Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Empfehlungen für kleine Unternehmen 465
Benutzerkontensteuerung auf dem Server
Es gibt keinen vernünftigen Grund, warum ein Domänenadministrator auf dem Server im
Web surfen sollte, keinen einzigen. Sie gefährden damit Ihre gesamte Infrastruktur. Daher ist
es kein Wunder, dass das SBS 2008-Team nach der Analyse der Bedrohungen und Risiken
für diesen Server das integrierte Konto Administrator deaktiviert und die Benutzerkontensteuerung
auf dem Server aktiviert hat, anders als bei Windows Server 2008. UAC soll Sie
daran erinnern, dass ein Server kein Ersatz für eine Arbeitsstation ist und nur als Server
benutzt werden sollte. Halten Sie sich an die Verfahrensempfehlung, das integrierte Konto
Administrator nie zu verwenden, nicht einmal für die simpelste Administratoraufgabe. Wie
Sie in Abbildung 16.20 sehen, werden Sie daran erinnert, wie wichtig Ihr Domänencontroller
ist, wenn Sie diese Einstellung unverändert lassen.
Abbildung 16.20 Die Gefahr, dass ein Administrator den Server
als Arbeitsstation missbraucht, wird durch die UAC eingedämmt
Antivirensoftware und Antispyware
Die einzigen Websites, die ein Server jemals besuchen sollte, sind die verschiedenen Adressen
des Microsoft Update-Dienstes. Weil Sie ohnehin niemals auf dem Server im Web
surfen, gibt es also auch keinen Anlass, Antispywaresoftware darauf zu installieren. Kann
genauso auf Antivirensoftware verzichtet werden? Vor allem auf einem Domänencontroller
müssen Sie sicherstellen, dass Sie den Leitfäden in den Knowledge Base-Artikeln folgen,
die eine Liste der kritischen Dateien, Ordner und Protokollspeicherorte enthalten. So können
Sie sicherstellen, dass keine Probleme durch genau die Software entstehen, die den Server
schützen soll. Im Allgemeinen müssen Sie Speicherorte auf dem Server ausnehmen, in denen
Active Directory-, Exchange- oder andere kritische Datenbanken ihre Protokolldateien
ablegen.
Hinweis Als Ausgangspunkt für die Definition von Ausschlüssen sollten Sie sich die Microsoft Knowledge
Base-Artikel mit den Nummern 822158, 815263, 817442, 821749, 309422, 328841, 823166 und 245822
ansehen. Dort finden Sie Beispiele für Typen und Orte von Ausschlüssen. Weitere Verweise enthält der
Abschnitt »Weitere Informationen« am Ende dieses Kapitels.
Die PCI/DSS-Richtlinien geben an, dass Sie Antivirensoftware auf allen gewöhnlich betroffenen
Systemen bereitstellen sollten. Das umfasst Arbeitsstationen und Server. Sie müssen
die Verfahrensempfehlungen, Antimalwaresoftware auf solchen kritischen Server bereitzustellen,
gegen das ständige Risiko abwägen, dass solche Software eine wichtige Datei oder
DLL versehentlich als böswillig markiert. Genau das passierte in dem Fall, der im Knowledge
Base-Artikel 924995, »When You Restart Windows Server 2003, the Computer May