Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Verletzen aller Prinzipien mit Servern, die mehrere Rollen übernehmen 439
Verletzen aller Prinzipien mit Servern, die mehrere
Rollen übernehmen
Ein Sicherheitsexperte bekommt es ernsthaft mit der Angst zu tun, wenn er sich ansieht,
welche Menge von Diensten auf einem typischen Server in einem kleinen Unternehmen
läuft. Die meisten Sicherheitsexperten (insbesondere Experten, die sich nicht gut mit den
Anforderungen und Risiken kleiner Unternehmen auskennen) haben vor allem wegen der
Angriffsfläche Bedenken, die von all diesen Dienste erzeugt wird, und wegen des kumulativen
Effekts aufgrund der fehlenden Isolierung. Ich habe einmal gezählt, wie viele Server
nötig wären, wenn die Verfahrensempfehlungen strikt befolgt werden: Es waren insgesamt
12 Server. Offensichtlich ist ein solche Zahl von Servern für eine typische kleinere Organisation
nicht machbar. Abbildung 16.5 zeigt acht Beispielrollen, die viele Multi-Rollen-
Server ausführen. Das sind Datei-, E-Mail-, Datenbank-, Web-, Active Directory-, Druck-,
Mobility-Server und natürlich die berühmteste Rolle, der »Server für alles andere«, im englischen
Sprachraum auch als »Kitchen-Sink-Server« (Ausgussbecken) bekannt.
Abbildung 16.5 Der typische Multi-Rollen-Server
Bei einer kleinen Organisation ist aber normalerweise die Gefahr einer Fehlkonfiguration
größer (zum Beispiel dass jemand den Remotezugriff falsch einrichtet) als die Gefahr, mehrere
Rolle auf demselben Server bereitzustellen. Als Gesamtpaket ist bei einem richtig konfigurierten
Multi-Rollen-Server mit einfachen Schritt-für-Schritt-Anleitungen die Chance
größer, dass er sicher ist, als bei einem selbst zusammengestellten, von Hand installierten
Server in einer kleinen Organisation ohne dediziertes und gut ausgebildetes IT-Personal.
Für jemanden, der das System wartet, zählt vor allem das Problem, dass sich Updates und
erforderliche Neustarts häufen. Der Microsoft-Mitarbeiter Jose Barreto hat in seinem Blog
http://blogs.technet.com/josebda festgestellt, dass bei einer typischen Windows Server 2008-
Installation weniger als 50 Dienste laufen. Aber auf dem üblichen Windows Small Business
Server 2008 laufen über 100 Dienste, und das sogar, bevor irgendwelche LOB-Anwendungen
auf dem Computer bereitgestellt werden. Unter SBS 2003 waren es noch 67 Dienste,