Unterstützung der Sicherheitskonfiguration

Microsoft Corporation

Microsoft bietet Anleitungen, wie Sie unsere eigenen Betriebssysteme schützen können. Wir haben die folgenden drei Sicherheitsstufen entwickelt:

• Enterprise Client (EC)

• Stand-Alone (SA)

• Spezialsicherheit – Eingeschränkte Funktionalität (LIMITED Functionality, SSLF)

Wir haben diese Anleitungen für die Verwendung in vielen Kundenszenarien gründlich getestet. Die Anleitung ist für jede Organisation geeignet, die dazu beitragen möchte, ihre Windows-basierten Computer zu schützen.

Aufgrund der umfangreichen Tests, die in unseren Anwendungskompatibilitätstests auf diesen Leitfäden durchgeführt wurden, unterstützen wir unsere Leitfäden vollständig. Besuchen Sie die folgenden Microsoft-Websites, um unsere Leitfäden herunterzuladen:

• Windows Vista-Sicherheitshandbuch:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Windows XP-Sicherheitsbasisplan:

  http://go.microsoft.com/fwlink/?LinkId=14839

• Windows Server 2003 Security Baseline:

  http://go.microsoft.com/fwlink/?linkid=14845

• Windows 2000 Security Hardening Guide:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Wenn nach der Implementierung der Microsoft-Sicherheitsleitfäden Probleme auftreten oder Kommentare enthalten sind, können Sie Feedback geben, indem Sie eine E-Mail-Nachricht an secwish@microsoft.com.



Sicherheitskonfigurationsrichtlinien für Windows Betriebssystem, Internet Explorer und für die Office Produktivitätssuite finden Sie in Microsoft Security Compliance Manager: http://technet.microsoft.com/en-us/library/cc677002.aspx.

Das Center für Internetsicherheit

ZUR ZEIT hat Benchmarks entwickelt, um Informationen zur Verfügung zu stellen, die Organisationen dabei unterstützen, fundierte Entscheidungen zu bestimmten verfügbaren Sicherheitsoptionen zu treffen. ZUR ZEIT hat drei Stufen von Sicherheitsd benchmarks bereitgestellt:

• Legacy

• Enterprise

• Hohe Sicherheit

Wenn nach Implementierung der BENCHMARK-Benchmarkeinstellungen Probleme auftreten oder Kommentare angezeigt werden, wenden Sie sich an WILL, indem Sie eine E-Mail-Nachricht an win2k-feedback@cisecurity.org.

Hinweis: DIE ANLEITUNG FÜR HEUTE hat sich seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert. DIE AKTUELLE Anleitung ähnelt der Anleitung, die Microsoft bietet. Weitere Informationen zu den richtlinien von Microsoft erhalten Sie im Abschnitt "Microsoft Corporation" weiter oben in diesem Artikel.

The National Institute of Standards and Technology

NIST ist für die Erstellung von Sicherheitsleitfäden für die US-Regierung zuständig. NIST hat vier Sicherheitsleitfäden erstellt, die von der US-Regierung, privaten Organisationen und öffentlichen Organisationen verwendet werden:

• SoHo

• Legacy

• Enterprise

• Spezialisierte Sicherheit – Eingeschränkte Funktionalität

Wenn nach der Implementierung der NIST-Sicherheitsvorlagen Probleme auftreten oder Kommentare enthalten sind, wenden Sie sich an NIST, indem Sie eine E-Mail-Nachricht an itsec@nist.gov.

Beachten Sie, dass sich die Richtlinien von NIST seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert haben. Die aktuelle Anleitung von NIST ähnelt den Richtlinien, die microsoft bietet. Weitere Informationen zu den richtlinien von Microsoft erhalten Sie im Abschnitt "Microsoft Corporation" weiter oben in diesem Artikel.

The Defense Information Systems Agency

DISA erstellt Anleitungen speziell für die Verwendung im United States Department of Defense (DOD). DoD-Benutzer in den USA, die nach der Implementierung des DISA-Konfigurationsleitfadens Probleme oder Kommentare haben, können Feedback geben, indem sie eine E-Mail-Nachricht an fso_spt@ritchie.disa.mil.

Hinweis Die Richtlinien von DISA haben sich seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert. Der aktuelle Leitfaden von DISA ist mit dem von Microsoft erstellten Leitfaden vergleichbar oder identisch. Weitere Informationen zu den richtlinien von Microsoft erhalten Sie im Abschnitt "Microsoft Corporation" weiter oben in diesem Artikel.

The National Security Agency (NSA)

NSA hat Richtlinien erstellt, die Ihnen helfen sollen, Computer mit hohem Risiko im UNITED States Department of Defense (DOD) zu sichern. NSA hat eine einzelne Ebene von Anleitungen entwickelt, die in etwa der High Security-Ebene entspricht, die von anderen Organisationen produziert wird.

Wenn nach der Implementierung der NSA-Sicherheitsleitfäden für Windows XP Probleme auftreten oder Kommentare enthalten sind, können Sie Feedback geben, indem Sie eine E-Mail-Nachricht an XPGuides@nsa.gov. Um Feedback zu den Handbüchern Windows 2000 zu geben, senden Sie eine E-Mail-Nachricht an w2kguides@nsa.gov.

Hinweis Die Richtlinien der NSA haben sich seit der ursprünglichen Veröffentlichung dieses Artikels (3. November 2004) geändert. Der aktuelle Leitfaden der NSA ist mit dem von Microsoft erstellten Leitfaden identisch oder ähnlich. Weitere Informationen zu den richtlinien von Microsoft erhalten Sie im Abschnitt "Microsoft Corporation" weiter oben in diesem Artikel.

Änderungen an der Datei- und Registrierungszugriffssteuerungsliste

Windows XP und höhere Versionen von Windows die Berechtigungen im gesamten System erheblich reduziert. Daher sollten keine umfangreichen Änderungen an den Standardberechtigungen erforderlich sein. 

Zusätzliche DaCL-Änderungen (Access Control List) mit eigenem Ermessen können dazu führte, dass alle oder die meisten Anwendungskompatibilitätstests, die von Microsoft durchgeführt werden, ungültig werden. Häufig wurden an diesen Änderungen die gründlichen Tests, die Microsoft für andere Einstellungen durchgeführt hat, nicht durchgeführt. Supportfälle und Felderfahrungen haben gezeigt, dass DACL-Änderungen das grundlegende Verhalten des Betriebssystems ändern, häufig auf unbeabsichtigte Weise. Diese Änderungen wirken sich auf Anwendungskompatibilität und -stabilität aus und verringern die Funktionalität, sowohl hinsichtlich Leistung als auch Funktion.

Aufgrund dieser Änderungen empfehlen wir nicht, Dateisystem-DACLs für Dateien zu ändern, die in Produktionssystemen im Betriebssystem enthalten sind. Es wird empfohlen, alle weiteren ACL-Änderungen mit einer bekannten Bedrohung auszuwerten, um mögliche Vorteile zu verstehen, die die Änderungen für eine bestimmte Konfiguration bieten können. Aus diesen Gründen nehmen unsere Leitfäden nur sehr minimale DACL-Änderungen und nur die Windows 2000 vor. Für Windows 2000 sind mehrere kleinere Änderungen erforderlich. Diese Änderungen werden im Handbuch Windows 2000 Security Hardening beschrieben.

Umfangreiche Berechtigungsänderungen, die im gesamten Registrierungs- und Dateisystem verteilt werden, können nicht rückgängig gemacht werden. Möglicherweise sind neue Ordner betroffen, z. B. Benutzerprofilordner, die bei der ursprünglichen Installation des Betriebssystems nicht vorhanden waren. Wenn Sie eine Gruppenrichtlinieneinstellung entfernen, bei der DACL-Änderungen vorgenommen werden, oder wenn Sie die Systemeinstellungen anwenden, können Sie daher keine Rollback der ursprünglichen DACLs vornehmen. 

Änderungen an der DACL-Datei im Ordner "%SystemDrive%" können die folgenden Szenarien verursachen:

• Der Papierkorb funktioniert nicht mehr wie geplant, und Dateien können nicht wiederhergestellt werden.

