Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

214 Kapitel 7: Gruppenrichtlinien
Richtlinie Vorteil Risiko
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Sicherheitsoptionen\
Netzwerkzugriff: Anonyme
SID-/
Namensübersetzung zulassen
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Sicherheitsoptionen\
Netzwerkzugriff: Anonyme
Aufzählung von SAM-Konten
und Freigaben nicht erlauben
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Sicherheitsoptionen\
Netzwerksicherheit: LAN
Manager-
Authentifizierungsebene
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Sicherheitsoptionen\
Überwachung: System
sofort herunterfahren, wenn
Sicherheitsüberprüfungen
nicht protokolliert werden
können
Diese Richtlinie wird in den meisten
sicheren Konfigurationen deaktiviert.
Wird sie aktiviert, kann ein anonymer
Benutzer eine SID in einen Benutzernamen
konvertieren. (Falls zum Beispiel
ein anonymer Benutzer die bekannte
SID des Administratorkontos angibt,
kann dieser Benutzer den wirklichen
Kontoname herausfinden, sogar wenn
das Konto umbenannt wurde.)
Wenn diese Richtlinie aktiviert ist, können
anonyme Benutzer keine Liste der
Benutzernamen in einer Domäne erhalten,
die sich für verschiedene Angriffe
nutzen lässt.
Legt fest, welche Version der NTLM-
Authentifizierung auf Computern erforderlich
ist, die diese Richtlinie verarbeiten.
Wenn Sie diese Richtlinie aktivieren,
stellen Sie sicher, dass das System
herunterfährt, falls irgendetwas verhindert,
dass eine Sicherheitsüberwachung
generiert wird (falls zum Beispiel das
Sicherheitsprotokoll voll ist).
Falls diese Richtlinie aktiviert ist, funktionieren
ältere Windows-Systeme, die
diese anonyme Übersetzungsfähigkeit
benötigen, möglicherweise nicht mehr.
Das sind zum Beispiel der RAS-Dienst
aus NT 4.0 und SQL Server in NT 3.x-
oder 4.0-Domänen. Falls Sie aber solche
Systeme in Ihrer Umgebung haben,
sollten Sie ohnehin als Erstes sicherstellen,
dass sie mit keinen anderen Systemen
kommunizieren dürfen!
Falls Sie diese Richtlinie auf Ebene
einer Domäne deaktivieren, können Sie
kein Domänenvertrauen mit NT 4.0-
Domänen herstellen. (Glauben Sie mir:
Das wollen Sie ohnehin nicht.)
Bestimmte Stufen der NTLM-Authentifizierung
(zum Beispiel v2) werden auf
älteren Windows-Clients nicht unterstützt,
zum Beispiel in NT 4.0 vor Service
Pack 4 oder Windows 95 und Windows
98 ohne installierten Verzeichnisdienstclient.
Heutzutage sollten eigentlich
alle Computer funktionieren, wenn
Sie diese Einstellung auf den Wert 5
setzen (die sicherste Einstellung).
Falls Sie diese Richtlinie aktivieren, aber
keine automatische Überschreibung der
Überwachungsprotokolle erlauben,
wenn sie voll sind, oder die Protokolle
zu klein sind, fährt das System herunter,
sobald das Protokoll voll ist! Angreifer
können diese Möglichkeit nutzen, um Ihr
Netzwerk stillzulegen (das wurde in der
Vergangenheit bereits praktiziert).
Zusammenfassung
In diesem Kapitel haben wir uns angesehen, wie Gruppenrichtlinien in lokalen und Active
Directory-Umgebungen verwendet werden, wie Sie GPOs auf unterschiedlichen Ebenen in
der Active Directory-Hierarchie verknüpfen und wie Sie mithilfe von Sicherheitsgruppen-
und WMI-Filterung genauer steuern, auf welche Computer und Benutzer eine Richtlinie
angewendet wird.
Wir haben auch einige der neuen Gruppenrichtlinien-Verwaltungsfunktionen kennengelernt,
die in Windows Server 2008 neu eingeführt wurden, darunter Starter-Gruppenrichtlinienobjekte,
Kommentare und Filterung. Wir haben einige der neuen Richtlinienbereiche unter-