M 2.325 Planung der Sicherheitsrichtlinien von Windows XP und Windows Vista

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Eine der wichtigsten organisatorischen Aufgaben bei der Einführung von Windows XP und Windows Vista ist es, eine entsprechende Sicherheitsrichtlinie für Windows XP und Windows Vista zu planen und zu definieren. Diese Richtlinie legt die später umzusetzenden Sicherheitsbestimmungen für Windows XP und Windows Vista Systeme fest.

Die in der Windows XP und Windows Vista Sicherheitsrichtlinie definierten Anforderungen werden durch die entsprechenden Sicherheitseinstellungen auf Betriebssystemebene und/oder durch organisatorische Maßnahmen umgesetzt. In Fällen, in denen technische Maßnahmen nicht ausreichen, ist eine Kombination notwendig, so dass eine technische Umsetzung durch zusätzliche organisatorische Maßnahmen begleitet und unterstützt wird. Nach Möglichkeit sollte immer eine technische Lösung gegenüber einer organisatorischen bevorzugt werden.

Die zu erstellende Windows XP und Windows Vista Sicherheitsrichtlinie hat sich an den bisher geltenden Sicherheitsrichtlinien des jeweiligen Unternehmens bzw. der jeweiligen Behörde zu orientieren und darf diesen nicht widersprechen. In der Regel werden die existierenden Regelungen für Windows XP angepasst oder sinngemäß erweitert. Dabei sind insbesondere spezifische Technologien von Windows XP und Windows Vista (z. B. Remote Desktop) zu berücksichtigen. Generell gilt, dass sich die Planung der Windows XP und Windows Vista Infrastruktur an der jeweiligen übergreifenden Sicherheitsrichtlinie orientiert, jedoch über einen Feedback-Prozess Einfluss auf diese übergreifende Sicherheitsrichtlinie besitzt. Nicht zuletzt ist beim Erstellen der XP und Vista Sicherheitsrichtlinie darauf zu achten, dass geltende rechtliche Bestimmungen berücksichtigt werden. Die Sicherheitsrichtlinie für Windows XP und Vista ist zu dokumentieren und im erforderlichen Umfang den Benutzern des Client-Server-Netzes mitzuteilen. Alle Administratoren sollten sie kennen und umsetzen.

Die folgenden Themenbereiche bieten einen groben Überblick über die abzudeckenden Bereiche einer solchen Richtlinie. Je nach Unternehmen oder Behörde und umzusetzenden Einsatzszenarien müssen noch weitere Aspekte in Betracht gezogen werden.

Physische Sicherheit

Die Fragen der physischen Sicherheit müssen bei der Planung der Windows XP und Windows Vista Sicherheitsrichtlinie berücksichtigt werden, da diese Betriebssysteme auch auf mobilen Rechnern zum Einsatz kommen können. Es müssen die generellen Empfehlungen zu physischen Sicherheit aus den Bausteinen B 3.201 Allgemeiner Client und B 3.202 Allgemeines nicht vernetztes IT-System umgesetzt werden.

Verantwortlichkeiten

Die Verantwortlichkeiten für den Betrieb der Windows XP und Windows Vista Systemen müssen durch die Windows XP und Windows Vista Sicherheitsrichtlinie geregelt werden.

Es ist festzulegen, welche Verantwortung die einzelnen Administratoren zu übernehmen haben. Dies können zum Beispiel Verantwortlichkeiten sein für:

Auch die Endbenutzer müssen in einem Client-Server-Netz Verantwortlichkeiten übernehmen, sofern sie administrative Tätigkeiten ausführen sollen. In der Regel beschränken sich diese Verantwortlichkeiten auf die Vergabe von Zugriffsrechten auf die eigenen Dateien, sofern diese explizit festgelegt und nicht von Voreinstellungen des übergeordneten Verzeichnisses übernommen werden.

Die Administration der Systeme sollte von geschulten Netzadministratoren erfolgen wobei im Rahmen der Notfallvorsorge für eine geeignete Stellvertreterregelung zu sorgen ist.

Benutzerkonten

Vor der Einrichtung von Benutzerkonten muss die Entscheidung getroffen werden, ob die Konten lokal oder im Active Directory angelegt werden. Aus Gründen der einfacheren Verwaltung wird grundsätzlich empfohlen, die Benutzerkonten im Active Directory anzulegen.

Des Weiteren sollten die Restriktionen, die für Konten gelten sollen, festgelegt werden. Dies betrifft insbesondere die Regelungen für Passwörter und für die Reaktion des Systems auf Anmelde-Fehlversuche.

Berechtigungskonzept

Die Sicherheitsrichtlinie muss unter anderem ein Berechtigungskonzept beinhalten. Das Berechtigungskonzept legt Rechte von normalen und administrativen Benutzern fest.

Problematisch ist die Tatsache, dass Windows XP und Windows Vista nicht rollenfähig sind. Daher muss ein entsprechendes Gruppenkonzept geplant und lokal oder in der Domäne umgesetzt werden. Dies erfordert im Wesentlichen eine Abbildung der Organisationshierarchie und der existierenden Rollen auf die jeweiligen Gruppen.

Durch die Vergabe entsprechender Berechtigungen an diese Gruppen sowie gegebenenfalls die Definition entsprechender Richtlinien (z. B. Software Restriction Policies) wird das Berechtigungskonzept umgesetzt. Dies erfordert eine entsprechende Planung bzw. Erfassung der Verantwortlichkeiten und Prozesse.

Folgende Bereiche müssen durch das Berechtigungskonzept abgedeckt sein:

Benutzerrechte müssen sorgfältig geplant werden, da sie Vorrang vor anderen Rechten haben, insbesondere vor Datei- und Verzeichnisberechtigungen. Benutzerrechte beziehen sich auf das gesamte Windows XP bzw. Windows Vista System. Die Vergabe der Benutzerrechte erfolgt über Gruppenrichtlinien, die bei Mitgliedern einer Active Directory-basierten Domäne im Active Directory und bei anderen Systemen lokal definiert werden (siehe M 2.326 Planung der Windows XP und Windows Vista Gruppenrichtlinien). Bei der Vergabe ist darauf zu achten, dass Berechtigungen und Rechte vorzugsweise Gruppen und nicht einzelnen Benutzern zugewiesen werden.

Unter Windows Vista muss das Berechtigungskonzept auch auf den Einsatz der Benutzerkontensteuerung (User Account Control, UAC) eingehen (siehe M 4.340 Einsatz der Windows Vista Benutzerkontensteuerung - UAC).

Kommunikationssicherheit

Auch Anforderungen an die Sicherheit bei der Datenübertragung müssen ein Bestandteil der Sicherheitsrichtlinie sein. Es ist empfehlenswert, Grundanforderungen an die Übertragungssicherheit in der Sicherheitsrichtlinie zu formulieren (Sollzustand) und anschließend Ausnahmen zu erfassen, die aufgrund lokaler Gegebenheiten notwendig sind. Bei der Definition von Anforderungen und zugehörigen Ausnahmen sind vor allem die Fragen der erforderlichen Authentizität, Vertraulichkeit, Integrität und Verfügbarkeit zu berücksichtigen.

Die technische Umsetzung der Anforderungen kann auf unterschiedliche Art und Weise erfolgen. Zwei der möglichen Umsetzungen werden in M 5.123 Absicherung der Netzkommunikation unter Windows und M 5.90 Einsatz von IPSec unter Windows beschrieben.

Bei der Umsetzung der Anforderungen ist auch der mögliche Einsatz der Windows-eigenen Desktop Firewall zu berücksichtigen. Unter Windows Vista ist dies die Windows Firewall.

Protokollierung

Windows Vista stellt, wie auch Windows 2000 und Windows XP, sehr ausführliche Möglichkeiten zur Protokollierung sicherheitsrelevanter Ereignisse (erfolgreiche und/oder fehlgeschlagene Versuche) zur Verfügung.

Diese sind jedoch bei vollständiger Nutzung in der Lage, das System weitgehend mit der Protokollierung auszulasten und große Mengen an Plattenplatz zu verbrauchen. Bei der Definition der Protokolleinstellungen ist das Gesamtkonzept der Systemüberwachung (siehe M 4.148 Überwachung eines Windows 2000/XP Systems und M 4.344 Überwachung eines Windows Vista Systems) zu berücksichtigen.

Einsatzszenarien-spezifische Aspekte

Je nach Einsatzszenario entstehen weitere, für dieses Szenario spezifische Aspekte, die bei der Planung berücksichtigt sein müssen. Insbesondere durch die Verwendung von Peer-to-Peer entstehen neue Sicherheitsaspekte, die durch die Sicherheitsrichtlinien abgedeckt sein müssen (siehe auch M 5.152 Austausch von Informationen und Ressourcen über Peer-to-Peer-Dienste). Auf die Verwendung von Peer-to-Peer sollte nach Möglichkeit verzichtet werden, da diese die Sicherheit des Client-Server-Netzes beinträchtigen können.

Die für den mobilen Betrieb eines Windows XP und Windows Vista Systems zu berücksichtigenden Aspekte werden in M 2.328 Einsatz von Windows XP auf mobilen Rechnern bzw. M 2.442 Einsatz von Windows Vista auf mobilen Rechnern beschrieben.

Ein weiteres Beispiel für szenariospezifische Sicherheitsaspekte ist die Verwendung von EFS , das zusätzliche sicherheitsrelevante Anforderungen aufwirft (siehe M 4.147 Sichere Nutzung von EFS unter Windows). Analog ist unter Windows Vista die mögliche Verwendung der BitLocker Festplattenverschlüsselung zu berücksichtigen (siehe M 4.337 Einsatz von BitLocker Drive Encryption).

Prüffragen: