M 5.132 Sicherer Einsatz von WebDAV unter Windows Server 2003

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Mit Hilfe von Web Distributed Authoring and Versioning (WebDAV) ist es möglich, Dateien eines Windows 2000 Servers/Windows Servers 2003 über eine HTTP-fähige Netzverbindung bereitzustellen. WebDAV ist unter Windows Server 2003 vor allem deshalb eine bessere Alternative zu FTP , weil sie eine geschützte Authentisierung von Windows-Benutzerkonten ermöglicht. Auch einige zusätzlich erhältliche Serverapplikationen bieten eine WebDAV-Schnittstelle, z. B. Microsoft Exchange Server und Windows Sharepoint Services. Geeignete WebDAV-Clients sind der Maßnahme M 4.282 Sichere Konfiguration der IIS-Basis-Komponente unter Windows Server 2003 zu entnehmen.

Die Planung des Einsatzes von WebDAV sollte wenigstens folgende Punkte berücksichtigen:

Verwenden von Laufwerksbuchstaben und Verschlüsselung

Windows XP enthält einen WebDAV-Redirector, der eine WebDAV-Freigabe einem Laufwerksbuchstaben zuordnen kann. Dies kann aus Gründen der Kompatibilität zu älteren Programmen nützlich sein. Jedoch funktioniert diese Zuordnung nicht über HTTPS-Verbindungen. Ist die Verwendung von Laufwerksbuchstaben und HTTPS notwendig, müssen hierfür Programme von Drittanbietern in Betracht gezogen werden. Eine unverschlüsselte Verbindung lediglich über HTTP ist nicht zu empfehlen.

Alternativ zu HTTPS ist auch mit EFS eine Verschlüsselung der übertragenen Daten möglich. Die Daten werden auf dem Client verschlüsselt und dann in verschlüsselter Form zum Server übertragen, wo sie auch verschlüsselt abgelegt werden. Diese Möglichkeit beschränkt sich auf Windows 2000/XP und auf eine Dateigröße von bis zu 60 Megabyte. Das Verfahren mit EFS ist in normalen IT-Umgebungen nicht zu empfehlen, da hierbei zusätzliche Risiken entstehen (G 4.54 Verlust des Schutzes durch das verschlüsselnde Dateisystem EFS ) und gegebenenfalls weitere Maßnahmen umzusetzen sind (M 4.278 Sichere Nutzung von EFS unter Windows Server 2003 ) umzusetzen sind.

Prüffragen: