B 3.209 Client unter Windows XP

Beschreibung
Betrachtet werden Arbeitsplatz-PCs (APCs) mit dem Betriebssystem Windows XP Professional. Windows XP ist das Nachfolgeprodukt von Windows 2000 Professional. Die Sicherheit eines solchen Betriebssystems spielt eine wichtige Rolle für die Sicherheit in einem IT-Verbund, da Schwachstellen auf der Betriebssystemebene die Sicherheit aller Anwendungen und des gesamten Netzes beeinträchtigen können. Der vorliegende Baustein beschreibt die Sicherheitsmaßnahmen, die für einen APC mit Windows XP umzusetzen sind. Die Maßnahmen beziehen sich insbesondere auf die Planung und den Betrieb eines Windows XP Clients in einer Domänenumgebung, auf Installationen von Windows XP auf Einzelplatzrechnern wird nur am Rande eingegangen. Die serverspezifischen Sicherheitsmaßnahmen, die beim Betrieb der Clients in einer Domänenumgebung relevant sind, sind in den Server-Bausteinen der Schicht 3 beschrieben (siehe z. B. Baustein B 3.106 Server unter Windows 2000).
Gefährdungslage
Wie jedes IT-System sind auch Clients unter Microsoft Windows XP vielfältigen Gefährdungen ausgesetzt. Oft nutzen erfolgreiche Angriffe Fehlkonfigurationen einzelner oder mehrerer Systemkomponenten aus. Daher kommt der korrekten Konfiguration des Systems und seiner Komponenten eine wichtige Rolle zu. Generell gilt, dass die Gefährdungslage einzelner Rechner immer auch vom Einsatzszenario abhängt und diese Einzelgefährdungen auch in die Gefährdung des Gesamtsystems eingehen. Es ist zu beachten, dass bei nicht vernetzten PCs alle Angriffe (siehe "Vorsätzliche Handlungen") den lokalen Zugang zum Gerät (Konsole) erfordern.
Für den IT-Grundschutz einzelner PCs unter dem Betriebssystem Windows XP werden folgende typische Gefährdungen angenommen.
Höhere Gewalt:
- | G 1.2 | Ausfall des IT-Systems |
- | G 1.4 | Feuer |
- | G 1.5 | Wasser |
- | G 1.8 | Staub, Verschmutzung |
Organisatorische Mängel:
- | G 2.7 | Unerlaubte Ausübung von Rechten |
- | G 2.9 | Mangelhafte Anpassung an Veränderungen beim IT-Einsatz |
Menschliche Fehlhandlungen:
- | G 3.2 | Fahrlässige Zerstörung von Gerät oder Daten |
- | G 3.3 | Nichtbeachtung von IT-Sicherheitsmaßnahmen |
- | G 3.6 | Gefährdung durch Reinigungs- oder Fremdpersonal |
- | G 3.8 | Fehlerhafte Nutzung des IT-Systems |
- | G 3.9 | Fehlerhafte Administration des IT-Systems |
- | G 3.22 | Fehlerhafte Änderung der Registrierung |
- | G 3.48 | Fehlerhafte Konfiguration von Windows 2000/XP/Server 2003 basierten IT-Systemen |
Technisches Versagen:
- | G 4.1 | Ausfall der Stromversorgung |
- | G 4.7 | Defekte Datenträger |
- | G 4.8 | Bekanntwerden von Softwareschwachstellen |
- | G 4.23 | Automatische CD-ROM-Erkennung |
Vorsätzliche Handlungen:
- | G 5.2 | Manipulation an Informationen oder Software |
- | G 5.4 | Diebstahl |
- | G 5.7 | Abhören von Leitungen |
- | G 5.9 | Unberechtigte IT-Nutzung |
- | G 5.18 | Systematisches Ausprobieren von Passwörtern |
- | G 5.21 | Trojanische Pferde |
- | G 5.23 | Computer-Viren |
- | G 5.43 | Makro-Viren |
- | G 5.52 | Missbrauch von Administratorrechten im Windows NT/2000/XP/Server 2003 System |
- | G 5.71 | Vertraulichkeitsverlust schützenswerter Informationen |
- | G 5.79 | Unberechtigtes Erlangen von Administratorrechten unter Windows NT/2000/XP/Server 2003 Systemen |
- | G 5.83 | Kompromittierung kryptographischer Schlüssel |
- | G 5.85 | Integritätsverlust schützenswerter Informationen |
Maßnahmenempfehlungen
Um den betrachteten IT-Verbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.
Aufgrund der oben aufgeführten besonderen Gefährdungen für vernetzte Geräte werden einige Maßnahmen ausdrücklich herausgestellt. Vor allem Maßnahmen zum Schutz gegen Angriffe aus dem Netz müssen hierbei sorgfältig durchgeführt werden. Eine effiziente, zentralisierte Verwaltung der Clients leistet einen wichtigen Beitrag zur Aufrechterhaltung eines hohen Sicherheitsstandards. Einheitliche Konfigurationsvorgaben erleichtern die Überwachung von ungewollten Änderungen der Konfiguration, Änderungen der Sicherheitsvorgaben können schneller auf allen Clients wirksam werden und Softwareaktualisierungen können schneller verteilt werden. Die Mehrzahl der empfohlenen Maßnahmen aus dem Bereich Hardware/Software lassen sich mit zentral vorgegebenen Gruppenrichtlinien umsetzen. Wenn in der Organisation der Einsatz von Microsoft Active Directory vorgesehen ist, muss dieser Einsatz gründlich geplant werden.
Einen Sonderfall stellt die Verwaltung von Windows XP Clients in Windows NT Domänenumgebungen dar. In diesem Fall stehen als Werkzeug zur zentralen Verwaltung nur die Windows NT Systemrichtlinien zur Verfügung. In der Maßnahme M 4.51 Benutzerprofile zur Einschränkung der Nutzungsmöglichkeiten von Windows NT werden die Möglichkeiten der Systemadministration mit Windows NT Systemrichtlinien erläutert. Aufgrund der technischen Beschränkungen dieser Lösung wird der Einsatz von Systemrichtlinien für Windows XP jedoch nicht empfohlen. Für die Verwaltung von Clients unter Windows XP sollte der Einsatz von Active Directory Gruppenrichtlinien erwogen werden.
Clients unter Windows XP können anstatt in Domänen auch in Arbeitsgruppen verwendet werden. Die Verwaltung sämtlicher Sicherheitsmerkmale erfolgt in diesem Fall lokal auf jedem einzelnen Client. Freigegebene Ressourcen auf einzelnen Rechnern lassen sich nur schwer zentral verwalten und überwachen. Ein Problem stellt auch die Datensicherung dar. Aufgrund der Vernetzung können jedoch einige netzbasierte Maßnahmen angewendet werden, z. B. die Verwendung von Sicherheitsvorlagen zur Konfiguration und die automatische Aktualisierung des Betriebssystems mithilfe des Software Update Service. Weitere Ausführungen zu diesem Einsatz-Szenario enthält der Baustein B 5.1 Peer-to-Peer-Dienste .
Für die erfolgreiche und sichere Konfiguration von Clients unter Windows XP sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Installation bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.
Planung und Konzeption
Nach der Entscheidung, Windows XP als Client-Betriebssystem einzusetzen, sollte zunächst der Einsatz geplant werden (siehe Maßnahme M 2.324 Einführung von Windows XP planen ). Parallel dazu ist eine Sicherheitsrichtlinie zu erarbeiten (siehe Maßnahme M 2.325 Planung der Windows XP Sicherheitsrichtlinie ), die einerseits die bereits bestehenden Sicherheitsrichtlinien im Windows XP-Kontext umsetzt und andererseits die für Windows XP spezifischen Erweiterungen definiert.
In einer vernetzten Umgebung wird der Einsatz eines zentralen Verwaltungssystems empfohlen. Hierfür kann z. B. Microsoft Active Directory zum Einsatz kommen. Insbesondere die Verwendung von Gruppenrichtlinien ermöglicht eine relativ einfache zentrale Umsetzung von Sicherheitsvorgaben. Beim Betrieb eines Windows XP Einzelsystems ist der Einsatz lokaler Gruppenrichtlinien empfehlenswert. Die Maßnahme M 2.326 Planung der Windows XP Gruppenrichtlinien enthält die entsprechenden Empfehlungen zum Einsatz von Gruppenrichtlinien zur Konfiguration und Verwaltung eines Windows XP Systems.
