Sicherheitshandbuch Windows 2000

Auf dieser Seite

	Modulübersicht
	Zielsetzung
	Betrifft
	Verwendung dieses Moduls
	Überwachung
	Überwachen von Eindringungs- und Sicherheitsereignissen
	Zusammenfassung
	Weitere Informationen

Modulübersicht

Zum Aufrechterhalten einer wirklich sicheren Umgebung genügt es nicht, einfach sichere Systeme einzurichten. Die Annahme, dass keine Attacken stattfinden oder die Verteidigungsmechanismen einen ausreichenden Schutz bieten, ist gefährlich. Sie müssen eine aktive Eindringungs- und Angriffsüberwachung implementieren, um die Sicherheit Ihrer Systeme langfristig zu gewährleisten.

Die Überwachung von Eindringungsversuchen ist aus vielen Gründen wichtig. Dazu gehören:

In diesem Modul erfahren Sie, wie Sie Ihre Umgebung zum Erkennen und Verfolgen von Attacken überwachen. Dieses Modul enthält eine Einführung in die Eindringungsüberwachung und die Verwendung von Eindringungserkennungssystemen – spezielle Software zur Identifizierung von Verhaltensweisen, die auf Attacken hinweisen.

Zum Seitenanfang

Zielsetzung

Zum Seitenanfang

Betrifft

Die Informationen in diesem Modul gelten für folgende Produkte und Technologien:

Zum Seitenanfang

Verwendung dieses Moduls

Verwenden Sie die Anweisungen in diesem Modul, um ein Überwachungssystem zur aktiven Erkennung von Eindringungs- und Angriffsversuchen zu implementieren. Ein solches System ermöglicht Ihnen ein frühzeitiges Einschreiten im Angriffsfall und reduziert die Auswirkungen einer Sicherheitsverletzung sowie das Risiko schwerwiegender Schäden für Ihre Organisation.

Empfehlungen für eine erfolgreiche Arbeit mit diesem Modul:

Zum Seitenanfang

Überwachung

In jeder sicheren Umgebung sollte eine aktive Eindringungs- und Angriffsüberwachung stattfinden. Es wäre widersinnig, sichere Systeme einzurichten und dann unter der Annahme, dass keine Attacken stattfinden, auf eine Überwachung zu verzichten.

Als Teil der Gesamtsicherheitsstrategie sollten Sie die für Ihre Umgebung geeignete Überwachungsebene bestimmen. Die Überwachung dient zur Identifizierung erfolgreicher und fehlgeschlagener Attacken, die das Netzwerk oder bei der Risikoanalyse als wertvoll eingestufte Ressourcen gefährden.

Beim Festlegen des Überwachungsumfangs sollten Sie bedenken, dass die Anzahl von generierten Ereignissen und die Schwierigkeit der Erkennung wichtiger Ereignisse mit dem Überwachungsumfang zunehmen. Wenn Sie sich für eine umfassende Überwachung entscheiden, sollten Sie die Verwendung zusätzlicher Tools zum Herausfiltern der wichtigeren Ereignisse in Erwägung ziehen, zum Beispiel Microsoft Operations Manager (MOM).

Überwachungsereignisse können in zwei Kategorien unterteilt werden: erfolgreiche Ereignisse (Erfolg) und fehlgeschlagene Ereignisse (Fehler). Ein erfolgreiches Ereignis weist darauf hin, dass sich ein Benutzer erfolgreich Zugang zu einer Ressource verschafft hat, wohingegen ein fehlgeschlagenes Ereignis besagt, dass ein Zugriffsversuch unternommen wurde, aber nicht geglückt ist.

Fehlgeschlagene Ereignisse sind bei der Verfolgung von Angriffsversuchen auf die Umgebung hilfreich, erfolgreiche Ereignisse sind jedoch schwieriger zu interpretieren. Die große Mehrzahl der erfolgreichen Überwachungsereignisse ist auf normale Aktivitäten zurückzuführen, und ein Angreifer, der sich Zugang zu einem System verschafft, erzeugt ebenfalls ein Erfolgsereignis. Häufig ist ein Ereignismuster genauso wichtig wie die Ereignisse selbst. Eine Serie von Fehlschlägen gefolgt von einem Erfolg kann zum Beispiel auf eine versuchte Attacke hinweisen, die möglicherweise erfolgreich war.

Kombinieren Sie Überwachungsereignisse möglichst mit anderen Informationen über Ihre Benutzer. Wenn Benutzer in den Urlaub gehen, können Sie ihre Konten zum Beispiel für die Dauer des Urlaubs sperren und bei ihrer Rückkehr wieder aktivieren und überwachen.

Aktivieren der Überwachung

Die Überwachung wird über Gruppenrichtlinien auf der Ebene des Standorts, der Domäne, der Organisationseinheit (OU) oder des lokalen Computers aktiviert. Die Überwachungsrichtlinieneinstellungen finden Sie unter folgendem Pfad:

Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Überwachungsrichtlinie

Im Allgemeinen sollte die Überwachung auf einer hohe Ebene in der Microsoft Active Directory™-Verzeichnisdiensthierarchie implementiert werden, da dadurch die Konsistenz der Überwachungseinstellungen gewahrt wird. Contoso hat die Überwachung auf den Organisationseinheitsebenen "Mitgliedsserver" und "Domänencontroller" implementiert.

Möglicherweise haben Sie bestimmte Server von der Domäne getrennt. Auf diesen Computern kann die Überwachung durch Bearbeiten der Gruppenrichtlinien für den lokalen Computer oder mit dem Dienstprogramm Auditpol.exe im Windows 2000 Server Resource Kit konfiguriert werden.

Hinweis: Zum Zugreifen auf die Gruppenrichtlinien für einen lokalen Computer starten Sie die Microsoft Management Console (MMC), und fügen Sie dann das Gruppenrichtlinien-Snap-In hinzu. Dadurch werden im Snap-In die Daten des lokalen Computers angezeigt.

Definieren von Ereignisprotokolleinstellungen

Jedes durch die Überwachung generierte Ereignis wird in der Ereignisanzeige angezeigt. Legen Sie fest, wie Ereignisprotokolle die generierten Ereignisse speichern. Jede der Einstellungen kann direkt in der Ereignisanzeige oder in der Gruppenrichtlinie definiert werden. Für dieses Handbuch wurden Einstellungen für die Ereignisanzeige in der Gruppenrichtlinie definiert.

Wenn Sie die Einstellungen für die Ereignisanzeige aus der Gruppenrichtlinie entfernen, können Sie diese stattdessen direkt in der Ereignisanzeige definieren. Zum Gewährleisten der Konsistenz der Einstellungen auf ähnlichen Computern wird jedoch empfohlen, die Einstellungen für die Ereignisanzeige in der Gruppenrichtlinie zu definieren.

In der Umgebung von Contoso wurde die Option zum Herunterfahren der Systeme bei vollem Sicherheitsprotokoll nicht in der Gruppenrichtlinie konfiguriert. Stattdessen wurden die Systeme zum bedarfsabhängigen Überschreiben von Ereignisprotokollen konfiguriert.

Zu überwachende Ereignisse

Microsoft Windows 2000 enthält mehrere Überwachungskategorien für Sicherheitsereignisse. Beim Entwerfen der Überwachungsstrategie Ihrer Organisation müssen Sie entscheiden, ob die folgenden Kategorien von Sicherheitsereignissen überwacht werden sollen:

In den folgenden Abschnitten werden einige der allgemeineren Ereignis-IDs beschrieben, die bei Aktivierung der Überwachung für spezifische Kategorien angezeigt werden.

