Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

180 Kapitel 6: Dienste
Abschalten möglichst vieler Dienste
Im nächsten Schritt entscheiden Sie, welche Dienste tatsächlich gebraucht werden, und entfernen
oder deaktivieren die übrigen. Das ist die größte Einzelmaßnahme, die Sie durchführen
können, um die Gefahr durch Kompromittierung von Diensten zu verringern. Mit jedem
deaktivierten und entfernten Dienst verkleinern Sie die Angriffsfläche. Kapitel 12, »Schützen
von Serverrollen«, behandelt im Detail, wie Sie Dienste mithilfe von Serverrollen und
dem Sicherheitskonfigurations-Assistenten (Security Configuration Wizard, SCW) konfigurieren.
Im Allgemeinen sollten Sie sehr vorsichtig sein, wenn Sie Windows-Standarddienste außerhalb
von Servers-Manager oder SCW deaktivieren oder ändern. In den meisten Fällen hat
Microsoft ermittelt, welche Dienste in den meisten Umgebungen für bestimmte Rollen
wahrscheinlich benötigt werden, und sie so konfiguriert, dass sie entsprechend gestartet
werden oder eben nicht. Was aktiviert ist, wurde mit den hier vorgestellten Mechanismen
relativ gut geschützt. Wonach Sie Ausschau halten sollten, sind Dienste, die offensichtlich
nicht gebraucht werden oder die entgegen der Unternehmensrichtlinie verwendet werden.
Ein häufiges Beispiel für den ersten Fall ist der DHCP-Client. Er ist auf vielen Servern
standardmäßig aktiviert, obwohl der Server eine statische Adresse hat. Ein Beispiel für den
zweiten Fall kann ein unautorisiertes Peer-to-Peer-Filesharingprogramm sein. Selten kann
sich ein Administrator darüber freuen, dass er bei einer Analyse seiner Umgebung keine
oder zumindest nur wenige unautorisierte und potenziell gefährliche Dienste findet.
Falls Sie feststellen wollen, ob ein Windows-Standarddienst gebraucht wird, können Sie
einen der vielen Leitfäden zu Windows-Diensten zurate ziehen, die Microsoft zur Verfügung
stellt. Die folgenden Links enthalten Beschreibungen verschiedener Windows-Dienste und
liefern allgemeine Empfehlungen für Windows Vista und Windows Server 2008:
http://www.microsoft.com/whdc/system/vista/Vista_Services.mspx
http://www.microsoft.com/downloads/details.aspx?FamilyID=a3d1bbed-7f35-4e72bfb5-b84a526c1565&displaylang=en
http://www.microsoft.com/downloads/details.aspx?FamilyID=fb8b981f-227c-4af6a44bb115696a80ac&DisplayLang=en
Dienste, die nicht gebraucht werden, sollten deaktiviert oder deinstalliert werden. Eine
Deinstallation ist sicherer, aber wenn Sie einen Dienst erst einmal deaktivieren, können Sie
ihn schnell wieder aktivieren, falls er in Zukunft doch noch gebraucht wird oder aufgrund
eines Fehlers deaktiviert wurde. Der SCW erlaubt Ihnen, die Angriffsfläche auf sichere Weise
zu verringern, weil Sie Ihre Änderungen problemlos rückgängig machen können. Weitere
Informationen finden Sie in Kapitel 12.
Hinweis Bevor Sie einen aktiven Dienst deaktivieren oder entfernen, sollten Sie genau untersuchen,
wofür er verwendet wird und welche Abhängigkeiten unter Umständen gestört werden, wenn Sie ihn entfernen.
Führen Sie immer eine Datensicherung des Systems (oder zumindest des Systemzustands) durch,
bevor Sie Dienste entfernen oder deaktivieren.
Zuweisen geringstmöglicher Privilegien an die übrigen Dienste
Microsoft wendet bereits das Sicherheitsmodell der geringstmöglichen Privilegien auf alle
seine Dienste an. Daher betrifft die Aufforderung, das Sicherheitsmodell der geringstmöglichen
Privilegien zu implementieren, in erster Linie Dienste von Fremdherstellern und