Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

328 Kapitel 12: Schützen von Serverrollen
Beachten Sie, dass die Spalte »Abhängigkeiten« zwar gesamte Rollen auflistet, in vielen
Fällen aber nur ein kleiner Teil dieser Rolle für eine andere Rolle oder ein Feature benötigt
wird. Zum Beispiel benötigt der SMTP-Server nur die IIS 6.0-Verwaltungstools aus der
Rolle Webserver (IIS) und die SMTP-Servertools aus dem Feature Remoteserver-Verwaltungstools.
Welche Abhängigkeiten tatsächlich bestehen, können Sie nur herausfinden, indem Sie
versuchsweise einzelne Features deaktivieren.
Ihr Server vor der Installation von Rollen
Wenn Sie zusätzliche Rollen oder Features installieren, brauchen Sie dazu nicht das Installationsmedium
einzulegen. Alle Daten, die erforderlich sind, um sämtliche Rollen und Features
bereitzustellen, werden nämlich während der Erstinstallation auf die Festplatte kopiert.
Das bedeutet, dass die Dateien eigentlich schon vorhanden sind. Sie befinden sich aber noch
nicht in ihrer endgültigen Form an den normalen Speicherorten des Dateisystems. Stattdessen
sind sie im Verzeichnis %SystemRoot%\winsxs gespeichert. Das ist wichtig für Features
wie zum Beispiel Telnet-Client und TFTP-Client. Diese Features sind nichts anderes als
ausführbare Dateien, die im Dateisystem bereitliegen. Damit Sie diese Programme starten
können, müssen auch die zugehörigen Katalog- und Manifestdateien installiert sein. Und
genau diese Dateien werden erst dann installiert, wenn das Feature selbst installiert wird.
Natürlich kann ein Krimineller, der über administrativen Zugriff verfügt, das Feature problemlos
installieren, daher brächte es kaum einen Sicherheitsvorteil, würden die Dateien bei
der Erstinstallation nicht auf die Festplatte übertragen.
Dieses Konzept, alle Dateien, die irgendwann möglicherweise benötigt werden, gleich bei
der Erstinstallation auf der Festplatte verfügbar zu machen, ist in Microsoft Office seit der
Version Office 2003 üblich. Letztlich wird dafür weniger Festplattenplatz benötigt, als sie
wahrscheinlich glauben, aber dennoch eine ganze Menge: Die 32-Bit-Editionen von Windows
Server 2008 belegen etwa 5,3 GByte (gemessen an einer der der letzten Prerelease-
Versionen). Dagegen kam Windows Server 2003 R2 mit 1,72 GByte aus.
Standardmäßig installierte Dienste
Schon bevor Sie einen Server konfigurieren, indem Sie verschiedene Rollen und Features
hinzufügen, führt er eine ganze Menge Dienste aus. In der Standardeinstellung gibt es
105 Dienste, von denen 42 automatisch gestartet werden, 55 manuell und 8 deaktiviert sind.
Bei einer Neuinstallation von Windows Server 2003 R2 waren dagegen standardmäßig
86 Dienste installiert, von denen 34 automatisch gestartet wurden, 32 bei Bedarf und 20
deaktiviert waren. Trotz der Definition von Rollen und der Verringerung der standardmäßig
bereitgestellten Rollen ist der Umfang von Windows Server 2008 also deutlich angewachsen.
Daher müssen Sie besonders sorgfältig sein, wenn Sie das System absichern. Weitere
Informationen über die Diensthärtung finden Sie in Kapitel 6, »Dienste«.
Server Core
Wir haben Server Core bereits einige Male erwähnt. Es ist eine abgespeckte Version von
Windows Server 2008, die keine grafische Benutzeroberfläche enthält und nur einen Teil der
Rollen und Features unterstützt. Die Benutzeroberfläche in Server Core ist eine schlichte
Befehlszeile (Abbildung 12.2).