Bedrohungen und Gegenmaßnahmen

Dieses Handbuch dient als Referenz für die Sicherheitseinstellungen, die Gegenmaßnahmen für bestimmte Bedrohungen in Bezug auf aktuelle Versionen von Microsoft® Windows®-Betriebssystemen zur Verfügung stellen.

Dieses Handbuch ist ein Begleithandbuch zu zwei anderen Veröffentlichungen von Microsoft:

Viele der in diesem Handbuch beschriebenen Gegenmaßnahmen sind nicht für bestimmte Computerrollen in den Begleithandbüchern vorgesehen, und einige sogar für überhaupt keine Rollen. Mit diesen Gegenmaßnahmen können Kompatibilität, Benutzerfreundlichkeit, Verwaltbarkeit, Verfügbarkeit und Leistung sichergestellt werden.

An dieser Stelle sei noch einmal darauf hingewiesen, dass Sicherheit und Funktionalität miteinander im Widerstreit stehen: Je höher die Sicherheit, desto mehr leidet die Funktionalität und umgekehrt. Zwar gibt es Ausnahmen (einige Gegenmaßnahmen zur Erhöhung der Sicherheit tragen sogar zur Verbesserung der Funktionalität bei), zum größten Teil ist dieses Prinzip jedoch gültig.

Die Kapitelstruktur in diesem Handbuch ähnelt der Anzeigestruktur der Hauptabschnitte für die Einstellungen in der Benutzeroberfläche des Gruppenrichtlinienobjekt-Editors. Jedes Kapitel beginnt mit einer kurzen Beschreibung des Kapitelinhalts. Darauf folgt eine Liste der Abschnittsüberschriften, die jeweils einer Einstellung oder einer Gruppe von Einstellungen entsprechen. (Diese Einstellungen werden in der Microsoft Excel®-Arbeitsmappe aufgeführt, die weiter unten in diesem Kapitel beschrieben wird.) Jeder Unterabschnitt enthält eine kurze Beschreibung der Gegenmaßnahme sowie die folgenden drei zusätzlichen Unterabschnitte:

Kapitel 2, „Richtlinien auf Domänenebene“, beginnt z. B. mit den folgenden Abschnitten:

Kontorichtlinien

Diese Strukturierung wiederholt sich im gesamten Handbuch. Zusammengehörige Einstellungen werden jeweils in einem einzigen Abschnitt dargestellt. In Kapitel 5, „Sicherheitsoptionen“, sind z. B. alle vier Einstellungen im Abschnitt „Microsoft-Netzwerk (Client und Server): Kommunikation digital signieren (vier zughörige Einstellungen)“ enthalten. Zu diesen Einstellungen gehören u. a.:

Obwohl in diesem Handbuch viele Gruppenrichtlinieneinstellungen dokumentiert sind, werden die zur Umgebungsverwaltung in Organisationen vorgesehenen Einstellungen ausgeklammert. Dieses Handbuch konzentriert sich auf die Einstellungen und Funktionen unter Microsoft Windows Server™ 2003 mit SP1 und Windows XP mit SP2, die zur Sicherung des Unternehmens gegen bestimmte Bedrohungen verwendet werden können. Die nach Einführung dieser Service Packs hinzugefügten Einstellungen und Funktionen oder die durch neue Softwareversionen verfügbar gewordenen zusätzlichen Funktionen werden in diesem Handbuch nicht besprochen. Außerdem finden die Verwaltungsfunktionen und die von Administratoren nicht konfigurierbaren Sicherheitsfunktionen in diesem Handbuch keine Erwähnung.

Die Informationen in diesem Handbuch sollen Ihnen und Ihrer Organisation lediglich helfen, die Gegenmaßnahmen zu verstehen, die in den aktuellen Versionen der Windows-Betriebssysteme verfügbar sind. Eine ausführliche Anleitung zum Verwenden der Einstellungen für bestimmte Szenarien finden Sie in den zwei Begleithandbüchern:

Die in diesem Handbuch enthaltene Microsoft Excel-Arbeitsmappe „Standardkonfiguration für Sicherheit und Dienste unter Windows“ beschreibt die Standardeinstellungen. Auf dem ersten Arbeitsblatt („Windows Server 2003-Standardeinstellungen“) werden alle Standardeinstellungen der Gruppenrichtlinien von Windows Server 2003 ausführlich dargestellt. Dieses Arbeitsblatt enthält folgende Spalten:

