Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Schützen von Diensten 181
selbst entwickelte Dienste. Leider lassen sich viele Softwarehersteller viel Zeit damit, eine
Gefahrenmodellierung zu entwickeln und das Sicherheitsprinzip der geringstmöglichen
Privilegien anzuwenden, insbesondere bei Diensten.
Wenn Sie einen neuen Dienst installieren und sich im Unklaren sind, wie sicher er ist, sollten
Sie sich an den Hersteller wenden. Listen Sie mit dem Befehl sc die SID des Dienstes,
SID-Typ, Anmeldekonto und benötigte Privilegien auf. Falls die Privilegien und Berechtigungen
übertrieben scheinen für den Funktionsumfang, den der Dienst anbietet, kann es
sinnvoll sein, Kontakt mit dem Hersteller aufzunehmen und um Unterstützung beim Entfernen
von Privilegien zu bitten. Falls der Hersteller und/oder Dienst sich diesen Wünschen
verweigert, sollten Sie in Erwägung ziehen, den Dienst zu entfernen und nicht zu verwenden.
Nichts treibt einen Hersteller so an wie ausbleibende Kunden.
Halten Sie Ihre Updates auf dem neuesten Stand
Microsoft aktualisiert seine Software regelmäßig, indem es Bugfixes, Sicherheitsupdates,
neue Features und Leistungsoptimierungen zur Verfügung stellt. Falls ein kritischer Fehler
in einem Dienst gefunden wird, der viele Kunden Gefahren aussetzt, bemüht sich Microsoft,
die Verwundbarkeit schnell mit einem Sicherheitsupdate und/oder anderen Empfehlungen zu
beheben. Indem Sie Ihr System auf dem neuesten Stand halten, können Sie Sicherheitsgefahren
stark verringern. Die beiden größten Windows-Malwarevorfälle in letzter Zeit (SQL
Slammer und Blaster) funktionierten nur auf Computern, bei denen die verfügbaren Sicherheitsupdates
nicht eingespielt waren.
Erstellen und Verwenden benutzerdefinierter Dienstkonten
Microsoft empfiehlt, nach Möglichkeit die integrierten Dienstkonten (SYSTEM, LOKALER
DIENST und NETZWERKDIENST) zu verwenden. Gelegentlich ist es allerdings sinnvoller,
ein benutzerdefiniertes Dienstanmeldekonto anzulegen und zu verwenden.
Verwenden starker Kennwörter und Ändern der Kennwörter in vernünftigen
Abständen
Benutzerdefinierte Dienstanmeldekonten sollten durch eine strenge Kennwortrichtlinie geschützt
werden (das heißt durch starke Kennwörter, die öfter geändert werden). Benutzerdefinierte
Dienstkonten speichern ihre Kennwörter in zwei Bereichen: erstens in Active
Directory oder der lokalen SAM-Datenbank und zweitens auf dem lokalen System an einer
Stelle, wo der SCM die Kennwörter abrufen kann. Wenn Sie die Kennwörter Ihres Dienstanmeldekontos
ändern, müssen Sie die Änderung an beiden Stellen vornehmen, sonst laufen
Sie Gefahr, dass Ihr Dienst nicht startet. Lassen Sie sich von dem Aufwand, Kennwörter von
Dienstkonten an zwei Stellen zu ändern, nicht davon abbringen, diese Änderungen in regelmäßigen
Abständen durchzuführen. Im Internet stehen mehrere Skripts zur Verfügung,
die diese Aufgabe leichter machen, zum Beispiel eines im Microsoft Developer Network:
http://msdn2.microsoft.com/en-us/library/ms675577.aspx. Sie können auch das Tool Passgen
von der Begleit-CD verwenden, das Ihnen hilft, starke Kennwörter für lokale und Remotedienstkonten
festzulegen.
Hinweis Verwenden Sie Kennwortprüftools, um Dienstanmeldekonten auf schwache Kennwörter
zu überwachen.