Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

454 Kapitel 16: Aspekte für kleine Unternehmen
Abbildung 16.13 Kennwortrichtlinien auf dem Domänencontroller
Wenn Sie einen neuen Server in einer kleinen Organisation einrichten, sollten Sie diese Gelegenheit
nutzen, um Benutzer darüber aufzuklären, wie wichtig es ist, sichere Kennwörter
oder Passphrasen zu wählen und auf geeignete Weise zu schützen.
Administratorkonten
Das Konto Administrator ist zweifellos das mächtigste Element in jedem Server. Daher ist
es von entscheidender Bedeutung, das Kennwort dieses Kontos zu schützen. Sie müssen
eine Richtlinie festlegen, die seine Benutzung regelt. Und weil Consultants wechseln und
Hersteller Zugriff bekommen, sollte das integrierte Konto Administrator in einer kleinen
Organisation genauso benutzt werden wie bei großen Bereitstellungen: praktisch nie, sodass
man meinen könnte, es hätte die Beulenpest. Legen Sie ein besonders starkes Kennwort fest,
deaktivieren Sie das Konto und benutzen Sie nur ein anderes Administratorkonto, wenn Sie
den Computer im Remotezugriff verwalten. Windows Small Business Server 2008 nimmt
genau diese Konfiguration in der Standardeinstellung vor. Noch besser ist, wenn Sie eine
Zwei-Faktoren-Authentifizierung für alle Konten mit administrativem Zugriff auf Server
implementieren. Sehen Sie sich Technologien wie zum Beispiel RSA Secure ID und die
Tokenschlüsseltechnologie AuthAnvil von Scorpion Software an, wenn Sie zusätzlichen
Schutz brauchen. Jede Person, die Privilegien eines Domänenadministrators braucht, sollte
ihr eigenes Administratorkonto haben, damit sichergestellt ist, dass alle Zugriffe nachverfolgt
werden können.
Verfahrensempfehlungen für Hersteller
In einer kleinen Organisation wird für die IT-Beschaffung normalerweise ein externer Hersteller
ausgewählt. Der Rückgriff auf solche Hersteller birgt potenziell neue Gefahren für ein
Netzwerk, die bewertet werden müssen.
Administratorzugriff durch Hersteller
Geben Sie einem externen Hersteller niemals Zugriff auf ein vorhandenes Administratorkonto.
Richten Sie stattdessen immer ein separates Konto für genau diesen Zweck ein, wenn der
Hersteller Remotezugriff benötigt. Und falls ein Hersteller von Geräten wie Drucker oder
Scanner darum bittet, ihm eine Liste aller Benutzernamen, Kennwörter und IP-Adressen im
Netzwerk zu faxen, damit seine Netzwerktechniker das Gerät schon fertig einrichten können,
sollten Sie sich freundlich für einen so tollen Service bedanken und ein Angebot bei
einem anderen Hersteller anfordern.