Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

142 Kapitel 5: Firewall und Netzwerkzugriffsschutz
der Computer, mit dem er arbeitet, bewiesen hat, dass er die Anforderungen Ihrer Integritätsrichtlinien
erfüllt. Falls Sie mit der Netzwerkzugriffquarantäne in Windows Server
2003 vertraut sind, dürften Ihnen Ähnlichkeiten zu NAP auffallen. NAP basiert aber auf
einer völlig neu entwickelten Technologie.
Terminalservergateway Terminalservergateway (TS Gateway) schränkt den Zugriff
für Remoteterminaldiensteclients ein, wenn diese mit RDP (Remote Desktop Protocol)
über HTTPS auf interne Ressourcen zugreifen.
DHCP DHCP-Erzwingung mag einfach bereitzustellen sein, es ist aber auch die unsicherste
Lösung. Bei diesem Ansatz wird der Zugriff über die IPv4-Adresskonfiguration
und -Routingtabellen des Hosts gesteuert. Ein findiger Benutzer mit administrativen Privilegien
kann das einfach umgehen, indem er seine TCP/IP-Einstellungen von Hand
konfiguriert. Falls Sie im selben Netzwerk Hosts unterstützen, die nicht NAP-fähig sind
oder das zumindest behaupten, kann jeder den Schutz umgehen, indem er einfach behauptet,
keine NAP-Fähigkeit zu bieten.
Systemintegritätsprüfungen
Eine Systemintegritätsprüfung (System Health Validator, SHV) ist ein Element, das
einem Systemintegritätsagenten (System Health Agent, SHA) auf dem NAP-Client zugeordnet
ist. Ein SHA ist mit einem oder mehreren Integritätsanforderungsservern verknüpft.
Antivirensoftware ist ein gutes Beispiel. Sie haben einen SHA für das Antivirenprogramm
und eine SHV, die die Antivirensignaturen auf dem Client mit dem Server
vergleicht, der aktuelle Signaturdateien hostet. Windows Server 2008 enthält die Windows-Sicherheitsintegritätsprüfung.
Microsoft und andere Hersteller können weitere
SHVs entwickeln, die sich in die NAP-Plattform einklinken. Die Windows-SHV kann
folgende Szenarien für NAP-Clients erzwingen:
Auf dem Clientcomputer ist Firewallsoftware installiert und aktiviert.
Auf dem Clientcomputer ist Antivirensoftware installiert und wird ausgeführt.
Auf dem Clientcomputer sind aktuelle Antivirenupdates installiert.
Auf dem Clientcomputer ist Antispywaresoftware installiert und wird ausgeführt.
Auf dem Clientcomputer sind Antispywareupdates installiert.
Die Microsoft Update-Dienste sind auf dem Clientcomputer aktiviert.
Systemintegritätsagenten
SHAs überwachen den Integritätsstatus des Clients, sodass der NPS weiß, ob der NAP-
Client die Anforderungen erfüllt. Zum Beispiel kann der Windows-Systemintegritätsagent
(Windows System Health Agent, WSHA), das Gegenstück zur vorher beschriebenen
Windows-SHV, die Windows-Firewall überwachen. Der WSHA kann Folgendes
feststellen:
Ob Antivirensoftware installiert, aktiviert und auf dem neuesten Stand ist.
Ob Antispywaresoftware installiert, aktiviert und auf dem neuesten Stand ist.
Ob die Microsoft Update-Dienste aktiviert sind.
Ob auf dem Host die neuesten Sicherheitsupdates installiert sind.
Andere Hersteller können weitere SHAs für andere Sicherheitslösungen entwickeln.