NAP unter Windows Server 2008 R2 konfigurieren

Unsichere Windows-Rechner aus dem Netzwerk aussperren NAP unter Windows Server 2008 R2 konfigurieren

28.03.2012Autor / Redakteur: Thomas Joos / Stephan Augsten

Unsichere Windows-Systeme sollten besser nicht aufs Netzwerk zugreifen. Mit dem Netzwerkzugriffschutz in Windows Server 2008 R2 können Unternehmen die Sicherheitskonfiguration aller Rechner und Server prüfen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

square-keeper-coin-color-2x (https://www.keepersecurity.com/de_DE/)

Keeper Security EMEA Ltd.

NAP erlaubt es, Windows-Rechner mittels Sicherheitsrichtlinien unter Quarantäne zu stellen.

Der Netzwerkzugriffsschutz (Network Access Protection, NAP) stellt sicher, dass anfällige Windows-Rechner gar nicht erst auf Netzwerk-Ressourcen zugreifen dürfen. Entspricht ein Client nicht den vorgegebenen Richtlinien, weil beispielsweise Patches fehlen oder der Virenscanner nicht aktuell ist, kann der Windows-Server den Zugriff des Clients unterbinden.

Mit NAP besteht auch die Möglichkeit, den Client zu Wartungsserver umzuleiten von denen er Aktualisierungen des Virenscanners erhalten kann. NAP stellt also sicher, ob die Sicherheitseinstellungen auf einem Computer ausreichen.

Damit können Unternehmen beispielsweise Risiken mobiler Geräte eindämmen, die auf Geschäftsreisen mit unsicheren Netzwerken in Kontakt gekommen sind. Der Sicherheitscheck funktioniert aber auch für Remote-Rechner, also wenn sich ein Mitarbeiter beispielsweise über eine legitime VPN-Verbindung von einem Internet-Café oder Heimarbeitsplatz aus mit dem Firmennetz verbinden möchte.

Netzwerkzugriffschutz in der Praxis

In Windows 7 ist der Netzwerkzugriffschutz in das Wartungscenter des Betriebssystems integriert. Die Konfiguration führen Administratoren über Gruppenrichtlinien durch.

Die Bildergalerie zeigt, wie die Network Access Protection richtig eingerichtet wird. Die entsprechenden Einstellungen hierfür finden sich im Bereich „Computerkonfiguration/(Richtlinien)/Windows-Einstellungen/Sicherheitseinstellungen/Netzwerkzugriffschutz“.

Bildergalerie

Um NAP einzurichten, muss der Administrator den Server-Manager starten – die eigentliche Installation und Konfiguration erfolgt über den Eintrag „Rollen/Netzwerkrichtlinien- und Zugriffsdienste“. Die Einstellungen finden Administratoren über „NPS/Netzwerkzugriffsschutz/Systemintegritätsprüfungen/Windows-Sicherheitsintegritätsverifizierung“. In der Mitte sind zunächst die Eigenschaften der Prüfung aufzurufen, zum Beispiel Windows-Sicherheitsintegritätsverifizierung. Hier können Administratoren festlegen, was Clients erfüllen müssen. Diese Systemintegritätsprüfungen bezeichnet Microsoft auch als Security Health Agents (SHA).

Über „NPS/Richtlinien/Integritätsrichtlinien“ legen Administratoren anschließend Richtlinien fest. Die Integritätsrichtlinie entscheidet, ob ein Client sicherheitskonform ist oder nicht. Abhängig ist das von der Systemintegritätsprüfung. Netzwerkrichtlinien basieren wiederum auf Integritätsrichtlinien. In Netzwerkrichtlinien steuern Administratoren wie sich Server gegenüber Clients verhalten sollen, welche die Prüfung bestehen und die Prüfungen nicht bestehen. Die NAP-Infrastruktur basiert daher auf Systemintegritätsprüfungen (System Health Validators), Integritätsrichtlinien (Health Policies) und Netzwerkrichtlinien (Network Policies).

Eine einfache Verwendung von NAP ist die Integration in DHCP. Unsichere Clients erhalten dann keine IP-Adresse oder eine IP-Adresse in einem sicheren Bereich des Netzwerks. Für die Verwendung müssen Administratoren zunächst die Systemintegritätsprüfungen konfigurieren, zum Beispiel die „Windows-Sicherheitsintegritätsverifizierung“. Anschließend muss eine Integritätsrichtlinie (Health Policy) erstellt werden, welche die konfigurierte Systemintegritätsprüfung verwendet. Zur Erstellung einer Integritätsrichtlinie klicken Administratoren mit der rechten Maustaste auf „Richtlinien/Integritätsrichtlinien“. Netzwerkrichtlinien erstellen Administratoren über „Richtlinien/Netzwerkrichtlinien“.

Hier lässt sich festlegen, wann ein Client zu welcher Integritätsrichtlinie gehören soll. Am einfachsten ist eine Struktur mit zwei Integritätsrichtlinien: Eine Richtlinie für Clients, die alle Tests bestehen und eine Richtlinie für Clients, die bei den Tests durchfallen. Für Systemintegritätsprüfungen können Unternehmen mehrere verschiedene Versionen von Systemintegritätsprüfungen einsetzen. So lassen sich in den Integritätsrichtlinien auch unterschiedliche Systemintegritätsprüfungen nutzen die verschiedene Bereiche der Computer überprüfen. Eine Konfiguration kann zum Beispiel für bestimmte Rechner Virenschutz und Patches abprüfen, während eine andere Prüfung nur die Firewall überprüft. Dadurch können Unternehmen wesentlich flexibler mit dem Netzwerkzugriffschutz arbeiten

Bildergalerie mit 9 Bildern

(ID:32686870)

Unsichere Windows-Rechner aus dem Netzwerk aussperren NAP unter Windows Server 2008 R2 konfigurieren

Netzwerkzugriffschutz in der Praxis

Karrierechancen