Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Diensthärtung 165
Unautorisierte Datenweitergabe
Viele Dienste geben Systeminformationen bekannt, die von böswilligen Angreifern genutzt
werden können. Manchmal beziehen sich diese Informationen auf den Dienst selbst und sind
kritisch für den normalen Betrieb des Dienstes. In anderen Fällen werden unerwartete Daten
veröffentlicht, wenn böswillige Verbindungsdaten an den Dienst gesendet werden. Zum Beispiel
beschreibt das Microsoft-Sicherheitsbulletin MS05-007 (http://www.microsoft.com/
technet/security/Bulletin/MS05-007.mspx), wie die Kombination aus Computerbrowserdienst
und Named Pipes missbraucht werden kann, um die Namen der angemeldeten Benutzerkonten
aufzulisten.
Social Engineering
Dienste, die direkten Kontakt mit dem Endbenutzer herstellen, zum Beispiel Peer-to-Peer-
Filesharing, bieten Malwareverbreitern etliche Möglichkeiten, die Benutzer durch Tricks
dazu zu bringen, böswillige Programme auszuführen. Malware, die Peer-to-Peer-Systeme
angreift, kann einen Chat mit einem Endbenutzer vortäuschen und dann eine Aufforderung
an den Benutzer senden, eine neue Dateiübertragung zu genehmigen. Die Dateiübertragung
wird als gewünschter Inhalt beschrieben, enthält in Wirklichkeit aber ein Trojanisches Pferd.
Viele Antimalwareprogramme prüfen die Inhalte nicht, die über solche Dienste in den Computer
gelangen. So kann es passieren, dass die Infektion sogar auf einem geschützten Computer
unbemerkt bleibt.
Dienste sind vielen unterschiedlichen Arten von Angriffen ausgesetzt, und jeder zusätzliche
laufende Dienst auf einem Computer vergrößert die Gefahr einer Kompromittierung.
Diensthärtung
Nach dem Blaster-Wurm verstärkte Microsoft das Gefahrenmodell der Windows-Standarddienste,
um ihre Sicherheitsbedrohungen zu untersuchen und zu minimieren. Im Rahmen
dieser Anstrengungen wurden Standardberechtigungen und Privilegien geändert, und es
wurden viele neue Schutzmaßnahmen für Dienste entwickelt. Daher weisen Dienste, die
in Windows Vista und neueren Windows-Versionen laufen, gegenüber älteren Windows-
Clientversionen zahlreiche Sicherheitsverbesserungen auf. Das sind unter anderem:
Jeder Dienst hält sich an das Sicherheitsmodell der geringstmöglichen Privilegien.
Dienste wurden so gestaltet, dass mehr Dienste im Anmeldungskontext LOKALER
DIENST oder NETZWERKDIENST laufen.
Jeder Dienst hat eine Sicherheits-ID, was eine dienstspezifische Zugriffssteuerung
ermöglicht.
Auf manche Dienste werden einschränkende SIDs angewendet.
Dienste können anhand der Netzwerkdomäne eingeschränkt werden.
Für alle Windows-Dienste ist Sitzung-0-Isolierung erforderlich.
Alle Dienste haben die verbindliche Integritätsebene System.
Die Datenausführungsverhinderung ist für alle Dienste aktiviert.
Die SCM-Statusbenachrichtigung wurde verbessert.
Diese Verbesserungen werden in den folgenden Abschnitten im Einzelnen beschrieben.