Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Zusammenfassung 403
und Windows-Firewall, um eingehenden Verkehr auf einem Computer einzuschränken. Das
verringert die Gefahr, die einem System von anderen Systemen droht, ganz gewaltig. Nehmen
wir zum Beispiel einen Datenbankserver, auf den ein Middlewareserver zugreift. Nehmen
wir nun an, es gibt eine SQL-Injection-Lücke in der Middleware, die es einem Angreifer
ermöglicht, beliebigen Code auf dem Datenbankserver auszuführen. Welchen Zugriff hat
der Angreifer auf den Middlewareserver, wenn der Datenbankserver einmal kompromittiert
wird? Falls Sie die Windows-Firewall auf dem Middlewareserver so eingerichtet haben, dass
sie allen unangefordert eingehenden Verkehr verwirft (genauer gesagt: nur genau den Verkehr
annimmt, der für die eigentliche Aufgabe erforderlich ist), lautet die Antwort »gar keinen«.
Sie können den Angriff direkt an dieser Stelle aufhalten. Verwenden Sie die vorher erstellte
Tabelle mit Ihren Kommunikationsmustern und entwerfen Sie auf dieser Basis einen
Satz von IPsec-Richtlinien. Stellen Sie diese Richtlinien mithilfe von Gruppenrichtlinien
oder einer anderen Methode bereit, die in Ihrer Umgebung sinnvoll ist. Weitere Informationen
über Windows-Firewall und IPsec sowie die Bereitstellung von Richtlinien finden Sie in
Kapitel 5, »Windows-Firewalls«.
Einschränken des Ressourcenzugriffs
Zuletzt können Sie das Detailwissen, das Sie sich erarbeitet haben, und die Isolierungsstrategie,
die Sie entworfen haben, dazu nutzen, eine Daten- und Ressourcenzugriffstrategie zu
erstellen, die das Prinzip der geringstmöglichen Rechte erzwingt. Sie müssten an diesem
Punkt über eine ziemlich detaillierte Benutzerkontenstrategie verfügen. Sie können dies
nutzen, um Zugriff zu verhindern und die Isolierungsstrategie zu erzwingen. Nehmen wir
zum Beispiel an, dass vor dem Start dieses Projekts die Mitarbeiter Ihrer Personalabteilung
Zugriff auf die Exchange-Server, alle Dateiserver, die internen SharePoint-Server und die
Lohnbuchhaltungsanwendungen hatten – alles über das eine Konto, das Sie ihnen gegeben
haben. Nachdem Sie die Isolierungsstrategie definiert haben, verfügen Sie über die Möglichkeit,
ihnen den Zugriff auf Lohnbuchhaltungsanwendungen nur zu erlauben, wenn sie
ihre Personalabteilung-Konten verwenden – und möglicherweise sogar nur dann, wenn sie
auf einer bestimmten Arbeitsstation in der Personalabteilung arbeiten.
Zusammenfassung
Nur wenige Strategien, die Ihnen heutzutage zur verfügung stehen, haben so große Auswirkungen
auf die Sicherheit Ihres Netzwerk und seiner Daten wie eine ordentliche Netzwerkuntergliederung
und Serverisolierungsstrategie. Indem Sie den in diesem Kapitel beschriebenen
Prozess durcharbeiten, können Sie ein Netzwerk erstellen, das genau das tut, was Sie
wollen, aber nichts anderes. Falls Sie keine Fehler machen, ist das Netzwerk trotzdem noch
so flexibel, dass es neue Anwendungen unterstützt. Dafür sind nur geringfügige Änderungen
notwendig.
Hat diese Strategie auch Auswirkungen auf die Aufgaben Ihrer Endbenutzer und Administratoren?
Ganz bestimmt. Aber in der Umgebung, in der wir uns heute bewegen, könnte das die
einzige Möglichkeit sein, Ihr Netzwerk zu schützen. Der herkömmliche Ansatz, ein völlig
flaches Netzwerk aufzubauen, in dem jeder ein Konto hat, das ihm Zugriff auf alles verschafft,
was er braucht, aber auch auf viel mehr, ist in praktisch allen modernen Umgebungen
zu unsicher. Wie weit Sie sich von diesem Modell absetzen können, hängt von Ihrer
Risikotoleranz und den Sicherheitsanforderungen in Ihrer Umgebung ab.