Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

118 Kapitel 5: Firewall und Netzwerkzugriffsschutz
Windows-Firewall mit erweiterter Sicherheit
Konnektivität ist allgegenwärtig. Die meisten Computer sind nicht nur mit einem internen
Unternehmensnetzwerk verbunden, sondern auch mit dem Internet. Hochgeschwindigkeits-
Drahtlosnetzwerke und mobile Benutzer sind überall, oft direkt an das Internet mit seinen
gigantischen Botnets angeschlossen, in denen sich alle Arten von Viren tummeln und die
Unmassen von Spam ausspucken. Sogar Server, die in verwalteten Unternehmensnetzwerken
liegen, sind Gefahren ausgesetzt: Mitarbeiter kommen von einer Dienstreise und verbinden
ihre Notebooks wieder mit dem internen Netzwerk, nachdem sie außerhalb infiziert
wurden, Besucher wie Consultants und Kunden wollen Ihr Netzwerk benutzen und natürlich
gibt es böswillige Insider, die aus irgendwelchen Gründen denken, sie müssten Ihre Geschäftssysteme
kompromittieren.
Aus diesen Gründen ist es sinnvoll, die in Windows Server 2008 enthaltene Hostfirewall zu
aktivieren. So ziehen Sie eine weitere Schutzschicht in Ihre gestaffelte Verteidigung ein. Die
Windows-Firewall mit erweiterter Sicherheit bietet bidirektionale Filterung, um zu verhindern,
dass unerwünschter Verkehr zu den Diensten gelangt, die auf dem System laufen. Und
sie verhindert, dass kompromittierte Server Ihr übriges Netzwerk angreifen. Die Verwaltung
von Windows-Firewall und IPsec (Internet Protocol Security) ist in einer einzigen MMC-
Konsole (Microsoft Management Console) integriert, sodass die Firewall ein Eckpfeiler für
die Isolationsstrategie Ihres Netzwerks wird.
Verbesserungen an der Windows-Firewall
Bevor wir uns genau ansehen, wie Sie mithilfe der neuen Windows-Firewall Ihre Windows
Server 2008-Hosts schützen, wollen wir uns kurz einen Überblick über die wichtigsten Verbesserungen
gegenüber den Vorgängerversionen verschaffen.
Bessere Verwaltungsschnittstelle
Die deutlichste Verbesserung ist eine neue grafische Benutzeroberfläche, in der Sie die Windows-Firewall
lokal und über Gruppenrichtlinien für Active Directory-Domänen verwalten
können. Das alte Systemsteuerungsmodul, Windows-Firewall, bietet nach wie vor Zugriff
auf grundlegende Einstellmöglichkeiten. Die neue Benutzeroberfläche ist ein Microsoft
Management Console-Snap-In. Wenn Sie lokale Einstellungen konfigurieren wollen, können
Sie die Konsole Windows-Firewall mit erweiterter Sicherheit aus dem Ordner Verwaltung
starten. Dieses Snap-In ist auch in der Konsole Gruppenrichtlinien-Editor enthalten, sodass
Sie die Firewall über Active Directory-Domänengruppenrichtlinien verwalten können. Verbesserungen
wurden auch an Netsh.exe vorgenommen, dem Befehlszeilentool zum Verwalten
von Firewall und IPsec. Der Befehl Netsh hat jetzt einen neuen Kontext, advfirewall,
mit dem Sie die Konfiguration der Firewall über ein Skript anpassen oder in einer Server
Core-Installation verwalten können.
Windows-Diensthärtung
Es wurde zwar viel getan, um die Dienste selbst zu schützen, aber es ist denkbar, dass ein
Angreifer immer noch einen Weg findet, einen Windows-Systemdienst zu kompromittieren.
Falls ein Dienst kompromittiert wird, hilft die Windows-Diensthärtung (engl. service hardening),
die Auswirkungen gering zu halten: Die Firewall blockiert anormales Verhalten, zum
Beispiel wenn ein Dienst, der nicht auf das Netzwerk zugreifen muss, plötzlich HTTP-
Verkehr aussendet. Kapitel 6, »Dienste«, beschreibt die Windows-Diensthärtung genauer.