Server Hardening – Laufwerke, Dienste und Ports absichern

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Microsoft Deutschland GmbH

Schritt 3: Unnötige Accounts, Ports und Dienste abschalten oder löschen

Während der Installation legt Windows Server 2003 automatisch drei lokale Benutzerkonten an: Administrator, Gast und ein Hilfskonto zur Remote-Unterstützung. Der Administrator erhält die größten Rechte, er kann Benutzerrechte erteilen und Zugriffe reglementieren. Dieser Master-Account lässt sich nicht löschen. Um Hackern den Zugriff zu erschweren, sollte das Administrator-Konto entweder komplett abgeschaltet oder zumindest der Nutzername geändert werden.

Anstelle dessen sollte man einem manuell erstellten User oder einem Gruppenobjekt administrative Rechte erteilen. Damit erschwert man nicht nur einem Hacker den Zugriff, sondern spielt auch noch den Auditing-Prozessen in die Hände. Denn wenn jeder aus der IT-Abteilung auf das Administrator-Konto zugreifen kann, hat man ein großes Sicherheitsproblem.

Analog dazu bieten auch Gast- und Remote-Konto einfache Angriffspunkte für all jene, die sich mit Windows Server 2003 auskennen. Unter dem Eintrag Verwaltung\Computerverwaltung im Startmenü lassen sich die beiden Accounts sowohl im Netzwerk als auch lokal deaktivieren. Mit einem Rechtsklick auf den jeweiligen Benutzernamen lässt sich über die Eigenschaften prüfen, ob das Konto deaktiviert ist.

Port ist Mord

Auch offene Ports sind kritische Angriffsvektoren, und ein Server benötigt nunmal nicht alle der 65.535 verfügbaren Ports. Das Service Pack 1 für Windows Server 2003 enthält eine Firewall, mit deren Hilfe ein Administrator überflüssige TCP- und UDP-Ports sperren kann.

Ports werden in drei Bereiche getrennt: Wohlbekannte Ports (0 bis 1.023), registrierte Ports (1.024 bis 49.151) und dynamische oder private Ports (49.152 bis 65.535). Die bekannten Ports werden für Betriebssystem-relevante Funktionen genutzt, registrierte Ports können nur von bestimmten Diensten oder Anwendungen verwendet werden. Beim Rest handelt es sich um frei zuteilbare Ports.

Ein Administrator sollte um die Ports wissen, die für kritische Funktionen verwendet werden. Deshalb sollte er sich eine Liste der Ports und der damit verknüpften Services und Anwendungen beschaffen. Mit dem frei erhältlichen Portscanner Nmap (Network Mapper) lässt sich einfach feststellen, welche Ports einer Maschine geöffnet bzw. geschlossen sind oder abgehört werden.

Auf dieser Grundlage kann der Admin die Ports bestimmter Anwendungen sperren, beispielsweise wenn er Telnet- oder FTP-Traffic verhindern möchte. Ebenso nutzen gängige Anwendungen und Schädlinge in der Regel bekannte, favorisierte Ports, die man deaktivieren kann. Im besten Fall sperrt man alle Ports, die für den Server und seine Aufgaben nicht von Bedeutung sind.

Die erfolgversprechendste Maßnahme beim Abhärten eines Servers ist, für den Betrieb irrelevante Anwendungen gar nicht erst zu installieren und unnötige Dienste von vornherein abzuschalten. So sollte ein E-Mail-Client nur installiert werden, wenn er für die Funktionalität des Servers unabdingbar ist – nicht etwa, weil es für den Administrator bequemer ist.

Services und Anwendungen nachträglich blockieren

Über einhundert Dienste lassen sich unter Windows Server 2003 deaktivieren. Beispielsweise sind die DHCP-Dienste (Dynamic Host Configuration Protocol) bereits in der Basisinstallation vorhanden. Will man das System aber nicht als DHCP-Server nutzen, kann man den Service durch das Sperren der tcpsvcs.exe daran hindern, sich zu initalisieren und zu starten.

Man sollte allerdings auch im Hinterkopf behalten, dass sich nicht alle Dienste abstellen lassen. Auch wenn sich beispielsweise der Blaster-Wurm den RPC-Service (Remote Procedure Call) zunutze macht, kann man den Dienst nicht einfach deaktivieren. Denn er erlaubt es anderen System-Prozessen, intern und über das Netzwerk hinweg miteinander zu kommunizieren.

Um unbenötigte Services nachträglich abzuschalten, wählt man ebenfalls über Start\Verwaltung die Verknüpfung Dienste an. Mit einem Doppelklick auf einen Dienst gelangt man zu den Eigenschaften, das Deaktivieren erfolgt über das Drop-Down-Menü Starttyp im Reiter Allgemein.

(ID:2043799)