Ondersteuning voor beveiligingsconfiguratie

Microsoft Corporation

Microsoft biedt richtlijnen voor het beveiligen van onze eigen besturingssystemen. We hebben de volgende drie beveiligingsniveaus ontwikkeld:

• Enterprise Client (EC)

• Stand-Alone (SA)

• Gespecialiseerde beveiliging: beperkte functionaliteit (SSLF)

We hebben deze richtlijnen grondig getest voor gebruik in veel klantscenario's. Deze richtlijnen zijn geschikt voor elke organisatie die wil helpen bij het beveiligen van de Windows-computers.

We ondersteunen onze handleidingen volledig vanwege de uitgebreide tests die we hebben uitgevoerd in onze toepassingscompatibiliteit in deze handleidingen. Ga naar de volgende Microsoft-websites om onze handleidingen te downloaden:

• Windows Vista-beveiligingshandleiding:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Windows XP-beveiligingsbasislijn:

  http://go.microsoft.com/fwlink/?LinkId=14839

• Windows Server 2003 Security Baseline:

  http://go.microsoft.com/fwlink/?linkid=14845

• Windows 2000 Security Hardening Guide:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Als u problemen ervaart of opmerkingen hebt nadat u de Microsoft-beveiligingshandleidingen hebt geïmplementeerd, kunt u feedback geven door een e-mailbericht naar uw secwish@microsoft.com.



Richtlijnen voor beveiligingsconfiguratie voor het Windows-besturingssysteem voor Internet Explorer en voor de Office-productiviteitssuite zijn beschikbaar in Microsoft Security Compliance Manager: http://technet.microsoft.com/en-us/library/cc677002.aspx.

Het Center for Internet Security

CIS heeft benchmarks ontwikkeld om organisaties te helpen goed geïnformeerd beslissingen te nemen over bepaalde beschikbare beveiligingskeuzen. CIS heeft drie niveaus van beveiligingsbe benchmarks verstrekt:

• Verouderd

• Enterprise

• Hoge beveiliging

Als u problemen ervaart of opmerkingen hebt nadat u de CIS-benchmarkinstellingen hebt geïmplementeerd, kunt u contact opnemen met CIS door een e-mailberichtnaar deze win2k-feedback@cisecurity.org.

De richtlijnen voor CIS zijn gewijzigd sinds we dit artikel hebben gepubliceerd (3 november 2004). De huidige richtlijnen van CIS lijken op de richtlijnen die Microsoft biedt. Lees de sectie 'Microsoft Corporation' eerder in dit artikel voor meer informatie over de richtlijnen die Microsoft biedt.

Het National Institute of Standards and Technology

NIST is verantwoordelijk voor het opstellen van beveiligingsadviezen voor de Amerikaanse federale overheid. NIST heeft vier niveaus met beveiligingsadviezen gemaakt die worden gebruikt door de Amerikaanse federale instanties, privé-organisaties en openbare organisaties:

• SoHo

• Verouderd

• Enterprise

• Gespecialiseerde beveiliging : beperkte functionaliteit

Als u problemen ervaart of opmerkingen hebt nadat u de NIST-beveiligingssjablonen hebt geïmplementeerd, neem dan contact op met NIST door een e-mailbericht naar uw itsec@nist.gov.

De richtlijnen voor NIST zijn gewijzigd sinds we dit artikel hebben gepubliceerd (3 november 2004). De huidige richtlijnen van NIST lijken op de richtlijnen die Microsoft biedt. Lees de sectie 'Microsoft Corporation' eerder in dit artikel voor meer informatie over de richtlijnen die Microsoft biedt.

De Defense Information Systems Agency

MET DISA worden richtlijnen gemaakt voor gebruik bij het Amerikaanse ministerie van Verdediging (DOD). Gebruikers van een dod in de Verenigde Staten die problemen ervaren of opmerkingen hebben nadat ze de configuratie-richtlijnen voor DISA hebben geïmplementeerd, kunnen feedback geven door een e-mailbericht naar deze gebruikers fso_spt@ritchie.disa.mil.

De richtlijnen voor DISA zijn gewijzigd sinds we dit artikel hebben gepubliceerd (3 november 2004). De huidige richtlijnen van DISA zijn vergelijkbaar met of gelijk aan de richtlijnen die Microsoft biedt. Lees de sectie 'Microsoft Corporation' eerder in dit artikel voor meer informatie over de richtlijnen die Microsoft biedt.

De National Security Agency (NSA)

NSA heeft richtlijnen opgesteld voor het beveiligen van computers met een hoog risico in het Amerikaanse ministerie van Defensie. NSA heeft één niveau van richtlijnen ontwikkeld dat ongeveer overeenkomt met het niveau van hoge beveiliging dat wordt geproduceerd door andere organisaties.

Als u problemen ervaart of opmerkingen hebt nadat u de NSA-beveiligingshandleidingen voor Windows XP hebt geïmplementeerd, kunt u feedback geven door een e-mailbericht naar deze XPGuides@nsa.gov. Als u feedback wilt geven over de Windows 2000-handleidingen, stuurt u een e-mailbericht naar w2kguides@nsa.gov.

De richtlijnen van de NSA zijn gewijzigd sinds we dit artikel hebben gepubliceerd (3 november 2004). De huidige richtlijnen van de NSA lijken op of zijn identiek aan de richtlijnen die Microsoft verstrekt. Lees de sectie 'Microsoft Corporation' eerder in dit artikel voor meer informatie over de richtlijnen die Microsoft biedt.

Wijzigingen in de lijst met besturingselementen voor bestandssysteem en registertoegang

In Windows XP en nieuwere versies van Windows zijn de machtigingen in het hele systeem aanzienlijk kleiner gemaakt. Daarom hoeft u de standaardmachtigingen niet uitgebreid te wijzigen. 

Aanvullende discretionaire wijzigingen in de toegangsbeheerlijst (DACL) kunnen alle of de meeste compatibiliteitstests van toepassingen die door Microsoft worden uitgevoerd ongeldig maken. Vaak zijn wijzigingen zoals deze niet grondig getest door Microsoft op andere instellingen. Uit ondersteunings- en veldervaringen blijkt dat met DACL-bewerkingen het fundamentele gedrag van het besturingssysteem vaak op onbedoelde manieren wordt gewijzigd. Deze wijzigingen zijn van invloed op de compatibiliteit en stabiliteit van de toepassing en het verminderen van functionaliteit, wat de prestaties en de mogelijkheden betreft.

Vanwege deze wijzigingen wordt u aangeraden de DACLs van het bestandssysteem niet te wijzigen voor bestanden die zijn opgenomen in het besturingssysteem op productiesystemen. We raden u aan extra wijzigingen in de ACL te evalueren ten opzichte van een bekende bedreiging, om inzicht te krijgen in eventuele voordelen die de wijzigingen kunnen uitlenen aan een specifieke configuratie. Daarom brengen onze handleidingen slechts zeer minimale wijzigingen aan in DACL en alleen in Windows 2000. Voor Windows 2000 zijn enkele kleine wijzigingen vereist. Deze wijzigingen worden beschreven in de Windows 2000 Security Hardening Guide.

Uitgebreide machtigingswijzigingen die worden doorgevoerd in het register en bestandssysteem kunnen niet ongedaan worden gemaakt. Nieuwe mappen, zoals mappen met gebruikersprofiel die niet aanwezig waren bij de oorspronkelijke installatie van het besturingssysteem, kunnen worden beïnvloed. Als u daarom een groepsbeleidsinstelling verwijdert die DACL-wijzigingen uitvoert of als u de standaardinstellingen van het systeem toe passen, kunt u de oorspronkelijke DACL's niet terugdraaien. 

Wijzigingen in de DACL in de map %SystemDrive% kunnen de volgende scenario's veroorzaken:

• De Prullenbak werkt niet meer zoals bedoeld en bestanden kunnen niet worden hersteld.

• Een minder beveiliging waardoor niet-beheerders de inhoud van de Prullenbak van de beheerder kunnen bekijken.

• Het niet werken van gebruikersprofielen zoals verwacht.

• Een beperking van de beveiliging die interactieve gebruikers leestoegang biedt tot bepaalde of alle gebruikersprofielen in het systeem.

• Prestatieproblemen wanneer veel DACL-bewerkingen worden geladen in een groepsbeleidsobject met lange aanmeldingstijden of herhaalde herstarten van het doelsysteem.

• Prestatieproblemen, waaronder systeemvertragingen, elke 16 uur, of zo wanneer de groepsbeleidsinstellingen opnieuw worden toegepast.

• Compatibiliteitsproblemen met toepassingen of het programma loopt vast.

Microsoft levert commercieel redelijke inspanningen in overeenstemming met uw ondersteuningscontract om u te helpen de slechtste resultaten van dergelijke bestands- en registermachtigingen te verwijderen. U kunt deze wijzigingen momenteel echter niet terugdraaien. We kunnen garanderen dat u alleen de aanbevolen standaardinstellingen kunt herstellen door de harde schijf opnieuw op te maken en het besturingssysteem opnieuw te installeren.

Wijzigingen in register-DACL's zijn bijvoorbeeld van invloed op grote delen van de registersleutels en kunnen ervoor zorgen dat systemen niet meer werken zoals verwacht. Als u de DACL's voor enkele registersleutels wijzigt, is dat voor veel systemen minder belangrijk. Het is echter raadzaam deze wijzigingen zorgvuldig te overwegen en te testen voordat u ze implementeert. Ook hier kunt u garanderen dat u bij het opnieuw opmaken en opnieuw installeren van het besturingssysteem kunt terugkeren naar de aanbevolen standaardinstellingen.

Microsoft-netwerkclient: communicatie digitaal ondertekenen (altijd)

Als u deze instelling inschakelen, moeten clients serverberichtblokkeringsverkeer ondertekenen wanneer ze contact opnemen met servers waarvoor geen SMB-ondertekening is vereist. Hierdoor worden clients minder kwetsbaar voor aanvallen bij het hijsen van sessies. Dit levert een belangrijke waarde op, maar zonder een soortgelijke wijziging op de server in te stellen om Microsoft-netwerkserver in teschakelen: Digitaal ondertekenen van communicatie (altijd) of Microsoft-netwerkclient: Digitaal ondertekenen van communicatie (als de clientermee instemt), kan de client niet communiceren met de server.

Netwerkbeveiliging: De hashwaarde van LAN Manager niet opslaan bij de volgende wijziging van het wachtwoord

Wanneer u deze instelling inschakelen, wordt de hashwaarde van LAN Manager (LM) voor een nieuw wachtwoord niet opgeslagen wanneer het wachtwoord wordt gewijzigd. De LM-hash is relatief zwak en gevoelig voor een aanval in vergelijking met de cryptografische krachtigere Microsoft Windows NT-hash. Hoewel deze instelling uitgebreide aanvullende beveiliging biedt voor een systeem door vele veelvoorkomende hulpprogramma's voor wachtwoordbaren te voorkomen, kan de instelling verhinderen dat sommige toepassingen correct worden begonnen of uitgevoerd.

Systeemcryptografie: gebruik compatibele FIPS-algoritmen voor versleuteling, hashing en ondertekening

Wanneer u deze instelling inschakelen, gebruiken IIS (Internet Information Services) en Microsoft Internet Explorer alleen het TLS 1.0-protocol (Transport Layer Security). Als deze instelling is ingeschakeld op een server met IIS, kunnen alleen webbrowsers die TLS 1.0 ondersteunen verbinding maken. Als deze instelling is ingeschakeld op een webclient, kan de client alleen verbinding maken met servers die het TLS 1.0-protocol ondersteunen. Deze vereiste kan van invloed zijn op de mogelijkheid van een client om websites te bezoeken die Secure Sockets Layer (SSL) gebruiken. Klik op het volgende artikelnummer voor meer informatie om het artikel in de Microsoft Knowledge Base te bekijken:

811834 Kan geen SSL-sites bezoeken nadat u fiPS-compatibelecryptografie hebt ingeschakeld. Wanneer u deze instelling inschakelen op een server die Terminal Services gebruikt, moeten clients bovendien de
RDP-client 5.2 of hoger gebruiken om verbinding te maken.

Klik op het volgende artikelnummer voor meer informatie om het artikel in de Microsoft Knowledge Base te bekijken:

811833 Het effect van het inschakelen van de beveiligingsinstelling 'Systeemcryptografie: gebruik compatibele ALGORITMEn voor versleuteling, hashing en ondertekening' in Windows XP en in nieuwere versies van Windows

De Automatic Update-service of Background Intelligent Transfer Service (BITS) is uitgeschakeld

Een van de belangrijkste pilaren van de microsoft-beveiligingsstrategie is ervoor te zorgen dat systemen op de hoogte blijven van updates. Een belangrijk onderdeel in deze strategie is de service Automatische updates. Zowel voor services voor Windows Update als voor software-update wordt de service Automatische updates gebruikt. De service Automatische updates is gebaseerd op DE Background Intelligent Transfer Service (BITS). Als deze services zijn uitgeschakeld, kunnen de computers geen updates meer ontvangen van Windows Update via Automatische updates, via Software Update-services (SUS) of via bepaalde installaties van Microsoft Systems Management Server (SMS). Deze services moeten alleen worden uitgeschakeld op systemen met een effectief update-distributiesysteem dat niet afhankelijk is van BITS.

NetLogon-service is uitgeschakeld

Als u de NetLogon-service uit schakelen, functioneert een werkstation niet meer betrouwbaar als domeinlid. Deze instelling is mogelijk geschikt voor bepaalde computers die niet deelnemen aan domeinen. Het moet echter zorgvuldig worden geëvalueerd vóór de implementatie.

NoNameReleaseOnDemand

Met deze instelling wordt voorkomen dat een server de netNAAM van de server opvraagt als deze een conflict heeft met een andere computer in het netwerk. Deze instelling is een goede voorzorgsmaatregel voor Denial of Service-aanvallen tegen naamservers en andere zeer belangrijke serverrollen.

Wanneer u deze instelling op een werkstation inschakelen, weigert het werkstation de Net EVEN EVENS-naam weer te geven, zelfs als de naam in strijd is met de naam van een belangrijker systeem, zoals een domeincontroller. In dit scenario kan de functionaliteit van belangrijke domeinen worden uitgeschakeld. Microsoft ondersteunt sterk industrie-inspanningen om beveiligingsinlichtingen te bieden die zijn gericht op implementaties op hoog beveiligingsgebieden. Deze richtlijnen moeten echter grondig worden getest in de doelomgeving. Het wordt ten zeerste aangeraden dat systeembeheerders die meer beveiligingsinstellingen nodig hebben dan de standaardinstellingen, de door Microsoft uitgegeven handleidingen gebruiken als uitgangspunt voor de vereisten van hun organisatie. Neem contact op met de organisatie die de richtlijnen heeft uitgegeven voor ondersteuning of vragen over handleidingen van derden.