Active Directory.pdf - Gattner

310 Kapitel 8: Active Directory-Domänendienstsicherheit
Tabelle 8.6
Kategorien von Sicherheitseinstellungen (Fortsetzung)
Kategorie
Microsoft-Netzwerk (Server)
Netzwerkzugriff
Wiederherstellungskonsole
Herunterfahren
Systemkryptographie
Systemobjekte
Systemeinstellungen
Benutzerkontensteuerung
Beschreibung
Wird verwendet, um Einstellungen für die digitale Signatur der Netzwerkkommunikation und
für das Trennen von Benutzern nach Ablauf der Anmeldezeiten zu konfigurieren.
Wird zum Konfigurieren einer breiten Vielfalt an Netzwerkzugriffseinstellungen verwendet, beispielsweise,
ob die anonyme Aufzählung von SAM-Konten erlaubt ist, und von Optionen für die
Verbindung mit Freigaben.
Wird verwendet, um zu definieren, wer auf die Wiederherstellungskonsole zugreifen kann und ob
Diskettenlaufwerke und andere Laufwerke von der Wiederherstellungskonsole aus zugänglich
sind.
Wird verwendet, um zu konfigurieren, ob Benutzer den Computer ohne Anmeldung herunterfahren
können und ob die Auslagerungsdatei für virtuellen Speicher beim Herunterfahren
gelöscht wird.
Wird verwendet, um Sicherheitsanforderungen für auf Computern gespeicherte Schlüssel und
für Algorithmen durchzusetzen, die zum Erstellen sicherer Schlüssel verwendet werden.
Wird zum Einstellen von Sicherheitsanforderungen für Windows-Systemobjekte verwendet.
Wird zum Konfigurieren zusätzlicher Subsysteme wie POSIX und zum Aktivieren von Zertifikatregeln
für Softwareeinschränkungsrichtlinien verwendet.
Wird verwendet, um zu konfigurieren, wie Einstellungen zur Benutzerkontensteuerung auf
Clientcomputer unter Windows Vista angewendet werden.
Weitere Informationen Einzelheiten zu allen unter Windows Server 2008 verfügbaren Sicherheitseinstellungen
erhalten Sie, indem Sie das Arbeitsblatt Group Policy Settings Reference Windows Vista von folgender
Adresse herunterladen: http://www.microsoft.com/downloads/details.aspx?FamilyID=41dc179b-
3328-4350-ade1-c0d9289f09ef&displaylang=en.
Implementieren der SMB-Signatur
Windows Server 2008 unterstützt die SMB-Signatur, damit Sie sicherzustellen können, dass jeder
Dateifreigabezugriff auf Domänencontrollern verschlüsselt wird. Computer in derselben Domäne wie
der Domänencontroller greifen während des Benutzeranmeldevorgangs auf Dateifreigaben zu, um
Anmeldeskripts und Profile in der Freigabe Netlogon zu verwenden. Gruppenrichtlinienobjekte sind
über die Freigabe SYSVOL zugänglich. Aus diesen Gründen sollten alle Domänencontroller die SMB-
Signatur nutzen, um die Sicherheit zu verbessern.
In Tabelle 8.7 werden die Richtlinieneinstellungen der Sicherheitsoptionen für die SMB-Signatur
beschrieben.
Tabelle 8.7
Richtlinieneinstellungen der Sicherheitsoptionen für die SMB-Paketsignatur
SMB-Einstellung
Microsoft-Netzwerk (Client):
Kommunikation digital signieren
(immer)
Erläuterung
Der Domänencontroller erfordert eine SMB-Signatur beim Initiieren von SMB-Anforderungen
an andere Domänencontroller, Mitgliedsserver oder Arbeitsstationen. Der Domänencontroller
lehnt die Kommunikation mit anderen Systemen ab, die keine SMB-Signatur unterstützen.
Aktivieren Sie diese Gruppenrichtlinieneinstellung zum Verbessern der Sicherheit.