M 5.131 Absicherung von IP-Protokollen unter Windows Server 2003

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Der TCP/IP-Stack ist nach einer Standardinstallation aktiviert. Die voreingestellten Sicherheitseinstellungen sind ein Kompromiss zwischen Sicherheit auf der einen und Abwärtskompatibilität und Offenheit gegenüber anderen Systemen auf der anderen Seite. Dies ist nur in Einzelfällen und dort auch nur bedingt ausreichend, daher ist zu überlegen, die Basiseinstellung auf ein höheres Sicherheitsniveau anzuheben. Erweitere Einstellungen zur Vorbeugung gegen Denial-of-Service-Attacken finden sich in der Maßnahme M 4.279 Erweiterte Sicherheitsaspekte für Windows Server 2003.

Hinweis: Ab Windows Server 2003 mit Service Pack 1 setzt der Sicherheitskonfigurations-Assistent (SCW) zur Vorbeugung gegen Denial-of-Service-Attacken (siehe G 4.22 Software-Schwachstellen oder -Fehler) einige weitere Einstellungen bei bestimmten Rollen automatisch (siehe M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003).

Kommunikationsprotokolle der Internetprotokoll-Suite

Einige Protokolle des TCP/IP-Stacks können optional konfiguriert werden. Sie sind in unterschiedlicher Qualität in die Sicherheitsarchitektur des Betriebsystems integriert und bieten zudem häufig keine ausreichende Authentisierung und Integritätssicherung. Nach einer Standardinstallation ist auf einem Windows Server 2003 System kein unsicheres Protokoll konfiguriert. Wird ein optionales Protokoll installiert, müssen Mechanismen zum Schutz der ausgetauschten Informationen (z. B. kryptographische Funktionen, Authentisierungsfunktionen) entsprechend dem Anwendungsbereich und dem Sicherheitsbedarf konfiguriert werden.

In den Hilfsmitteln zum IT-Grundschutz (siehe Hilfsmittel zum Windows Server 2003) wird eine Übersicht von Protokollen der Internetprotokollsuite in verschiedenen Bereichen von Windows Server 2003 gegeben. Hier sind Hinweise zum geeigneten Umgang mit diesen Protokollen enthalten.

Besonders großen Einfluss auf die Sicherheit und Stabilität von Windows-Server-2003 Infrastrukturen haben die Protokolle zur IP-Adressenverteilung ( DHCP ) und zur Namenauflösung ( DNS und WINS). Hierfür sind geeignete, nach den jeweiligen Einsatzbereichen differenzierte Konzepte für die gesamte Infrastruktur erforderlich. Eine Orientierung zum Erreichen des erforderlichen Sicherheitsniveaus findet sich in den Hilfsmitteln zum IT-Grundschutz (siehe DHCP/DNS/WINS als Infrastrukturdienste unter Windows Server 2003 in Hilfsmittel zum Windows Server 2003).

Sonstige Protokollgruppen wie IP-Routing-, Multicast- und Quality-of-Service-Protokolle (QoS) kommen zum Einsatz, wenn der Server für spezielle Rollen konfiguriert ist. Ansonsten sollten sie deaktiviert sein. Für einen sicheren Betrieb gilt generell:

Dokumentation

Alle aktiven Netz-Protokolle des Servers sind zu erfassen. Wurde der Server mittels einer Vorlage des SCW konfiguriert, ist die Vorlage für eine Mindestdokumentation ausreichend (siehe M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003). Die effektiven Authentisierungs- und Verschlüsselungsmethoden sowie der Einsatzzweck sind für jedes Protokoll zu dokumentieren.

Ergänzende Kontrollfragen: