Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

146 Kapitel 5: Firewall und Netzwerkzugriffsschutz
Daher bietet die IPsec-Erzwingung Schutz auf der Hostschicht und kann entweder als
eigenständige Erzwingungsmethode oder als zusätzliche Schicht in einer gestaffelten Verteidigung
dienen, wenn sie mit 802.1x kombiniert wird. IPsec-Erzwingung bietet außerdem
den Vorteil, dass sie einfacher in virtualisierte Umgebungen zu integrieren ist, wo
virtuelle Computer unter Umständen nicht an 802.1x-fähige Ports angeschlossen sind
(entweder Hardwareports oder solche in virtuellen Switches).
John Morello, Senior Program Manager
Windows Server Division
NAP-Szenarien
Folgende häufig anzutreffende NAP-Szenarien zeigen, wie nützlich diese neue Plattform ist:
Desktopcomputer Desktopcomputer können eine Bedrohung für das Netzwerk sein,
falls ihnen Updates fehlen, sie schlecht konfiguriert sind oder von Malware infiziert
wurden. Alle diese Situationen können es böswilligen Benutzern erlauben, auf Informationen
zuzugreifen, die das Unternehmen eigentlich nicht verlassen sollten. Computern
können Updates fehlen, weil sie längere Zeit ausgeschaltet waren oder aus irgendwelchen
Gründen keine Verbindung zum Netzwerk hatten. Sie können falsch konfiguriert
sein, wenn Benutzer mehr Privilegien auf ihren Systemen haben, als die Empfehlungen
zulassen. Sie können mit böswilliger Software infiziert werden, weil der Benutzer gefährliche
Websites besucht oder Dateien geöffnet hat, die mit einem Virus infiziert
waren.
Notebooks Gerade die Mobilität macht Notebooks so nützlich, aber sie vergrößert
gegenüber einem üblichen Desktopcomputer auch die Gefahr einer Kompromittierung.
Einem Notebook können Updates oder die neuesten Antivirensignaturen fehlen, weil der
Benutzer sein Notebook mehrere Wochen nicht mit dem Unternehmensnetzwerk verbunden
hat. Ein Notebook ist potenziell Angriffen ausgesetzt, wenn es in Drahtlosnetzwerken
benutzt wird oder an einem Ort unbeaufsichtigt bleibt, an dem Fremde Zugriff
darauf haben. Mit NAP können Administratoren den Integritätsstatus von Notebooks
jedes Mal überprüfen, wenn sie wieder ans Netzwerk der Organisation angeschlossen
werden, sei es über ein VPN oder wenn der Benutzer ins Büro zurückkehrt.
Unverwaltete Heimcomputer Manche Organisationen erlauben ihren Benutzern, von
ihren privaten Computern aus über ein VPN eine Verbindung zum Unternehmensnetzwerk
herzustellen. Diese Computer unterliegen nicht der Kontrolle der Organisation. Mit
NAP können Netzwerkadministratoren aber jedes Mal, wenn eine VPN-Verbindung aufgebaut
wird, den Integritätsstatus dieser Systeme überprüfen. Falls ein System die Integritätsanforderungen
nicht erfüllt, kann sein Zugriff eingeschränkt werden.
Computer von Besuchern Unternehmen erlauben allen möglichen Leuten, das Gelände
zu betreten: Consultants, Partner, Freunde von Mitarbeitern, Stellenbewerber und
Zulieferer bitten darum, Zugriff auf Ihr Netzwerk zu erhalten. Ihre Computer erfüllen
unter Umständen nicht die Integritätsrichtlinien der Organisation, aber mit NAP können
Administratoren diese Computer überprüfen und in einem eingeschränkten Netzwerk
isolieren. Das eingeschränkte Netzwerk kann zum Beispiel Internetzugriff bieten, damit
die Besucher auf ihre eigenen E-Mail-Konten und andere externe Ressourcen zugreifen
können.