Weitere Aspekte müssen in der Planungsphase berücksichtigt werden. Diese betreffen vor allem die sichere Konfiguration eines Windows XP Systems. Folgende Maßnahmen sind hierfür relevant:
- | M 4.244 | Sichere Windows XP Systemkonfiguration |
- | M 4.245 | Basiseinstellungen für Windows XP GPOs |
- | M 4.246 | Konfiguration der Systemdienste unter Windows XP |
- | M 5.123 | Absicherung der Netzwerkkommunikation unter Windows XP |
- | M 4.247 | Restriktive Berechtigungsvergabe unter Windows XP |
Wird in einem Unternehmen bzw. einer Behörde der Einsatz von Windows XP spezifischen Fernzugriffsmöglichkeiten beabsichtigt, so müssen in der Planungsphase die entsprechenden Technologien ausgewählt und damit verbundene Sicherheitsaspekte evaluiert werden (siehe dazu die Maßnahme M 2.327 Sicherheit beim Fernzugriff unter Windows XP ).
Soll Windows XP zum Einsatz auf mobilen Rechnern kommen, so müssen bereits in der Planungsphase spezifische Sicherheitsaspekte berücksichtigt werden. Die Maßnahme M 2.328 Einsatz von Windows XP auf mobilen Rechnern fasst die für Windows XP spezifischen Aspekte zusammen.
Windows XP bietet einige Verwaltungswerkzeuge an, die bereits in der Planungs- bzw. Testphase helfen können, Konfigurationsfehler zu vermeiden, was zweifellos einen Sicherheitsgewinn bringt.
Die Maßnahme M 4.243 Windows XP Verwaltungswerkzeuge fasst die wichtigsten Werkzeuge zusammen.
Umsetzung
In der Umsetzungsphase werden alle Maßnahmen ergriffen, die den sicheren Betrieb vorbereiten und gewährleisten. Dazu zählen insbesondere Maßnahmen zur Sicherheit bei der Installation und Grundkonfiguration des Systems.
Nachdem die organisatorischen und planerischen Vorarbeiten durchgeführt wurden, kann die Installation von Windows XP Systemen erfolgen. Die Installation muss mit besonderer Sorgfalt durchgeführt werden. In M 4.248 Sichere Installation von Windows XP sind die relevanten Empfehlungen zusammengefasst. Die für die Konfiguration eines Windows XP Systems zu beachtenden Aspekte müssen während der Planungsphase ermittelt worden sein.
Betrieb
Nach der Erstinstallation und einer Testbetriebsphase wird der Regelbetrieb aufgenommen. Unter Sicherheitsgesichtspunkten sind dabei folgende Aspekte zu beachten:
- Ein Windows XP System ändert sich in der Regel täglich. Dabei muss bei jeder Änderung sichergestellt werden, dass die Sicherheit auch nach der Änderung nicht beeinträchtigt wird. Die dabei zu beachtenden Aspekte sind in M 4.146 Sicherer Betrieb von Windows 2000/XP zusammengefasst.
- Ein Mittel im Rahmen der Aufrechterhaltung der Sicherheit eines Windows XP Netzes ist die Überwachung des Systems bzw. seiner Einzelkomponenten. Die hier relevanten Maßnahmen finden sich in M 4.148 Überwachung eines Windows 2000/XP Systems . Dabei spielen auch insbesondere Datenschutzaspekte eine Rolle.
- Windows XP Systeme sind wie auch andere IT-Systeme den allgemeinen Sicherheitsrisiken ausgesetzt. Um die Wahrscheinlichkeit eines erfolgreichen Angriffs entschieden zu verringern, müssen Windows XP Systeme aktuell gehalten werden. Die entsprechenden Empfehlungen sind in M 4.249 Windows XP Systeme aktuell halten zu finden.
- Für die bereits im Betrieb befindlichen Windows XP Systeme müssen die aus dem Einspielen des Service Packs 2 resultierende Auswirkungen berücksichtigt werden (siehe dazu M 2.329 Einführung von Windows XP SP2 ).
- Eine regelmäßige Prüfung der geltenden Sicherheitseinstellungen und generell der existierenden Sicherheitsrichtlinien ist maßgebend für die Sicherheit der Windows XP Systeme im laufenden Betrieb. Die dabei zu beachtenden Aspekte sind in M 2.330 Regelmäßige Prüfung der Windows XP Sicherheitsrichtlinien und ihrer Umsetzung zusammengefasst.
- Windows XP bietet einige Verwaltungswerkzeuge an, deren Einsatz auch aus Sicherheitssicht empfehlenswert ist, da mit ihrer Hilfe unter anderem auch Konfigurationsfehler vermieden werden können. Im Weiteren sind diese Werkzeuge bei der Fehleranalyse bzw. bei der Revision nützlich (siehe dazu M 4.243 Windows XP Verwaltungswerkzeuge ).
Aussonderung
Wenn ein Windows XP APC stillgelegt wird, ist dafür Sorge zu tragen, dass die gespeicherten Daten nicht in falsche Hände geraten oder missbräuchlich verwendet werden können. Zu den gespeicherten Daten gehören auch Passwörter, Cookies, temporäre Internetdateien usw. Gleichzeitig ist zu beachten, dass bei Archivierung der Daten der Zugriff erhalten bleibt, auch wenn beispielsweise der bisherige Benutzer eines APCs die Organisation verlassen hat. Die gleichen Anforderungen gelten, wenn ein APC von einem Benutzer zu einem anderen Benutzer umgesetzt wird.
Notfallvorsorge
Neben der Absicherung im laufenden Betrieb spielt jedoch auch die Notfallvorsorge eine wichtige Rolle, da nur so der Schaden im Notfall verringert werden kann. Hinweise zur Notfallvorsorge finden sich in M 6.76 Erstellen eines Notfallplans für den Ausfall von Windows 2000/XP/2003-Systemen . Hinweise zur Datensicherung sind in M 6.78 Datensicherung unter Windows 2000/XP enthalten.
Nachfolgend wird das Maßnahmenbündel für den Baustein "Windows XP Client" vorgestellt.
Planung und Konzeption
- | M 2.324 | (A) | Einführung von Windows XP planen |
- | M 2.325 | (A) | Planung der Windows XP Sicherheitsrichtlinie |
- | M 2.326 | (A) | Planung der Windows XP Gruppenrichtlinien |
- | M 2.327 | (B) | Sicherheit beim Fernzugriff unter Windows XP |
- | M 2.328 | (B) | Einsatz von Windows XP auf mobilen Rechnern |
- | M 4.147 | (Z) | Sichere Nutzung von EFS unter Windows 2000/XP |
- | M 4.243 | (Z) | Windows XP Verwaltungswerkzeuge |
- | M 4.244 | (A) | Sichere Windows XP Systemkonfiguration |
- | M 4.245 | (A) | Basiseinstellungen für Windows XP GPOs |
- | M 4.246 | (A) | Konfiguration der Systemdienste unter Windows XP |
- | M 4.247 | (A) | Restriktive Berechtigungsvergabe unter Windows XP |
- | M 5.37 | (B) | Einschränken der Peer-to-Peer-Funktionalitäten in einem servergestützten Netz |
- | M 5.123 | (B) | Absicherung der Netzkommunikation unter Windows XP |
Umsetzung
- | M 2.32 | (Z) | Einrichtung einer eingeschränkten Benutzerumgebung |
- | M 3.28 | (A) | Schulung zu Windows 2000/XP Sicherheitsmechanismen für Benutzer |
- | M 4.48 | (A) | Passwortschutz unter NT-basierten Windows-Systemen |
- | M 4.49 | (A) | Absicherung des Boot-Vorgangs für ein Windows NT/2000/XP System |
- | M 4.52 | (A) | Geräteschutz unter NT-basierten Windows-Systemen |
- | M 4.57 | (A) | Deaktivieren der automatischen CD-ROM-Erkennung |
- | M 4.75 | (A) | Schutz der Registrierung unter Windows NT/2000/XP |
- | M 4.149 | (A) | Datei- und Freigabeberechtigungen unter Windows 2000/XP |
- | M 4.248 | (A) | Sichere Installation von Windows XP |
- | M 5.89 | (A) | Konfiguration des sicheren Kanals unter Windows 2000/XP |
- | M 5.90 | (Z) | Einsatz von IPSec unter Windows 2000/XP |
Betrieb
- | M 2.329 | (A) | Einführung von Windows XP SP2 |
- | M 2.330 | (B) | Regelmäßige Prüfung der Windows XP Sicherheitsrichtlinien und ihrer Umsetzung |
- | M 4.56 | (C) | Sicheres Löschen unter Windows-Betriebssystemen |
- | M 4.146 | (A) | Sicherer Betrieb von Windows 2000/XP |
- | M 4.148 | (B) | Überwachung eines Windows 2000/XP Systems |
- | M 4.249 | (A) | Windows XP Systeme aktuell halten |
Notfallvorsorge
- | M 6.76 | (C) | Erstellen eines Notfallplans für den Ausfall von Windows 2000/XP/2003-Systemen |
- | M 6.78 | (A) | Datensicherung unter Windows 2000/XP |