenden. Das Leeren dieses Benutzerrechts verleiht einem Konto für sich genommen jedoch weder Administratorrechte noch uneingeschränkten Zugriff auf Dateien oder administrative Freigaben.
Hinweise
Die Einstellung betrifft den Anmeldetyp „Netzwerk“. Interaktive lokale Anmeldungen und Anmeldungen über Remotedesktopdienste werden durch andere Benutzerrechte gesteuert.
Eine Änderung der Benutzerrechtezuweisung wird für ein Konto bei dessen nächster Anmeldung wirksam; ein Neustart des Computers ist laut Microsoft nicht erforderlich. Bereits bestehende Netzwerkverbindungen können bis zu ihrer Trennung weiterhin mit dem vorhandenen Anmeldestatus arbeiten.
Microsoft-Dokumentation
Microsoft Learn: Zugriff vom Netzwerk auf diesen Computer verweigern
Microsoft Learn: Richtlinien-CSP – Benutzerrechte
Microsoft Learn: Lokale Konten