Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

382 Kapitel 14: Schützen des Netzwerks
Wenn wir wieder Klassen festlegen, um zu bestimmen, wie kritisch ein System ist, lässt sich
diese Aussage leicht verstehen. Falls die Kompromittierung einer Arbeitsstation dazu führt,
dass die Sicherheit des Domänencontrollers zusammengebrochen ist, haben wir ein gewaltiges
Sicherheitsproblem. Wie bereits erwähnt, ist es unmöglich, ein Netzwerk zu schützen,
falls seine Gesamtsicherheit davon abhängt, dass jeder einzelne Computer in diesem Netzwerk
sicher ist. Die Wahrscheinlichkeit, dass das Netzwerk sicher ist, ist umgekehrt exponentiell
zur Größe des Netzwerks. Ein etwas größeres Netzwerk ist praktisch niemals völlig
sicher. Das macht es so wichtig, dass kritischere Systeme vor weniger kritischen geschützt
werden.
Dieses Prinzip lässt sich auch auf Benutzerkonten und Software anwenden. Zum Beispiel
erlaubt der neue Terminaldiensteclient für Windows die Speicherung von Benutzernamen
und Kennwörtern, um eine praktisch transparente Terminaldiensteanmeldung zu ermöglichen.
Diese Anmeldeinformationen werden mithilfe der Credential Manager API gespeichert,
geschützt durch die Anmeldeinformationen, die für die primäre Anmeldesitzung eingegeben
wurden.
Um zu sehen, wie dies eine Sicherheitsabhängigkeit erzeugen kann, wollen wir den Fall
betrachten, dass ein Netzwerkadministrator sich an seiner persönlichen Arbeitsstation anmeldet.
Er benutzt diese Arbeitsstation für E-Mail, Webbrowser und andere typische Arbeiten
eines Angestellten im IT-Bereich. Selbstverständlich benutzt er für diesen Zweck ein
Domänenkonto mit geringen Privilegien. Irgendwann an diesem Tag stellt er eine Verbindung
zu einem der Domänencontroller her, um eine Verwaltungsaufgabe durchzuführen. Er
benutzt dafür den Terminaldiensteclient und entscheidet sich, sein Kennwort zu speichern,
damit die Verbindung künftig einfacher hergestellt werden kann. Das erzeugt mindestens
eine, möglicherweise sogar zwei inakzeptable Sicherheitsabhängigkeiten. Die erste ist, dass
die Anmeldeinformationen für sein administratives Domänenkonto jetzt durch die Anmeldeinformationen
seines Standardbenutzerkontos geschützt werden, das nur geringe Privilegien
hat. Falls sein Standardbenutzerkonto kompromittiert wird, wird auch sein administratives
Domänenkonto kompromittiert, und damit ist die gesamte Domäne kompromittiert.
Die zweite Abhängigkeit ergibt sich aus der Tatsache, dass er die Anmeldeinformationen für
ein administratives Domänenkonto auf einem Computer eingibt, der kein Domänencontroller
ist. Sofern seine persönliche Arbeitsstation nicht mindestens genauso gut geschützt ist
wie Domänencontroller (kaum anzunehmen), haben wir eine Abhängigkeitssituation, bei der
die Sicherheit des Domänencontrollers von der Sicherheit der persönlichen Arbeitsstation
des Benutzers abhängt. Falls zum Beispiel ein verärgerter Angestellter, der im selben Büro
arbeitet, einen Hardware-Keystroke-Logger in der Arbeitsstation des Netzwerkadministrators
installiert hat, sind die Anmeldeinformationen für das administrative Domänenkonto
jetzt in diesem Keystroke-Logger gespeichert. Jedes Mal, wenn Sie Anmeldeinformationen
für ein administratives Domänenkonto auf einem Nicht-Domänencontroller eintippen, haben
Sie die gesamte Domäne allen Sicherheitslücken auf diesem Nicht-Domänencontroller ausgesetzt.
Falls zum Beispiel ein Angreifer ein Wechsellaufwerk an einen Computer anschließt,
auf dem ein Domänenadministrator gerade angemeldet ist, auf dem er früher einmal angemeldet
war oder auf dem er sich in Zukunft anmelden wird, ist das Konto des Domänenadministrators
kompromittiert, und damit ist es auch die gesamte Domäne. Es ist absolut unverzichtbar,
dass Sie verstehen, wie diese Abhängigkeiten funktionieren. Nur so können Sie
verhindern, dass sie in Ihrem Netzwerk entstehen. Das heißt zum Beispiel, dass Sie sehr
vorsichtig sein müssen, welche Computer Sie benutzen, um kritische Computer im Netzwerk
zu administrieren.