Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

414 Kapitel 15: Schützen von Zweigstellen
Zweigstelle sind, können Sie die potenziellen Auswirkungen einer Kompromittierung einschränken.
Sie können – und sollten – auch explizit die Zwischenspeicherung von Anmeldeinformationen
für Konten mit hohen Privilegien sperren. Indem Sie zum Beispiel die Zwischenspeicherung
der Konten von Domänen-Admins verbieten, garantieren Sie, dass die
Anmeldeinformationen von Domänenadministratoren niemals auf dem RODC in dieser
Zweigstelle gespeichert werden. Dies ist ein deutlicher Sicherheitsgewinn gegenüber Windows
Server 2003, wo Sie keine Wahl hatten und eine lokale Kopie für alle Konten in jeder
Zweigstelle speichern mussten. Dies bedeutet einen riesigen Sicherheitsgewinn.
Sie greifen auf die Kennwortreplikationsrichtlinie zu, indem Sie das Eigenschaftendialogfeld
des RODC-Computerobjekts öffnen. In Abbildung 15.1 sehen Sie, dass nur Konten in
einer Gruppe, die die Benutzer der Zweigstelle enthält, zwischengespeichert werden dürfen;
die Zwischenspeicherung von Anmeldeinformationen mit hohen Privilegien wird explizit
verboten.
Abbildung 15.1 Die Eigenschaftenseiten eines RODCs
zeigen seine Kennwortreplikationsrichtlinie an
Nehmen wir einmal das undenkbare an: Ihr RODC wird gestohlen. Der Dieb stellt die AD DS-
Datenbank bereit und versucht, mit einem allgemein verfügbaren – nun ja – »Sicherheitstesttool«
Kennwörter zu extrahieren. Aber statt mehr und mehr Kennwörter aufzulisten,
zeigt das Kennwortknackertool nur leere Kennwörter für fast alle Konten an.
Falls früher Ihr DC gestohlen wurde, hatten Sie wirklich keine Wahl, als alle Kennwörter in
der Domäne zurückzusetzen. Eine mühselige Aufgabe, wenn Sie Tausende von Benutzern
hatten. In diesem Fall brauchen Sie sich aber nur um die Konten zu kümmern, die auf diesem
einen RODC zwischengespeichert wurden. Um es deutlich zu sagen: Mit einem RODC
wissen Sie genau, welche Kennwörter zwischengespeichert wurden. Sie können prüfen,
welche auf den RODC repliziert wurden, indem Sie sich das Dialogfeld Kennwortreplikationsrichtlinie
ansehen. Anfangs werden nur Kennwörter für den Computer selbst und das