M 4.339 Verhindern unautorisierter Nutzung von Wechselmedien unter Windows Vista und Windows 7
Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter
Verantwortlich für Umsetzung: Administrator, Benutzer
Unter Windows können sämtliche Wechseldatenträger (zum Beispiel: CD-ROM, DVD-ROM, USB-Stick, SD Karte, etc. ) automatisch erkannt und bearbeitet werden. Als Folge lassen sich auf dem Datenträger gespeicherte Programme automatisch auf dem Windows-System ausführen. Die automatische Wechselmedien-Erkennung sollte daher permanent unterbunden werden.
Windows Vista und Windows 7 stellen Mechanismen bereit, um den Zugriff auf Wechselmedien zu kontrollieren. Beispiele für Wechselmedien sind Speicherkarten, USB-Sticks, mobile Festplatten, Digitalkameras, Disketten, CDs oder DVDs. Sie dienen der mobilen Speicherung von Daten und des Datenaustauschs zwischen IT-Systemen. Daten können von einem Windows Vista oder Windows 7 System aus einem Wechselmedium gelesen und auf ein Wechselmedium gespeichert werden, Applikationen können von Wechselmedien gestartet werden. Zur Nutzung von Wechselmedien zählen auch die Installation oder Aktualisierung notwendiger Treiber.
Mit Windows Vista und Windows 7 können Vorgaben zur Installation und zur Nutzung von Wechselmedien über Gruppenrichtlinien durchgesetzt werden.
Ermittlung der Vorgaben zur Nutzung von Wechselmedien
Die Vorgaben zur Nutzung von Wechselmedien müssen ermittelt werden. Hierfür können die fachlichen Aufgaben betrachtet werden, zu deren Erfüllung ausgewählte Benutzer Wechselmedien einsetzen müssen. Daraus lassen sich die zu erlaubenden und/oder die zu unterbindenden Wechselmedien und ihre Nutzungsmöglichkeiten ableiten.
Unter Windows Vista und unter Windows 7 bietet Microsoft die Funktionen AutoRun und AutoPlay. AutoRun wird verwendet, um Programme oder erweiterte Inhalte, wie etwa Mediadateien, automatisch zu starten, wenn ein Datenträger eingelegt oder angeschlossen wird. AutoPlay ist eine Funktion mit der festgelegt wird, welches Programm genutzt werden soll, um ein bestimmtes Medium zu starten. So können beispielsweise Audio-CDs direkt mit dem MediaPlayer verknüpft werden. Dieser wird dann nach dem Einlegen einer Audio-CD automatisch gestartet. Es wird dringend empfohlen, die Funktion AutoPlay als auch die Funktion AutoRun zu deaktivieren.
Zu Vorgaben, deren Durchsetzung überlegt werden sollte, zählen:
- Deaktivierung der AutoRun-Funktion für Wechselmedien
Zugehöriges Gruppenrichtlinienobjekt:
AutoAusführen-Standardverhalten unter Richtlinie Computerkonfiguration | Administrative Vorlagen | Windows Komponenten | Richtlinien für die automatische Wiedergabe - Deaktivierung der AutoPlay-Funktion für Wechselmedien
Zugehöriges Gruppenrichtlinienobjekt:
AutoPlay deaktivieren unter Richtlinie Computerkonfiguration | Administrative Vorlagen | Windows Komponenten | Richtlinien für die automatische Wiedergabe - Nutzung von Wechselmedien auf lokale Benutzer beschränken
Zugehörige Gruppenrichtlinienobjekte:
Zugriff auf CD-ROM-Laufwerke auf lokal angemeldete Benutzer beschränken unter Richtlinie Computerkonfiguration | Windows-Einstellungen | Sicherheitseinstellungen | Lokale Richtlinien / Sicherheitsoptionen | Geräte
Alle Wechselmedien: Jeglichen direkten Zugriff in Remotesitzungen verweigern unter Richtlinie Computerkonfiguration | Administrative Vorlagen | System | Wechselmedienzugriff
Insbesondere USB-Sticks sind zu berücksichtigen, da diese auch als Authentisierungsmittel gegenüber Windows Vista und Windows 7 BitLocker eingesetzt werden können. Entsprechend notwendige Lese- und Schreibzugriffe müssen dann zugelassen werden.
Unter Windows Vista und Windows 7 kann die automatische Wiedergabe auch über Systemsteuerung | Hardware und Sound | Automatische Wiedergabe unterbunden werden. Hier lässt sich auch spezifisches Verhalten je nach Medientyp oder generelles Verhalten bei Wechselmedien einstellen. Es sollte die Einstellung Automatische Wiedergabe für alle Medien und Geräte verwenden deaktiviert werden.
Durchsetzung der Nutzungsanforderungen von Wechselmedien
Die ermittelten Nutzungsanforderungen von Wechselmedien müssen umgesetzt werden. Vorrangig sollte dies auf technischer Ebene über Gruppenrichtlinien erfolgen.
Als Ausweichmöglichkeit oder Ergänzung bieten sich auch organisatorische Vorgaben an.
Die Konfigurationseinstellungen von Gruppenrichtlinien sollten auf ihre Korrektheit hin getestet werden, bevor sie in den Regelbetrieb übernommen werden.
Die Benutzer müssen über die sie betreffenden Vorgaben zur Nutzung von Wechselmedien informiert werden.
Prüffragen:
- Wurden Vorgaben zur Nutzung von Wechselmedien definiert und umgesetzt?
- Wurde die Korrektheit der technischen Umsetzung getestet?
- Sind die Benutzer über die sie betreffenden Vorgaben zur Nutzung von Wechselmedien informiert?