Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

164 Kapitel 6: Dienste
Remoteanmeldung
Viele Dienste (FTP, IIS, Remotedesktop, Terminaldienste und so weiter) stellen zusätzliche
Anmeldungsmöglichkeiten zur Verfügung, über die ein Angreifer versuchen kann, Anmeldenamen
und Kennwörter zu erraten, um unautorisierten Zugriff zu erhalten. In der Standardeinstellung
wird das Konto Administrator nicht durch die üblichen Kontosperrungseinstellungen
gesperrt. Angreifer können einen Anmeldungsdienst nutzen, um unzählige Male zu
versuchen, das Administratorkennwort zu erraten, entweder von Hand oder mit einem automatisierten
Tool. Sofern das Sicherheitsprotokoll nicht überwacht wird und die fehlgeschlagenen
Anmeldeversuche nicht auffallen, kann ein Angreifer längere Zeit unbemerkt versuchen,
das Kennwort des Kontos Administrator zu erraten.
Ausspähen von Netzwerkverkehr
Weil jeder Netzwerkdienst Daten sendet und empfängt, können Angreifer Kommunikationsdaten
ausspähen, um unautorisiert an Informationen zu gelangen. Viele Dienste (SNMP,
Telnet, FTP, POP und so weiter) verwenden Klartext für Anmeldenamen und Kennwörter.
Sogar andere Dienste, die nicht mit Klartextdaten arbeiten, lassen sich ausnutzen. Zum Beispiel
war RDP einige Zeit nach seiner Einführung gegen Man-in-the-Middle-Angriffe verwundbar.
(Das wurde korrigiert.) Obwohl RDP Verschlüsselung nutzte, konnte eine neue
Sitzung von einem Remoteangreifer abgefangen und umgeleitet werden. Weil RDP Endpunktclients
erst ab Version 6.0 authentifizierte, war es für Man-in-the-Middle-Angreifer
möglich (wenn auch sehr schwierig), sich selbst in den Kommunikationsstrom einzuklinken
und verschlüsselte Anmeldekennwörter Zeichen für Zeichen zu extrahieren. Mehrere
Hackingtools machten es ganz einfach, einen RDP-Man-in-the-Middle-Angriff auszuführen.
Es reichte, wenn der Angreifer einige Schaltflächen anklickte, sobald er es erst einmal geschafft
hatte, sich in den Kommunikationspfad einzuklinken. Das Ausspähen von Verkehr
kann auch genutzt werden, um andere vertrauliche und persönliche Informationen abzufangen,
es müssen nicht immer Anmeldeinformationen sein.
Kompromittierte Kennwörter
Vollständig kompromittierte Systeme können eine Ausweitung des Angriffs ins Netzwerk
ermöglichen, wenn die Kennwörter der Dienstanmeldekonten ausgelesen werden. Falls ein
Angreifer privilegierten Zugriff auf ein System hat (zum Beispiel Administrator oder
SYSTEM), kann er mithilfe verschiedener Methoden und Tools Anmeldeinformationen
von Dienstanmeldekonten im Klartext auslesen. Falls die so ausgespähten Anmeldeinformationen
auf anderen Computern oder in der gesamten Windows-Domäne genutzt werden,
können weitere Ressourcen kompromittiert werden. Dies wird in Kapitel 14, »Schützen des
Netzwerks«, ausführlich beschrieben.
Fehlkonfiguration
Auch wenn ein Dienst einwandfrei programmiert ist, sodass er keinerlei Sicherheitslücken
enthält, kann er kompromittiert werden. Es passiert häufig, dass Benutzer und Administratoren
beim Konfigurieren der Dienste Fehler machen, die ihre Computer für unautorisierten
Zugriff öffnen. Zum Beispiel könnte ein Benutzer den IIS- oder FTP-Dienst installieren,
aber schwache Kennwörter verwenden. Oder ein Benutzer installiert ein Peer-to-Peer-
Filesharing-Programm, um einige wenige Ordner mit anderen Benutzern auszutauschen,
gibt aber stattdessen sein gesamtes Festplattenlaufwerk frei. Dieses Problem war oft dafür
verantwortlich, dass vertrauliche oder sogar streng geheime Dokumente versehentlich im
Internet veröffentlicht wurden.