Support für den Leitfaden zur Sicherheitskonfiguration

Zusammenfassung

Microsoft, das Center for Internet Security (CIS), die National Security Agency (NSA), die Defense Information Systems Agency (DISA) und das National Institute of Standards and Technology (NIST) haben "Leitfaden zur Sicherheitskonfiguration" für Microsoft Windows veröffentlicht.

Die hohen Sicherheitsstufen, die in einigen dieser Handbücher angegeben sind, können die Funktionalität eines Systems erheblich einschränken. Daher sollten Sie umfangreiche Tests durchführen, bevor Sie diese Empfehlungen implementieren. Es wird empfohlen, zusätzliche Vorsichtsmaßnahmen zu treffen, wenn Sie Folgendes tun:

  • Bearbeiten der Zugriffssteuerungslisten (ACLs) für Dateien und Registrierungsschlüssel
  • Microsoft-Netzwerkclient aktivieren: Kommunikation digital signieren (immer)
  • Netzwerksicherheit aktivieren: Keine LAN Manager-Hashwerte für nächste Kennwortänderung speichern
  • Aktivieren der Systemkryptografie: FIPS-konformen Algorithmus für Verschlüsselung, Hashing und Signatur verwenden
  • Deaktivieren des automatischen Updatediensts oder des intelligenten Hintergrundübertragungsdiensts (BITS)
  • Deaktivieren des NetLogon-Diensts
  • Enable NoNameReleaseOnDemand

Microsoft unterstützt nachdrücklich die Bemühungen der Branche, Sicherheitsleitfäden für Bereitstellungen in Hochsicherheitsbereichen bereitzustellen. Sie müssen den Leitfaden jedoch in der Zielumgebung gründlich testen. Wenn Sie zusätzliche Sicherheitseinstellungen über die Standardeinstellungen hinaus benötigen, empfehlen wir Ihnen dringend, die von Microsoft herausgegebenen Leitfäden zu konsultieren. Diese Leitfäden können als Ausgangspunkt für die Anforderungen Ihrer Organization dienen. Wenn Sie Unterstützung benötigen oder Fragen zu Leitfäden von Drittanbietern haben, wenden Sie sich an die organization, die die Anleitung herausgegeben hat.

Einführung

In den letzten Jahren haben eine Reihe von Organisationen, darunter Microsoft, das Center for Internet Security (CIS), die National Security Agency (NSA), die Defense Information Systems Agency (DISA) und das National Institute of Standards and Technology (NIST), "Security Configuration Guidance" für Windows veröffentlicht. Wie bei jedem Sicherheitsleitfaden wirkt sich die zusätzliche Sicherheit, die erforderlich ist, häufig negativ auf die Benutzerfreundlichkeit aus.

Mehrere dieser Leitfäden, einschließlich der Leitfäden von Microsoft, CIS und NIST, enthalten mehrere Ebenen von Sicherheitseinstellungen. Diese Leitfäden können Stufen enthalten, die für Folgendes ausgelegt sind:

  • Interoperabilität mit älteren Betriebssystemen

  • Unternehmensumgebungen

  • Verbesserte Sicherheit mit eingeschränkter Funktionalität

    Hinweis: Diese Ebene wird häufig als spezialisierte Sicherheitsstufe – eingeschränkte Funktionalität oder hohe Sicherheitsstufe bezeichnet.

Die Sicherheitsstufe "Hoch" oder "Spezialisierte Sicherheit – Eingeschränkte Funktionalität" wurde speziell für sehr feindliche Umgebungen mit erheblichem Angriffsrisiko entwickelt. Diese Ebene schützt Informationen von höchstmöglichem Wert, wie z. B. Informationen, die von einigen Regierungssystemen benötigt werden. Die hohe Sicherheitsstufe der meisten dieser öffentlichen Richtlinien ist für die meisten Systeme, auf denen Windows ausgeführt wird, ungeeignet. Es wird empfohlen, auf Arbeitsstationen nicht die Sicherheitsstufe "Hoch" zu verwenden. Wir empfehlen, die Sicherheitsstufe "Hoch" nur auf Systemen zu verwenden, bei denen eine Kompromittierung den Verlust von Menschenleben, den Verlust sehr wertvoller Informationen oder den Verlust von viel Geld zur Folge hätte.

