Windows Vista und Server 2008 bieten höhere Sicherheit für Dienste

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Microsoft Deutschland GmbH

Zugriffsbeschränkungen mittels Firewall-Einstellungen

Bereits mit Windows Vista hat Microsoft die Konfigurations-Möglichkeiten der integrierten Firewall deutlich erweitert. Die neue Windows-Firewall mit erweiterter Sicherheit erlaubt es dem Administrator, Regeln für jeden beliebigen Dienst über drei Profile zu definieren (Öffentlich, Privat und Domäne).

Zur Unterstützung bringt Windows Server 2008 bereits eine Vielzahl vordefinierter Regeln mit. Viele dieser Regeln gelten speziell für Dienste. Damit ist es möglich gezielt zu steuern, welche Verbindungen im Netzwerk ein Dient erreichen bzw. über welche Verbindungen er selbst erreicht werden kann.

Zusätzlich kann beispielsweise definiert werden, dass IPsec mit Verschlüsselung und/oder Authentifizierung verwendet wird, bevor eine Verbindung hergestellt wird. Ein Beispiel für die dienstspezifische Firewall-Konfiguration zeigt Bild 3.

Ausführung aller Dienste in isolierter Sitzung-0

Zusätzliche Sicherheit bietet die Ausführung aller Dienste in einer isolierten Sitzung. Diese konsequente Trennung von den durch Benutzer gestartete Anwendungen soll verhindern, dass die von ihnen ausgeführten Programme ausgeführte Dienste manipulieren können.

Sehr viele Angriffe hatten in der Vergangenheit nur deshalb Erfolg, weil der Endbenutzer in irgendeiner Form dazu gebracht wurde, Code auf dem Desktop auszuführen. Somit wird ein wichtiges Einfallstor zumindest stärker gesichert.

Allerdings hat die Sitzung-0-Isolierung den Nachteil, dass Dienste nicht mehr ohne Weiteres Meldungen und Eingabeaufforderungen anzeigen können. Insbesondere alte Dienste erwarten aber häufig, dass eine direkte Interaktion mit dem Endbenutzer möglich ist.

Zur Lösung dieses Problems stellt Microsoft einen speziellen Dienst zur Erkennung interaktiver Dienste (uiOdetect) bereit, damit auch alte Dienste mit Endbenutzern kommunizieren können. Zu beachten ist aber, dass dieser Dienst die angestrebte zusätzliche Sicherheit wieder zunichte macht.

Auch Viren tarnen sich gerne als ui0detect.exe. Daher wird dieser Dienst von Microsoft nur als Übergangslösung positioniert. Zukünftig wird von den Anwendungsherstellern erwartet, dass die Dienste mit Benutzern in anderen Sitzungen über RPC, COM, Named Pipes oder andere Methoden kommunizieren können.

Alternativ kann man über die Eigenschaften-Dialogbox des Dienstes den Datenaustausch zwischen Dienst und Desktop ermöglichen (siehe Bild 4 der Bildergalerie). Aber auch dies sollte nur in zwingend erforderlichen Fällen erfolgen, da es ebenfalls ein Sicherheitsrisiko darstellt.

(ID:2018413)