Active Directory.pdf - Gattner

Verstärken der Serversicherheit mithilfe von Gruppenrichtlinien 525
Weitere Informationen über Gruppenrichtlinieneinstellungen finden Sie (in englischer Sprache) im
Whitepaper unter http://go.microsoft.com/fwlink/?LinkId=103735.
Gautam Anand
Technical Lead – Directory Services
Premier Enterprise Platforms Support
Richtlinien für Softwareeinschränkung
Eines der größten Sicherheitsrisiken stellen in den letzten Jahren Benutzer dar, die unbekannte oder
nicht vertrauenswürdige Software auf ihren Computern ausführen. In vielen Fällen führen die Benutzer
versehentlich potenziell unsichere Software aus. Millionen von Benutzern haben z.B. Viren
gestartet oder Trojaneranwendungen installiert, ohne absichtlich unsichere Software ausführen zu
wollen. Die Richtlinien für die Softwareeinschränkung sollen dies verhindern.
Die Richtlinien zur Softwareeinschränkung schützen Ihre Benutzer vor der Ausführung unsicherer
Software, indem sie definieren, welche Anwendungen auf ihren Arbeitsstationen ausgeführt werden
dürfen und welche nicht. Über eine Richtlinie für Softwareeinschränkung können Sie eine Richtlinie
definieren, welche die Ausführung sämtlicher Software mit Ausnahme der von Ihnen spezifisch blockierten
zulässt. Oder Sie definieren, dass die Richtlinie für Softwareeinschränkung nur die Ausführung
der explizit von Ihnen erlaubten Software zulässt. Die zweite Option ist zwar sicherer, doch der
zur Definition aller zur Ausführung in einer komplexen Unternehmensumgebung zugelassenen
Anwendungen erforderliche Aufwand könnte zu groß sein. Die meisten Unternehmen entscheiden
sich für die weniger sichere, jedoch verwaltungsfreundlichere Option, sämtliche Software zuzulassen
und nur ausgewählte Software zu blockieren. Wenn Sie jedoch eine Gruppe von Arbeitsstationen in
einer Umgebung mit hohen Sicherheitsanforderungen einsetzen, sollten Sie möglicherweise die
sicherere Option wählen.
Wenn Sie eine Richtlinie für Softwareeinschränkung erstellen, können Sie fünf Typen von Regeln
konfigurieren, um die von der Richtlinie betroffenen Anwendungen zu bestimmen:
• Hashregeln Eine Hashregel ist eine kryptografische Kennung, die eine spezifische Anwendungsdatei
unabhängig von Dateiname oder Speicherort eindeutig identifiziert. Wurde im Ordner
Sicherheitsstufen die Option Nicht eingeschränkt als Standardsicherheitsstufe ausgewählt, und
möchten Sie die Ausführung einer bestimmten Anwendung einschränken, können Sie mithilfe der
Richtlinie für Softwareeinschränkung eine Hashregel erstellen. Wenn ein Benutzer versucht, die
Anwendung auszuführen, führt die Arbeitsstation eine Hashüberprüfung durch und verhindert die
Ausführung der Anwendung. Wenn Sie die Richtlinie für Softwareeinschränkung so konfiguriert
haben, dass die Ausführung aller Anwendungen blockiert wird (durch Konfiguration der Sicherheitsstufe
Nicht erlaubt), können Sie die Hashregel zum Aktivieren einer spezifischen Anwendung
verwenden.
• Zertifikatregeln Sie können Zertifikatregeln erstellen, sodass die Auswahlkriterien für Anwendungen
auf dem Softwareherausgeberzertifikat basieren. Wenn Sie z.B. eine benutzerdefinierte
Anwendung entwickelt haben, können Sie dieser Anwendung ein Zertifikat zuweisen und die
Softwareeinschränkungsregel dann so konfigurieren, dass dem entsprechenden Zertifikat vertraut
wird.