Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

462 Kapitel 16: Aspekte für kleine Unternehmen
Business Server 2008 wird Ihnen das schwierige Einrichten dieser Richtlinien abgenommen.
Wie Sie in Abbildung 16.16 sehen, hat Windows Small Business Server 2008 eingehende
Regeln aktiviert. Ausgehende Regeln sind vorbereitet, sodass Sie die ausgehende Filterung
jederzeit aktivieren können. Die ausgehenden Regeln sind dabei so konfiguriert, dass die
Kernaufgaben wie Netzwerkkommunikation, Drucken, Remoteunterstützung und Remotedesktop
auf jeden Fall zur Verfügung stehen.
Windows XP-Arbeitsstationen können sich ebenfalls an dieser Eindämmung und Einschränkung
beteiligen. Das schlimmste, was Sie in einer kleinen Organisation tun können, wäre,
die externe Firewall als »gut genug« zu betrachten und zu glauben, dass es keinen Grund
gibt, die internen Firewalls zu aktivieren. Nehmen Sie sich die Zeit und lernen Sie, wie interne
Firewalls die erforderlichen Einschränkungen erzwingen können.
Sie finden die Einstellungen für Windows XP-Firewalls unter Computerkonfiguration/Administrative
Vorlagen/Netzwerk/Netzwerkverbindungen/Windows-Firewall/Domänenprofil
(Abbildung 16.17). Im Dokument »Small Business Tweaks« auf der Begleit-CD zu diesem
Buch finden Sie Details zu empfohlenen Richtlinien für ein kleines Netzwerk. Weitere
Informationen zur Leistungsfähigkeit von Gruppenrichtlinien finden Sie in Kapitel 7.
Abbildung 16.17 Die vom Server definierten Gruppenrichtlinieneinstellungen für Windows XP-Firewalls
Authentifizierung und Clients
Eine der besten Möglichkeiten, ein kleines Netzwerk (eigentlich jedes Netzwerk) zu schützen,
besteht darin, die Umgebung möglichst weit zu standardisieren. Das ist eine der Sicherheitsmaßnahmen,
die am schwierigsten umzusetzen ist, sie kann sogar fast unmöglich sein.
Unter Umständen legen Sie damit ältere LOB-Anwendungen lahm. Trotzdem ist es ein erstrebenswertes
Ziel, jede Arbeitsstation auf derselben Plattform (normalerweise das neueste
Desktopbetriebssystem, das der Hersteller anbietet) und mit demselben Service Pack zu
betreiben und sicherzustellen, dass auch jede Anwendung aktualisiert wird und ihr Code
einer Sicherheitsbegutachtung unterzogen wurde, die dieselbe Qualität gewährleistet wie der
Windows Secure Development Lifecycle. Falls Sie das Glück haben, dieses Ziel zu erreichen,
können Sie zusätzliche Einstellungen vornehmen. Zum Beispiel können Sie sicherstellen,
dass alle Terminaldienst- und Remotedesktopsitzungen mit Authentifizierung auf Netzwerkebene
arbeiten und die höchsten Authentifizierungsstufen verwendet werden, zum Beispiel
Nur NTLMv2-Antworten senden. LM & NTLM verweigern.