Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Weitere Informationen 289
PKI-Verwaltungsprozess überwacht werden, sodass sichergestellt ist, dass eine Person
nicht alle Verwaltungsfunktionen ausführen kann. Falls Ihre Sicherheitsrichtlinie es
erfordert, müssen Sie die Rollentrennung aktivieren, um zu verhindern, dass jemand
PKI-Verwaltungsaufgaben übernimmt, falls er zwei oder mehrere Common-Criteria-
Rollen wahrnimmt.
Aktivieren Sie alle Überwachungsoptionen in einer Windows Server 2008-Zertifizierungsstelle
Indem Sie alle Überwachungsoptionen aktivieren, stellen Sie sicher,
dass alle Veränderungen an der PKI im Sicherheitsereignisprotokoll der Zertifizierungsstelle
aufgezeichnet werden.
Aktivieren Sie Einschränkungen für Registrierungs-Agenten Stellen Sie sicher,
dass ein Registrierungs-Agent nur Zertifikate für autorisierte Benutzer anfordern kann,
indem Sie die Einschränkungen für Registrierungs-Agenten aktivieren. Sie können einen
Registrierungs-Agenten auf eine bestimmte Zertifikatsvorlage einschränken und erzwingen,
dass er nur Zertifikate für bestimmte Sicherheitsgruppen anfordern darf.
Zusammenfassung
Wenn Sie Ihre Sicherheitsstrategie für Active Directory-Zertifikatdienste entwerfen, müssen
Sie sicherstellen, dass Sie alle Bedrohungen identifizieren, die für Ihre Bereitstellung relevant
sind. Stellen Sie für jede Bedrohung sicher, dass Sie Maßnahmen zu deren Eindämmung
ergreifen, aber auch den Funktionsumfang zur Verfügung stellen, den Sie von den
Zertifikatdiensten brauchen.
Neben der Eindämmung von Bedrohungen sollten Sie sicherstellen, dass Sie gute physische
Sicherheit für Ihre Zertifizierungsstellen gewährleisten:
Offlinezertifizierungsstellen sollten niemals an das Netzwerk angeschlossen sein, und sie
sollten an physisch geschützten Orten aufgestellt sein.
Onlinezertifizierungsstellen sollten mit derselben physischen Sicherheit wie Domänencontroller
ausgestattet sein.
Und schließlich sollten Sie sicherstellen, dass Sie den Verfahrensempfehlungen für die
Bereitstellung von Zertifizierungsstellen folgen.
Weitere Informationen
Microsoft Windows Server 2008 – PKI und Zertifikatsicherheit von Brian Komar
(Microsoft Press, 2008).
Microsoft Official Curriculum Course 2821: Designing and Managing a Windows Public
Key Infrastructure (http://www.microsoft.com/learning/syllabi/en-us/2821Afinal.mspx).
Microsoft Windows Server 2003 PKI und Zertifikatsicherheit von Brian Komar und dem
Microsoft PKI-Team (Microsoft Press, 2004).
Windows Server 2008 Security Guide unter https://www.microsoft.com/downloads/
details.aspx?familyid=FB8B981F-227C-4AF6-A44B-B115696A80AC&displaylang=en.
Security Watch – PKI Enhancements in Windows von John Morello unter
http://www.microsoft.com/technet/technetmag/issues/2007/08/SecurityWatch/.