Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Zusammenfassung 183
und Ordner besitzt, aber nicht zu einer Administratorengruppe gehört, ist er zumindest nicht
in der Lage, Benutzer hinzuzufügen und zu entfernen, Benutzerkennwörter zu ändern und
unzählige andere Aufgaben eines Administrators durchzuführen. Den Vollzugriff auf ein
System zu gewähren, ist etwas anderes, als Administratorzugriff zu gewähren. Und falls ein
Dienstkonto Administratorzugriff auf ein System benötigt, sollten Sie versuchen, ihm stattdessen
SYSTEM-Zugriff zu geben. SYSTEM ist ein lokaler Administrator, und Sie brauchen
nicht regelmäßig Kennwörter zu ändern (ohne die Gefahr für erfolgreiche Angriffe zu vergrößern).
Implementieren der Netzwerkisolierung mit Windows-Firewall und IPsec
Sie können Ihre Dienste mithilfe von Windows-Firewall und IPsec in den Sicherheitsdomänen
isolieren, die sie brauchen. Viele Dienste benötigen keinen Zugriff aus dem lokalen
Netzwerk, manche müssen auch keine eingehenden Verbindungen aus dem Internet annehmen.
Daher sollten Sie diese Möglichkeiten einschränken.
Überwachen von Dienstfehlern
Weil Dienste jetzt individuelle SIDs haben, ist es einfacher, Dienstfehler zu überwachen und
festzustellen, ob ein Dienst keinen Zugriff auf eine benötigte Ressource erhält. Sie können
ein übliches Programm oder Skript verwenden, das auf Dienstfehler reagiert und den IT-
Support benachrichtigt. Die häufigsten Dienstfehler werden durch Probleme im normalen
Betrieb oder aufgrund langer Laufzeit verursacht, aber in der Vergangenheit hat sich gezeigt,
dass eine Epidemie von Dienstfehlern ein Frühwarnsignal für neu aufgetauchte Bedrohungen
sein kann.
Entwickeln und verwenden Sie sichere Dienste
Falls Ihre Organisation Windows-Dienste entwickelt, sollten Sie die von Microsoft bereitgestellten
Tools und Mechanismen nutzen, um sichere Dienste zu schreiben. Falls Sie Dienste
lediglich nutzen, sollten Sie sich weigern, unsichere Dienste einzusetzen. Fordern Sie die
Hersteller auf, die grundlegenden Sicherheitsempfehlungen zu befolgen, die in diesem Kapitel
beschrieben wurden. Sicherere Dienste helfen den Computer zu schützen, auf dem sie
installiert sind, und schützen somit auch die anderen Computer im Netzwerk.
Zusammenfassung
Dienste, die unter Windows Server 2008 (und Windows Vista) laufen, wurden gegenüber
älteren Windows-Versionen deutlich verbessert. Dienste laufen jetzt in Modi mit geringstmöglichen
Privilegien, mit dienstspezifischen SIDs, isoliert in Sitzung 0, mit eingeschränktem
Netzwerkzugriff und geschützt durch DEP und ASLR. Administratoren können die
Gefahren durch kompromittierte Dienste minimieren, indem sie nicht benötigte Dienste aus
ihrer Umgebung entfernen und für die selbst entwickelten oder gekauften Dienste dem Prinzip
der geringstmöglichen Privilegien folgen. Windows wird zwar immer ein Ziel für böswillige
Hacker sein, aber Dienste, die mit geringstmöglichen Privilegien laufen, machen es
ihnen schwerer, einen Ansatzpunkt zu finden.