Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Einführung in Sicherheitsabhängigkeiten 381
Akzeptable Abhängigkeiten
Akzeptable Abhängigkeiten lassen sich mit folgender Regel aus Protect Your Windows Network
zusammenfassen:
Die Sicherheit eines weniger kritischen Systems darf von einem kritischeren System abhängen.
Computer (und Systeme im Allgemeinen) können anhand ihrer Sicherheitsanforderungen in
Klassen eingeteilt werden. Ein System, das kritischer ist, hat höhere Sicherheitsanforderungen,
und eines, das weniger kritisch ist, benötigt weniger Sicherheit. Wie die Klassen in einer
bestimmten Umgebung konkret aussehen, ist für diese allgemeine Beschreibung irrelevant.
Wichtig ist nur, dass es inhärente Klassifizierungen gibt. Nehmen wir aus Gründen der Anschaulichkeit
an, dass wir zwei Klassen von Systemen haben: Arbeitsstationen und Domänencontroller.
Die DCs sind offensichtlich viel kritischer als die Arbeitsstationen. Falls Sie
eine Arbeitsstation kontrollieren, dürften Sie theoretisch nur Zugriff auf die Daten bekommen,
die in dieser Arbeitsstation benutzt werden. Falls Sie dagegen einen DC kontrollieren,
haben Sie den Schlüssel zur Stadt: Sie bekommen vollständigen Zugriff auf alle Elemente in
der Gesamtstruktur. In diesem Fall ist es akzeptabel, dass die Sicherheit der Arbeitsstationen
von den DCs abhängt. Die DC-Klasse ist viel kritischer als die Arbeitsstationen, sie muss
daher entsprechend aufwendiger geschützt werden. Dies ist eine Form einer akzeptablen
Abhängigkeit.
Dasselbe gilt für Benutzerkonten. Es ist akzeptabel, dass ein Administrator auf Daten zugreifen
kann, die einem Benutzer gehören, das ist schließlich der Grund, warum es überhaupt
einen Administrator gibt. Administratoren haben uneingeschränkten (wenn auch nicht immer
direkten und offensichtlichen) Zugriff auf den Computer und alles, was sich darauf befindet.
Wenn uns das klar ist und wir die Computer entsprechend verwalten, ergibt sich daraus kein
Problem.
Software kann genauso analysiert werden. Eine weniger kritische Software, zum Beispiel
ein Webbrowser, kann von einer kritischeren Software abhängen, zum Beispiel dem Betriebssystem
selbst. Das ist akzeptabel. Falls das Betriebssystem einen Bug hat, ist es nicht
weiter verwunderlich, wenn der Webbrowser gegen ein neues Problem verwundbar ist.
Wenn das passiert, ist der Webbrowser wahrscheinlich ein recht kleines Problem. Das hilft
uns zu verstehen, wo Bugfixes wirksam werden müssen. Der Bug sollte so nah wie möglich
am Problem beseitigt werden, damit die Schutzwirkung so groß wie möglich ist. Statt das
Problem im Webbrowser zu umgehen, sollten Sie es lieber im Betriebssystem reparieren.
Stattdessen können Sie auch den Webbrowser so umschreiben, dass er weniger Abhängigkeiten
von Funktionalität im Betriebssystem aufweist. Dieser Ansatz ist sinnvoll, falls die
Funktionalität im Betriebssystem niemals für den Zweck gedacht war, für den sie eingesetzt
wird, oder falls die Funktionalität gar nicht dazu entworfen wurde, vor dem konkreten Angriff
zu schützen, dem der Webbrowser ausgesetzt ist.
Inakzeptable Abhängigkeiten
Was inakzeptable Abhängigkeiten sind, sollte jetzt offensichtlich sein. Noch einmal ein Zitat
aus Protect Your Windows Network:
Die Sicherheit eines kritischeren Systems darf niemals von einem weniger kritischen System
abhängen.