Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Netzwerkzugriffsschutz 139
Netzwerkzugriffsschutz
Netzwerkzugriffsschutz (Network Access Protection, NAP) ist eine Plattform, mit der Sie
erzwingen können, dass Hosts bestimmte Integritätsanforderungen erfüllen, bevor sie Zugriff
auf Netzwerkressourcen erhalten. NAP kann sicherstellen, dass das System bestimmte
Updates enthält und bestimmte Konfigurationsanforderungen erfüllt sind, zum Beispiel der
Firewallstatus. NAP kann auch sicherstellen, dass bestimmte Software, zum Beispiel Antimalware,
installiert und auf dem neuesten Stand ist.
Windows Server 2008 enthält die Serverkomponenten, die für NAP erforderlich sind. Es
kann auch als NAP-Client agieren, ebenso wie Windows Vista, Windows XP und Windows
Server 2003 – die beiden Letzteren erfordern allerdings Updates von Microsoft, die 2008
veröffentlicht werden. Integritätsrichtlinien definieren, welche Updates, Antimalwaresignaturen,
Softwareversionen, Sicherheitseinstellungen und andere Einstellungen auf dem NAP-
Client vorhanden sein müssen, damit er Zugriff auf Netzwerkressourcen erhält. Inkompatible
Systeme (also Systeme, die diese Anforderungen nicht erfüllen) können Zugriff auf ein
eingeschränktes Netzwerk bekommen, wo sie alle Änderungen vornehmen können, die gebraucht
werden, um die Anforderungen zu erfüllen. Nachdem Sie im letzten Abschnitt einiges
über IPsec gelesen haben, machen Sie sich vielleicht Gedanken darüber, wie Sie NAP in
Ihre Isolierungsstrategie integrieren können.
Hinweis NAP zwar ein leistungsfähiges Verwaltungs- und Richtlinienerzwingungstool, es kann aber keine
Benutzer mit unlauteren Absichten (insbesondere böswillige Insider) davon abhalten, unerwünschte Aktionen
in Ihrem Netzwerk auszuführen.
Windows Server 2008 bringt zwar die Grundlagen mit, die Sie brauchen, um NAP bereitzustellen
und zu verwalten, aber Microsoft rechnet auch damit, dass viele Fremdhersteller ihre
Sicherheitslösungen in diese Architektur integrieren wollen. NAP enthält einen Satz APIs,
über die sich andere Tools einklinken können, um Integritätsrichtlinien zu überprüfen, den
Zugriff auf das Netzwerk zu steuern, Wartungsaktionen durchzuführen und die dauerhafte
Erfüllung der Anforderungen sicherzustellen. Microsoft ist Mitglied in mehreren Herstellerkonsortien
und arbeitet mit zahlreichen Partnern zusammen, um sicherzustellen, dass Interoperabilität
mit möglichst vielen ergänzenden Technologien möglich ist.
Architektur
Es gibt bereits Unternehmenslösungen, die Netzwerke vor Computern schützen sollen, die
die Sicherheitsanforderungen nicht erfüllen. Die aktuellen Lösungen wirken oft einschüchternd.
Einige Analysten und Experten haben an diesen Lösungen ihre Komplexität, Verwaltungsprobleme
und schlechte Interoperabilität kritisiert. Windows Server 2008 und Windows
Vista gehen diese Probleme mit einfach bedienbaren Assistenten, leistungsfähigen Verwaltungstools
und der Möglichkeit zur Interoperabilität mit Lösungen vieler Partner an. Die
NAP-Architektur besteht aus einer Reihe von Server- und Netzwerkkomponenten, die mit
NAP-Clients zusammenarbeiten, um Integritätsrichtlinien zu verteilen und zu erzwingen
sowie Lösungsmöglichkeiten für den Fall anzubieten, dass ein Client die Anforderungen
nicht erfüllt. Abbildung 5.11 zeigt diese Komponenten.