• Eine Verringerung der Sicherheit, die es einem Benutzer ohne Administratorrechte ermöglicht, den Inhalt des Papierkorbs des Administrators anzuzeigen.

• Fehler bei Benutzerprofilen, die wie erwartet funktionieren.

• Eine Verringerung der Sicherheit, die interaktiven Benutzern Lesezugriff auf einige oder alle Benutzerprofile im System bietet.

• Leistungsprobleme, wenn viele DACL-Bearbeitungen in ein Gruppenrichtlinienobjekt geladen werden, das lange Anmeldezeiten oder wiederholte Neustarts des Zielsystems enthält.

• Leistungsprobleme, einschließlich Systemstörungen, werden alle 16 Stunden erneut angewendet, wenn Gruppenrichtlinieneinstellungen angewendet werden.

• Anwendungskompatibilitätsprobleme oder Anwendungsabstürzen.

Um Ihnen dabei zu helfen, die schlechtesten Ergebnisse solcher Datei- und Registrierungsberechtigungen zu entfernen, stellt Microsoft gewerblich angemessene Anstrengungen im Rahmen Ihres Supportvertrags zur Verfügung. Derzeit ist jedoch kein Rollback dieser Änderungen möglich. Wir können nur garantieren, dass Sie zu den empfohlenen Standardmäßigen Einstellungen zurückkehren können, indem Sie die Festplatte neuformatieren und das Betriebssystem erneut installieren.

Änderungen an Registrierungs-DACLs wirken sich beispielsweise auf große Teile der Registrierungsstruktur aus und können dazu führen, dass Systeme nicht mehr wie erwartet funktionieren. Das Ändern der DACLs für einzelne Registrierungsschlüssel stellt für viele Systeme kein weiteres Problem dar. Es wird jedoch empfohlen, diese Änderungen sorgfältig zu berücksichtigen und zu testen, bevor Sie sie implementieren. Auch hier können wir nur garantieren, dass Sie zu den empfohlenen Standardeinstellungen zurückkehren können, wenn Sie das Betriebssystem neu aktualisieren und erneut installieren.

Microsoft-Netzwerkclient: Digitales Signieren der Kommunikation (immer)

Wenn Sie diese Einstellung aktivieren, müssen Clients SMB-Datenverkehr (Server Message Block) signieren, wenn sie Server kontaktieren, für die keine SMB-Signatur erforderlich ist. Dadurch sind Clients weniger anfällig für Sitzungs-Hijacking-Angriffe. Es bietet einen signifikanten Wert, ohne eine ähnliche Änderung auf dem Server zu ermöglichen, um den Microsoft-Netzwerkserver zu aktivieren: Digitales Signieren der Kommunikation (immer) oder Microsoft-Netzwerkclient:Digitales Signieren der Kommunikation (wenn der Client zustimmt) , kann der Client nicht erfolgreich mit dem Server kommunizieren.

Netzwerksicherheit: Speichern Sie den LAN Manager-Hashwert bei der nächsten Kennwortänderung nicht.

Wenn Sie diese Einstellung aktivieren, wird der LAN-Manager-Hashwert (LM) für ein neues Kennwort nicht gespeichert, wenn das Kennwort geändert wird. Der LM-Hash ist relativ schwach und anfällig für Angriffe im Vergleich zum kryptografisch stärkeren Microsoft Windows NT-Hash. Obwohl diese Einstellung umfangreiche zusätzliche Sicherheit für ein System bietet, da viele häufige Dienstprogramme zum Knacken von Kennwörtern verhindert werden, kann die Einstellung verhindern, dass einige Anwendungen ordnungsgemäß gestartet oder ausgeführt werden.

