Microsoft Server 2003 Domänen mit Gruppenrichtlinien absichern Gruppenrichtlinien im Fokus der Client-Sicherheit und Erweiterbarkeit

Über Microsoft Active Directory können Domänen mit Hilfe von Gruppenrichtlinien abgesichert werden. Security-Insider gibt Ihnen hier wichtige Tipps mit denen Sie mehr Client-Sicherheit mit Gruppenrichtlinienobjekten erreichen. Außerdem zeigen wir Ihnen wie Sie die Integration zukünftiger Betriebssysteme und Anwendungen in ein solches Sicherheitskonzept planen.

Anbieter zum Thema

Dell GmbH

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Mit Gruppenrichtlinien können innerhalb einer Active Directory-Gesamtstruktur bestimmte Benutzer- und Computereinstellungen eingerichtet werden. Diese werden direkt in die Registry des Microsoft-Betriebssystems geschrieben und verbleiben solange, bis sie wieder von einer Richtlinie neu überschrieben werden. Die Verwaltung erfolgt zentral, d.h. eine manuelle Einrichtung auf Computergeräten ist nicht mehr notwendig und erspart dem administrativen IT-Stab viel Arbeit.

Sicherheitsrelevante Einstellungen sind in den meisten Fällen unter den Diensten bzw. Anwendungen in einem Knoten zusammengefasst und entsprechend der Funktion benannt (z. B. „Sicherheit“). Gemäß dem Sicherheitsstatus von Benutzern und Computergeräten können differenzierte Einstellungen veranlasst werden. So können beispielsweise für Laptops andere Absicherungen gelten, wie für Standgeräte.

Die Einstellungen der Gruppenrichtlinien sind in sog. Gruppenrichtlinienobjekten gespeichert, den GPOs (Group Policy Objects). Ein Vorteil dieser Objektorientiertheit ist, dass die GPOs an bestimmte Active Directory-Objekte, wie Standorte, Domänen und Organisationseinheiten angedockt werden können. Wird das GPO verändert, so verändern sich auch die Einstellungen in den verlinkten Containern. Ausnahmen gibt es dann, wenn es aufgrund der hierarchischen Active Directory-Struktur zu Überschreibungen kommt, oder wenn das Vererben der übergeordneten Einstellungen blockiert wird.

Die resultierenden Einstellungen werden dann unübersichtlich, wenn viele Gruppenrichtlinien sich überschreiben und dann an bestimmten Stellen auch noch blockiert werden. Auch verlangsamen viele Richtlinien den Anmeldevorgang des Clients an die Active Directory, was sich besonders stark bemerkbar macht, wenn es sich um ältere Netzwerkclients handelt. Damit die resultierenden Einstellungen gut zu verwalten sind, ist die Verwendung einer Group Policy Management-Konsole zu empfehlen (siehe Abbildung 1), die in englischer und in deutscher Sprache kostenlos von der Microsoft Homepage erhältlich ist. Mit dieser Konsole – wie auch mit dem Programm Gpresult.exe - kann ein Richtlinienergebnissatz (RSoP, Resultant Set of Policy) erstellt werden, der im wesentlichen Maße Fehler in den Einstellungen verhindern hilft.

Sieben Bereiche, die sich sicherer machen lassen!

Bei der Betrachtung, ob es sich um eine Server- oder ein Clientabsicherung handelt, kann es eine Reihe von Überschneidungen geben. Ein anderer Server wird insoweit wieder zum Client, wenn er Dienste eines anderen Servers verwendet. Insgesamt kann man hier die Sicherheitsoptionen in drei Klassen unterteilen: die Benutzerverwaltung, die Sicherheitsoptionen von Anwendungen und die Datenkommunikation zwischen den Active Directory-Mitgliedern.

