Sie befinden sich hier: Themen. IT-Grundschutz. IT-Grundschutz-Kataloge. Dokument: M 2.325 Planung der Windows XP Sicherheitsrichtlinie - IT-Grundschutz-Kataloge - 10. EL Stand 2008
direkt zu der Navigation Servicebereich. direkt zu der Hauptnavigation. direkt zur Themennavigation. direkt zum Seiteninhalt.

M 2.325 Planung der Windows XP Sicherheitsrichtlinie

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Leiter IT, Administrator

Eine der wichtigsten organisatorischen Aufgaben bei der Einführung von Windows XP ist es, eine entsprechende Windows XP Sicherheitsrichtlinie zu planen und zu definieren. Diese Richtlinie legt die später umzusetzenden Sicherheitsbestimmungen für Windows XP Systeme fest.

Die in der XP-Sicherheitsrichtlinie definierten Anforderungen werden durch die entsprechenden Sicherheitseinstellungen auf Betriebssystemebene und/oder durch organisatorische Maßnahmen umgesetzt. In Fällen, in denen technische Maßnahmen nicht ausreichen, ist eine Kombination notwendig, so dass eine technische Umsetzung durch zusätzliche organisatorische Maßnahmen begleitet und unterstützt wird. Nach Möglichkeit sollte eine technische Lösung gegenüber einer organisatorischen immer bevorzugt werden.

Die zu erstellende XP-Sicherheitsrichtlinie hat sich an den bisher geltenden Sicherheitsrichtlinien des jeweiligen Unternehmens bzw. der jeweiligen Behörde zu orientieren und darf diesen nicht widersprechen. In der Regel werden die existierenden Regelungen für Windows XP angepasst oder sinngemäß erweitert. Dabei sind insbesondere Windows XP-spezifische Technologien (z. B. Remote Desktop) zu berücksichtigen. Generell gilt, dass sich die Planung der Windows XP Infrastruktur an der jeweiligen übergreifenden Sicherheitsrichtlinie orientiert, dabei jedoch auch über einen Feedback-Prozess Einfluss auf diese Sicherheitsrichtlinie besitzt. Nicht zuletzt ist beim Erstellen der XP-Sicherheitsrichtlinie darauf zu achten, dass geltende rechtliche Bestimmungen berücksichtigt werden. Die XP-Sicherheitsrichtlinie ist zu dokumentieren und im erforderlichen Umfang den Benutzern des Client-Server-Netzes mitzuteilen. Alle Administratoren sollten sie kennen und umsetzen.

Die folgenden Themenbereiche bieten einen groben Überblick über die abzudeckenden Bereiche einer solchen Richtlinie. Je nach Unternehmen oder Behörde und umzusetzenden Einsatzszenarien müssen natürlich noch weitere Aspekte in Betracht gezogen werden.

Physische Sicherheit

Die Fragen der physischen Sicherheit müssen bei der Planung der XP-Sicherheitsrichtlinie berücksichtigt werden, da es sich bei Windows XP um ein Client-Betriebssystem handelt, welches auch auf mobilen Rechnern zum Einsatz kommen kann. Daher müssen die generellen Emfehlungen zu physischen Sicherheit aus den Bausteinen B 3.201 Allgemeiner Client und B 3.202 Allgemeines nicht vernetztes IT-System umgesetzt werden.

Verantwortlichkeiten

Die Verantwortlichkeiten für den Betrieb der Windows XP Systemen müssen durch die XP-Sicherheitsrichtlinie geregelt werden. Es ist festzulegen, welche Verantwortung die einzelnen Administratoren zu übernehmen haben. Dies können zum Beispiel Verantwortlichkeiten sein für:

Auch die Endbenutzer müssen in einem Client-Server-Netz Verantwortlichkeiten übernehmen, sofern sie imstande sein sollen, bestimmte administrative Tätigkeiten auszuführen. In der Regel beschränken sich diese Verantwortlichkeiten jedoch auf die Vergabe von Zugriffsrechten auf die eigenen Dateien, sofern diese explizit festgelegt und nicht von Voreinstellungen des übergeordneten Verzeichnisses übernommen werden.

Die Administration der Systeme sollte von geschulten Netzadministratoren erfolgen, wobei im Rahmen der Notfallvorsorge für eine geeignete Stellvertreterregelung zu sorgen ist.

Benutzerkonten

Vor der Einrichtung von Benutzerkonten muss die Entscheidung getroffen werden, ob die Konten lokal oder im Active Directory angelegt werden. Aus Gründen der einfacheren Verwaltung wird grundsätzlich empfohlen, die Benutzerkonten im Active Directory anzulegen.

Des Weiteren sollten die Restriktionen, die für Konten gelten sollen, festgelegt werden. Dies betrifft insbesondere die Regelungen für Passwörter und für die Reaktion des Systems auf Anmelde-Fehlversuche.

Berechtigungskonzept

Die XP-Sicherheitsrichtlinie muss unter anderem auch ein Berechtigungskonzept beinhalten. Das Berechtigungskonzept legt vor allem Rechte sowohl normaler als auch administrativer Benutzer fest.

Problematisch ist dabei die Tatsache, dass Windows XP nicht rollenfähig ist. Daher muss ein entsprechendes Gruppenkonzept geplant und (lokal oder in der Domäne) umgesetzt werden. Dies erfordert im Wesentlichen eine Abbildung der Organisationshierarchie und der existierenden Rollen auf die jeweiligen Gruppen. Durch die Vergabe entsprechender Berechtigungen an die Gruppen sowie gegebenenfalls die Definition entsprechender Richtlinien (z. B. Software Restriction Policies) wird das Berechtigungskonzept umgesetzt. Dies erfordert eine entsprechende Planung bzw. Erfassung der Verantwortlichkeiten und Prozesse.

Folgende Bereiche müssen durch das Berechtigungskonzept abgedeckt sein:

Benutzerrechte müssen sorgfältig geplant werden, da sie Vorrang vor anderen Rechten haben, insbesondere allen Datei- und Verzeichnisberechtigungen. Benutzerrechte beziehen sich damit auf das gesamte XP-System. Die Vergabe der Benutzerrechte erfolgt über Gruppenrichtlinien, die bei Mitgliedern einer Active-Directory-basierten Domäne im Active Directory und bei anderen Systemen lokal definiert werden (siehe M 2.326 Planung der Windows XP Gruppenrichtlinien). Bei der Vergabe ist darauf zu achten, dass Berechtigungen und Rechte vorzugsweise Gruppen und nicht einzelnen Benutzern zugewiesen werden.

Kommunikationssicherheit

Auch Anforderungen an die Sicherheit bei der Datenübertragung müssen ein Bestandteil der XP-Sicherheitsrichtlinie sein. Es ist empfehlenswert, Grundanforderungen an die Übertragungssicherheit in der Sicherheitsrichtlinie zu formulieren (Sollzustand) und anschließend Ausnahmen zu erfassen, die aufgrund lokaler Gegebenheiten notwendig sind. Bei der Definition der Anforderungen und zugehöriger Ausnahmen sind vor allem die Fragen der erforderlichen Authentizität, Vertraulichkeit, Integrität und Verfügbarkeit zu berücksichtigen.

Die technische Umsetzung der Anforderungen kann je nach verwendeten Mechanismen und den lokalen Gegebenheiten auf unterschiedliche Art und Weise erfolgen. Zwei der möglichen Umsetzungen werden in M 5.123 Absicherung der Netzkommunikation unter Windows XP und M 5.90 Einsatz von IPSec unter Windows 2000/XP beschrieben.

Protokollierung

Windows XP stellt, wie auch Windows 2000, sehr ausführliche Möglichkeiten zur Protokollierung sicherheitsrelevanter Ereignisse (erfolgreiche und/oder fehlgeschlagene Versuche) zur Verfügung. Diese sind jedoch bei vollständiger Nutzung in der Lage, das System weitgehend mit der Protokollierung auszulasten und dabei große Mengen an Plattenplatz zu verbrauchen. Bei der Definition der Protokolleinstellungen ist das Gesamtkonzept der Systemüberwachung (siehe M 4.148 Überwachung eines Windows 2000/XP Systems) zu berücksichtigen.

Einsatzszenarien-spezifische Aspekte

Je nach Einsatzszenario entstehen weitere, für dieses Szenario spezifische Aspekte, die bei der Planung berücksichtigt sein müssen. Insbesondere durch die Verwendung von Peer-to-Peer-Diensten entstehen neue Sicherheitsaspekte, die durch die Sicherheitsrichtlinien abgedeckt sein müssen (siehe auch M 5.37 Einschränken der Peer-to-Peer-Funktionalitäten in einem servergestützten Netz und M 2.67 Festlegung einer Sicherheitsstrategie für Peer-to-Peer-Dienste ). Auf die Verwendung von Peer-to-Peer-Funktionalitäten sollte nach Möglichkeit verzichtet werden, da diese die Sicherheit des Client-Server-Netzes beinträchtigen können.

Die für den mobilen Betrieb eines Windows XP Systems zu berücksichtigenden Aspekte werden in M 2.328 Einsatz von Windows XP auf mobilen Rechnern  beschrieben.

Ein weiteres Beispiel für szenariospezifische Sicherheitsaspekte ist die Verwendung von EFS, das zusätzliche sicherheitsrelevante Anforderungen aufwirft (siehe M 4.147 Sichere Nutzung von EFS unter Windows 2000/XP).

Ergänzende Kontrollfragen