Verwalten von Windows XP Service Pack 2-Funktionen mithilfe von Gruppenrichtlinien
Sicherheitsbezogene Richtlinieneinstellungen
SP2 bietet zahlreiche Erweiterungen, mit denen die Sicherheit von Unternehmensnetzen erhöht werden kann. Hierzu gehören auch die folgenden Sicherheitsfunktionen, die mithilfe von Gruppenrichtlinien verwaltet werden können. Die DCOM-Infrastruktur bietet neue Zugriffssteuerungsbeschränkungen, mit denen die Sicherheitsrisiken minimiert werden können, die von potenziellen Angriffen auf das Netzwerk ausgehen. Diese neuen computerweit gültigen Beschränkungen zum Steuern von Aufruf-, Aktivierungs- und Startanforderungen auf dem Computer können mithilfe von Gruppenrichtlinien verwaltet werden. Darüber hinaus können mit Richtlinieneinstellungen auch Ausnahmen von der DCOM-Aktivierungssicherheitsüberprüfung angegeben werden. Das Sicherheitscenter, ein neues Feature von SP2, fungiert als zentrale Position zum Ändern von Sicherheitseinstellungen sowie zur Bereitstellung von Informationen, Empfehlungen und Aktualisierungen im Sicherheitsbereich. Es kann eine Sicherheitscenter-Gruppenrichtlinieneinstellung aktiviert werden, um die Computer im Organisationsnetzwerk zentral zu überwachen und so sicherzustellen, dass diese mit den neuesten Sicherheitspatches ausgestattet sind, und um die Benutzer zu warnen, wenn für die Computer eine Sicherheitsbedrohung besteht. Auf dieser Seite
Distributed COMDCOM (Distributed COM, verteiltes COM) ist eine Erweiterung des Component Object Models (COM) und sorgt für die Kommunikation zwischen Objekten auf verschiedenen Computern. Mit DCOM können Anwendungen an den Positionen installiert und ausgeführt werden, die für Ihre Kunden und für die Anwendung am sinnvollsten sind. COM bietet zwei Kategorien mit Sicherheitsberechtigungen, nämlich Start und Zugriff. Die Startsicherheit steuert, von welchen Objekten ein Client Instanzen erzeugen darf, d. h. welche Klassen der Client starten und aus welchen Klassen er Objekte abrufen (aktivieren) kann. Die Zugriffssicherheit legt fest, wie Sicherheit bei einer bestehenden Verbindung zwischen Client und Serverobjekt auf Aufrufebene durchgesetzt wird. Weitere Informationen finden Sie unter "Component Object Model" auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=20922 (nur auf Englisch verfügbar). Änderungen an DCOM in SP2Mit SP2 stellt die DCOM-Infrastruktur neue Zugriffssteuerungsbeschränkungen bereit, die dazu beitragen, das Risiko eines erfolgreichen Netzwerkangriffs zu verringern. Mit COM stehen computerweit gültige Zugriffssteuerungslisten (Access Control Lists, ACLs) bereit, die den Zugriff auf alle Aufruf-, Aktivierungs- oder Startanforderungen auf dem Computer steuern. Diese Zugriffssteuerungen können Sie sich am einfachsten als zusätzlichen AccessCheck-Aufruf einer computerweiten Zugriffssteuerungsliste vorstellen, der bei jedem Aufrufen, Aktivieren oder Starten eines COM-Servers auf dem Computer ebenfalls erfolgt. Diese Zugriffsprüfung erfolgt zusätzlich zu jedem AccessCheck-Aufruf der serverspezifischen ACLs. Wenn AccessCheck fehlschlägt, wird die Aufruf-, Aktivierungs- oder Startanforderung abgelehnt. Hiermit wird faktisch ein Mindestautorisierungsstandard gesetzt, der erfüllt werden muss, um auf COM-Server des Computers zugreifen zu können. Die folgenden neuen ACLs können mit Gruppenrichtlinien konfiguriert werden:
Diese computerweiten ACLs bieten die Möglichkeit, schwache Sicherheitseinstellungen, wie sie von der jeweiligen Anwendung vorgegeben werden, codegesteuert (z. B. mit CoInitializeSecurity) oder per Konfiguration, wie mit anwendungsspezifischen Sicherheitseinstellungen, außer Kraft zu setzen. Mit der Prüfung dieser ACLs entsteht ein minimaler Sicherheitsstandard, der unabhängig von den Einstellungen des jeweiligen Servers erfüllt werden muss. Zur Verwaltung dieser computerweiten ACLs empfiehlt sich die Verwendung von Gruppenrichtlinien. Die ACLs MachineLaunchRestriction and MachineAccessRestriction werden geprüft, wenn auf die vom RpcSs-Dienst oder der DCOM-Anwendung bereitgestellten Schnittstellen zugegriffen wird. Diese ACLs bieten also eine Methode zur Steuerung, wer auf die DCOM-Anwendungen auf diesem System zugreifen darf. Mit diesen ACLs steht zudem eine zentrale Position bereit, an der allgemeine Autorisierungsrichtlinien festgelegt werden können, die für alle COM-Server des Computers gelten. RpcSs ist ein Systemdienst, der beim Starten des Systems ausgeführt wird. Dieser Dienst verwaltet die Aktivierung von COM-Objekten und die aktive Objekttabelle und stellt Hilfsdienste für die DCOM-Remoteinfrastruktur bereit. Tabelle 5 enthält die stanardmäßigen ACLs für Computereinschränkungen unter Windows XP mit SP2. Tabelle 5. ACLs für Computereinschränkungen
Obwohl viele COM-Anwendungen einigen sicherheitsspezifischen Code umfassen (wie den Aufruf von CoInitializeSecurity), könnten Anwendungen mit schwachen Sicherheitseinstellungen konfiguriert sein, die einen nicht authentifizierten Zugriff auf den Prozess ermöglichen. In älteren Windows-Versionen als Windows XP mit SP2 gibt es gegenwärtig für den Administrator keine Möglichkeit, diese Einstellungen außer Kraft und strengere Sicherheitseinstellungen durchzusetzen. Der RpcSs-Dienst ist ein Teil der COM-Infrastruktur. RpcSs stellt RPC-Schnittstellen bereit, die remote aufgerufen werden können. Da einige COM-Server einen nicht authentifizierten Remotezugriff zulassen (siehe vorherigen Abschnitt), können diese Schnittstellen von allen, so auch von nicht authentifizierten Benutzern aufgerufen werden. RpcSs kann daher von böswilligen Benutzern über nicht authentifizierte Remotecomputer angegriffen werden. In Versionen von Windows XP vor SP2 war es für den Administrator schwierig, den exakten Umfang der Offenlegung von COM-Servern auf einem Computer zu ermitteln. Der Administrator konnte sich eine ungefähre Vorstellung von der Gefährdung machen, indem er die konfigurierten Sicherheitseinstellungen für alle registrierten COM-Anwendungen des Computers systematisch überprüfte. Da allein in der Standardinstallation von Windows XP ca. 150 COM-Server enthalten sind, stellt diese Aufgabe eine echte Herausforderung dar. Es besteht jedoch keine andere Möglichkeit, die Einstellungen eines Servers zu prüfen, der die Sicherheit in der Software implementiert, als den Quellcode der Software zu überprüfen. Die computerweiten DCOM-Zugriffsbeschränkungen tragen dazu bei, diese Sicherheitsprobleme in den Griff zu bekommen und ermöglichen darüber hinaus, eingehende DCOM-Aktivierungs-, Start- und Aufrufanforderungen zu deaktivieren. Bevor Sie die DCOM-Richtlinieneinstellungen jedoch in der Praxis nutzen, sollten Sie die Informationen über Änderungen an DCOM lesen, die im Abschnitt "DCOM Security Enhancements" von "Part 2: Network Protection Technologies" des Whitepapers "Changes to Functionality in Microsoft Windows XP Service Pack 2" erläutert werden. Das Whitepaper finden Sie auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=29126 (nur auf Englisch verfügbar). Hierin werden alle mit SP2 eingeführten Änderungen an DCOM im Detail erörtert. Wie bei allen Gruppenrichtlinieneinstellungen wird auch in diesem Fall dringend empfohlen, die DCOM-Richtlinieneinstellungen in einer Testumgebung zu prüfen, bevor Sie diese auf die Computer in der Produktionsumgebung übertragen. Weitere Informationen hierüber enthält das Kapitel "Staging Group Policy Deployments" des Buches "Designing a Managed Environment" im Microsoft Windows Server 2003 Deployment Kit, das auf der Windows Server System-Website unter http://go.microsoft.com/fwlink/?LinkId=30650 bereitsteht (nur auf Englisch verfügbar).
