Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Empfehlungen für kleine Unternehmen 463
Empfehlungen für weitere Servereinstellungen und -konfigurationen
Es wird davon abgeraten, blind irgendwelchen Leitfäden zur Sicherheitshärtung zu folgen.
Aber das bedeutet nicht, dass Sie nicht einige Einstellungen auf dem Server an Ihre konkreten
Anforderungen anpassen sollten. Die folgenden Abschnitte führen einige Empfehlungen
für das Netzwerk eines kleinen Unternehmens auf.
DsrmAdminLogonBehavior
Wenn Sie eine Architektur mit einem einzigen Domänencontroller haben, können Sie einen
neuen Registrierungswert in Windows Server 2008 ändern: DsrmAdminLogonBehavior. Sie
finden diesen Eintrag unter HKLM\System\currentcontrolset\Control\Lsa. Er ermöglicht
Ihnen, sich am Domänencontroller anzumelden, auch wenn die Active Directory-Domänendienste
nicht laufen. Auf das DSRM-Administratorkennwort, das separat eingerichtet wird,
wenn Sie einen Server mit Dcpromo.exe zu einem Domänencontroller hochstufen, werden
die Kennwortrichtlinien nicht angewendet. Als Eindämmung erlaubt Windows Server 2008
dem DSRM-Administrator daher nur eine Anmeldung, während die Active Directory-Domänendienste
laufen. In einem typischen Netzwerk mit mehreren Domänencontrollern ist es
kein Problem, wenn ein Server ausfällt, weil immer noch irgendein anderer Domänencontroller
die Authentifizierung durchführen kann. Daher ist DSRMAdminLogonBehavior so
konfiguriert, dass eine Anmeldung verhindert wird, wenn die Active Directory-Dienste nicht
laufen. In einem Netzwerk mit lediglich einem Domänencontroller verhindert das natürlich,
dass Sie sich am Server anmelden und ihn wiederherstellen können. Falls die Umgebung nur
einen Domänencontroller enthält, wird daher diese Einstellung empfohlen.
Abbildung 16.18 zeigt diese neue Registrierungseinstellung. Sie kann folgende Werte haben:
0 Der DSRM-Administrator kann sich nur im DSRM anmelden, wenn die Active
Directory-Domänendienste laufen. (Dies ist die Standardeinstellung.)
1 Der DSRM-Administrator kann sich im DSRM anmelden und wenn die Active
Directory-Domänendienste nicht laufen.
2 Der DSRM-Administrator kann sich jederzeit anmelden.
Abbildung 16.18 Der Registrierungsschlüssel DsrmAdminLogonBehavior
Diese eine schnelle Einstellung bewirkt, dass Sie einen Domänencontroller nicht völlig neu
starten müssen. Das ist sicherlich sinnvoll.
Ältere Anwendungen schränken die Möglichkeiten der Serveroptimierung ein
Bei meiner Suche nach absoluter Sicherheit machte ich ein Experiment. Ich versuchte, den
gesamten Verkehr meines Dateiservers auf Port 445 zu beschränken. Ich stellte fest, dass
sich meine Steuererklärungssoftware bitterlich beschwerte, weil keine Kommunikation über
Port 135 bis 139 möglich war. Sie forderte, dass ich auf keinen Fall versuche, die SMB-
Kommunikation auf diese Weise einzuschränken. Sie dürfen nie vergessen, dass ein Multi-
Rollen-Server eben mehrere Aufgaben erfüllt. Insbesondere betrifft das LOB-Anwendungen,
deren Programmcode schon vor vielen Jahren geschrieben wurde. Solche Anwendungen
scheitern sehr oft an neueren Sicherheitsempfehlungen.