M 2.325 Planung der Windows XP Sicherheitsrichtlinie
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Leiter IT, Administrator
Eine der wichtigsten organisatorischen Aufgaben bei der Einführung von Windows XP ist es, eine entsprechende Windows XP Sicherheitsrichtlinie zu planen und zu definieren. Diese Richtlinie legt die später umzusetzenden Sicherheitsbestimmungen für Windows XP Systeme fest.
Die in der XP-Sicherheitsrichtlinie definierten Anforderungen werden durch die entsprechenden Sicherheitseinstellungen auf Betriebssystemebene und/oder durch organisatorische Maßnahmen umgesetzt. In Fällen, in denen technische Maßnahmen nicht ausreichen, ist eine Kombination notwendig, so dass eine technische Umsetzung durch zusätzliche organisatorische Maßnahmen begleitet und unterstützt wird. Nach Möglichkeit sollte eine technische Lösung gegenüber einer organisatorischen immer bevorzugt werden.
Die zu erstellende XP-Sicherheitsrichtlinie hat sich an den bisher geltenden Sicherheitsrichtlinien des jeweiligen Unternehmens bzw. der jeweiligen Behörde zu orientieren und darf diesen nicht widersprechen. In der Regel werden die existierenden Regelungen für Windows XP angepasst oder sinngemäß erweitert. Dabei sind insbesondere Windows XP-spezifische Technologien (z. B. Remote Desktop) zu berücksichtigen. Generell gilt, dass sich die Planung der Windows XP Infrastruktur an der jeweiligen übergreifenden Sicherheitsrichtlinie orientiert, dabei jedoch auch über einen Feedback-Prozess Einfluss auf diese Sicherheitsrichtlinie besitzt. Nicht zuletzt ist beim Erstellen der XP-Sicherheitsrichtlinie darauf zu achten, dass geltende rechtliche Bestimmungen berücksichtigt werden. Die XP-Sicherheitsrichtlinie ist zu dokumentieren und im erforderlichen Umfang den Benutzern des Client-Server-Netzes mitzuteilen. Alle Administratoren sollten sie kennen und umsetzen.
Die folgenden Themenbereiche bieten einen groben Überblick über die abzudeckenden Bereiche einer solchen Richtlinie. Je nach Unternehmen oder Behörde und umzusetzenden Einsatzszenarien müssen natürlich noch weitere Aspekte in Betracht gezogen werden.
Physische Sicherheit
Die Fragen der physischen Sicherheit müssen bei der Planung der XP-Sicherheitsrichtlinie berücksichtigt werden, da es sich bei Windows XP um ein Client-Betriebssystem handelt, welches auch auf mobilen Rechnern zum Einsatz kommen kann. Daher müssen die generellen Emfehlungen zu physischen Sicherheit aus den Bausteinen B 3.201 Allgemeiner Client und B 3.202 Allgemeines nicht vernetztes IT-System umgesetzt werden.
Verantwortlichkeiten
Die Verantwortlichkeiten für den Betrieb der Windows XP Systemen müssen durch die XP-Sicherheitsrichtlinie geregelt werden. Es ist festzulegen, welche Verantwortung die einzelnen Administratoren zu übernehmen haben. Dies können zum Beispiel Verantwortlichkeiten sein für:
- Änderungen der Windows XP Sicherheitsparameter (lokal),
- Änderungen der Windows XP Sicherheitsparameter im Active Directory,
- die Verwaltung der Windows XP Systeme im Active Directory,
- die Auswertung der Protokolldaten,
- die Vergabe von Zugriffsrechten und Systemberechtigungen,
- das Hinterlegen und den Wechsel von Passwörtern und
- die Durchführung von Datensicherungen und Datenwiederherstellungen.
Auch die Endbenutzer müssen in einem Client-Server-Netz Verantwortlichkeiten übernehmen, sofern sie imstande sein sollen, bestimmte administrative Tätigkeiten auszuführen. In der Regel beschränken sich diese Verantwortlichkeiten jedoch auf die Vergabe von Zugriffsrechten auf die eigenen Dateien, sofern diese explizit festgelegt und nicht von Voreinstellungen des übergeordneten Verzeichnisses übernommen werden.
Die Administration der Systeme sollte von geschulten Netzadministratoren erfolgen, wobei im Rahmen der Notfallvorsorge für eine geeignete Stellvertreterregelung zu sorgen ist.
Benutzerkonten
Vor der Einrichtung von Benutzerkonten muss die Entscheidung getroffen werden, ob die Konten lokal oder im Active Directory angelegt werden. Aus Gründen der einfacheren Verwaltung wird grundsätzlich empfohlen, die Benutzerkonten im Active Directory anzulegen.
Des Weiteren sollten die Restriktionen, die für Konten gelten sollen, festgelegt werden. Dies betrifft insbesondere die Regelungen für Passwörter und für die Reaktion des Systems auf Anmelde-Fehlversuche.
Berechtigungskonzept
Die XP-Sicherheitsrichtlinie muss unter anderem auch ein Berechtigungskonzept beinhalten. Das Berechtigungskonzept legt vor allem Rechte sowohl normaler als auch administrativer Benutzer fest.
