Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Einführung in Sicherheitsabhängigkeiten 383
Diese Analyse führt uns zu zwei ganz konkreten Ratschlägen. Erstens sollten Sie niemals
einen Computer benutzen, um Daten, die kritischer sind als der Computer selbst, einzugeben,
abzurufen, zu verarbeiten oder zu speichern. Denken Sie daran, dass jedes Datenelement,
das von einem Computer verarbeitet wird, unter Umständen jedem offensteht, der
diesen Computer jemals benutzt hat oder benutzen wird. Wenn Sie Anmeldeinformationen
auf einem Computer speichern, bei dem sie allen Benutzern vertrauen, ist das sicher. Wenn
Sie solche Daten auf einem Computer speichern, der möglicherweise von nichtvertrauenswürdigen
Benutzern bedient wird oder auf dem irgendwann Malware installiert werden
könnte, ist das unsicher.
Zweitens sollten Sie niemals einen kritischen Computer von einem Computer aus verwalten,
der weniger kritisch ist. Für die Praxis bedeutet das, dass Sie dedizierte Verwaltungsstationen
verwenden sollten, auf denen hochkritische Computer wie zum Beispiel Domänencontroller
administriert werden. Wenn Sie lediglich runas oder die Benutzerkontensteuerung
(User Account Control, UAC) einsetzen, bietet das keine ausreichende Sicherheit.
Dasselbe gilt natürlich für Software. Nehmen wir zum Beispiel an, wir wollen einen hochsicheren
Webbrowser schreiben. Dieser Browser soll viel sicherer sein als der integrierte
Browser. In diesem Fall können wir überhaupt keine Funktionen nutzen, die der integrierte
Browser zur Verfügung stellt. Im Fall von Windows, wo der Browser einen Großteil der
clientseitigen Internetfunktionalität des Betriebssystems implementiert, dürfen wir nicht
einmal die integrierten URL-Überprüfungsfunktionen (Uniform Resource Locator) oder
irgendwelche HTML-Anzeigefunktionen (Hypertext Markup Language) nutzen, die das
Betriebssystem zur Verfügung stellt, weil dies in Wirklichkeit Komponenten des Internet
Explorers sind. Wenn wir auf Funktionalität zurückgreifen, die der integrierte Browser zur
Verfügung stellt, haben wir eine Sicherheitsabhängigkeit vom integrierten Browser. Da unser
Ziel lautet, mehr Sicherheit als der integrierte Browser zu bieten, ist diese Abhängigkeit
inakzeptabel.
Abhängigkeitsanalyse eines Angriffs
An diesem Punkt dürfte es nützlich sein, einen kleinen Abstecher zu machen und einen Angriff
aus Sicht der Abhängigkeitsproblematik zu analysieren. Weiter oben haben wir gesehen,
was passieren kann, wenn ein Wechseldatenträger in böser Absicht an den Computer
angeschlossen wird. Weniger offensichtlich ist, was mit dem Netzwerk geschieht, an das
dieser Computer angeschlossen ist. Nehmen wir an, dass der betroffene Computer ein
Domänenmitglied ist, wie in Abbildung 14.1 gezeigt.
Abbildung 14.1 zeigt ein Abhängigkeitsdiagramm für den Idealfall. Die Pfeile geben die
Richtung der Abhängigkeit an: Die Sicherheit der Arbeitsstation hängt von der Sicherheit
des Domänencontrollers ab, und die Sicherheit des Benutzers hängt von der Sicherheit
der Arbeitsstation ab. Der Angreifer ist möglicherweise in der Lage, die Arbeitsstation zu
kompromittieren, wodurch auch alle Informationen kompromittiert werden, die der Benutzer
auf dieser Arbeitsstation gespeichert hat. Aber die Kompromittierung bleibt auf diesem
Computer isoliert.
Ändern wir das Szenario ein wenig. Nehmen wir an, der Benutzer, der sich an der Arbeitsstation
anmeldet, ist ein Mitglied der lokalen Gruppe Administratoren auf dem Server. Und
nehmen wir weiter an, dass sich häufiger ein Domänenadministrator am Server anmeldet.
Die fetten Pfeile in Abbildung 14.2 stehen für diese neuen Abhängigkeiten.