Server Hardening – Laufwerke, Dienste und Ports absichern

Anbieter zum Thema

PANDUIT

DAXTEN GmbH

Kentix GmbH

Microsoft Deutschland GmbH

Schritt 2: Sicherheitsrichtlinien mit Security Configuration Wizard erstellen

Nun beginnt die eigentliche Arbeit. Am einfachsten lässt sich Windows Server 2003 mit dem Sicherheitskonfigurations-Assistenten (Security Configuration Wizard, SCW) absichern. Dieser führt den Administrator schrittweise durch die Erstellung einer Sicherheitsrichtlinie, basierend auf der Serverrolle im Netzwerk (siehe Bild 1 der Bildergalerie).

Der Security Configuration Wizard unterscheidet sich vom reinen Konfigurationsassistenten (Configure Your Server Wizard) darin, dass er keine Server-Komponenten installiert. Mit dem SCW kann man Ports und Dienste aufspüren sowie Registry- und Audit-Einstellungen konfigurieren.

Da der Sicherheitskonfigurations-Assistent nicht von Vornherein installiert ist, muss man dies manuell über die Software-Installation in der Systemsteuerung tun. Hierfür wählt man die Funktion Windows-Komponenten hinzufügen/entfernen und setzt einen Haken in der entsprechenden Checkbox vor dem Security Configuration Wizard. Nach der Installation lässt sich der SCW über Startmenü\Verwaltung aufrufen.

Regelwerke für Windows Server erstellen

Die mithilfe des SCW erstellten Sicherheitsrichtlien sind XML-Dateien, die zur Konfiguration von Diensten, der Netzwerksicherheit, bestimmter Registry-Werte, der Audit-Policies und der Internet Information Services (ISS) dienen. Über die Konfigurationsschnittstelle kann man neue Richtlinien erstellen, bestehende Regelwerke ändern und die Policy-Vorgaben auf andere Server im Netzwerk übertragen. Führt eine Policy zu Konflikten oder Instabilität, lässt sich der vorherige Zustand per Rollback wiederherstellen.

Der Security Configuration Wizard deckt sämtliche Sicherheitsgrundlagen für Server 2003 ab. Zunächst einmal widmet sich der Assistent der Sicherheitskonfigurations-Datenbank, die Informationen über die Rollen, Client-Funktionen, Administrative Möglichkeiten, Dienste und Ports enthält. Desweiteren lassen sich Regeln auch auf Grundlage der Anwendungen erstellen. So lassen die Ports für eine bestimmte Client-seitige Aufgabe, beispielsweise automatische Updates oder Backups, automatisch öffnen. Sobald die Anwendung beendet wird, schließt die Windows Firewall die bereitgestellten Ports.

Für erweiterte Sicherheit sorgen die Sicherheitseinstellungen für Netzwerk- und Registry-Protokolle sowie die SMB-Sicherheitssignaturen (SMB = Server Message Block). Für Verbindungen zu externen Ressourcen lässt sich der Grad der Authentifizierung mithilfe der Outbound Authentication Settings festlegen.

Die letzten Schritte des SCW befassen sich mit der Auditing-Policy. In seiner Grundkonfiguration kontrolliert Windows Server 2003 nur die erfolgreichen Aktivitäten. Auf einem gehärteten System sollten aber auch fehlgeschlagene Anfragen protokolliert und untersucht werden. Nach Abschluss des Wizard wird die Sicherheitsrichtlinie als XML-Datei gespeichert. Sie lässt sich sofort auf einem oder mehreren Servern einspielen und/oder zur späteren Verwendung heranziehen (Bild 2 der Bildergalerie).

Seite 3: Unnötige Accounts, Ports und Dienste abschalten oder löschen

(ID:2043799)