Problematisch ist dabei die Tatsache, dass Windows XP nicht rollenfähig ist. Daher muss ein entsprechendes Gruppenkonzept geplant und (lokal oder in der Domäne) umgesetzt werden. Dies erfordert im Wesentlichen eine Abbildung der Organisationshierarchie und der existierenden Rollen auf die jeweiligen Gruppen. Durch die Vergabe entsprechender Berechtigungen an die Gruppen sowie gegebenenfalls die Definition entsprechender Richtlinien (z. B. Software Restriction Policies) wird das Berechtigungskonzept umgesetzt. Dies erfordert eine entsprechende Planung bzw. Erfassung der Verantwortlichkeiten und Prozesse.
Folgende Bereiche müssen durch das Berechtigungskonzept abgedeckt sein:
- Systemberechtigungen und Benutzerrechte (z. B. lokale oder entfernte Anmeldung auf einem Rechner, das Herunterfahren eines Systems),
- Zugriffsberechtigungen auf Netzwerkfreigaben (insbesondere wenn Peer-to-Peer-Funktionalität benutzt wird),
- Zugriffsberechtigungen auf Dateien (Anwendungs- und Systemdateien),
- Zugriffsberechtigungen auf Registry-Einträge.
Benutzerrechte müssen sorgfältig geplant werden, da sie Vorrang vor anderen Rechten haben, insbesondere allen Datei- und Verzeichnisberechtigungen. Benutzerrechte beziehen sich damit auf das gesamte XP-System. Die Vergabe der Benutzerrechte erfolgt über Gruppenrichtlinien, die bei Mitgliedern einer Active-Directory-basierten Domäne im Active Directory und bei anderen Systemen lokal definiert werden (siehe M 2.326 Planung der Windows XP Gruppenrichtlinien). Bei der Vergabe ist darauf zu achten, dass Berechtigungen und Rechte vorzugsweise Gruppen und nicht einzelnen Benutzern zugewiesen werden.
Kommunikationssicherheit
Auch Anforderungen an die Sicherheit bei der Datenübertragung müssen ein Bestandteil der XP-Sicherheitsrichtlinie sein. Es ist empfehlenswert, Grundanforderungen an die Übertragungssicherheit in der Sicherheitsrichtlinie zu formulieren (Sollzustand) und anschließend Ausnahmen zu erfassen, die aufgrund lokaler Gegebenheiten notwendig sind. Bei der Definition der Anforderungen und zugehöriger Ausnahmen sind vor allem die Fragen der erforderlichen Authentizität, Vertraulichkeit, Integrität und Verfügbarkeit zu berücksichtigen.
Die technische Umsetzung der Anforderungen kann je nach verwendeten Mechanismen und den lokalen Gegebenheiten auf unterschiedliche Art und Weise erfolgen. Zwei der möglichen Umsetzungen werden in M 5.123 Absicherung der Netzwerkkommunikation unter Windows XP und M 5.90 Einsatz von IPSec unter Windows 2000/XP beschrieben.
Protokollierung
Windows XP stellt, wie auch Windows 2000, sehr ausführliche Möglichkeiten zur Protokollierung sicherheitsrelevanter Ereignisse (erfolgreiche und/oder fehlgeschlagene Versuche) zur Verfügung. Diese sind jedoch bei vollständiger Nutzung in der Lage, das System weitgehend mit der Protokollierung auszulasten und dabei große Mengen an Plattenplatz zu verbrauchen. Bei der Definition der Protokolleinstellungen ist das Gesamtkonzept der Systemüberwachung (siehe M 4.148 Überwachung eines Windows 2000/XP Systems) zu berücksichtigen.
Einsatzszenarien-spezifische Aspekte
Je nach Einsatzszenario entstehen weitere, für dieses Szenario spezifische Aspekte, die bei der Planung berücksichtigt sein müssen. Insbesondere durch die Verwendung von Peer-to-Peer-Diensten entstehen neue Sicherheitsaspekte, die durch die Sicherheitsrichtlinien abgedeckt sein müssen (siehe auch M 5.37 Einschränken der Peer-to-Peer-Funktionalitäten in einem servergestützten Netz und M 2.67 Festlegung einer Sicherheitsstrategie für Peer-to-Peer-Dienste). Auf die Verwendung von Peer-to-Peer-Funktionalitäten sollte nach Möglichkeit verzichtet werden, da diese die Sicherheit des Client-Server-Netzes beinträchtigen können.
Die für den mobilen Betrieb eines Windows XP Systems zu berücksichtigenden Aspekte werden in M 2.328 Einsatz von Windows XP auf mobilen Rechnern beschrieben.
Ein weiteres Beispiel für szenariospezifische Sicherheitsaspekte ist die Verwendung von EFS, das zusätzliche sicherheitsrelevante Anforderungen aufwirft (siehe M 4.147 Sichere Nutzung von EFS unter Windows 2000/XP).
Ergänzende Kontrollfragen
- Sind alle relevanten Bereiche durch die XP-Sicherheitsrichtlinie abgedeckt?
- Wurde der Feedback-Prozess bei der Umsetzung der XP-Sicherheitsrichtlinie berücksichtigt?
- Ist die erstellte XP-Sicherheitsrichtlinie dokumentiert und den Benutzern bzw. Administratoren mitgeteilt worden?
- Sind alle Benutzer in die Windows XP Sicherheitsrichtlinie eingewiesen worden?