Sie befinden sich hier: Themen IT-Grundschutz-Kataloge. Inhalt. Dokumententitel: M 4.137 Sichere Konfiguration von Windows 2000 - IT-Grundschutz-Kataloge - Stand 2006
direkt zu der Navigation Servicebereich. direkt zu der Hauptnavigation. direkt zur Themennavigation. direkt zum Seiteninhalt.

M 4.137 Sichere Konfiguration von Windows 2000

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator

Nach der Installation von Windows 2000 Rechnern erfolgt deren Konfiguration. Die jeweils vorzunehmenden Einstellungen hängen dabei wesentlich vom Verwendungszweck ab. Grob kann bei Windows 2000 unterschieden werden zwischen der Verwendung als

Dabei kommen jeweils die entsprechenden Windows 2000 Versionen (Professional, Server, Advanced Server, Datacenter Server) zum Einsatz.

Für die sichere Konfiguration ist jeweils zu beachten, dass neben der reinen Betriebssystemkonfiguration, die im Wesentlichen über Gruppenrichtlinien erfolgen kann, auch die sichere Konfiguration einzelner Dienste notwendig ist. Dies trifft insbesondere auf die Server-Versionen von Windows 2000 zu.

Folgende Punkte sind für die sichere Grundkonfiguration eines Windows 2000 Systems zu beachten:

In Abhängigkeit vom Verwendungszweck sind außerdem folgende Aspekte jeweils zu berücksichtigen:

Windows 2000 erlaubt es, Netzfreigaben für jeden Rechner, d. h. für Arbeitsplatzrechner, Server oder Domänen Controller, zu konfigurieren. Netzfreigaben können unter Sicherheitsgesichtspunkten problematisch sein. Freigaben auf Arbeitsplatzrechnern sollten möglichst vermieden werden, da ein Netzzugriff auf diese in der Regel nicht sinnvoll ist (siehe auch M 5.37 Einschränken der Peer-to-Peer-Funktionalitäten in einem servergestützten Netz). Ausnahmen sollten daher begründet und dokumentiert werden. Für Netzfreigaben auf Servern (z. B. Dateiserver, Druckserver) gilt, dass die Freigaben durch Zugriffsrechte zu schützen sind, so dass diese nur den autorisierten Benutzergruppen zur Verfügung stehen. Die Zugriffsrechte auf die durch die Freigaben zur Verfügung gestellten Ressourcen (z. B. Dateien und Verzeichnisse) sind durch restriktive Zugriffsrechte zu schützen. Netzfreigaben auf Domänen-Controller stellen u. U. eine besondere Gefahr dar, da die Daten auf Domänen-Controllern besonders geschützt werden müssen. Auch hier sind Freigaben zu begründen und zu dokumentieren.

Generell sollte für jede Freigabe eine Risikoabschätzung erfolgen. Die Sicherheit der durch eine Netzfreigabe angebotenen Ressourcen hängt vor allem von den eingestellten Zugriffsrechten ab. Diese können unter Windows 2000 feingranular vergeben werden. Welche Zugriffsrechte zu verwenden sind, kann nur im Einzelfall bestimmt werden. Generell gilt jedoch, dass die Zugriffsrechte so restriktiv wie möglich vergeben werden sollten. Spezielle Hinweise zum Umgang mit Dateizugriffsrechten finden sich auch in M 4.149 Datei- und Freigabeberechtigungen unter Windows 2000/XP.

Unter Windows 2000 wird standardmäßig Kerberos als Authentisierungsmechanismus eingesetzt. Da die Systemsicherheit auch von der korrekten und zuverlässigen Authentisierung abhängt, kommt den Komponenten von Kerberos eine wichtige Rolle zu. Die Windows 2000 Komponenten von Kerberos benötigen keine umfangreiche Konfiguration und stellen nur wenige Konfigurationsparameter bereit. Diese können über Gruppenrichtlinien angepasst werden. Es existieren folgende Konfigurationsmöglichkeiten:

 
Computer Richtlinien / Kontorichtlinien / Kerberos Richtlinien
Zugriffsbeschränkungen durchsetzen  Ist diese Einstellung aktiviert, überprüft der Kerberos KDC-Server (Key Distribution Center), ob der Benutzer die notwendigen Benutzerrechte (z. B. Recht zum Anmelden über das Netz) zum Zugriff auf den angeforderten Dienst besitzt, bevor das Ticket ausgestellt wird.  
Max. Gültigkeitsdauer des Benutzertickets  Diese Einstellung bestimmt die maximale Gültigkeit eines Benutzertickets. Ist ein Ticket abgelaufen, so muss es erneuert werden (s. u.). 
Max. Gültigkeitsdauer des Diensttickets  Nach Ablauf dieser Zeitspanne kann das Ticket nicht mehr zur Authentisierung beim Dienst genutzt werden. Einmal aufgebaute Dienstverbindungen werden jedoch nicht abgebrochen, da die Authentisierung innerhalb der Gültigkeitsdauer erfolgte. 
Max. Toleranz für die Synchronisation des Computertakts  Kerberos Tickets enthalten Zeitstempel (Ausstellungszeit, Gültigkeitsdauer). Damit die Authentisierung mittels "alter" Tickets ausgeschlossen ist, müssen alle Rechneruhren möglichst synchron laufen, was in einem Windows 2000 Netz automatisch durch den integrierten Zeitdienst gewährleistet wird. Die hier angegebene Zeitspanne gibt an, innerhalb welcher Toleranz Zeiten auf verschiedenen Rechnern als "gleich" angesehen werden. 
Max. Zeitraum, in dem ein Benutzerticket erneuert werden kann  Gibt den Zeitraum an, nach der die Verlängerung eines Benutzertickets nicht mehr möglich ist. Ist diese Zeitspanne für ein Benutzerticket abgelaufen, so muss sich der Benutzer erneut gegenüber dem Kerberos-Server authentisieren, damit ein neues Benutzerticket ausgestellt werden kann. Die Komponenten von Windows führen diesen Vorgang transparent für den Benutzer durch, sodass keine neue Passworteingabe notwendig ist. 

Tabelle: Computer Richtlinien / Kontorichtlinien / Kerberos Richtlinien

Bei der Konfiguration der Parameter über eine Gruppenrichtlinie (GPO) ist Folgendes zusätzlich zu beachten:

Neben den hier angesprochenen Windows 2000 spezifischen Maßnahmen muss generell für jeden Rechner bzw. für jede Gruppe von Rechnern eine Schutzbedarfsfeststellung erfolgen (siehe IT-Grundschutz-Vorgehensweise), die die speziellen Risiken, z. B. durch installierte Software oder Einsatzszenarien, berücksichtigt. Zusätzlich sollten auch die generellen Maßnahmen Anwendung finden, wie sie in den übrigen relevanten Bausteinen der IT-Grundschutz-Kataloge beschrieben sind.

Ergänzende Kontrollfragen: