Microsoft Security Tool Kit: Ein neues Windows NT 4.0-System installieren und absichern
(Engl. Originaltitel: Microsoft Security Tool Kit: Installing and Securing a New Windows NT 4.0 System)
In dieser Anleitung erfahren Sie, wie Sie ein neues Windows NT 4.0-System installieren und absichern können. Ziel der kurzen Anleitung ist es, Ihnen das Verständnis für die grundlegend notwendigen Schritte bei der Installation zu vermitteln.
|
Auf dieser Seite
 | Schritt 1: Eine Basisinstallation durchführen |
| Schritt 2: Absichern der Basisinstallation |
| Schritt 3: Absichern des Internet Information Server |
| Schritt 4: Systemwartung |
Ziel dieser kurzen Anleitung ist es, Ihnen das Verständnis für die grundlegenden notwendigen Schritte bei der Installation von Windows NT 4.0 zu Vermitteln. Diese Anleitung bezieht sich auf zusätzliche Dokumente, die Sie im Abschnitt Inhalte des Microsoft Security Tool Kits finden.
Die Informationen in dieser Anleitung beziehen sich auf:
| • | Microsoft Windows NT Server 4.0, Enterprise Edition |
| • | Microsoft Windows NT Workstation 4.0 |
| • | Microsoft Windows NT Server 4.0 |
Schritt 1: Eine Basisinstallation durchführen
Während des Installationsprozesses ist ein System, solange der Installationsprozess nicht vollständig abgeschlossen ist, und alle Servicepacks und Hotfixes installiert sind, verwundbar für Angriffe auf bekannte Sicherheitslücken. Um zu vermeiden, dass ein System schon während des Installationsvorganges kompromittiert wird, trennen Sie, wenn möglich das System von allen Netzwerken. Weitere Informationen, die Ihnen helfen zu erkennen, ob Ihr System oder Netzwerk kompromittiert wurde, finden Sie hier. Wählen Sie eine der zwei folgenden Installationsmethoden:
| • | Installation von Windows NT 4.0 ohne Netzwerkverbindung: Normalerweise wird dies unter Verwendung einer CD durchgeführt. |
| • | Installation von Windows NT 4.0 mit einer Verbindung zu einem Netzwerk das nicht kompromittiert wurde. |
Schritt 2: Absichern der Basisinstallation
Nachdem das Betriebssystem installiert und lauffähig ist, ist es an der Zeit es weiter abzusichern. Abhängig von Ihrer Installation aus Schritt 1 könnte es sein, dass Sie einige der folgenden Schritte überspringen können.
| • | Installieren Sie das Windows NT 4.0 Service Pack 6a. |
| • | Sie haben bei der Absicherung des Internet Explorers ein paar Möglichkeiten: |
| • | Installieren Sie den Internet Explorer 5.01 SP2 um den minimalen Anforderungen an eine grundlegende Sicherheit zu genügen. |
ODER
| • | Installieren Sie den Internet Explorer 5.5 SP2, wenn Sie die erweiterten Funktionen dieser neueren Browserversion nutzen möchten. |
ODER
| • | Installieren Sie den Internet Explorer 6.0 SP1 und den kumulativen Patch aus dem Microsoft Knowledge Base Artikel 810847 (englischsprachig) oder höher (dies wird empfohlen), wenn Sie die erweiterten Funktionen dieser neueren Browserversion nutzen möchten. |
| • | Installieren Sie entweder das Windows NT 4.0 Server Option Pack, oder das Windows NT Workstation 4.0 Option Pack, wenn der IIS installiert ist und ausgeführt wird, oder wenn Sie dies für die Zukunft planen. Das Optionpack aktualisiert die IIS-Version auf die Version 4.0. |
Warnung: Ignorieren Sie die Warnmeldung die Ihnen mitteilt, dass das Optionpack für das Servicepack 4.0 oder höher nicht getestet wurde.
| • | Installieren Sie Windows NT 4.0 Service Pack 6a erneut, um die durch die Installation des Windows NT 4.0 Optionpack entstandenen Dateien zu aktualisieren. |
| • | Installieren Sie das Security Rollup (SRP) aus dem Microsoft Knowledge Base Artikel 29944 (englischsprachig) und alle grundlegenden Sicherheits-Hotfixes, die nach dem Security Rollup veröffentlicht wurden. Diese müssen über die folgenden Schritte nach der Installation des Servicepacks 6a installiert werden. |
| • | Installieren Sie das WPost-Windows NT 4.0 Service Pack 6a Security Roll-up. |
| • | Installieren Sie alle Post-SRP Sicherheits-Hotfixes. Verwenden Sie hierzu, wie unten beschrieben, Qchain. |
| • | Installieren Sie das IIS 4.0 Security Roll-up Package, wenn Sie die Verwendung dieses Dienstes planen. Bedenken Sie: Wenn Sie das Betriebssystem ohne Netzwerkverbindung installieren, und der IIS ausgeführt wird, sollten Sie erst nach der vollständigen Ausführung dieses Schrittes eine Netzwerkverbindung erstellen. |
| • | Installieren Sie die Windows Media Player 6.4 Patches. |
Schritt 3: Absichern des Internet Information Server
Sie haben nun durch die installierte Sicherheitspatches eine gute Grundlage. Webserver sind für Sicherheitsangriffe besonders verwundbar, und das folgende Tool wurde entwickelt, um Sie zu unterstützen. Wenn der IIS auf Ihrem System ausgeführt wird führen Sie bitte den folgenden Schritt aus.
| • | IIS Lockdown: |
Anmerkung: Es sollten vor und nach der Anwendung des IIS Lockdown Tools alle SRP und Post-SRP Sicherheits-Hotfixes installiert werden.
Schritt 4: Systemwartung
Sie haben Ihr System nun mit einer guten, grundlegenden Sicherheit installiert. Ohne eine fortwährende Wartung des Systems könnte es jedoch für neue Arten von Angriffen wieder verwundbar werden.
| • | Verwenden Sie das Tool HFNetChk um festzustellen welche Sicherheits-Hotfixes für das Betriebssystem Windows NT 4.0 und den Internet Information Server 4.0, SQL Server 7.0, SQL Server 2000 (inklusive der Microsoft Data Engine-MSDE) und den Internet Explorer 5.01 oder höher installiert wurden. |
Anmerkung: Auch wenn der Microsoft Baseline Security Analyzer (MBSA) nicht unter Windows NT 4.0 ausgeführt werden kann, sollten Sie diese Maschinen von einem Windows 2000 oder Windows XP Computer aus analysieren. Zusätzlich zur Erkennung von fehlenden Patches oder Updates erkennt der MBSA auch häufig auftretende Sicherheitslöcher und schlägt Lösungen für diese vor.
| • | Abonnieren Sie den Microsoft Sicherheitsbenachrichtigungsdienst. Hierbei handelt es sich um einen kostenlosen E-Mail-Benachrichtigungsdienst, der seine Abonnenten über die Sicherheit von Microsoft Produkten informiert. |
| • | Laden Sie Sich über die Windows Update-Webseite eine Liste der aktuellen kritischen Updates herunter. |
| • | Wenn Sie Hotfixes auf mehrere Systeme verteilen, verwenden Sie das Tool Qchain um Hotfixes zusammenzufassen. So müssen Sie bei der Installation von mehreren Hotfixes nur einen Neustart durchführen. |
Nach der Fertigstellung können Sie Sysprep unter dieser Installation ausführen, um ein Image mit grundlegenden Sicherheitseinstellungen für spätere Verwendung zu erstellen. Verwenden Sie hierzu ein Werkzeug eines Drittanbieters. Dieses Image kann dann für weitere Maschinen verwendet werden.
Weitere Artikel aus dem Microsoft Security Tool Kit: