Active Directory.pdf - Gattner

Verringern der Angriffsfläche von Domänencontrollern
Implementieren der Sicherheit für Domänencontroller 301
Der erste Schritt bei der Absicherung von Domänencontrollern besteht darin, die Angriffsfläche des
Domänencontrollers zu verringern. Hierdurch reduzieren Sie die Anzahl an Optionen, die einem
Angreifer für das Erlangen von Zugriff auf den Domänencontroller zur Verfügung stehen. Normalerweise
bedeutet dies, dass Sie sämtliche Anwendungen entfernen und alle Dienste deaktivieren, die auf
dem Domänencontroller nicht erforderlich sind.
Eines der besten erhältlichen Tools zum Verringern der Angriffsfläche eines Domänencontrollers ist
der Sicherheitskonfigurations-Assistent. Wenn Sie den Sicherheitskonfigurations-Assistenten ausführen,
untersucht dieser die tatsächliche Konfiguration des Zielservers. Basierend auf den Informationen,
die während dieser Untersuchung gesammelt werden, stellt der Sicherheitskonfigurations-Assistent
fest, welche Serverrollen, Clientfunktionen und anderen Komponenten auf dem Computer
installiert und aktiviert sind. Anschließend stellt der Sicherheitskonfigurations-Assistent anhand einer
Sicherheitskonfigurationsdatenbank fest, welche Dienste und Einstellungen auf dem Server aktiviert
sein müssen. Der Sicherheitskonfigurations-Assistent nutzt diese Informationen und die Entscheidungen,
die Sie bei der Erstellung einer Sicherheitskonfigurationsrichtlinie treffen, um folgende Aufgaben
durchzuführen:
• Deaktivieren nicht erforderlicher Dienste. Basierend auf den installierten Serverrollen deaktiviert
die Sicherheitskonfigurationsrichtlinie alle Dienste, die auf dem Server nicht erforderlich sind. Sie
können den Sicherheitskonfigurations-Assistenten auch so konfigurieren, dass die Starteinstellungen
von Diensten, die in der Sicherheitskonfigurationsdatenbank nicht enthalten sind, deaktiviert
oder nicht verändert werden.
• Konfigurieren der Windows-Firewall. Wenn Sie eine Sicherheitskonfigurationsrichtlinie anwenden,
blockiert diese den Zugriff auf den Server für alle Ports, die nicht zum Bereitstellen der Serverrollenfunktionalität
erforderlich sind. Sie können die Richtlinie außerdem so konfigurieren,
dass weitere Adress- oder Sicherheitseinschränkungen für offen gebliebene Ports angewendet
werden. Beispielsweise kann die Windows-Firewall so konfiguriert werden, dass nur Verbindungen
aus einem lokalen Subnetz oder nur für bestimmte Protokolle zugelassen werden, wenn
die Verbindung über IPSec gesichert wird.
• Verbieten unnötiger IIS-Weberweiterungen. Wenn IIS auf dem Server installiert ist, können nicht
benötigte IIS-Weberweiterungen über die Sicherheitskonfigurationsrichtlinie deaktiviert werden.
• Reduzieren der Protokollfreilegung für SMB (Server Message Block), LanMan und LDAP (Lightweight
Directory Access Protocol).
• Bei Ausführung des Sicherheitskonfigurations-Assistenten können Sie wählen, welche Client- und
Servertypen in Ihrem Netzwerk verwendet werden. Basierend auf Ihren Entscheidungen kann der
Sicherheitskonfigurations-Assistent die Server so konfigurieren, dass nur verschlüsselte SMBoder
LDAP-Verbindungen akzeptiert und LAN Manager-Verbindungen deaktiviert werden.
• Konfigurieren einer Überwachungsrichtlinie. Beim Ausführen des Sicherheitskonfigurations-
Assistenten können Sie auch eine Überwachungsrichtlinie für den Server konfigurieren.
Auf der Grundlage der ausgewählten Serverrollen leitet der Sicherheitskonfigurations-Assistent Sie
durch den Vorgang der Erstellung, Bearbeitung, Anwendung oder Rücksetzung einer Sicherheitsrichtlinie.
Der Sicherheitskonfigurations-Assistent besteht aus drei Komponenten:
• Benutzeroberfläche des Assistenten Der Sicherheitskonfigurations-Assistent leitet Sie, basierend
auf den von einem bestimmten Server durchgeführten Rollen, durch den Vorgang zur Erstellung
einer Sicherheitsrichtlinie.