Mehrere Gruppen haben mit Microsoft zusammengearbeitet, um diese Sicherheitshandbücher zu erstellen. In vielen Fällen befassen sich alle diese Leitfäden mit ähnlichen Bedrohungen. Die einzelnen Leitfäden unterscheiden sich jedoch geringfügig aufgrund gesetzlicher Anforderungen, lokaler Richtlinien und funktionaler Anforderungen. Daher können die Einstellungen von einer Gruppe von Empfehlungen zur nächsten variieren. Der Abschnitt "Organisationen, die öffentlich verfügbare Sicherheitsleitfäden erstellen" enthält eine Zusammenfassung der einzelnen Sicherheitshandbücher.

Weitere Informationen

Organisationen, die öffentlich verfügbare Sicherheitsleitfäden erstellen

Microsoft Corporation

Microsoft bietet Anleitungen, wie wir unsere eigenen Betriebssysteme schützen können. Wir haben die folgenden drei Ebenen von Sicherheitseinstellungen entwickelt:

  • Enterprise-Client (EC)
  • Stand-Alone (SA)
  • Spezialisierte Sicherheit – Eingeschränkte Funktionalität (SSLF)

Wir haben diese Anleitung gründlich für die Verwendung in vielen Kundenszenarien getestet. Der Leitfaden ist für jede Organization geeignet, die zum Schutz ihrer Windows-basierten Computer beitragen möchte.

Wir unterstützen unsere Leitfäden aufgrund der umfangreichen Tests, die wir in unseren Anwendungskompatibilitätslabors zu diesen Leitfäden durchgeführt haben, voll und ganz. Besuchen Sie die folgenden Microsoft-Websites, um unsere Leitfäden herunterzuladen:

Wenn nach der Implementierung der Microsoft-Sicherheitshandbücher Probleme auftreten oder Sie Anmerkungen haben, können Sie Feedback senden, indem Sie eine E-Mail-Nachricht an senden secwish@microsoft.com.

Ein Leitfaden zur Sicherheitskonfiguration für das Windows-Betriebssystem, für Internet-Explorer und für die Office-Produktivitätssuite finden Sie im Microsoft Security Compliance Manager: http://technet.microsoft.com/en-us/library/cc677002.aspx.

Das Center for Internet Security

CIS hat Benchmarks entwickelt, um Informationen bereitzustellen, die Organisationen helfen, fundierte Entscheidungen über bestimmte verfügbare Sicherheitsoptionen zu treffen. CIS hat drei Stufen von Sicherheitsbenchmarks bereitgestellt:

  • (Vorgängerversion)
  • Enterprise
  • Hochsicherheit

Wenn nach der Implementierung der CIS-Benchmark-Einstellungen Probleme auftreten oder Sie Anmerkungen haben, wenden Sie sich per E-Mail an win2k-feedback@cisecurity.orgCIS.

Hinweis: Die Richtlinien von CIS haben sich seit der ersten Veröffentlichung dieses Artikels (3. November 2004) geändert. Die aktuellen Richtlinien von CIS ähneln den Anleitungen, die Microsoft bereitstellt. Weitere Informationen zu den von Microsoft bereitgestellten Anleitungen finden Sie weiter oben in diesem Artikel im Abschnitt "Microsoft Corporation".

Das National Institute of Standards and Technology

NIST ist für die Erstellung von Sicherheitsleitfäden für die Bundesregierung der USA verantwortlich. Das NIST hat vier Ebenen von Sicherheitshinweisen erstellt, die von den Bundesbehörden der USA, privaten Organisationen und öffentlichen Organisationen verwendet werden:

  • SoHo
  • (Vorgängerversion)
  • Enterprise
  • Spezialisierte Sicherheit – Eingeschränkte Funktionalität

Wenn nach der Implementierung der NIST-Sicherheitsvorlagen Probleme auftreten oder Sie Anmerkungen haben, wenden Sie sich per E-Mail an itsec@nist.govNIST.

