Active Directory.pdf - Gattner

Zusammenfassung 315
• Sichern Sie die Sicherungsmedien. Wenn Sie die Domänencontroller in Ihrem Unternehmen
sichern, wird der gesamte Verzeichnisspeicher auf die Sicherungsmedien kopiert. Auch wenn die
Daten verschlüsselt sind, besitzt ein Angreifer, der Zugriff auf die Bänder erlangt, beliebig viel
Zeit, um die Daten zu entschlüsseln und darauf zuzugreifen. Sie können folgendermaßen verhindern,
dass unbefugte Benutzer physisch auf Sicherungsmedien zugreifen:
Lagern Sie Sicherungsmedien, die am Standort verwendet werden, an einem sicheren Ort, dessen
Zugang überwacht wird.
Lagern Sie Archivsicherungsmedien an einem sicheren Ort außerhalb des Standorts.
Richten Sie sichere Verfahren für den Transport von Sicherungsmedien ein.
• Stellen Sie Kontingente für den Objektbesitz ein. Auf Domänencontrollern unter Windows
Server 2008 können Sie Kontingente festlegen, um die Anzahl an Objekten einzuschränken, die
ein Sicherheitsprinzipal (Benutzer, Gruppe, Computer oder Dienst) in einer Domänen-, Konfigurations-
oder Anwendungsverzeichnispartition besitzen kann. Standardmäßig ist der Sicherheitsprinzipal,
der ein Objekt erstellt, der Objektbesitzer, auch wenn der Besitz übertragen werden
kann. AD DS-Kontingente unterbinden die Möglichkeit, eine unbegrenzte Anzahl an Objekten in
einer Verzeichnispartition zu erstellen, was für Dienstverweigerungsangriffe (Denial-of-Service
Attacks) genutzt werden könnte. Standardmäßig sind keine Kontingente eingestellt; es gibt daher
keine Einschränkung für die Anzahl an Objekten, die jeder Sicherheitsprinzipal besitzen kann.
Verwenden Sie zum Festlegen von Kontingenten den Befehl Dsmod Quota.
Zusammenfassung
Dieses Kapitel hat Ihnen in einer kurzen Übersicht die grundlegenden Konzepte der AD DS-Sicherheit
unter Windows Server 2008 vorgestellt. Hierzu gehören Sicherheitsprinzipale, Zugriffssteuerungslisten,
Authentifizierung und Autorisierung. Im ersten Teil dieses Kapitels wurde der Schwerpunkt
auf die wichtigsten Möglichkeiten zum Bereitstellen der Authentifizierung und Autorisierung in
AD DS über das Kerberos-Protokoll gelegt. Kerberos bietet einen sicheren Mechanismus, mit dem
Benutzer sich an AD DS authentifizieren und Zugriff auf Netzwerkressourcen erlangen können.
Die zweite Komponente zur Bereitstellung von AD DS-Sicherheit besteht darin, Domänencontroller
abzusichern und sichere administrative Vorgehensweisen zu implementieren. Der zweite Teil dieses
Kapitels bietet Einzelheiten zur Implementierung dieser Art der Sicherheit.
Empfohlene Vorgehensweisen
• Aktualisieren Sie nach Möglichkeit alle Server und Arbeitsstationen zumindest auf Windows
Server 2000 mit den neuesten Service Packs. Hierdurch können Sie sicherstellen, dass für alle
Authentifizierungsanforderungen Kerberos verwendet wird, und Sie können Sicherheitsfunktionen
wie SMB-Signaturen auf Domänencontrollern konfigurieren.
• Implementieren Sie dedizierte Domänencontroller. Mit anderen Worten, führen Sie keine Anwendungen
oder Dienste aus, die auf Domänencontrollern nicht erforderlich sind. Dies macht es leichter,
die Angriffsfläche von Domänencontrollern zu verringern, und vereinfacht außerdem die
Erstellung einer Sicherheitskonfigurationsrichtlinie, die auf alle Domänencontroller angewendet
werden kann.