Systemkryptografie: Verwenden von FIPS-kompatiblen Algorithmen zum Verschlüsseln, Hashing und Signieren

Wenn Sie diese Einstellung aktivieren, Internetinformationsdienste (IIS) und Microsoft Internet Explorer nur das TLS 1.0-Protokoll (Transport Layer Security) verwenden. Wenn diese Einstellung auf einem Server mit IIS aktiviert ist, können nur Webbrowser, die TLS 1.0 unterstützen, eine Verbindung herstellen. Wenn diese Einstellung auf einem Webclient aktiviert ist, kann der Client nur Verbindungen mit Servern herstellen, die das TLS 1.0-Protokoll unterstützen. Diese Anforderung kann sich auf die Möglichkeit eines Clients auswirken, Websites zu besuchen, die SSL (Secure Sockets Layer) verwenden. Um weitere Informationen zu erhalten, klicken Sie auf die folgende Artikelnummer, um den Artikel in der Microsoft Knowledge Base zu lesen:

811834 SSL-Websites können nach der Aktivierung von FIPS-kompatibler Kryptografie nicht besucht werden. Wenn Sie diese Einstellung auf einem Server aktivieren, auf dem Terminaldienste verwendet werden, sind Die Clients
gezwungen, die RDP-Clientversion 5.2 oder höher zum Herstellen einer Verbindung zu verwenden.

Um weitere Informationen zu erhalten, klicken Sie auf die folgende Artikelnummer, um den Artikel in der Microsoft Knowledge Base zu lesen:

811833 Die Auswirkungen der Aktivierung der Sicherheitseinstellung "Systemkryptografie: Verwenden Sie FIPS-kompatible Algorithmen für Verschlüsselung, Hashing und Signatur" in Windows XP und späteren Windows

Der automatische Updatedienst oder Background Intelligent Transfer Service (BITS) ist deaktiviert

Eine der wichtigsten Säulen der Microsoft-Sicherheitsstrategie ist die Sicherstellen, dass die Systeme auf dem neuesten Stand gehalten werden. Eine Schlüsselkomponente bei dieser Strategie ist der Dienst für automatische Updates. Sowohl Windows Update- als auch Softwareupdatedienste verwenden den Dienst Automatische Updates. Der Dienst für automatische Updates basiert auf Background Intelligent Transfer Service (BITS). Wenn diese Dienste deaktiviert sind, können die Computer keine Updates mehr von Windows Update über automatische Updates, von Softwareupdatediensten (SOFTWARE) oder von einigen Installationen von Microsoft Systems Management Server (SMS) erhalten. Diese Dienste sollten nur für Systeme deaktiviert werden, die über ein effektives Updateverteilungssystem verfügen, das nicht auf BITS angewiesen ist.

Der NetLogon-Dienst ist deaktiviert.

Wenn Sie den NetLogon-Dienst deaktivieren, funktioniert eine Arbeitsstation nicht mehr zuverlässig als Domänenmitglied. Diese Einstellung kann für einige Computer geeignet sein, die nicht an Domänen teilnehmen. Sie sollte jedoch vor der Bereitstellung sorgfältig ausgewertet werden.

NoNameReleaseOnDemand

Diese Einstellung verhindert, dass ein Server seinen NetLINES-Namen aufbeent, wenn er mit einem anderen Computer im Netzwerk in Konflikt steht. Diese Einstellung ist eine gute Sicherheitsmaßnahme für Denial-of-Service-Angriffe auf Namenserver und andere sehr wichtige Serverrollen.

Wenn Sie diese Einstellung auf einer Arbeitsstation aktivieren, verweigert die Arbeitsstation die Verweigerung, ihren NetLINES-Namen aufzingen, auch wenn der Name mit dem Namen eines wichtigeren Systems in Konflikt steht, z. B. mit einem Domänencontroller. In diesem Szenario können wichtige Domänenfunktionen deaktiviert werden. Microsoft unterstützt dringend branchenorientierte Sicherheitsleitfäden für Bereitstellungen in Bereichen mit hoher Sicherheit. Diese Richtlinien müssen jedoch in der Zielumgebung gründlich getestet werden. Wir empfehlen dringend, dass Systemadministratoren, die zusätzliche Sicherheitseinstellungen benötigen, die über die Standardeinstellungen hinausgehen, die von Microsoft ausgestellten Leitfäden als Ausgangspunkt für die Anforderungen Ihrer Organisation verwenden. Wenn Sie Support oder Fragen zu Leitfäden von Drittanbietern haben, wenden Sie sich an die Organisation, die die Anleitung ausgestellt hat.