Hinweis: Tools zum Suchen und Sammeln von Ereignisprotokollinformationen werden im Abschnitt Passive Erkennungsmethoden in diesem Modul behandelt.

Anmeldeereignisse

Wenn Sie Anmeldeereignisse überwachen, wird bei jeder An- oder Abmeldung eines Benutzers an beziehungsweise von einem Computer ein Ereignis im Sicherheitsprotokoll des jeweiligen Computers generiert. Wenn ein Benutzer eine Verbindung mit einem Remoteserver herstellt, wird ebenfalls ein Anmeldeereignis im Sicherheitsprotokoll des Remoteservers generiert. Anmeldeereignisse werden beim Erstellen beziehungsweise Löschen der Anmeldesitzung und des Tokens erzeugt.

Anmeldeereignisse eignen sich zum Verfolgen von interaktiven Anmeldeversuchen bei Servern oder zum Untersuchen von Attacken, die von einem bestimmten Computer aus gestartet wurden. Bei der Erfolgsüberwachung wird ein Überwachungseintrag generiert, wenn ein Anmeldeversuch erfolgreich ausgeführt wird. Bei der Fehlerüberwachung wird ein Überwachungseintrag generiert, wenn ein Anmeldeversuch fehlschlägt.

Hinweis: Anmeldeereignisse beinhalten sowohl Computer- als auch Benutzeranmeldeereignisse. Wenn eine Netzwerkverbindung über einen Microsoft Windows NT- oder Windows 2000-basierten Computer hergestellt wird, werden für das Computerkonto und das Benutzerkonto separate Sicherheitsprotokolleinträge generiert. Das Verzeichnis von Windows 9x-basierten Computern enthält keine Computerkonten, und daher werden keine Computeranmeldeeinträge für Netzwerkanmeldeereignisse generiert.

Die Erfolgs- und Fehlerüberwachung von Anmeldeereignissen ist in den Basisrichtlinien für Mitgliedsserver und Domänencontroller aktiviert. Daher können im Sicherheitsereignisprotokoll die folgenden Ereignis-IDs für interaktive Anmeldungen und Terminaldiensteanmeldungen an Computern, die Terminaldienste ausführen, angezeigt werden.

Tabelle 1: Im Sicherheitsereignisprotokoll angezeigte Anmeldeereignisse

Die folgenden Sicherheitsereignisse können mithilfe von Anmeldeereigniseinträgen diagnostiziert werden:

Contoso überwacht eine Vielzahl von Anmeldeversuchsfehlern und Kontosperrungen. In der Umgebung dieser Organisation ist es nicht ungewöhnlich, dass Benutzer Terminaldienstesitzungen aus zulässigen Gründen getrennt lassen.

Kontoanmeldeereignisse

Wenn sich ein Benutzer an einer Domäne anmeldet, wird die Anmeldung auf einem Domänencontroller verarbeitet. Wenn Sie Kontoanmeldeversuche auf Domänencontrollern überwachen, wird dieser Anmeldeversuch auf dem für die Überprüfung des Kontos zuständigen Domänencontroller aufgezeichnet. Kontoanmeldeereignisse werden erstellt, wenn ein Authentifizierungspaket die Anmeldeinformationen eines Benutzers überprüft. Bei der Verwendung von Domänenanmeldeinformationen werden nur in den Ereignisprotokollen des Domänencontrollers Kontoanmeldeereignisse generiert. Werden lokale SAM-Datenbankanmeldeinformationen (SAM = Sicherheitskontenverwaltung) verwendet, werden die Kontenanmeldeereignisse im Sicherheitsereignisprotokoll des Servers erzeugt.

Da das Kontenanmeldeereignis auf jedem gültigen Domänencontroller in der Domäne aufgezeichnet werden kann, müssen Sie die Sicherheitsprotokolle der Domänencontroller für die Analyse aller Kontoanmeldungen in der Domäne konsolidieren.

Hinweis: Genau wie Anmeldeereignisse beinhalten Kontoanmeldeereignisse sowohl Computer- als auch Benutzeranmeldungeversuche.

Die Erfolgs- und Fehlerüberwachung von Kontoanmeldeereignissen ist in den Basisrichtlinien für Mitgliedsserver und Domänencontroller aktiviert. Daher können die folgenden Ereignis-IDs für Netzwerkanmeldungen und die Terminaldiensteauthentifizierung angezeigt werden.

Tabelle 2: Im Ereignisprotokoll angezeigte Kontoanmeldeereignisse

Für jedes dieser Ereignisse werden ausführliche Informationen zu jeder spezifischen Anmeldung im Ereignisprotokoll angezeigt. Die folgenden Sicherheitsereignisse können mithilfe von Kontoanmeldeereigniseinträgen diagnostiziert werden:

Contoso überwacht zurzeit ungewöhnliche Häufungen von fehlgeschlagenen Domänenanmeldeversuchen. In der Umgebung dieser Organisation sind andere Ereignisse nicht relevant. Beim Konfigurieren dieser Einstellungen entschied sich Contoso, mit einer relativ strikten Einstellung zu beginnen und diese Einstellung nach und nach zu reduzieren, bis die Anzahl von Fehlalarmen (falsche positive Warnungen) abnimmt. Zurzeit werden alle Situationen überwacht, in denen innerhalb von 10 Minuten 10 fehlgeschlagene Anmeldeversuche auftreten. Diese Zahlen können von Umgebung zu Umgebung variieren.

Kontenverwaltung

Die Überwachung der Kontenverwaltung dient zum Erfassen der Erstellung, Änderung und Löschung von Benutzern oder Gruppen. Mithilfe dieser Überwachung kann festgestellt werden, wann ein Sicherheitsprincipal erstellt wurde und von wem diese Aufgabe ausgeführt wurde.

Die Erfolgs- und Fehlerüberwachung der Kontenverwaltung ist in den Basisrichtlinien für Mitgliedsserver und Domänencontroller aktiviert. Daher können die folgenden Ereignis-IDs im Sicherheitsprotokoll angezeigt werden.

Tabelle 3: Im Ereignisprotokoll angezeigte Kontenverwaltungsereignisse

Die folgenden Kontenverwaltungsereignisse können mithilfe von Sicherheitsprotokolleinträgen diagnostiziert werden:

Da Contoso ein recht großes Unternehmen ist, muss täglich eine umfangreiche Kontenverwaltung durchgeführt werden. Die Überwachung all dieser Ereignisse würde zu mehr Warnungen führen als in der Umgebung bearbeitet beziehungsweise überprüft werden können.

Objektzugriff

Die Überwachung kann für alle Objekte in einem Windows 2000-basierten Netzwerk mit einer Systemzugriffssteuerungsliste (SACL) aktiviert werden. Eine SACL enthält eine Liste von Benutzern und Gruppen, für die an Objekten durchgeführte Aktionen überwacht werden sollen. In Windows 2000 verfügt nahezu jedes vom Benutzer manipulierbare Objekt über eine SACL. Hierzu zählen Dateien und Ordner in NTFS-Dateisystemlaufwerken, Drucker und Registrierungsschlüssel.

Eine SACL besteht aus Zugriffssteuerungseinträgen (ACEs). Jeder ACE enthält drei Informationen:

Wenn diese Ereignisse im Sicherheitsprotokoll erfasst werden sollen, müssen Sie zunächst Objektzugriffsversuche überwachen aktivieren und anschließend die SACL für jedes zu überwachende Objekt definieren.

In Windows 2000 werden Überwachungen generiert, wenn ein Handle zu einem Objekt geöffnet wird. Windows 2000 verwendet ein Kernelmodus-Sicherheitssubsystem, das Programmen den Zugriff auf Objekte nur über den Kernel erlaubt. Dadurch wird verhindert, dass Programme versuchen, das Sicherheitssystem zu umgehen. Da der Kernelspeicherbereich von Benutzermodusprogrammen isoliert ist, verweist ein Programm über eine als Handle bezeichnete Datenstruktur auf ein Objekt. Ein typischer Zugriffsversuch läuft folgendermaßen ab:

Beachten Sie, dass das Objekt zum Zeitpunkt der Überwachung und Generierung des Ereignisses noch nicht manipuliert wurde. Dies ist wichtig für die Interpretation von Überwachungsereignissen. Schreibeinträge werden generiert, bevor in eine Datei geschrieben wird, und Leseeinträge werden vor dem Lesen einer Datei erzeugt.

Wie bei allen Überwachungsprozessen ist die Verwendung eines zielgerichteten Ansatzes für die Überwachung des Objektzugriffs sehr wichtig. Legen Sie in Ihrem Überwachungsplan die zu überwachenden Objekttypen fest, und definieren Sie dann die für jeden Objekttyp zu protokollierenden Zugriffstypen (Erfolg, Fehler oder beides). Ein zu weitgefasster Überwachungsansatz wirkt sich erheblich auf die Systemleistung aus, und es werden mehr Daten gesammelt als erforderlich oder nützlich sind.

In den meisten Fällen soll der gesamte Zugriff auf die ausgewählten Objekte überwacht werden, einschließlich des Zugriffs über nicht vertraute Konten. Hierzu fügen Sie der SACL für die zu überwachenden Objekte die Gruppe Jeder hinzu. Bedenken Sie bei der Erfolgsüberwachung des Objektzugriffs, dass dies zu einer sehr großen Anzahl von Überwachungseinträgen im Sicherheitsprotokoll führen kann. Wenn Sie jedoch zum Beispiel die Löschung einer wichtigen Datei untersuchen, benötigen Sie Erfolgsüberwachungsereignisse, um festzustellen, welcher Benutzer die Datei gelöscht hat.

Die Basisrichtlinien für Mitgliedsserver und Domänencontroller sind zur Erfolgs- und Fehlerüberwachung des Objektzugriffs konfiguriert. Für die Objekte selbst sind jedoch keine SACLs definiert, und Sie müssen diese entsprechend den Anforderungen Ihrer Umgebung einrichten. Die SACLs können direkt in den Objekten oder mithilfe von Gruppenrichtlinien definiert werden. Wenn das zu überwachende Objekt auf mehreren Computern vorhanden ist, sollten Sie die SACLs in Gruppenrichtlinien definieren.

Die Überwachung des Objektzugriffs führt zur Anzeige der folgenden Ereignisse im Sicherheitsprotokoll.

Tabelle 4: Im Ereignisprotokoll angezeigte Objektzugriffsereignisse

Wenn Sie nach bestimmten Objektzugriffsereignissen suchen, sind in erster Linie Ereignisse mit der ID 560 von Interesse. Die wichtigen Informationen sind in den Ereignisdetails enthalten, und Sie müssen die Details durchsuchen, um spezifische Ereignisse ausfindig zu machen. Die folgende Tabelle enthält einige Aktionen, die Sie zu diesem Zweck gegebenenfalls ausführen müssen, und entsprechende Anweisungen.

Tabelle 5: Ausführung von wichtigen Überwachungsaktionen für das Objektzugriffsereignis 560

Contoso überwacht keine speziellen Objektzugriffsereignisse, der Objektzugriff auf einige Dateien wird jedoch überwacht. Diese Informationen können bei der Reaktion auf eine Sicherheitsverletzung sehr hilfreich sein.

Verzeichnisdienstzugriff

Active Directory-Objekten sind SACLs zugeordnet, und sie können überwacht werden. Wie zuvor bereits erwähnt werden Active Directory-Benutzer- und -Gruppenkonten durch eine Überwachung der Kontenverwaltung überwacht. Wenn Sie jedoch die Änderung von Objekten in anderen Namenskontexten überwachen möchten, zum Beispiel Konfigurations- und Schemanamenskontexte, müssen Sie die Objektzugriffsüberwachung aktivieren, und anschließend müssen Sie die SACL für die spezifischen zu überwachenden Container definieren. Überwachungseinträge werden generiert, wenn in der SACL eines Active Directory-Objekts aufgelistete Benutzer versuchen, auf dieses Objekt zuzugreifen.

Sie können die SACL für Container und Objekte im Konfigurationsnamenskontext (und anderen Namenskontexten) mit dem MMC-Snap-In ADSIEDIT ändern. Hierzu zeigen Sie den erforderlichen Kontext in der ADSIEDIT-Konsole an, und anschließend ändern Sie die SACL für das Objekt im Dialogfeld Erweiterte Sicherheitseinstellungen.

Die Suche nach spezifischen Ereignissen für den Verzeichnisdienstzugriff ist aufgrund der großen Anzahl von (meist harmlosen) Ereignissen sehr schwierig. Aus diesem Grund ist in den Basisrichtlinien für Mitgliedsserver und Domänencontroller nur die Fehlerereignisüberwachung für den Verzeichnisdienstzugriff konfiguriert. Auf diese Weise können Sie nicht autorisierte Zugriffsversuche von Angreifern auf Active Directory identifizieren.

Ein versuchter Verzeichniszugriff wird als Verzeichnisdienstereignis mit der ID 565 im Sicherheitsprotokoll angezeigt. Das vom Ereignis betroffene Objekt kann nur durch Überprüfen der Sicherheitsereignisdetails ermittelt werden.

Contoso überwacht keine speziellen Verzeichnisdienst-Zugriffsereignisse, der Objektzugriff auf einige Dateien wird jedoch überwacht. Diese Informationen können bei der Reaktion auf eine Sicherheitsverletzung sehr hilfreich sein.

Rechteverwendung

Benutzer können bei der Arbeit in einer IT-Umgebung definierte Benutzerrechte ausüben. Wenn Sie für die Rechteverwendung die Erfolgs- und Fehlerüberwachung konfigurieren, wird jedes Mal ein Ereignis generiert, wenn ein Benutzer versucht, ein Recht auszuüben.

Selbst wenn Sie die Rechteverwendung überwachen, werden nicht alle Benutzerrechte überwacht. Die folgenden Benutzerrechte sind standardmäßig von der Überwachung ausgeschlossen:

Sie können das Standardverhalten (keine Überwachung der Sicherungs- und Wiederherstellungsrechte) außer Kraft setzen, indem Sie in der Gruppenrichtlinie die Sicherheitsoption Die Verwendung des Sicherungs- und Wiederherstellungsrechts überprüfen aktivieren.

Die Erfolgsüberwachung der Rechteverwendung führt zu einer sehr großen Anzahl von Einträgen im Sicherheitsprotokoll. Aus diesem Grund ist in den Basisrichtlinien für Mitgliedsserver und Domänencontroller nur die Fehlerüberwachung für die Rechteverwendung konfiguriert.

Die folgenden Ereignisse werden generiert, wenn die Überwachung der Rechteverwendung aktiviert ist.

Tabelle 6: Im Ereignisprotokoll angezeigte Rechteverwendungsereignisse

Im Folgenden sehen Sie einige Beispiel-Ereignisprotokolleinträge, die bei der Verwendung bestimmter Benutzerrechte aufgezeichnet werden:

Contoso überwacht speziell Ereignisse, die ein normales Herunterfahren oder erzwungenes Herunterfahren von einem Remotesystem anzeigen, sowie alle Ereignisse zu Änderungen des Überwachungs- und Sicherheitsprotokolls.

Prozessverfolgung

Wenn Sie detaillierte Verfolgungsinformationen für auf Windows 2000-basierten Computern ausgeführte Prozesse erfassen, werden im Ereignisprotokoll Prozesserstellungs- und Prozessbeendigungsversuche angezeigt. Zudem wird ein Ereignis aufgezeichnet, wenn ein Prozess versucht, ein Handle zu einem Objekt zu generieren oder indirekten Zugriff auf ein Objekt zu erhalten.

Aufgrund der sehr großen Anzahl von erstellten Überwachungseinträgen ist die Überwachung der Prozessverfolgung in den Basisrichtlinien für Mitgliedsserver und Domänencontroller nicht aktiviert. Wenn Sie jedoch eine Erfolgs- und Fehlerüberwachung ausführen, werden die folgenden Ereignis-IDs im Ereignisprotokoll aufgezeichnet.

Tabelle 7: Im Ereignisprotokoll angezeigte Prozessverfolgungsereignisse

Contoso überwacht keine Prozessverfolgungsereignisse und hat diese Option nicht in den Serverrichtlinien aktiviert.

Systemereignisse

Systemereignisse werden generiert, wenn ein Benutzer oder Prozess Aspekte der Computerumgebung ändert. Sie können versuchte Systemänderungen überwachen, zum Beispiel das Herunterfahren des Computers oder Ändern der Systemzeit.

Wenn Sie Systemereignisse überwachen, sollten Sie auch das Löschen des Sicherheitsprotokolls überwachen. Dies ist sehr wichtig, da Angreifer nach dem Ändern einer Umgebung häufig versuchen, ihre Spuren zu verwischen.

In den Basisrichtlinien für Mitgliedsserver und Domänencontroller ist die Erfolgs- und Fehlerüberwachung von Systemereignissen konfiguriert. Diese Überwachung führt zu den folgenden Ereignis-IDs im Ereignisprotokoll.

Tabelle 8: Im Ereignisprotokoll angezeigte Systemereignisse

Mithilfe dieser Ereignis-IDs kann eine Reihe von Sicherheitsproblemen aufgedeckt werden:

Contoso überwacht sowohl das Herunterfahren und Neustarten von Computern als auch die Löschung des Sicherheitsprotokolls.

Richtlinienänderungen

Die Überwachungsrichtlinie legt fest, welche Änderungen der Umgebung überwacht werden, und unterstützt Sie bei der Erkennung von Attacken auf Ihre Umgebung. Ein entschlossener Angreifer versucht jedoch, die Überwachungsrichtlinie selbst zu ändern, damit seine Änderungen nicht überwacht werden.

Wenn Sie Richtlinienänderungen überwachen, werden versuchte Änderungen der Überwachungsrichtlinie sowie Änderungen an anderen Richtlinien und Benutzerrechten protokolliert. In den Basisrichtlinien für Mitgliedsserver und Domänencontroller ist die Erfolgs- und Fehlerüberwachung von Richtlinienänderungen konfiguriert. Die folgenden Ereignisse werden im Ereignisprotokoll aufgezeichnet.

Tabelle 9: Im Ereignisprotokoll angezeigte Richtlinienänderungsereignisse

Die wichtigsten Ereignisse in diesem Zusammenhang sind die Ereignis-IDs 608 und 609. Viele Angriffsversuche führen zur Aufzeichnung dieser Ereignisse. Die folgenden Beispiele generieren ein Ereignis 608, wenn das Benutzerrecht zugewiesen wird, oder ein Ereignis 609, wenn das Benutzerrecht entfernt wird. In jedem Fall sind die spezifische SID, der das Benutzerrecht zugewiesen ist, und der Benutzername des zugehörigen Sicherheitsprincipals in den Ereignisdetails enthalten:

Hinweis: Diese Überwachungsereignisse geben nur an, dass das Benutzerrecht einem spezifischen Sicherheitsprincipal zugewiesen wurde. Sie besagen nicht, dass der Sicherheitsprincipal unter Verwendung des Benutzerrechts eine Task ausgeführt hat. Die Überwachungsereignisse geben an, wann die Benutzerrechtrichtlinie geändert wurde.

Contoso überwacht zurzeit keine Richtlinienänderungsereignisse. Diese Ereignisse werden zur Problembehandlung und Reaktion auf Sicherheitsverletzungen verwendet.

Die Überwachung von Änderungen an Gruppenrichtlinien kann sehr schwierig sein und zu zahlreichen Fehlalarmen führen. Dies ist in erster Linie darauf zurückzuführen, dass das MMC-Snap-In zur Bearbeitung von Gruppenrichtlinien gpedit.msc Richtlinien immer mit Lese- und Schreibrechten öffnet. Auch wenn keine Änderungen an der Richtlinie vorgenommen werden, wird das Ereignis 578 wie unten dargestellt in das Sicherheitsprotokoll des Domänencontrollers geschrieben.

Diese Probleme können mit der kurz nach dem Erscheinen von Windows Server 2003 als kostenloses Download bereitgestellten Konsole Gruppenrichtlinienverwaltung umgangen werden. Diese Konsole ermöglicht autorisierten Benutzern das Anzeigen von Gruppenrichtlinieneinstellungen, ohne diese in gpedit.msc öffnen zu müssen. Weitere Informationen zur Gruppenrichtlinienverwaltung finden Sie unter: http://www.microsoft.com/windowsserver2003/gpmc/gpmcwp.mspx(englischsprachig).

Schutz der Ereignisprotokolle

Um sicherzustellen, dass die Ereignisprotokolleinträge zur späteren Verwendung aufbewahrt werden, sollten Sie einige Schritte zum Schützen der Ereignisprotokolle ausführen. Dazu zählen folgende Schritte:

Contoso hat diese Einstellungen in den Gruppenrichtlinienobjekten für Mitgliedsserver und Domänencontroller implementiert.

Zusätzlich zu diesen Schritten sollten Sie die folgenden praktischen Maßnahmen ergreifen, um die Sicherheit der Ereignisprotokollinformationen zu gewährleisten:

Hinweis: Durch das Verhindern des Gastzugriffs auf Ereignisprotokolle wird nur verhindert, dass Nicht-Domänenmitglieder auf die Ereignisprotokolle zugreifen. Standardmäßig können alle Benutzer in einer Domäne auf die System- und Anwendungsprotokolle zugreifen. Nur der Zugriff auf das Sicherheitsprotokoll wird beschränkt. Sicherheitsprincipals mit dem Benutzerrecht Verwalten von Überwachungs- und Sicherheitsprotokoll können auf das Sicherheitsprotokoll zugreifen. Dieses Recht wird standardmäßig nur Administratoren und Exchange-Organisationsservern zugewiesen.

Weitere empfohlene Vorgehensweisen für die Überwachung

Neben der Überwachungskonfiguration sollten Sie weitere Methoden zur effektiven Überwachung der Sicherheit Ihrer Serverumgebung implementieren. Dazu gehören:

Planen der regelmäßigen Überprüfung der Ereignisprotokolle

Wie zuvor erwähnt sollten das Sicherheitsprotokoll und gegebenenfalls die anderen Ereignisprotokolle zur Überprüfung auf Wechselmedien kopiert oder an einem zentralen Speicherort konsolidiert werden. Die Überprüfung der Protokolle ist meist der am häufigsten vernachlässigte Überwachungsschritt.

Contoso hat durch großen Arbeitsaufwand sichergestellt, dass entweder eine einzelne Person oder ein Team für die regelmäßige Überprüfung der Ereignisprotokolle zuständig ist. Eine solche Überprüfung von Ereignisprotokollen kann je nach erfasster Datenmenge im Sicherheitsprotokoll als tägliches oder wöchentliches Ereignis geplant werden. Dies richtet sich normalerweise nach der im Netzwerk implementierten Überwachungsebene. Wenn die Überwachung mehr Ereignisse umfasst, ist die Anzahl von Protokolleinträgen höher. Mit der Planung einer regelmäßigen Ereignisprotokollüberprüfung verfolgen Sie die folgenden Ziele:

Überprüfen anderer Anwendungsprotokolldateien

Neben der Überprüfung der Sicherheitsereignisse in den Windows 2000-Ereignisprotokollen sollten Sie auch die von Anwendungen erstellten Protokolle überprüfen. Die Anwendungsprotokolle können wertvolle Informationen zu potenziellen Attacken enthalten, die die Informationen in den Ereignisprotokollen ergänzen. Abhängig von Ihrer Umgebung müssen Sie gegebenenfalls die folgenden Protokolldateien überprüfen:

Hinweis: Alle Computer, die Protokolldateien verwalten, sollten synchronisierte Uhren verwenden. Dies ermöglicht einem Administrator das Vergleichen von Ereignissen zwischen Computern und Diensten, um die von einem Angreifer durchgeführten Aktionen zu ermitteln. Ausführliche Informationen zur Zeitsynchronisierungen finden Sie unter "Bedeutung der Zeitsynchronisierung" in diesem Modul.

Überwachen von installierten Diensten und Treibern

Viele Attacken gegen Computer werden durch Angreifen der auf dem Zielcomputer installierten Dienste oder durch Ersetzen gültiger Treiber durch Treiberversionen, die ein Trojanisches Pferd enthalten, implementiert. Auf diese Weise kann sich ein Angreifer Zugriff auf den Zielcomputer verschaffen.

Die folgenden Tools können zur Überwachung der auf Ihren Computern installierten Dienste und Treiber verwendet werden:

Hinweis: Obwohl sie abgefragt werden können, können nicht alle Dienste (zum Beispiel der Arbeitsstationsdienst) direkt angehalten werden. Wenn der Benutzer eine Vielzahl aktiver Verbindungen unterhält, können Sie den Dienst zwar unterbrechen oder abfragen, Sie können ihn aber nicht im Remotemodus herunterfahren. Einige Dienste verfügen über abhängige Dienste. Das Herunterfahren solcher Dienste schlägt fehl, sofern nicht zuerst die abhängigen Dienste heruntergefahren werden.

Überwachen von geöffneten Ports

Attacken werden häufig mit der Durchführung einer Portprüfung gestartet, um die auf dem Zielcomputer ausgeführten Dienste zu identifizieren. Sie sollten die auf Ihren Servern geöffneten Ports sorgfältig überwachen. Im Allgemeinen führen Sie hierzu selbst eine Portprüfung aus, um die zugänglichen Ports zu ermitteln.

Die Portprüfungen sollten sowohl lokal als auch auf dem Zielcomputer und über einen Remotecomputer ausgeführt werden. Wenn der Computer über ein öffentliches Netzwerk zugänglich ist, muss die Portprüfung über einen externen Computer ausgeführt werden, um sicherzustellen, dass die Firewallsoftware nur den Zugriff auf die gewünschten Ports zulässt.

Netstat.exe ist ein Befehlszeilenprogramm, das alle geöffneten Ports für das TCP-Protokoll (Transmission Control Protocol) und das UDP-Protokoll (User Datagram Protocol) anzeigen kann. Für den Netstat-Befehl wird folgende Syntax verwendet:

NETSTAT [-a] [-e] [-n] [-s] [-p proto] [-r] [interval]

Dabei gilt:

Wenn Sie die geöffneten TCP- und UDP-Ports am lokalen Computer überwachen, werden Portnummern basierend auf den Einträgen in der Dienstdatei im Ordner \%WinDir%\System32\Drivers\Etc\ in Namen übersetzt. Wenn nur Portnummern angezeigt werden sollen, verwenden Sie die Option -n.

Werden nicht erkannte geöffnete Ports gefunden, sollten Sie diese untersuchen, um festzustellen, ob der entsprechende Dienst auf dem Computer benötigt wird. Wird ein Dienst nicht benötigt, sollten Sie ihn deaktivieren oder entfernen, damit der Computer diesen Port nicht überwacht. In den mit diesem Handbuch bereitgestellten Basisrichtlinien für Mitgliedsserver und Domänencontroller wurde eine Reihe von Diensten deaktiviert.

Da viele Server durch Firewalls oder Paketfilterrouter geschützt sind, sollte die Portprüfung auch von einem Remotecomputer aus durchgeführt werden. Für Remoteportprüfungen sind viele Tools von Drittanbietern (einschließlich einiger kostenlos erhältlicher Produkte) verfügbar. Die Remoteportprüfung ermittelt die beim Herstellen einer Verbindung mit dem Computer für externe Benutzer verfügbaren Ports.

Hinweis: Portprüfungen können auch zum Testen des Eindringungserkennungssystems verwendet werden, um sicherzustellen, dass es die Ausführung der Portprüfung erkennt. Weitere Informationen zu Eindringungserkennungssystemen finden Sie unter "Aktive Erkennungsmethoden" in diesem Modul.

Zum Seitenanfang

Überwachen von Eindringungs- und Sicherheitsereignissen

Die Überwachung von Eindringungs- und Sicherheitsereignissen beinhaltet sowohl passive als auch aktive Tasks. Viele Eindringungen werden nach der Attacke durch die Überprüfung der Protokolldateien festgestellt. Diese Erkennung nach der eigentlichen Attacke wird häufig als passive Eindringungserkennung bezeichnet. Die Attacke kann nur durch eine Untersuchung der Protokolldateien überprüft und anhand der Protokollinformationen rekonstruiert werden.

Andere Eindringungsversuche können erkannt werden, während die Attacke stattfindet. Diese als aktive Eindringungserkennung bezeichnete Methode sucht nach bekannten Angriffsmustern oder Befehlen und blockiert deren Ausführung.

In diesem Abschnitt werden Tools vorgestellt, mit denen Sie beide Formen der Eindringungserkennung zum Schutz Ihres Netzwerks gegen Attacken implementieren können.

Bedeutung der Zeitsynchronisierung

Wenn Sie Eindringungs- und Sicherheitsereignisse zwischen mehreren Computern überwachen, müssen die Uhren der Computer synchronisiert sein. Die synchronisierte Zeit ermöglicht einem Administrator das Rekonstruieren der während einer Attacke auf mehrere Computer ausgeführten Aktionen. Wenn die Zeit nicht synchronisiert ist, kann nur sehr schwer festgestellt werden, wann bestimmte Ereignisse stattgefunden haben und wie diese miteinander verknüpft sind.

Passive Erkennungsmethoden

Passive Eindringungserkennungssysteme beinhalten die manuelle Überprüfung von Ereignis- und Anwendungsprotokollen. Bei der Überprüfung werden Angriffsmuster in Ereignisprotokolldaten aufgedeckt und analysiert. Zur Überprüfung von Ereignisprotokollen stehen mehrere Tools, Dienstprogramme und Anwendungen zur Verfügung. In diesem Abschnitt wird beschrieben, wie jedes Tool zum Koordinieren von Informationen verwendet werden kann.

Ereignisanzeige

Das Windows 2000-Sicherheitsprotokoll kann natürlich in der MMC-Konsole Ereignisanzeige von Windows 2000 angezeigt werden. Die Ereignisanzeige ermöglicht das Anzeigen der Anwendungs-, Sicherheits- und Systemprotokolle. Sie können Filter definieren, um in der Ereignisanzeige nach spezifischen Ereignissen zu suchen.

Auf der Registerkarte Filter des Dialogfelds Eigenschaften können Sie die folgenden Attribute zum Filtern von Ereigniseinträgen definieren:

Nach der Anwendung des Filters kann die gefilterte Ereignisliste für den Import in eine Datenbankanwendung in eine durch Kommas oder Tabstopps getrennte Liste exportiert werden.

Wie bereits erwähnt sind bei Contoso jeder Verwaltungsfunktion mehrere Personen zugeordnet, die für die Überprüfung der Ereignisprotokolle verantwortlich sind. Im Rahmen dieser Aufgabe überprüfen die zuständigen Mitarbeiter täglich, ob die Protokolle sicherheitsspezifische Ereignisse enthalten, die nicht vom Überwachungssystem protokolliert wurden.

Programm zur Ereignisprotokollabbildung (Dumpel.exe)

Dump Event Log ist ein im Windows 2000 Server Resource Kit, Supplement 1 enthaltenes Befehlszeilenprogramm (Microsoft Press, ISBN: 0-7356-1279-X). Es erstellt in einer durch Tabstopps getrennten Textdatei ein Abbild eines Ereignisprotokolls für ein lokales System oder Remotesystem. Diese Datei kann dann zur weiteren Untersuchung in eine Kalkulationstabelle oder Datenbank importiert werden. Das Programm kann auch zum Filtern bestimmter Ereignistypen verwendet werden.

Für das Befehlszeilenprogramm dumpel.exe wird folgende Syntax verwendet:

dumpel -f file [-s \\server] [-l log [-m source]] [-e n1 n2 n3...] [-r] [-t]
[-d x] 

Dabei gilt:

Hinweis: dumpel.exe kann nur Inhalt aus den System-, Anwendungs- und Sicherheitsprotokolldateien abrufen. Sie können dieses Befehlszeilenprogramm nicht zum Abfragen von Inhalt aus den Dateireplikationsdienst-, DNS- (Domain Name System) oder Verzeichnisdienst-Ereignisprotokollen verwenden.

EventCombMT

EventCombMT ist ein Tool mit mehreren Threads, das Ereignisprotokolle von vielen Servern gleichzeitig analysiert. Dabei wird für jeden in den Suchkriterien enthaltenen Server ein Ausführungsthread verwendet. EventCombMT ist in den Microsoft Windows Server 2003 Resource Kit Tools enthalten. Weitere Informationen finden Sie unter:

http://www.microsoft.com/windowsserver2003/techinfo/reskit/resourcekit.mspx.

Mit dem Tool können Sie folgende Aufgaben ausführen:

Installieren des Tools

Zum Installieren des Tools extrahieren Sie den Inhalt der mit diesem Handbuch bereitgestellten selbstextrahierenden Datei SecWin2k.exe. Dadurch wird ein Ordner C:\SCI\scripts\EventComb erstellt. Nach dem Extrahieren der Dateien können Sie das EventCombMT-Tool durch Doppelklicken auf die Datei EventCombMT.exe ausführen.

Ausführen des EventComb-Tools

Der erste Schritt bei der Verwendung des EventComb-Tools ist die Definition der in die Ereignisprotokollsuche einzubeziehenden Computer.

•

So fügen Sie zu suchende Computer hinzu 1. Stellen Sie im EventCombMT-Tool sicher, dass die korrekte Domäne automatisch im Domänenfeld ausgewählt wurde. Wenn Sie Ereignisprotokolle in einer anderen Domäne durchsuchen möchten, geben Sie den neuen Domänennamen manuell ins Feld Domain ein. 2. Zum Hinzufügen von Computern zur Suchliste klicken Sie mit der rechten Maustaste auf das Feld unter Select To Search/Right Click to Add. Das Popupmenü ist in der folgenden Abbildung dargestellt: Abbildung 1 Verwenden der Einstellungen im EventCombMT-Dialogfeld zum Hinzufügen von nicht automatisch erkannten Computern zur Suchliste Die folgenden Optionen sind verfügbar: • Get DCs in Domain. Fügt der Liste alle Domänencontroller für die aktuelle Domäne hinzu. • Add Single Server. Ermöglicht Ihnen das Hinzufügen eines Servers oder einer Arbeitsstation zur Liste. • Add all DCs in this domain. Ermöglicht Ihnen das Hinzufügen aller als globale Katalogserver konfigurierten Domänencontroller in der ausgewählten Domäne. • Get All Servers. Fügt alle mit dem Suchdienst in der Domäne gefundenen Server hinzu. Alle Domänencontroller zählen nicht zu den Servern und sind hiervon ausgeschlossen. • Get Servers from File. Ermöglicht Ihnen das Importieren einer Datei, die alle in den Suchbereich einzuschließenden Server enthält. Jeder Server sollte auf einer separaten Zeile in der Textdatei eingegeben werden. 3. Nachdem die Server der Liste hinzugefügt wurden, müssen Sie die Server auswählen, für die die Suche ausgeführt werden soll. Die ausgewählten Server werden in der Liste hervorgehoben. Halten Sie zum Auswählen mehrerer Server die STRG-Taste gedrückt.

Festlegen der Ereignisprotokolle und Ereignistypen für die Suche

Nachdem Sie die in die Ereignisprotokollsuche einzuschließenden Server ausgewählt haben, können Sie den Suchumfang beschränken, indem Sie die gewünschten Ereignisprotokolle und Ereignistypen auswählen.

Im EventCombMT-Tool stehen die folgenden Ereignisprotokolle für die Suche zur Auswahl:

Zudem können Sie die folgenden Ereignistypen für die Suche auswählen:

Hinweis: Wenn Sie wissen, in welchem Ereignisprotokoll eine Ereignis-ID erscheint, und den Ereignistyp der Ereignis-ID kennen, sollten Sie diese Informationen immer in den Suchkriterien angeben, da die Suche dadurch beschleunigt wird.

Speichern von Suchen

EventCombMT ermöglicht Ihnen das Speichern von Sucheinstellungen, so dass diese zu einem späteren Zeitpunkt erneut geladen werden können. Dies ist hilfreich, wenn Sie EventCombMT häufig zum Durchsuchen der ISS-Server nach einer Ereignisgruppe und zum Durchsuchen der Domänencontroller nach einer anderen Ereignisgruppe verwenden.

Die Suchkriterien werden in der Registrierung unter folgendem Pfad gespeichert:

HKLM\Software\Microsoft\EventCombMT und können auf einfache Weise bearbeitet werden.

Suchergebnisdateien

Die Ergebnisse der Suche werden standardmäßig im Ordner C:\Temp gespeichert. Die Ergebnisse beinhalten eine Zusammenfassungsdatei mit dem Namen EventCombMT.txt, und für jeden bei der Ereignisprotokollsuche berücksichtigten Computer wird eine separate Textdatei mit dem Namen Computername-Ereignisprotokollname_LOG.txt generiert. Diese individuellen Textdateien enthalten alle aus den Ereignisprotokollen extrahierten Ereignisse, die mit Ihren Suchkriterien übereinstimmen.

Beispiele für die Verwendung von EventCombMT

Zum Veranschaulichen der Verwendungsmöglichkeiten von EventCombMT wird im Folgenden beschrieben, wie das Tool zum Erkennen von Domänencontroller-Neustarts und Kontosperrungen konfiguriert werden kann.

•

So verwenden Sie EventCombMT zum Suchen nach Neustarts von Domänencontrollern 1. Stellen Sie im EventCombMT-Tool sicher, dass die Domäne auf den korrekten Domänennamen eingestellt ist. 2. Klicken Sie im Feld Select to Search/Right Click to Add unter dem Domänennamen mit der rechten Maustaste auf Get DCs in Domain. Hinweis: Bei der Suche nach Ereignissen wie Kontoanmeldungs- und Kontenverwaltungsereignissen müssen Sie alle Domänencontroller durchsuchen. Da Windows 2000 ein Modell mit mehreren Mastern für die Kontenverwaltung verwendet, können Konten auf jedem Domänencontroller in der Domäne hinzugefügt, geändert oder gelöscht werden. Desgleichen kann die Authentifizierung von jedem Domänencontroller in der Domäne bestätigt werden. Aus diesem Grund können Sie nie sicher sein, wo ein spezifischer Aktualisierungs- oder Authentifizierungsversuch stattfindet. 3. Klicken Sie mit der rechten Maustaste auf das Feld Select to Search/Right Click to Add, und wählen Sie dann Select All Servers in List. 4. Wählen Sie im Abschnitt Choose Log Files to search des Tools nur das Systemprotokoll aus. 5. Wählen Sie im Abschnitt Event Types des Tools die Optionen Error und Informational aus. 6. Geben Sie die folgenden Ereignis-IDs in das zugehörige Feld ein: 1001 6005 6006 6008. 7. Stellen Sie sicher, dass Ihre Suchkriterien wie in der folgenden Abbildung dargestellt definiert sind, und klicken Sie dann auf Search. Abbildung 2 Definieren von Suchkriterien im EventCombMT-Dialogfeld

Nach der Suche können die Ergebnisse im Protokollverzeichnis angezeigt werden. Dieses Verzeichnis wird bei Abschluss der Suche automatisch angezeigt.

1001,INFORMATION,Save Dump,Mi Nov 28 05:45:50 2001,, 
Der Computer ist nach einem schwerwiegenden Fehler neu gestartet. Der Fehlercode war: 
0x000000d1 (0x00000004, 0x00000002, 0x00000000, 0x84c983dc). 
Ein volles Abbild wurde gespeichert in: C:\WINDOWS\MEMORY.DMP.
6005,INFORMATION,EReignisprotokoll,Mi Nov 28 05:45:46 2001,,
Der Ereignisprotokolldienst wurde gestartet.
6008,FEHLER,Ereignisprotokoll,Mi Nov 28 05:45:46 2001,,
Das System wurde zuvor am 11/28/2001 um 5:33:47
 unerwartet heruntergefahren. 6005,INFORMATION,Ereignisprotokoll,Di Nov 
 27 14:10:53 2001,,Der Ereignisprotokolldienst wurde gestartet.
6006,INFORMATION,Ereignisprotokoll,Di Nov 27 14:09:26 2001,,
Der Ereignisprotokolldienst wurde beendet. 6005,INFORMATION,
Ereignisprotokoll,Di Nov 27 10:11:37 2001,,Der Ereignisprotokolldienst
wurde gestartet.

Das Ereignis 6006 identifiziert ein planmäßiges Herunterfahren, das von einem Benutzer mit Rechten zum Herunterfahren des Domänencontrollers initiiert wurde. Das Ereignis 6005 gibt an, dass der Ereignisprotokolldienst gestartet wurde. Dieses Ereignis findet beim Start statt.

Die Ereignisse 6008 und 1001 geben an, dass der Computer ohne Herunterfahren ausgeschaltet wurde, der Computer aufgrund einer Sperrung neu gestartet wurde oder ein unerwarteter Abbruchfehler aufgetreten ist. Wenn ein Ereignis 1001 vorliegt, ist ein Abbruchfehler aufgetreten, und die Beschreibung enthält die zugehörigen Debuginformationen sowie einen Verweis auf die Debugdatei.

Die vom EventCombMT-Tool zurückgegebenen Ereignisse sollten mit bekannten Ausfallzeiten verglichen werden. Untersuchen Sie nicht übereinstimmende Ereignisse, um sicherzustellen, dass der Server nicht angegriffen wurde.

EventCombMT enthält mehrere vorkonfigurierte Suchen, mit denen Sie nach Sicherheitsereignissen suchen können. Für die Suche nach Kontosperrungsereignissen ist zum Beispiel eine vordefinierte Suche verfügbar.

Hinweis: Weitere vordefinierte Suchen in EventcombMT sind Suchen in Dateireplikationsdiensten, Active Directory-Suchen nach doppelten SIDs und NETLOGON DNS-Registrierungsfehlern, Hardwarefestplattenfehlern und DNS-Schnittstellenfehlern. Sie können auch eigene angepasste Suchen definieren und speichern.

Contoso verwendet EventCombMT in Krisenfällen, um Probleme zu diagnostizieren oder die Ursache von Problemen zu bestimmen. Darüber hinaus wird regelmäßig auf allen Domänencontrollern überprüft, ob Kontosperrungen oder fehlerhafte Kennworteingaben vorliegen. Diese Prüfungen helfen bei der manuellen Identifizierung von ungewöhnlichen Mustern, die von einem Überwachungssystem nicht erkannt werden können.

Sammeln von Ereignissen

Eines der wichtigsten Ziele der Überwachung ist die Identifizierung der von Angreifern im Netzwerk ausgeführten Aktionen. Ein Angreifer kann versuchen, mehrere Computer und Geräte im Netzwerk zu gefährden. Um das Ausmaß einer Attacke verstehen zu können, müssen Sie daher in der Lage sein, Informationen von vielen Computern zu koordinieren und zu konsolidieren.

Wenn Ihre Protokolldienstprogramme die erfassten Informationen in eine Datenbank importieren, ist die Koordination der Informationen aus mehreren Protokollen einfacher. Solange die Zeit auf allen Computern synchronisiert ist, können Sie Ereignisse basierend auf Zeitfeldern sortieren und deren Verfolgung durch die Verwendung von Zeitintervallen vereinfachen.

Im folgenden Abschnitt werden einige der Tools und Dienstprogramme vorgestellt, mit denen Sie Ereignisprotokollinformationen an einem zentralen Speicherort sammeln können.

Skripting

Sie können Skripte erstellen, die Ereignisprotokollinformationen von Remotecomputern an einem zentralen Speicherort sammeln und speichern. Die Verwendung von Skripten ermöglicht das Festlegen des Zeitpunkts für die Skriptausführung mithilfe von Geplante Tasks und der nach dem erfolgreichen Kopieren des Ereignisprotokolls an den zentralen Speicherort auszuführenden Aktionen.

Ein einfaches Beispiel hierfür ist das Erstellen einer Batchdatei, die Dumpel.exe aus dem Windows 2000 Server Resource Kit verwendet, und das regelmäßige Starten dieser Batchdatei mit dem Feature Geplante Tasks in der Systemsteuerung.

Das Windows 2000 Resource Kit, Supplement 1 enthält das Perl-Skript Eventquery.pl. Dieses Skript dient zur Anzeige von Ereignissen aus den Ereignisanzeigeprotokollen auf lokalen Computern und Remotecomputern, die Windows 2000 ausführen, und es enthält zahlreiche Filter für die Suche nach spezifischen Ereignissen.

Hinweis: Zur Verwendung dieses Skripts müssen Sie ActivePerl aus dem Windows 2000 Server Resource Kit installieren.

Contoso verwendet zurzeit keine Lösung zur Ereignissammlung. Geplant ist jedoch die Verwendung des im kommenden Jahr erscheinenden Microsoft Überwachungssammelsystems (MACS). MACS ist ein Tool zur Sammlung von Sicherheitsereignissen, das Ereignisse unter Verwendung von Komprimierung, Signierung und Verschlüsselung auf sichere Weise sammelt. Die gesammelten Ereignisse werden in eine SQL-Datenbank geladen und für Analysezwecke optimiert.

Microsoft Operations Manager

Microsoft Operations Manager (MOM) 2000 enthält zahlreiche Tools, die Unternehmen eine gründliche Analyse der vordefinierten Ereignisberichterstattung und Leistungsüberwachung von Windows 2000 und der zugehörigen Anwendungen ermöglichen. Durch die Verwendung von intelligenten Agenten auf Remotecomputern kann MOM 2000 Ereignisse und Leistungsdaten an einem einzigen Speicherort sammeln, speichern und melden. Auf diesen Weise wird Administratoren die zentrale Überprüfung der gesammelten Informationen ermöglicht.

Das Hauptverwaltungsbündel von MOM 2000 sammelt in den System-, Anwendungs- und Sicherheitsprotokollen aufgezeichnete Ereignisse und fasst diese in einem zentralen Repository zusammen.

Hinweis: MOM 2000 speichert die erfassten Informationen in einer SQL Server-Datenbank und stellt mehrere Methoden zum Abrufen und Analysieren der archivierten Daten bereit. Administratoren können die Operations Manager-Administratorkonsole, die Webkonsole oder die Operations Manager-Berichterstattung zum Anzeigen, Drucken und Veröffentlichen der Daten verwenden. Jede Ansicht enthält vordefinierte Ansichten zum Analysieren der archivierten Daten und ermöglicht die Definition von angepassten Ansichten und Berichten.

Drittanbieterlösungen für die Ereignisprotokollsammlung

Mehrere Drittanbieterprodukte sind verfügbar, die eine zentrale Sammlung und Überprüfung von Ereignisprotokollen bieten. Beziehen Sie die folgenden Features bei der Auswahl von Drittanbieterprodukten in Ihre Überlegungen ein:

Die folgenden Drittanbieterprodukte bieten Funktionen zur Ereignissammlung:

Aktive Erkennungsmethoden

Aktive Eindringungserkennungssysteme analysieren eingehenden Verkehr auf der Anwendungsebene und suchen dabei nach bekannten Angriffsmethoden oder verdächtigen Nutzlasttypen auf Anwendungsebene. Wenn ein verdächtiges Paket empfangen wird, verwirft das Eindringungserkennungssystem das Paket normalerweise, und es schreibt einen Eintrag in eine Protokolldatei. Einige Eindringungserkennungssysteme können einen Administrator bei Erkennung einer schwerwiegenden Attacke auch warnen.

Drittanbieterlösungen für die Eindringungserkennung

Sowohl für Netzwerk- als auch für Endpunkt-Eindringungserkennungssysteme sind Lösungen von Drittanbietern erhältlich. Diese Drittanbieterlösungen bieten Unterstützung für andere Protokolle als HTTP (Hypertext Transfer Protocol), und sie überprüfen auch, ob bekannte Attacken gegen Netzwerkcomputer vorliegen.

Eindringungserkennungssysteme sollten die folgenden allgemeinen Attackentypen erkennen:

Ein gutes Eindringungserkennungssystem sollte diese drei Formen von Attacken identifizieren. Zum Identifizieren von Attacken werden zwei unterschiedliche Methoden verwendet:

Die folgenden Drittanbieterprodukte sind zum Beispiel für Tests und für die Bereitstellung verfügbar:

Bewertung der Sicherheitslücken

Neben der passiven und aktiven Eindringungserkennung sollten Sie auch regelmäßig eine Bewertung der Sicherheitslücken vornehmen. Bei der Bewertung von Sicherheitslücken wird eine Attacke auf das Netzwerk simuliert, und die Sicherheitslücken, die ein Angreifer finden würde, werden aufgedeckt.

Durch regelmäßige Bewertungen können Sie Sicherheitslücken ausfindig machen, bevor Ihnen ein Angreifer zuvorkommt, und Sie können den geschwächten Netzwerkteil zum Eindämmen des Sicherheitsrisikos sichern.

Bei der Auswahl eines Tools für die Sicherheitslückenbewertung sollten Sie die folgenden Anforderungen in den Entscheidungsprozess einfließen lassen:

Für die Bewertung von Sicherheitslücken in einem Windows 2000-Netzwerk stehen mehrere Tools von Drittanbietern zur Verfügung. Dazu zählen:

Eine unter Umständen besser geeignete Alternative ist die Beauftragung eines Consulting-Service mit der Überprüfung der Sicherheitslücken. Der Vorteil eines Drittanbieter-Services besteht darin, dass Außenstehende keine Vorkenntnisse über das Netzwerk besitzen und für ihre Arbeit denselben Ausgangspunkt verwenden wie externe Angreifer. Aufgrund der Neutralität des Bewertungsteams liefern diese externen Bewertungen in vielen Fällen die nützlichsten Informationen.

Zum Seitenanfang

Zusammenfassung

Überwachung und Eindringungserkennung sind ein wesentlicher Bestandteil der Entwicklung einer effektiven Verteidigung für Ihre Umgebung. Im Rahmen der Risikoanalyse sollten Sie feststellen, wie umfangreich die Überwachung und Eindringungserkennung für Ihre Umgebung sein muss. Für die Eindringungserkennung mit mehreren Protokollen sollten Sie möglicherweise die Verwendung von Drittanbietertools in Erwägung ziehen.

Zum Seitenanfang

Weitere Informationen

Weitere Informationen zur Verwendung von Benutzerrechten finden Sie unter Sichere Software programmieren von Michael Howard und David LeBlanc (Microsoft Press, ISBN: 3-86063-674-x).

Partnerinformationen für ISA-Server: http://www.microsoft.com/isaserver/partners.

ISA Server Solution Developers Kit (SDK):
http://www.microsoft.com/isaserver/techinfo/productdoc/2000/SDKdownload.asp.

Weitere Informationen zur Gruppenrichtlinien-Verwaltungskonsole finden Sie unter:
http://www.microsoft.com/windowsserver2003/gpmc/gpmcwp.mspx.

Zum Seitenanfang

4 von 8