Microsoft-Sicherheitsempfehlung (906574)

Zweck dieser Sicherheitsempfehlung: Erläuterung des Zwecks der einfachen Dateifreigabe unter Windows XP und deren Verwendung des Gastkontos.

Status der Empfehlung: Die Mitteilung wurde veröffentlicht.

Empfehlung: Lesen Sie die Empfehlung und ändern Sie dementsprechend zur Erhöhung der Sicherheit die Konfiguration.

Diese Empfehlung betrifft die folgende Software.

Was genau umfasst diese Empfehlung?
Diese Empfehlung erläutert die Funktion „Einfache Dateifreigabe“ von Windows XP sowie deren Verwendung des Gastkontos. Dieser „ForceGuest“ genannte Vorgang bringt keine Sicherheitsanfälligkeiten mit sich. ForceGuest aktiviert jedoch automatisch das Gastkonto, welches die Berechtigung erhält, über das Netzwerk auf das System zuzugreifen. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Ist dies eine Sicherheitsanfälligkeit, für die ein Sicherheitsupdate von Microsoft erforderlich ist?
Nein. Die einfache Dateifreigabe ist eine optionale Konfiguration, die manche Benutzer je nach dem aktivieren könnten. Auf Systemen, die mit einer Domäne verbunden sind, ist diese Funktion ist nicht verfügbar. Weitere Informationen zu dieser Funktion und ihrer richtigen Konfiguration finden Sie auf der folgenden Website. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Wie wird das Gastkonto aktiviert, und wie erhält es die Berechtigung, über das Netzwerk auf das System zuzugreifen?
Systeme unter Windows XP Professional, die Mitglieder einer Arbeitsgruppe sind, sowie Systeme unter Windows XP Home verwenden die einfache Dateifreigabe. Bei der einfachen Dateifreigabe muss ein Benutzer manuell den Netzwerkinstallations-Assistenten ausführen, der auf der folgenden Website dokumentiert ist. Der Netzwerkinstallations-Assistent kann auch mit der Option Klicken Sie hier, wenn Sie sich des Sicherheitsrisikos bewusst sind, aber Dateien dennoch freigeben möchten, ohne den Assistenten auszuführen umgangen werden, um die Konfiguration der einfachen Dateifreigabe abzuschließen. Durch diese Vorgänge wird das Gastkonto aktiviert und erhält die Berechtigung, vom Netzwerk aus auf das System zuzugreifen, denn das Gastkonto wird aus der lokalen Sicherheitsrichtlinie Zugriff vom Netzwerk auf diesen Computer verweigern entfernt. Wenn Sie das Gastkonto manuell aktivieren, erhält es keine Berechtigung, über das Netzwerk auf das System zuzugreifen.

Die Aktivierung der Datei- und Druckerfreigabe allein reicht nicht aus, um dem Gastkonto über das Netzwerk Zugriff auf das System zu gewähren. Sie müssen die im Abschnitt „Häufig gestellte Fragen (FAQ)“ dokumentierten Schritte manuell durchführen, um das Gastkonto zu aktivieren und diesem über das Netzwerk Zugriff auf das System zu gestatten. Sobald diese Schritte durchgeführt wurden, wird jede Verbindungsanforderung zur Datei- oder Druckerfreigabe erfolgreich als Gastkonto authentifiziert. Weitere Informationen über die einfache Dateifreigabe und deren Verwendung des Gastkontos finden Sie auf der folgenden Website. Systeme unter Windows XP Professional, die mit einer Domäne verbunden sind, sind nicht von diesem Problem betroffen. Systeme, die mit einer Domäne verbunden sind, verwenden die einfache Dateifreigabe nicht. Durch die Freigabe von Dateien oder Druckern auf Systemen, die mit einer Domäne verbunden sind, wird das Gastkonto nicht aktiviert und erhält auch keine Berechtigung, über das Netzwerk auf das System zuzugreifen. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Kann bei Systemen, die nicht mit einer Domäne verbunden sind, das Gastkonto über die einfache Dateifreigabe aktiviert werden?
Systeme unter Windows XP Professional, die mit einer Domäne verbunden sind, implementieren die Funktion „einfache Dateifreigabe“ nicht. Wenn jedoch unter Windows XP Professional durch die einfache Dateifreigabe das Gastkonto aktiviert worden ist, bevor das System mit einer Domäne verbunden wurde, bleibt das Gastkonto auch dann aktiviert, wenn das System später mit einer Domäne verbunden wird. Führen Sie die auf der folgenden Website dokumentierten Schritte durch, um das Gastkonto auf solchen Systemen zu deaktivieren. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Woran kann ich erkennen, ob diese Schritte auf meinem System durchgeführt worden sind?
Unter Windows XP Professional als Mitglied einer Arbeitsgruppe oder unter Windows XP Home können Sie mit dem folgenden Befehl schnell herausfinden, ob Ihr System für dieses Problem anfällig ist. Geben Sie an der Eingabeaufforderung Net User Gast ein. Wenn das Gastkonto in der Ergebnisliste als Konto aktiv – Ja aufgeführt ist, könnte Ihr System für dieses Problem anfällig sein, wenn dem Gastkonto außerdem die Berechtigung gewährt wurde, über das Netzwerk auf das System zuzugreifen. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Erkennt der Microsoft Baseline Security Analyzer (MBSA), ob auf einem System innerhalb meiner Domäne das Gastkonto aktiviert wurde?
Ja. Dass das Gastkonto aktiviert ist, heißt noch nicht, dass es über das Netzwerk Zugriff auf das System hat. Es empfiehlt sich jedoch, das Gastkonto zu deaktivieren, um unbeabsichtigte Netzwerkzugriffe zu blockieren. MBSA überprüft, ob auf einem System ein Gastkonto deaktiviert wurde, und meldet je nach Systemkonfiguration Erfolg oder Fehler.

Blockiert die Windows-Firewall etwaige Zugriffe, wenn das Gastkonto durch die einfache Dateifreigabe aktiviert worden ist?
Die einfache Dateifreigabe aktiviert automatisch eine Ausnahme in der Windows-Firewall, doch der Zugriff ist auf das lokale Subnetz begrenzt. Systeme unter Windows XP Service Pack 2 sind jedoch nicht anfällig für das in MS05-019 behandelte Problem, gleichgültig, ob die Firewall aktiviert ist oder nicht.

Wie deaktiviere ich das Gastkonto unter Windows XP Home?
Geben Sie an der Eingabeaufforderung Net User Gast /Active:No ein, um das Gastkonto auf Systemen zu deaktivieren, die mit einer Arbeitsgruppe verbunden sind. Durch die Deaktivierung des Gastkontos wird die einfache Dateifreigabe blockiert. Für Systeme, die nicht mit einer Domäne verbunden sind, die jedoch bei der Verwendung der einfachen Dateifreigabe verstärkt geschützt werden sollen, empfiehlt sich die Einrichtung eines Kennworts für das Gastkonto. Weitere Informationen zum Einrichten dieses Kennworts finden Sie im Abschnitt „Empfohlene Maßnahmen“ weiter unten. Unter Windows XP Service Pack 2 erhöht sich das Risiko für Ihr System nicht, wenn Sie die einfache Dateifreigabe und ForceGuest aktivieren.

Wie kann ich in meiner Domäne durch die Verwendung einer Gruppenrichtlinie erzwingen, dass das Gastkonto deaktiviert wird?
Dass das Gastkonto aktiviert ist, heißt noch nicht, dass es über das Netzwerk Zugriff auf das System hat. Es empfiehlt sich jedoch, das Gastkonto zu deaktivieren, um unbeabsichtigte Netzwerkzugriffe zu blockieren. Das Gastkonto kann durch eine Gruppenrichtlinie deaktiviert werden, indem sichergestellt wird, dass Konten: Gastkontenstatusin Ihrer Domäne auf Deaktiviert eingestellt ist.