Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

378 Kapitel 14: Schützen des Netzwerks
Natürlich ist es absolut unverzichtbar, das Netzwerk als Ganzes vor der Kompromittierung
einer einzelnen Arbeitsstation zu schützen. Als IT-Manager behaupte ich, dass das wichtigste,
was Sie tun können, um die Sicherheit Ihre Betriebsumgebung zu verbessern, darin besteht,
die Abhängigkeiten in Ihrem Netzwerk so zu verwalten, dass Einbrüche isoliert bleiben.
Ein Element bei diesen Maßnahmen ist, dass Sie die Kommunikation innerhalb Ihres
Netzwerks einschränken. Microsoft nennt dies Server- und Domänenisolierung. Das Puzzle
enthält aber noch einige weitere Teile.
Direkt von der Quelle: Server- und Domänenisolierung
Server- und Domänenisolierung ist eines der versteckten Sicherheitshighlights in Windows
Server 2008, das einen genaueren Blick verdient. In älteren Versionen hatten Sie
zwar schon die Möglichkeit, virtuelle Netzwerke über Endpunktauthentifizierung einzurichten,
aber in Windows Vista und Windows Server 2008 haben wir viel dafür getan,
dass dies noch einfacher bereitzustellen ist. Indem wir IPsec-Verbindungssicherheitsregeln
mit Windows-Firewallfiltern kombinieren, geben wir Windows Server 2008-
Administratoren ein leistungsfähiges Tool an die Hand, um die Sicherheit in ihren Netzwerken
zu verbessern und ihre wichtigen Daten besser zu schützen. Und all das steht zur
Verfügung, ohne neue Software installieren zu müssen.
Chris Black, Program Manager
Windows Networking
Viele Organisationen vertrauen nach wie vor viel zu sehr darauf, dass ihre Grenzfirewall das
Problem für sie löst. Aber Grenzfirewalls sind in den heutigen Umgebungen praktisch bedeutungslos.
Um zu verstehen, warum das so ist, müssen wir uns einmal ansehen, was es
alles für Zugangspunkte zu Ihrem Netzwerk gibt. Falls Sie ein mittelgroßes oder großes
Netzwerk haben, wette ich ein Essen in einem sehr guten Restaurant, dass Sie bei der letzten
Analyse einige Wege zum Herausschmuggeln von Daten gefunden haben, von denen Sie
bisher nichts wussten. Jeder Computer in einem virtuellen privaten Netzwerk (VPN) ist ein
potenzieller Einbruchsweg. Jedes System, das Sie nicht aktualisiert haben, ist ein potenzieller
Eindringpunkt. Jede unsichere, speziell entwickelte Software ist ein potenzieller Eindringpunkt.
Jedes falsch konfigurierte Gerät, ob Router, Firewall, VPN-Gerät und Drahtloszugriffspunkt,
ist ein potenzieller Eindring- und Ausgangspunkt.
Wichtig Das Prinzip der gestaffelten Verteidigung (engl. defense in depth) fordert, dass Sie erheblichen
Aufwand betreiben, um die Auswirkungen einer Kompromittierung in Ihrem Netzwerk gering zu halten.
Eine offensichtliche Möglichkeit, das Problem durch den Missbrauch von Wechseldatenträgern
zu beseitigen, besteht darin, alles zu verbieten, was sich unter Umständen für unlautere
Zwecke missbrauchen lässt. USB-Flashlaufwerk sind nur ein kleiner Teil davon. Wir müssten
alle Wechseldatenträgergeräte verbieten, inklusive allem, was sich an irgendeinen Gerätebus
im Computer anstecken lässt. Ich habe schon öfters erklärt, am besten ließe sich das
Problem mit einer gigantischen Tube Harz lösen, mit der Sie alle Öffnungen zukleben, die
Sie vorne und hinten, rechts und links, oben und unten am Computer finden.
Dieser Ansatz verursacht einige Probleme. Erstens könnte es passieren, dass Ihre Benutzer
Sie auf dem Weg zu Ihrem Auto abfangen und lynchen, falls Sie so etwas wirklich durchziehen.
Zweitens lägen ihre Benutzer damit gar nicht so falsch. Viele der erwähnten Geräte