Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

444 Kapitel 16: Aspekte für kleine Unternehmen
Proaktive Internet- und Zugriffsrichtlinien
Wenn Sie dabei sind, Richtlinien für die Einschränkung des Internetzugriffs zu formulieren,
sollten Sie auch versuchen, vorbeugend dafür zu sorgen, dass die Arbeitsstationen im
Netzwerk nichts tun können, was sie nicht tun sollen. Zum Beispiel sollte eine Arbeitsstation
in einem typischen Netzwerk keinen Verkehr über Port 25 senden. Falls das geschieht,
wurde sie wahrscheinlich in einen Spam-Zombie verwandelt. Aber Sie können
vorbeugende Schritte unternehmen, um diesen Verkehr zu verhindern. Abbildung 16.8
zeigt ein Beispiel für eine Einschränkungsregel, die im ISA Server definiert wird.
Abbildung 16.8 Im ISA Server können Sie Edge-Richtlinien definieren
Die Beispielrichtlinie sieht so aus:
Aktion: Verweigern, Anforderung protokollieren
Protokolle: Ausgewählt: SMTP
Von: LAN (ein definierter IP-Adressbereich der Arbeitsstationen, aber ohne
Server-, Drucker- und Scanner-IPs, die explizit definiert und im DHCP-Server
als Ausschlüsse eingetragen sind)
An: Alle
Benutzer: Alle
Zeitplan: Immer
Ergreifen Sie die Initiative
Kleine Unternehmen neigen anfangs oft dazu, Einschränkungen für die Internetnutzung
abzulehnen. Daher sieht der übliche Entwurf für den Netzwerkzugriff so aus, dass alle
authentifizierten Arbeitsstationen vollständigen Webzugriff haben. Später wird dem Unternehmensinhaber
bewusst, dass die Angestellten zu viel Zeit auf Social-Networking-Websites
oder beim Austausch von Instant-Messaging verbringen. Daher werden Sie später oft beauftragt,
den Internetzugriff einzuschränken. Das geschieht nicht vorbeugend, sondern als reine
Reaktion, weil das Internet für arbeitsfremde Zwecke genutzt wird. Ihre beste Sicherheitslösung
ist immer vorbeugend und vorausschauend, keine reine Reaktion. Versuchen Sie, die
Bedrohungen richtig vorherzusagen.
Falls Sie schon einmal die Kommentare in einem Onlineforum zum Thema Sicherheit überflogen
haben, ist Ihnen vermutlich aufgefallen, dass eine Empfehlung darin besteht, Dienste
auf andere Ports zu verlegen. Bei großen Organisationen ist das relativ nutzlos, weil die
Angreifer nach ungewöhnlich hohem Verkehr suchen, ganz egal, über welchen Port er läuft.
In einer kleinen Organisation kann das ein gewisser Sicherheitsgewinn sein, aber im Allgemeinen
sollten Sie lieber sicherstellen, dass möglichst wenige Ports auf externe Anforderungen
antworten.