Hinweis: Die Richtlinien des NIST haben sich seit der ersten Veröffentlichung dieses Artikels (3. November 2004) geändert. Die aktuellen NIST-Richtlinien ähneln den von Microsoft bereitgestellten Richtlinien. Weitere Informationen zu den von Microsoft bereitgestellten Anleitungen finden Sie weiter oben in diesem Artikel im Abschnitt "Microsoft Corporation".

Die Defense Information Systems Agency

DISA erstellt Leitlinien speziell für die Verwendung im Verteidigungsministerium der USA (DOD). Benutzer des Verteidigungsministeriums der USA, bei denen nach der Implementierung des DISA-Konfigurationsleitfadens Probleme auftreten oder Kommentare haben, können Feedback senden, indem sie eine E-Mail-Nachricht an sendenfso_spt@ritchie.disa.mil.

Beachten Sie, dass sich die Leitlinien von DISA seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert haben. Die aktuellen Leitlinien von DISA sind ähnlich oder identisch mit den von Microsoft bereitgestellten Empfehlungen. Weitere Informationen zu den von Microsoft bereitgestellten Anleitungen finden Sie weiter oben in diesem Artikel im Abschnitt "Microsoft Corporation".

Die National Security Agency (NSA)

Die NSA hat Leitlinien zur Sicherung von Hochrisikocomputern im Verteidigungsministerium der USA (DOD) erstellt. Die NSA hat eine einheitliche Leitlinienstufe entwickelt, die in etwa der hohen Sicherheitsstufe entspricht, die von anderen Organisationen erstellt wird.

Wenn nach der Implementierung der NSA-Sicherheitsleitfäden für Windows XP Probleme auftreten oder Sie Anmerkungen haben, können Sie Feedback senden, indem Sie eine E-Mail an senden XPGuides@nsa.gov. Wenn Sie Feedback zu den Windows 2000-Handbüchern geben möchten, senden Sie eine E-Mail-Nachricht an w2kguides@nsa.gov.

Beachten Sie, dass sich die Richtlinien der NSA seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert haben. Die aktuellen Richtlinien der NSA ähneln oder sind identisch mit den von Microsoft bereitgestellten Richtlinien. Weitere Informationen zu den von Microsoft bereitgestellten Anleitungen finden Sie weiter oben in diesem Artikel im Abschnitt "Microsoft Corporation".

Probleme mit Sicherheitsempfehlungen

Wie bereits in diesem Artikel erwähnt, wurden die hohen Sicherheitsstufen, die in einigen dieser Leitfäden beschrieben werden, entwickelt, um die Funktionalität eines Systems erheblich einzuschränken. Aufgrund dieser Einschränkung sollten Sie ein System gründlich testen, bevor Sie diese Empfehlungen anwenden.

Hinweis: Es wurde nicht berichtet, dass die Sicherheitsempfehlungen, die für die SoHo-, Legacy- oder Enterprise-Ebenen bereitgestellt werden, die Systemfunktionalität ernsthaft beeinträchtigen. Dieser Knowledge Base-Artikel konzentriert sich in erster Linie auf die Ratschläge, die der höchsten Sicherheitsstufe zugeordnet sind. 

Wir unterstützen nachdrücklich die Bemühungen der Branche, Sicherheitsleitfäden für Bereitstellungen in Hochsicherheitsbereichen bereitzustellen. Wir arbeiten weiterhin mit Sicherheitsstandardgruppen zusammen, um nützliche Sicherheitsoptimierungsleitfäden zu entwickeln, die vollständig getestet wurden. Sicherheitsrichtlinien von Drittanbietern werden immer mit starken Warnungen herausgegeben, um die Richtlinien in Zielumgebungen mit hoher Sicherheit vollständig zu testen. Diese Warnungen werden jedoch nicht immer beachtet. Stellen Sie sicher, dass Sie alle Sicherheitskonfigurationen in Ihrer Zielumgebung gründlich testen. Sicherheitseinstellungen, die sich von den von uns empfohlenen unterscheiden, können die Anwendungskompatibilitätstests, die im Rahmen des Betriebssystemtests durchgeführt werden, ungültig machen. Darüber hinaus raten wir und Dritte ausdrücklich davon ab, den Leitlinienentwurf in einer Liveproduktionsumgebung anstelle in einer Testumgebung anzuwenden.

Die hohen Stufen dieser Sicherheitshandbücher umfassen mehrere Einstellungen, die Sie sorgfältig prüfen sollten, bevor Sie sie implementieren. Diese Einstellungen bieten zwar zusätzliche Sicherheitsvorteile, können sich jedoch nachteilig auf die Benutzerfreundlichkeit des Systems auswirken.

Änderungen an Dateisystem- und Registrierungszugriffssteuerungsliste

Windows XP und neuere Versionen von Windows haben die Berechtigungen im gesamten System erheblich verschärft. Daher sollten umfangreiche Änderungen an den Standardberechtigungen nicht erforderlich sein. 

Zusätzliche Änderungen an der deaktivierten Zugriffssteuerungsliste (DACL) können die vollständigen oder die meisten der von Microsoft durchgeführten Anwendungskompatibilitätstests ungültig machen. Häufig wurden Änderungen wie diese nicht den gründlichen Tests unterzogen, die Microsoft an anderen Einstellungen durchgeführt hat. Supportfälle und praktische Erfahrungen haben gezeigt, dass DACL-Bearbeitungen das grundlegende Verhalten des Betriebssystems verändern, häufig auf unbeabsichtigte Weise. Diese Änderungen wirken sich auf die Anwendungskompatibilität und -stabilität aus und verringern die Funktionalität sowohl im Hinblick auf die Leistung als auch auf die Leistungsfähigkeit.

Aufgrund dieser Änderungen wird davon abgeraten, Dateisystem-DACLs für Dateien zu ändern, die im Betriebssystem auf Produktionssystemen enthalten sind. Es wird empfohlen, alle zusätzlichen ACL-Änderungen im Vergleich zu einer bekannten Bedrohung zu bewerten, um zu verstehen, welche potenziellen Vorteile die Änderungen für eine bestimmte Konfiguration mit sich bringen können. Aus diesen Gründen nehmen unsere Anleitungen nur sehr minimale DACL-Änderungen und nur an Windows 2000 vor. Für Windows 2000 sind einige kleinere Änderungen erforderlich. Diese Änderungen werden im Windows 2000-Leitfaden zur Sicherheitshärtung beschrieben.

Umfangreiche Berechtigungsänderungen, die in der Registrierung und im Dateisystem verteilt werden, können nicht rückgängig gemacht werden. Neue Ordner, z. B. Benutzerprofilordner, die bei der ursprünglichen Installation des Betriebssystems nicht vorhanden waren, können davon betroffen sein. Wenn Sie daher eine Gruppenrichtlinieneinstellung entfernen, die DACL-Änderungen vornimmt, oder die Systemstandardwerte anwenden, können Sie die ursprünglichen DACLs nicht zurücksetzen. 

Änderungen an der DACL im Ordner %SystemDrive% können die folgenden Szenarien verursachen:

  • Der Papierkorb funktioniert nicht mehr wie vorgesehen, und Dateien können nicht wiederhergestellt werden.
  • Eine Sicherheitsverringerung, die es einem Nicht-Administrator ermöglicht, den Inhalt des Papierkorbs des Administrators anzuzeigen.
  • Das Nichtfunktionieren von Benutzerprofilen wie erwartet.
  • Eine Verringerung der Sicherheit, die interaktiven Benutzern Lesezugriff auf einige oder alle Benutzerprofile im System bietet.
  • Leistungsprobleme, wenn viele DACL-Bearbeitungen in ein Gruppenrichtlinie-Objekt geladen werden, was lange Anmeldezeiten oder wiederholte Neustarts des Zielsystems beinhaltet.
  • Leistungsprobleme, einschließlich Systemverlangsamungen, etwa alle 16 Stunden, wenn die Einstellungen der Gruppenrichtlinie erneut angewendet werden.
  • Probleme mit der Anwendungskompatibilität oder Anwendungsabstürze.

Um Ihnen dabei zu helfen, die schlechtesten Ergebnisse dieser Datei- und Registrierungsberechtigungen zu entfernen, wird Microsoft wirtschaftlich vertretbare Anstrengungen in Übereinstimmung mit Ihrem Supportvertrag unternehmen. Derzeit können Sie diese Änderungen jedoch nicht zurücksetzen. Wir können nur garantieren, dass Sie zu den empfohlenen Einstellungen zurückkehren können, indem Sie die Festplatte neu formatieren und das Betriebssystem neu installieren.

Änderungen an Registrierungs-DACLs wirken sich beispielsweise auf große Teile der Registrierungsstrukturen aus und können dazu führen, dass Systeme nicht mehr wie erwartet funktionieren. Das Ändern der DACLs für einzelne Registrierungsschlüssel stellt für viele Systeme weniger problematisch dar. Es wird jedoch empfohlen, diese Änderungen sorgfältig zu prüfen und zu testen, bevor Sie sie implementieren. Auch hier können wir nur garantieren, dass Sie zu den empfohlenen Standardeinstellungen zurückkehren können, wenn Sie das Betriebssystem neu formatieren und neu installieren.

Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)

Wenn Sie diese Einstellung aktivieren, müssen Clients SMB-Datenverkehr (Server Message Block) signieren, wenn sie Server kontaktieren, die keine SMB-Signatur erfordern. Dadurch werden Clients weniger anfällig für Session-Hijacking-Angriffe. Es bietet einen erheblichen Wert, ohne jedoch eine ähnliche Änderung auf dem Server zu aktivieren, um Microsoft-Netzwerkserver zu aktivieren: Kommunikation digital signieren (immer) oder Microsoft-Netzwerk Client: Kommunikation digital signieren (wenn Client zustimmt) kann der Client nicht erfolgreich mit dem Server kommunizieren.

Netzwerksicherheit: Keine LAN Manager-Hashwerte für nächste Kennwortänderung speichern

Wenn Sie diese Einstellung aktivieren, wird der LAN Manager (LM)-Hashwert für ein neues Kennwort nicht gespeichert, wenn das Kennwort geändert wird. Der LM-Hash ist im Vergleich zum kryptografisch stärkeren Microsoft Windows NT-Hash relativ schwach und anfällig für Angriffe. Diese Einstellung bietet zwar umfangreiche zusätzliche Sicherheit für ein System, indem sie viele gängige Hilfsprogramme zum Knacken von Kennwörtern verhindert, kann jedoch auch dazu führen, dass manche Anwendungen nicht ordnungsgemäß gestartet oder ausgeführt werden.

Systemkryptografie: FIPS-konformen Algorithmus für Verschlüsselung, Hashing und Signatur verwenden

Wenn Sie diese Einstellung aktivieren, verwenden Internetinformationsdienste (IIS) und Microsoft Internet Explorer nur das TLS-Protokoll (Transport Layer Security) 1.0. Wenn diese Einstellung auf einem Server mit IIS aktiviert ist, können nur Webbrowser eine Verbindung herstellen, die TLS 1.0 unterstützen. Wenn diese Einstellung auf einem Webclient aktiviert ist, kann der Client nur eine Verbindung zu Servern herstellen, die das TLS 1.0-Protokoll unterstützen. Diese Anforderung kann sich auf die Fähigkeit eines Clients auswirken, Websites zu besuchen, die SSL (Secure Sockets Layer) verwenden. Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

811834 SSL-Websites können nach Aktivierung der FIPS-konformen Kryptografie nicht besucht werden
Wenn Sie diese Einstellung auf einem Server aktivieren, der Terminaldienste verwendet, werden Clients außerdem gezwungen, den RDP-Client 5.2 oder höhere Versionen zum Herstellen einer Verbindung zu verwenden.

Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

[811833](/kb/811833m Kryptografie: Verwenden Sie FIPS-konforme Algorithmen für die Verschlüsselung, das Hashing und die Signatur" in Windows XP und höheren Versionen von Windows

Der automatische Updatedienst oder der intelligente Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS) ist deaktiviert

Eine der wichtigsten Säulen der Microsoft-Sicherheitsstrategie besteht darin, sicherzustellen, dass die Systeme bei Updates immer auf dem neuesten Stand gehalten werden. Eine Schlüsselkomponente dieser Strategie ist der Dienst für automatische Updates. Sowohl Windows Update- als auch Softwareupdatedienste verwenden den Dienst Automatische Updates. Der Dienst für automatische Updates basiert auf dem Intelligenten Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS). Wenn diese Dienste deaktiviert sind, können die Computer keine Updates mehr von Windows Update über automatische Updates, von Software Update Services (SUS) oder von bestimmten Microsoft Systems Management Server (SMS)-Installationen empfangen. Diese Dienste sollten nur auf Systemen deaktiviert werden, die über ein effektives Updateverteilungssystem verfügen, das nicht auf BITS basiert.

NetLogon-Dienst ist deaktiviert

Wenn Sie den NetLogon-Dienst deaktivieren, funktioniert eine Arbeitsstation nicht mehr zuverlässig als Domänenmitglied. Diese Einstellung kann für einige Computer geeignet sein, die nicht an Domänen teilnehmen. Es sollte jedoch vor der Bereitstellung sorgfältig bewertet werden.

NoNameReleaseOnDemand

Diese Einstellung verhindert, dass ein Server seinen NetBIOS-Namen aufgibt, wenn dieser mit einem anderen Computer im Netzwerk in Konflikt steht. Diese Einstellung ist eine gute vorbeugende Maßnahme gegen Denial-of-Service-Angriffe gegen Namenserver und andere sehr wichtige Serverrollen.

Wenn Sie diese Einstellung auf einer Arbeitsstation aktivieren, gibt die Arbeitsstation ihren NetBIOS-Namen nicht mehr heraus, selbst wenn der Name mit dem Namen eines wichtigeren Systems, z. B. eines Domänencontrollers, in Konflikt steht. In diesem Szenario können wichtige Domänenfunktionen deaktiviert werden. Microsoft unterstützt nachdrücklich die Bemühungen der Branche, Sicherheitsleitfäden bereitzustellen, die auf Bereitstellungen in Hochsicherheitsbereichen ausgerichtet sind. Diese Anleitung muss jedoch in der Zielumgebung gründlich getestet werden. Wir empfehlen Systemadministratoren, die zusätzliche Sicherheitseinstellungen über die Standardeinstellungen hinaus benötigen, dringend, die von Microsoft bereitgestellten Leitfäden als Ausgangspunkt für die Anforderungen ihrer Organization zu verwenden. Wenn Sie Unterstützung benötigen oder Fragen zu Leitfäden von Drittanbietern haben, wenden Sie sich an die organization, die die Anleitung herausgegeben hat.

Referenzmaterial

Weitere Informationen zu Sicherheitseinstellungen finden Sie unter Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen in Windows Server 2003 und Windows XP. Zum Herunterladen dieses Handbuchs besuchen Sie die folgende Microsoft-Website:

http://go.microsoft.com/fwlink/?LinkId=15159 Weitere Informationen zu den Auswirkungen einiger zusätzlicher Sicherheitseinstellungen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

823659 Client-, Dienst- und Programminkompatibilitäten, die beim Ändern von Sicherheitseinstellungen und Benutzerrechtezuweisungen auftreten könnenWeitere Informationen zu den Auswirkungen der Anforderung von FIPS-kompatiblen Algorithmen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

[811833](/kb/811833m Kryptografie: FIPS-konformen Algorithmus für Verschlüsselung, Hashing und Signatur verwenden" in Windows XP und höheren VersionenMicrosoft stellt Kontaktinformationen von Drittanbietern bereit, um Ihnen bei der Suche nach technischem Support zu helfen. Diese Kontaktinformationen können ohne vorherige Ankündigung geändert werden. Sie werden von Microsoft ohne jede Gewähr weitergegeben.

Informationen zu Ihrem Hardwarehersteller finden Sie auf der folgenden Microsoft-Website:

http://support.microsoft.com/gp/vendors/en-us