Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

400 Kapitel 14: Schützen des Netzwerks
Dieselbe Analyse müssen Sie für die Administration durchführen. Es würde dem Zweck der
ganzen Aktion zuwiderlaufen, wenn Sie ein einziges administratives Domänenkonto verwenden,
um auf alle Computer in der Domäne zuzugreifen. Damit setzen Sie das eine administrative
Konto Angriffen durch alle Computer aus. Die logische Folgerung lautet, unterschiedliche
Administratorkonten für unterschiedliche Zwecke zu verwenden. Sie könnten
zum Beispiel ein Konto pro Schutzwürdigkeitsstufe verwenden. Oder Sie weisen Ihren Systemadministratoren
unterschiedliche Schutzwürdigkeitsstufen zu. Dann können Sie unterschiedliche
Systemadministratoren unterschiedlichen Computern zuweisen, statt allen zu
erlauben, sämtliche Computer zu verwalten. Sie können sogar separate Administrationsstationen
für jede Schutzwürdigkeitsstufe einrichten. Sie müssen entscheiden, wie viel Mühe
Sie auf sich zu nehmen bereit sind, um Ihr Netzwerk zu verwalten. Diese Entscheidung ist
eine wichtige Basis für alle weiteren Entscheidungsprozesse. In Bezug auf Sicherheit müssen
Sie (wie überall) einen Kompromiss zwischen mehr Sicherheit und mehr Arbeitsaufwand
finden. Dabei müssen Sie aber immer im Auge behalten, welche Funktionalität Sie
letztendlich brauchen. Vor allem müssen Sie bei diesem Prozess sicherstellen, dass Sie die
Isolierung auf eine Weise implementieren, bei der Sie Computer einer Schutzwürdigkeitsstufe
keinen unnötigen Angriffen durch Computer auf einer anderen Schutzwürdigkeitsstufe
aussetzen.
Schritt 7: Implementieren von Einschränkungen
Nun ist endlich der Punkt gekommen, an dem Sie Ihre Strategie implementieren. In dieser
Phase des Prozesses sollten Sie einen vollständigen Entwurf haben, der die Verwaltung Ihres
Netzwerks beschreibt und angibt, welche Kommunikationsmuster Sie innerhalb des Netzwerks
erlauben wollen. Die Implementierung sollte ab hier recht einfach sein. Sie müssen
allerdings sicherstellen, dass bestimmte Dinge auch erledigt werden.
Wenn es Ihnen wie den meisten Netzwerkmanagern geht, bricht Ihnen der Angstschweiß
aus, wenn es daran geht, Änderungen durchzuführen, die die gesamte Kommunikation zum
Erliegen bringen könnten. Wie jeder leidgeplagte Administrator weiß, ruft niemand beim
Helpdesk an, um mitzuteilen, dass heute alles einwandfrei funktioniert (falls doch, haben Sie
ganz andere Probleme vor sich).
Glücklicherweise gibt es einen Trick. Offensichtlich wollen Sie, dass irgendwann bei allen
oder den meisten Netzwerkverbindungen Authentifizierung zwingend erforderlich ist. Aber
Sie können damit beginnen, dass Sie stattdessen erst einmal die Authentifizierung anfordern.
Auf diese Weise können Sie die Richtlinien testen, überwachen, wo die IPsec-Aushandlung
fehlschlägt, und bei Bedarf Korrekturen vornehmen. Dabei bleibt die Konnektivität vollständig
erhalten. Sie können auf diese Weise eine sicherere Bereitstellung durchführen, bei
der die Gefahr viel geringer ist, dass unerfreuliche Dinge geschehen und Ihre Chancen auf
das Ausscheiden aus dem Netzwerkmanagement entscheidend sinken.
Nach diesen Vorbemerkungen hier eine Reihe anderer Einschränkungen, die Sie in Ihrem
Plan berücksichtigen müssen.
Minimieren des Gültigkeitsbereichs von Konten
Verringern Sie den Gültigkeitsbereich Ihrer Konten. Das gilt besonders für Konten mit hohen
Privilegien. Jeder, der auf Computer unterschiedlicher Schutzwürdigkeitseinstufungen
zugreift, sollte auf diesen Computern jeweils eigene Konten haben, zumindest wenn sie
höhere Privilegien auf diesen Computern haben. Zum Beispiel könnte ein sehr vertrauens-