Verwenden von Gruppenrichtlinien zum Verwalten von computerweiten DCOM-ZugriffsbeschränkungenZum Verwalten der computerweiten ACLs eines Unternehmens können die folgenden Gruppenrichtlinien verwendet werden, die sich im Knoten Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options befinden:
DCOM: Computerzugriffseinschränkungen in Security Descriptor Definition Language (SDDL)-SyntaxMit dieser Richtlinieneinstellung legen Sie fest, welche Benutzer und Gruppen remote oder lokal auf DCOM-Anwendungen zugreifen können. Die Einstellung wird verwendet, um die Angriffsfläche eines Computers mit DCOM-Anwendungen kontrollieren zu können. Mit dieser Richtlinieneinstellung können Sie für bestimmte Benutzer Zugriffsberechtigungen auf DCOM-Anwendungen auf allen Computern im Unternehmen festlegen. Bei der Festlegung der Benutzer und Gruppen, für die die Berechtigung gelten soll, wird das Sicherheitsbeschreibungsfeld mit der Repräsentation dieser Gruppen und Rechte in SDDL-Syntax gefüllt. Bleibt die Sicherheitsbeschreibung leer, wird die Richtlinieneinstellungen zwar in der Vorlage definiert, jedoch nicht durchgesetzt. Benutzern und Gruppen können mit Zulassen und Verweigern explizite Rechte für den lokalen und den Remotezugriff gewährt werden. Die Registrierungseinstellungen, die mit dem Aktivieren der Richtlinieneinstellung DCOM: Computerzugriffseinschränkungen in Security Descriptor Definition Language (SDDL)-Syntax erstellt werden, haben Vorrang (oberste Priorität) vor den vorherigen Registrierungseinstellungen in diesem Bereich. RpcSs prüft die neuen Registrierungsschlüssel im Abschnitt Policies auf Computereinschränkungen, und diese Registrierungsschlüssel haben Vorrang vor unter OLE vorhandenen Registrierungsschlüsseln. Dies bedeutet, dass vorher vorhandene Registrierungseinstellungen nicht länger gelten, und auch wenn Änderungen an den vorhandenen Einstellungen vorgenommen werden, sind die Computerzugriffsbeschränkungen für Benutzer hiervon nicht betroffen. Die Liste der Benutzer und Gruppen sollte sorgfältig und korrekt konfiguriert werden. Mögliche Werte für diese Richtlinieneinstellung sind:
DCOM: Computerstarteinschränkungen in Security Descriptor Definition Language (SDDL)-SyntaxMit dieser Richtlinieneinstellung legen Sie fest, welche Benutzer und Gruppen remote oder lokal DCOM-Anwendungen starten oder aktivieren können. Die Einstellung wird verwendet, um die Angriffsfläche eines Computers mit DCOM-Anwendungen kontrollieren zu können. Mit dieser Einstellung können Sie per Gruppenrichtlinie bestimmten Benutzern für alle Computer Zugriffsrechte auf DCOM-Anwendungen im Unternehmen gewähren. Bei der Definition der Einstellung und der Festlegung der Benutzer und Gruppen, für die die Berechtigung gelten soll, wird das Sicherheitsbeschreibungsfeld mit der Repräsentation dieser Gruppen und Rechte in SDDL-Syntax gefüllt. Bleibt die Sicherheitsbeschreibung leer, wird die Richtlinieneinstellungen zwar in der Vorlage definiert, jedoch nicht durchgesetzt. Benutzern und Gruppen können mit Zulassen oder Verweigern explizite Rechte für den lokalen und Remotestart sowie die lokale und Remoteaktivierung gewährt werden. Die Registrierungseinstellungen, die mit dieser Richtlinie erstellt werden, haben Vorrang vor den vorherigen Registrierungseinstellungen in diesem Bereich. RpcSs prüft die neuen Registrierungsschlüssel im Abschnitt Policies auf Computereinschränkungen, und diese Registrierungsschlüssel haben Vorrang vor unter OLE vorhandenen Registrierungsschlüsseln. Mögliche Werte für diese Gruppenrichtlinieneinstellung sind:
Besondere Überlegungen betreffend die Delegierung von Gruppenrichtlinienergebnissen und computerweite DCOM-ZugriffsbeschränkungenWenn Sie den Zugriff auf Gruppenrichtlinienergebnisse delegieren, müssen Sie die Richtlinieneinstellung Windows-Firewall: Remoteverwaltungsausnahme zulassen auf den Zielcomputern aktivieren. Damit der Zielbenutzer, die Zielgruppe oder der integrierte Sicherheitsprinzipal über Remotezugriffsrechte verfügt, müssen Sie auf den Zielcomputern auch die folgenden DCOM-Sicherheitsrichtlinieneinstellungen festlegen:
Verwenden von Gruppenrichtlinien zum Festlegen von DCOM-Aktivierungssicherheitsüberprüfungs-AusnahmenDie DCOM-Aktivierungssicherheitsüberprüfung erfolgt, bevor ein DCOM-Serverprozess gestartet wird und bevor eine Objektaktivierungsanforderung an den Serverprozess übergeben wird. Diese Zugriffsprüfung wird anhand der benutzerdefinierten Berechtigungssicherheitsbeschreibung Starten vorgenommen, sofern diese auf dem DCOM-Server vorhanden ist, oder anhand der standardmäßigen Computerstartberechtigungen. Als Beispiel für die Änderungen an der DCOM-Aktivierungssicherheitsüberprüfung in SP2 soll das folgende Szenario dienen: Vor der Einführung von SP2 galt, dass, wenn die Berechtigung Starten für einen COM-Server auf Verweigern festgelegt wurde, diese Einschränkung nur für den Start des Servers zutraf. Mit SP2 betrifft die Einstellung Verweigern für die Berechtigung Starten nun sowohl das Starten als auch das Aktivieren (Erstellen) eines Objekts auf dem COM-Server. Dies bedeutet, dass ein Benutzer, der vor der Einführung von SP2 in der Lage war, Objekte auf einen COM-Server zu erstellen (vorausgesetzt, der Server wurde bereits ausgeführt), nun unter Windows XP mit SP2 daran gehindert werden kann (da das Zugriffsrecht Aktivieren verwehrt wird). In Szenarien wie dem vorstehend beschriebenen empfiehlt es sich, die ACL Starten neu zu konfigurieren, um auch diesen Benutzern das Aktivieren von Objekten zu gestatten, indem das entsprechend geeignete Recht Aktivieren (lokal oder remote) auf Zulassen festgelegt wird. In vielen Fällen konfigurieren ISVs für ihre Anwendungen benutzerdefinierte Sicherheitseinstellungen für die DCOM-Aktivierung. Daher müssen Sie ggf. Kontakt zum Hersteller der Anwendung (ISV) aufnehmen und sich erkundigen, ob eine aktualisierte Version der Anwendung zur Verfügung steht. Wenn eine Neukonfiguration der ACL Starten wie oben erläutert in Ihrer speziellen Situation nicht die geeignete Vorgehensweise darstellt (ggf. aufgrund von umfangreichen Bereitstellungsszenarien), können auch die neuen DCOM-Richtlinieneinstellungen verwendet werden, um diese COM-Server aus der neue computerweiten DCOM-Sicherheitsüberprüfung auszunehmen. Die standardmäßigen ACLs für Computereinschränkungen finden Sie im Abschnitt "Änderungen an DCOM in SP2" an früherer Stelle in diesem Dokument. Definieren einer Aktivierungssicherheitsüberprüfungs-AusnahmeDiese Richtlinieneinstellung ermöglicht das Anzeigen und Ändern einer Liste mit DCOM-Server-Anwendungs-IDs (AppIDs), die von der DCOM-Aktivierungssicherheitsüberprüfung ausgenommen werden sollen. DCOM verwendet zwei Listen mit DCOM-Server-AppIDs, von denen eine unter Verwendung der Gruppenrichtlinieneinstellung Aktivierungssicherheitsüberprüfungs-Ausnahmen definieren konfiguriert und die andere vom lokalen Administrator erstellt wird. Der Schlüssel AppID ist einer der von COM verwendeten Registrierungsschlüssel; hiermit werden die Konfigurationsoptionen für ein oder mehrere COM-Objekte an einer zentralen Position in der Registrierung abgelegt. Der Schlüssel beinhaltet den benannten Wert AppID, der die AppID-GUID angibt, die wiederum der benannten ausführbaren Datei entspricht. Wird die Richtlinieneinstellung Aktivierungssicherheitsüberprüfungs-Ausnahmen definieren konfiguriert, ignoriert DCOM die zweite Liste, sofern die zugehörige Richtlinieneinstellung Lokale Aktivierungssicherheitsüberprüfungs-Ausnahmen zulassen ebenfalls aktiviert ist. DCOM-Server-AppIDs, die mit dieser Richtlinieneinstellung der Liste der DCOM-Server-AppIDs hinzugefügt werden sollen, müssen in geschweifte Klammern gesetzt werden, z. B. {b5dcb061-cefb-42e0-a1be-e6a6438133fe} (diese AppID-Nummer soll nur als Beispiel gelten). Wenn Sie eine nicht vorhandene oder unrichtig formatierte AppID eingeben, fügt DCOM diese zwar der Liste hinzu, prüft jedoch nicht auf Fehler. Wird diese Gruppenrichtlinieneinstellung aktiviert, können Sie die Liste der mit Gruppenrichtlinieneinstellungen definierten DCOM-Aktivierungssicherheitsüberprüfungs-Ausnahmen anzeigen und ändern. Sie können einen der folgenden Werte verwenden:
Lokale Aktivierungssicherheitsüberprüfungs-Ausnahmen zu lassenMit dieser Richtlinieneinstellungen können Sie festlegen, dass lokale Computeradministratoren die Liste Aktivierungssicherheitsüberprüfungs-Ausnahmen definieren ergänzen dürfen. Wird diese Richtlinieneinstellung aktiviert und findet DCOM in der Richtlinie Aktivierungssicherheitsüberprüfungs-Ausnahmen definieren (sofern aktiviert) keinen expliziten Eintrag für eine DCOM-Server-Anwendungs-ID (AppID), sucht DCOM in der lokal konfigurierten Liste nach einem Eintrag. Weitere Informationen über COM und den Registrierungsschlüssel AppID finden Sie unter "COM Registry Entries" in der Dokumentation zum COM-SDK in MSDN unter http://go.microsoft.com/fwlink/?LinkId=32831 (nur auf Englisch verfügbar). SicherheitscenterDas Sicherheitscenter ist ein mit SP2 neu eingeführtes Feature, mit dem eine zentrale Position zum Ändern von Sicherheitseinstellungen und für Informationen über die Sicherheit bereitsteht. Hiermit wird sichergestellt, dass die Computer der Benutzer im Hinblick auf die von Microsoft empfohlenen wesentlichen Sicherheitseinstellungen immer auf dem neuesten Stand ist. In einer Windows-Domänenumgebung können die Gruppenrichtlinien zum Aktivieren des Sicherheitscenters und zum Überwachen der Computer der Benutzer verwendet werden, um sicherzustellen, dass immer die neuesten Sicherheitsupdates implementiert wurden, und um die Benutzer zu warnen, wenn für die Computer ein potenzielles Risiko besteht. Wenn Sie in der Organisation die Richtlinie Sicherheitscenter verwenden, sorgen Sie dafür, dass auf den Computern der Benutzer die neues Antivirensoftware ausgeführt wird und dass die Computer automatisch aktualisiert werden, wenn Microsoft neue wichtige Sicherheitsupdates veröffentlicht. Der Sicherheitscenterdienst läuft als Hintergrundprozess und prüft den Status der folgenden Komponenten auf den Computern der Benutzer:
Wird eine Komponente nicht gefunden oder mangelt es an Konformität mit dem Sicherheitscenter, erhält der Benutzer vom Sicherheitscenter eine Warnung, indem im Benachrichtigungsbereich der Taskleiste des Benutzers ein rotes Symbol angezeigt und bei der Anmeldung eine Warnmeldung ausgegeben wird. Diese Meldung enthält Links zum Öffnen der Benutzeroberfläche des Sicherheitscenters, auf der Informationen über das Problem sowie Empfehlungen zu seiner Behebung gegeben werden. In Fällen, in denen Benutzer eine Firewall- oder Antivirensoftware ausführen, die vom Sicherheitscenter nicht erkannt wird, hat der Benutzer die Möglichkeit, im Sicherheitscenter die Warnung betreffend diese Komponente zu deaktivieren. In der Systemsteuerung dient das Sicherheitscenter zudem auch als Ausgangspunkt für sicherheitsbezogene Programme aus der Systemsteuerung sowie für sicherheitsbezogene Weblinks. Standardmäßig wird das Feature Sicherheitscenter auf allen Computern in Arbeitsgruppen ausgeführt, d. h. auf Computern, die nicht Teil einer Windows-Domäne sind. Mithilfe einer Gruppenrichtlinieneinstellung können Sie das Feature Sicherheitscenter für die Computer in einer Windows-Domäne zentral verwalten. Die Richtlinie Sicherheitscenter aktivieren (nur Domänencomputer) befindet sich im Knoten Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Sicherheitscenter des Gruppenrichtlinienobjekt-Editors. Verwenden von Gruppenrichtlinien für das SicherheitscenterWenn Sie die Richtlinieneinstellungen Sicherheitscenter aktivieren (nur Domänencomputer) aktivieren, überwacht das Sicherheitscenter die wesentlichen Sicherheitseinstellungen (Firewall, Virenschutz und automatische Updates) und benachrichtigt den Benutzer, wenn für den Computer ein potenzielles Risiko besteht. Standardmäßig ist die Richtlinieneinstellungen Sicherheitscenter aktivieren (nur Domänencomputer) nicht aktiviert. Wenn das Sicherheitscenter deaktiviert ist, werden keine Benachrichtigungen ausgegeben, und auch der Statusbereich des Sicherheitscenters wird nicht angezeigt. Beachten Sie, dass das Sicherheitscenter bei Benutzern, die nicht Teil einer Windows-Domäne sind, nicht mit Gruppenrichtlinien deaktiviert werden kann.
Das Sicherheitscenter selbst bewirkt keine Änderung des Systemsverhaltens, die Auswirkungen auf Anwendungen oder Dienste hätte. Allerdings sorgt das Sicherheitscenter dafür, dass sicherheitsrelevante Komponenten von Microsoft oder von Drittanbietern genutzt werden, die ggf. Probleme mit der Kompatibilität oder andere Probleme verursachen. Beispiele hierzu finden Sie im Abschnitt "Windows Firewall" im zweiten Kapitel des Leitfadens "Changes to Functionality in Microsoft Windows XP with Service Pack 2" auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=29126. Weitere Informationen über das Sicherheitscenter finden Sie ebenfalls im Leitfaden "Changes to Functionality in Microsoft Windows XP with Service Pack 2" auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=29126.
|
In diesem Beitrag
|
Vorsicht
Hinweis