„Wirksame Standardeinstellung“ bedeutet, dass es sich um die tatsächliche, im System aktive Einstellung handelt, wenn keine Sicherheitseinstellungen geändert wurden. Die wirksame Einstellung in einem System wird festgelegt, wenn beim Hochfahren des Computers die Gruppenrichtlinie durch das Gruppenrichtlinienmodul verarbeitet wird. Wie die Einstellungsprioritäten vom Modul vergeben werden, wird im Windows Server 2003-Sicherheitshandbuch im Kapitel 2, „Absicherungsmechanismen von Windows Server 2003“, im Abschnitt „Gruppenrichtlinienanwendung“ beschrieben.

Um die Lesbarkeit der Tabellen zu erleichtern, wurden zusätzliche Spalten zur Verdeutlichung der Objekthierarchie innerhalb des Gruppenrichtlinien-Editors eingefügt. Die Spalten A bis G stellen dabei jeweils eine Ebene der Hierarchie dar. Computer Configuration (Computerkonfiguration) wird z. B. in Spalte A und Security Settings (Sicherheitseinstellungen) in Spalte C angezeigt. Spalte I wurde ebenfalls zur Verbesserung der Lesbarkeit eingefügt.

Auf dem zweiten Arbeitsblatt („Windows Server 2003-Systemdienste“) sind alle unter Windows Server 2003 verfügbaren Dienste aufgeführt. Dieses Arbeitsblatt enthält folgende Spalten:

Das Format der zusätzlichen Arbeitsblätter („Windows XP-Standardeinstellungen“ und „Windows XP-Systemdienste“) ähnelt diesen beiden Arbeitsblättern. Sie enthalten Informationen zu den Sicherheitseinstellungen und Diensten unter Windows XP.

Auf dieser Seite

	Zusammenfassungen der Kapitel
	Tools und Vorlagen

Zusammenfassungen der Kapitel

Windows Server 2003 mit SP1 und Windows XP mit SP2 stellen mit ihren verbesserten Sicherheits- und Datenschutzfunktionen die bislang zuverlässigsten Versionen dieser Betriebssysteme dar. Dieses Handbuch umfasst zwölf Kapitel. In Kapitel 2 bis 6 werden die Schritte erläutert, die zur Erstellung einer sicheren Umgebung beitragen. In jedem Kapitel sind umfassende Verfahren beschrieben, mit denen Computer gesichert werden können, die diese Betriebssysteme verwenden.

Kapitel 1: Einführung zu Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP

Dieses Kapitel enthält einen Überblick über das Handbuch, einschließlich einer Beschreibung der Zielgruppe, der im Handbuch beschriebenen Probleme und der allgemeinen Zielsetzung.

Kapitel 2: Richtlinien auf Domänenebene

In diesem Kapitel werden die auf Domänenebene angewendeten Gruppenrichtlinieneinstellungen erläutert: Kennwortrichtlinien, Kontosperrungsrichtlinien und Richtlinien für das Authentifizierungsprotokoll Kerberos. Diese Richtlinien werden in ihrer Gesamtheit auch als Kontorichtlinien bezeichnet.

Kapitel 3: Überwachungsrichtlinie

In diesem Kapitel werden die Überwachungsrichtlinien erläutert, mit denen Sicherheitsmaßnahmen überwacht und durchgesetzt werden. Es enthält Beschreibungen zu den verschiedenen Einstellungen und Beispiele für die Auswirkungen auf die Überwachungsinformationen, wenn die Einstellungen geändert werden.

Kapitel 4: Benutzerrechte

In diesem Kapitel werden die verschiedenen Anmelderechte und Berechtigungen erläutert, die von Windows-Betriebssystemen zur Verfügung gestellt werden. Darüber hinaus erfahren Sie, welchen Konten diese Rechte zugewiesen werden sollten.

Kapitel 5: Sicherheitsoptionen

In diesem Kapitel wird der Gruppenrichtlinienabschnitt „Sicherheitsoptionen“ vorgestellt. Außerdem enthält es Anleitungen zu Sicherheitseinstellungen für digitale Datensignaturen, Namen von Administrator- und Gastkonten, Zugriff auf Disketten- und CD-ROM-Laufwerke, Verhalten bei Treiberinstallation sowie Anmeldeaufforderungen.

Kapitel 6: Ereignisprotokoll

Dieses Kapitel enthält Anleitungen zum Konfigurieren der Einstellungen, die sich auf verschiedene Ereignisprotokolle von Windows Server 2003- und Windows XP-Computern beziehen.

Kapitel 7: Systemdienste

Windows XP und Windows Server 2003 enthalten verschiedene Systemdienste. Viele dieser Dienste werden standardmäßig ausgeführt. Einige Dienste sind jedoch erst vorhanden, wenn bestimmte Komponenten installiert wurden. In diesem Kapitel werden die verschiedenen Dienste aufgeführt, die in den Betriebssystemen enthalten sind. Darüber hinaus erhalten Sie spezielle Empfehlungen dazu, welche Dienste aktiviert bleiben müssen und welche Dienste ohne Sicherheitsrisiko deaktiviert werden können.

Kapitel 8: Richtlinien für Softwareeinschränkungen

Dieses Kapitel enthält einen kurzen Überblick über die Richtlinien für Softwareeinschränkungen, die mit Windows XP und Windows Server 2003 eingeführt wurden. Außerdem finden Sie Links zu weiteren Quellen, die Ihnen Informationen zum Entwerfen und zur Verwendung von Richtlinien für Softwareeinschränkungen bieten.

Kapitel 9: Administrative Vorlagen für Windows XP und Windows Server 2003

In diesem Kapitel werden die Einstellungen aufgeführt, die über die administrativen Vorlagen für Gruppenrichtlinien zur Verfügung stehen. Hierbei werden nicht alle verfügbaren Einstellungen untersucht, sondern in erster Linie die sicherheitsrelevanten Einstellungen erläutert.

Kapitel 10: Zusätzliche Registrierungseinträge

Dieses Kapitel enthält Informationen zu zusätzlichen Registrierungseinträgen, die nicht in der administrativen Vorlagendatei aufgeführt werden, sondern in der Baseline-Sicherheitsvorlage vorhanden sind. Hier finden Sie Anweisungen dazu, wie die Benutzeroberfläche des Sicherheitskonfigurations-Editors geändert werden kann, um diese Einträge in der Benutzeroberfläche offen zu legen. Darüber hinaus sind zusätzliche, unter Windows XP SP2 und Windows Server 2003 SP1 verfügbare Registrierungseinträge enthalten.

Kapitel 11: Zusätzliche Gegenmaßnahmen

In diesem Kapitel wird eine Reihe von zusätzlichen Sicherheitsmaßnahmen beschrieben, die u. U. auf Computer angewendet werden müssen. Die Anwendung dieser Gegenmaßnahmen kann jedoch nicht einfach über Gruppenrichtlinien oder andere automatisierte Verfahren erfolgen. Zu diesen Gegenmaßnahmen gehören Kontosicherung auf Mitgliedsservern, NTFS-Einstellungen, Trennung von Daten und Anwendungen, SNMP-Communitynamenseinstellungen, Deaktivierung von NetBIOS-Bindungen, Terminaldienstekonfiguration, Dr. Watson, IPSec-Richtlinien und ein Hinweis auf umfassende Anleitungen zur Windows-Firewall.

Kapitel 12: Zusammenfassung

Im letzten Kapitel werden die wichtigen Punkte des Handbuchs in einem kurzen Überblick über die in den vorhergehenden Kapiteln besprochenen Themen zusammengefasst.

Zum Seitenanfang

Tools und Vorlagen

Im Rahmen der herunterladbaren Version dieses Handbuchs ist eine Gruppe von Dateien verfügbar, mit denen die empfohlenen Gegenmaßnahmen für Ihre Organisation ausgewertet, getestet und implementiert werden können. Diese Dateien werden in ihrer Gesamtheit auch als Tools und Vorlagen bezeichnet.

Die Dateien befinden sich in einer MSI-Datei innerhalb eines selbstextrahierenden WinZip-Archivs. Die Archivdatei enthält dieses Handbuch und ist im Microsoft Download Center unter http://go.microsoft.com/fwlink/?LinkId=15160&clcid=0x409 verfügbar. Bei Ausführung der MSI-Datei wird im gewünschten Verzeichnis folgende Ordnerstruktur erstellt:

Zum Seitenanfang

2 von 14