Active Directory.pdf - Gattner

312 Kapitel 8: Active Directory-Domänendienstsicherheit
Konfigurieren von SYSKEY
Standardmäßig wird der AD DS-Datenspeicher verschlüsselt, wenn er auf der Festplatte des Domänencontrollers
gespeichert wird. Dies bietet eine gewisse Sicherheit, wenn ein Angreifer sich Zugriff
auf die physische Festplatte verschafft, auf der sich der Datenspeicher befindet. Die Daten werden
über den Systemschlüssel (SYSKEY) in Windows Server 2008 verschlüsselt.
Mithilfe des Tools SYSKEY können Sie zusätzliche Sicherheit beim Starten von Domänencontrollern
gewährleisten. SYSKEY stellt Ihnen drei Optionen zum Konfigurieren des Startschlüssels bereit:
• Systemstartschlüssel lokal speichern Diese Option erstellt anhand eines komplexen Verschlüsselungsalgorithmus
einen vom Computer nach dem Zufallsprinzip generierten Schlüssel, der auf
dem lokalen System gespeichert ist. Dies ist die Standardkonfiguration von Syskey.exe, welche
eine starke Verschlüsselung von Kennwortinformationen in der Registrierung bietet. Da der Systemschlüssel
auf dem lokalen System gespeichert wird, ermöglicht diese Methode unbeaufsichtigte
Systemneustarts.
• Kennwort für den Systemstart Diese Option erfordert ein vom Administrator gewähltes Kennwort
zum Ableiten des Systemschlüssels. Wenn Sie diese Option auswählen, muss ein Administrator
während des Systemstarts das Systemschlüsselkennwort eingeben.
• Systemstartschlüssel auf Diskette speichern Diese Option erstellt einen vom Computer nach dem
Zufallsprinzip generierten Schlüssel, der auf einer Diskette gespeichert wird. Die Diskette mit
dem Systemschlüssel muss in das Diskettenlaufwerk eingelegt werden, um den Domänencontroller
zu starten.
Das Konfigurieren von SYSKEY für die Verwendung eines Kennworts oder einer Diskette für den
Systemstart kann zusätzliche Sicherheit für Domänencontroller bieten, die physisch nicht abgesichert
sind. Diese Option erfordert jedoch, dass ein Administrator, der das Kennwort kennt, bzw. die Diskette
beim Neustart des Domänencontrollers verfügbar sein muss. Wenn Sie den SYSKEY auf einer
Diskette speichern und die Diskette verloren geht, können Sie den Domänencontroller nicht neu starten.
Hinweis Erwägen Sie den Einsatz eines RODC in Situationen, in denen der Domänencontroller nicht physisch
gesichert werden kann, statt die SYSKEY-Sicherheitseinstellungen zu implementieren.
Entwerfen sicherer administrativer Vorgehensweisen
Eine der wichtigsten Komponenten beim Entwerfen der AD DS-Sicherheit ist das Entwerfen sicherer
administrativer Vorgehensweisen. Da Administratoren vollständige Kontrolle über die AD DS-Umgebung
besitzen, können sie sogar den besten Sicherheitsentwurf umgehen oder ändern. Ziehen Sie
beim Erstellen Ihrer administrativen Vorgehensweisen die folgenden Vorschläge in Betracht:
• Beschränken Sie die Anzahl von Organisations- und Domänenadministratorkonten auf höchst vertrauenswürdiges
Personal. Dies ist besonders für Dienstadministratorkonten wichtig. Beschränken
Sie die Mitgliedschaft von Dienstadministratorkonten auf ein absolutes Minimum, und weisen
Sie nur zuverlässige und vertrauenswürdige Benutzer zu, denen die Auswirkungen aller Änderungen
am Verzeichnis umfassend bekannt sind. Verwenden Sie Dienstadministratorkonten nicht
für alltägliche Aufgaben.