Einstellbar sind:

• Sicherheitseinstellungen, wie Kennwortrichtlinien, Zuweisen von Benutzerrechten (User Rights Assignment) und Überwachungsrichtlinien, die die Benutzer bzw. Clientcomputer innerhalb einer Domäne betreffen.
• Sicherheitsoptionen von Anwendungen, wie beispielsweise der Windows Media Player, Internetbrowser oder Office-Suiten. Die Einstellungen der Anwendungen können über eine spezielle Vorlage (Template) in ein GPO importiert werden.
• IPSec-Dienste, die den Datentransfer im Netzwerk verschlüsseln.
• Richtlinien für öffentliche Schlüssel, wie das verschlüsselte Dateisystem (EFS), automatische Zertifikatsanforderung, Unternehmensvertrauen und vertrauenswürdige Stammzertifizierungsstellen. Diese Einstellungen sind für ein PKI (Public Key Infrastructure) notwendig.
• Richtlinien für die Softwareeinschränkung, um nur ausgewählte Anwendungen zuzulassen. Damit kann auch verhindert werden, dass bösartiger Programmcode ausgeführt wird.
• IP Sicherheitsrichtlinien auf Active Directory-Ebene, um die Kommunikation zwischen Server und Client festzulegen.
• Drahtlosnetzwerkrichtlinien, um Authentifizierung und Datenverschlüsselung für ein WAN-Netzwerk einzurichten.

Gruppenrichtlinien wachsen mit den Anforderungen

Da die Verwaltung über Gruppenrichtlinien beliebig erweiterbar ist, können auch künftige Betriebssysteme und Anwendungen in ein GPO integriert werden. Für die geläufigen Microsoft-Anwendungen stellt Microsoft Vorlagendateien bereit (ADM-Dateien), die von der Homepage heruntergeladen werden können. Derzeit sind beispielsweise Vorlagendateien für den Internet Explorer 7 und das Office 2007 zu empfehlen. Bei anderen Anwendungen, wie beispielsweise dem Firefox, ist man auf andere Quellen angewiesen – es sei denn, man baut sich mit einem speziellen Editor (von Microsoft) seine Gruppenrichtlinie „selbst“ zusammen.

Sicherheitseinstellungen für den Client können beispielsweise sein:

• Sicherheitseinstellungen für Windows Komponenten, wie zum Beispiel für den Internet-Browser. Diese Einstellungen sind unter „Administrative Vorlagen“ zu finden, wie Abbildung 2 veranschaulicht. Hier können für den Client u. a. Proxyeinstellungen, vertrauenswürdige Zonen, ActiveX-Controlls oder Einstellungen für Java-Applets getätigt werden. Unter „Internet Systemsteuerung“ können insbesondere Installationen für den Browser gesteuert werden, d. h. Erweiterungen des Internetbrowsers sind so zu unterbinden. Des Weiteren können Einstellungen auf der „Sicherheitsseite“ den Internetbrowser zusätzlich absichern.
• Sicherheitseinstellungen im Outlook 2007 (Spam-Behandlung, öffnen von Anhängen, verschlüsselte E-Mailverkehr, usw.), wie in der Bildergalerie am Beispiel des automatischen Downloads dargestellt ist.

Fazit

Mit Gruppenrichtlinien können sicherheitsrelevante Einstellungen für das Clientbetriebssystem und für die Applikationen eingerichtet werden. Für künftige Betriebssysteme und Anwendungen (z. B. Microsoft Vista und Office 2007) können Vorlagendateien in ein GPO importiert werden. Gruppenrichtlinien reagieren dynamisch, was bei Sicherheitseinstellungen eine wichtige Rolle spielt, denn abhängig vom Benutzer und Computer kann eine Zuweisung von System- und Anwendungsprivilegien erfolgen. Die Verwaltung von Gruppenrichtlinien erfolgt zentral, dass heißt, der Administrationsaufwand verringert sich drastisch. Das zusätzlich erhältliche Tool Group Policy Management-Konsole vereinfacht die Administration zusätzlich.

(ID:2010122)