Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Eindämmen von Abhängigkeiten 401
würdiger Serveradministrator ein administratives Domänenkonto für die Verwaltung der
DCs brauchen, ein administratives Konto der Stufe 7 für die Verwaltung der Server auf
Schutzwürdigkeitsstufe 7 und ein normales Benutzerkonto für E-Mail und Websurfen. Ein
Angestellter der Personalabteilung braucht ein Konto für seine direkten Aufgaben und ein
anderes Konto, mit dem er E-Mail liest und Präsentationen erstellt. Stattdessen können Sie
auch angesichts Ihrer Risikomanagementphilosophie und der Tatsache, dass beide auf einer
sehr niedrigen Privilegebene liegen, entscheiden, dass in diesem Fall ein einziges Konto
genügt. Sie sollten aber niemals erlauben, dass ein Konto, das administrative Privilegien auf
einer Schutzwürdigkeitsstufe besitzt, dazu benutzt wird, um auf Ressourcen auf einer anderen
Schutzwürdigkeitsstufe zuzugreifen. Administrative Konten auf jeder Stufe dürfen nur
benutzt werden, um Computer auf dieser Stufe zu verwalten.
Änderungen an der Sicherheitsrichtlinie der Organisation
Ein großer Teil der Isolierung ergibt sich aus Sicherheitsrichtlinien der Organisation, nicht
unbedingt aus technischen Richtlinien. Viele Isolierungsentscheidungen lassen sich einfach
nicht technisch erzwingen. Zum Beispiel sind Ihre Domänen-Admins innerhalb des Bereichs
Ihres Netzwerks allmächtig. Sie können nicht verhindern, dass sie im Netzwerk alles sehen
oder tun können. Sie können aber Regeln und Richtlinien festlegen, die sie befolgen müssen,
und die Einhaltung dieser Richtlinien überwachen. Sie müssen auch Strafen für den Fall
festsetzen, dass diese Richtlinien verletzt werden. Ein Administrator, der sich weigert, die
nötigen Schritte zu unternehmen, um Ihr Netzwerk zu schützen, sollte sich bald auf dem
freien Arbeitsmarkt wiederfinden.
Separate Dienstkonten
Dienstkonten sind ein häufiges Problem in Windows. Es ist allgemein bekannt, dass jeder
Administrator eines beliebigen Computers Zugriff auf das Klartextkennwort aller Dienste
(und aller interaktiver Benutzer) auf diesem Computer hat. Es gibt keine Standardprotokolldatei,
wo diese wertvollen Informationen gespeichert sind, aber mit allgemein verfügbaren
Hackingtools ist es kein Problem, an diese Daten zu gelangen.
Aus diesem Grund ist es so wichtig, Dienstkonten richtig zu verwalten. Es ist immer noch
recht verbreitet, dass Dienste, die auf vielen Computern in einem Netzwerk laufen, unter
dem Konto eines Domänenadministrators ausgeführt werden. Das macht das Konto eines
Domänenadministrators auf jedem Computer im Netzwerk zugänglich. Aus diesem Grund
muss der Gültigkeitsbereich von Dienstkonten eingeschränkt werden. Eine naheliegende
Möglichkeit besteht darin, Dienstkonten nur innerhalb einer Schutzwürdigkeitsstufe zu verwenden.
Zum Beispiel könnte der oben erwähnte Datensicherungsdienst auf Computern der
Schutzwürdigkeitsstufe 7 unter einem Dienstkonto und auf Computern der Stufe 9 unter
einem anderen Konto ausgeführt werden.
Wollen Sie eine Datensicherung für Arbeitsstationen?
Wollen Sie wirklich eine Datensicherung für Arbeitsstationen durchführen? Viele Organisationen
diskutieren heutzutage über diese Frage. Benutzer speichern natürlich Daten auf
ihren Arbeitsstationen, aber wollen Sie das wirklich? Im Idealfall sollten nur sehr wenige
Daten, die nirgends sonst im Netzwerk vorhanden sind, auf den Arbeitsstationen liegen.
Mithilfe von Techniken wie zum Beispiel servergespeicherten Benutzerprofilen und Ordnerumleitung
können die Standardspeicherorte für Benutzer in das Netzwerk gelegt werden.