Betriebssystem-Sicherheit 15 Schritte um einen Windows Server 2003 zu härten

Microsofts Windows Server 2003 ist von haus aus schon ein sehr sicheres System, das von vorne herein die meisten potenziellen Schlupflöcher erst einmal deaktiviert hat. Mit ein paar einfachen Schritten können Sie diese Out-of-the-box-Sicherheit aber noch beträchtlich erhöhen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Microsoft Deutschland GmbH

Schritt 1: Seien Sie konsequent mit den Kennwörtern.

Hauptkriterien: Setzen Sie auf eine starke Authentifizierung, in dem Sie die Verwendung von Passphrases (längere Passwörter) empfehlen und von den Anwendern mindestens 15-Zeichen lange Passwörter fordern.

Schritt 2: Verwenden Sie Windows XP Software Restriction Policies (Software-Einschränkungsregeln) durch Gruppenrichtlinien.

Hauptkriterien: Verwenden Sie Gruppenrichtlinien, um alle Erweiterungen (Extensions) zu blockieren, die mit Skripts verbunden sind und verhindern Sie die Ausführung von potentiell besonders gefährlichen Programmen (cmd, exe, regedit.exe).

Schritt 3: Aktivieren Sie Internet-Verbindungs-Firewalls (Internet Connection Firewalls, ICF).

Hauptkriterien: Fast jede Maschine in Ihrem Unternehmen kann davon profitieren, eine Firewall zu verwenden. ICF blockiert nur eingehenden Verkehr und verwendet zustandsbehaftete Paketinspektion (statefull packet inspection) sowie ermöglicht Ihnen das Öffnen von besonderen Ports.

Schritt 4: Löschen Sie LM-Haschees (LAN Manager Hashes).

Hauptkriterien: Um LM Haschees zu entfernen, fordern Sie 15-Zeichen lange (Minimum) Kennwörter und aktivieren Sie die Sicherheitsoption „Netzwerk Sicherheit: Speichern Sie keinen LAN-Manager-Hash-Wert bei der nächsten Kennwortänderung.“

Schritt 5: Stärken Sie den TCP/IP-Stapel.

Hauptkriterien: Sie sollten Windows-Systeme nicht direkt an das Internet anschließen. Stattdessen steigern Sie das RAM für TCP-Verbindungen und vermindern Sie die Auszeitwerte für das 3-Wege-Handshake.

Schritt 6: Fordern Sie die Digitale Signierung (SMB).

Hauptkriterien: SMB Signierung hilft Ihnen, den Mann-in-der-Mitte-Angriff zu verhindern.

Schritt 7: Härten Sie Ihre Netzwerkrichtlinien.

Hauptkriterien: Sie sollten Einstellungen wie „Keine anonyme Auflistung von SAM“ ermöglichen und Einstellungen wie „Erlaube anonymes SID/Namen Übersetzung“ verhindern. Dies kann als Sicherheit durch Verschleierung betrachtet werden, aber es ist ein wichtiger Bestandteil von gehärteten Windows Systemen.

Schritt 8: Nutzen Sie den Software-Aktualisierungsdienst (SUS, Software Update Service).

Hauptkriterien: Sie sollten immer den SUS oder ein anderes Schwachstellen- Management-System verwenden, um die aktuellsten Patches zu erhalten und zu verteilen.

Schritt 9: Absperren, unter Quarantäne stellen, keimfrei machen.

Hauptkriterien: Dies ist ein sehr wichtiger Schritt. Mit Hilfe einer Netzzugangs-Quarantäne-Kontrolle sollten Sie Ressourcen für bestimmte Clients begrenzen oder sperren. Clients, die nicht unter Quarantäne stehen, sollten Sie in einen gesperrten Bereich stellen, um die Systemattribute zu überprüfen und bei entdeckten Schwachstellen zu beheben und erst dann eine Verbindung zulassen.

Schritt 10: Planen Sie das Schlimmste ein.

Hauptkriterien: Um sich auf Katastrophen einzustellen, verwenden Sie Skripts, um 80 Prozent Ihrer Infrastruktur automatisch aufzubauen und geben Sie sich sehr viel mehr Zeit um die übrigen 20 Prozent manuell zu rekonstruieren.

Schritt 11: Besorgen Sie sich die Gruppenrichtlinien-Management-Konsole.

Hauptkriterien: Es ist jetzt leichter als jemals zuvor, Gruppenrichtlinien zu verwenden, um Sicherheitspolitiken auf den Systemen einzurichten - und Sie sollten dies ausnützen.

Schritt 12: Benutzen Sie den Microsoft Baseline Security Analyzer (MBSA)

Hauptkriterien: Dies ist ein praktisches Tool, das benutzt wird, um Computer auf Windows Aktualisierung zu untersuchen. Es wird ständig von Microsoft aktualisiert und es unterstützt eine Vielzahl von Produkten.

Schritt 13: Machen Sie sich mit IPsec vertraut.

Hauptkriterien: IP ist zu öffentlich, um nicht verschlüsselt zu werden. Sie sollten IPsec verwenden, um Übertragungen zwischen Servern, Client-Tunneln und Punkt-zu-Punkt-IP-Geschäften zu schützen, bei denen beide Enden IPsec lesen können.

Schritt 14: Verwenden Sie den Internet Information Service (IIS) 6.0.

Hauptkriterien: Dank der vielen neuen Sicherheitsverbesserungen ist der IIS endlich sicher genug für alle Hauptanwendungen.

Schritt 15: Spielen Sie mit dem Windows Server 2003 Servicepack 1.

Hauptkriterien: Mit der Freigabe Mitte 2005 schließen die Verbesserungen einen Sicherheitskonfigurations-Wizard und Remote-Client-Quarantäne ein.

(ID:2000254)