Der (un-)sichere Windows-PC

Transkript

1 Der (un-)sichere Windows-PC Allgemeine Prävention Der (un-)sichere Windows - PC Folie 1

2 Allgemeine Prävention Allgemeine Vorsichtsmaßnahmen im Institut bzw. zu Hause Räume bei Abwesenheit abschließen. Original-CDs der Software verschließen. Aktenordner mit Unterlagen wie Lizenznachweise anlegen und sicher aufbewahren. Daten regelmäßig sichern. Im Institut mit TSM (Tivoli Storage Manager) Bei isolierten PCs Eigene Dateien auf externen Datenträgern (Cds/DVDs/USB-Datenträgern) sichern. Nicht (!) auf Disketten sichern! Unzuverlässig! Der (un-)sichere Windows - PC Folie 2

3 Allgemeine Prävention Allgemeine Vorsichtsmaßnahmen im Institut bzw. zu Hause Sicherungskopien immer entfernt vom Computer aufbewahren. Keine geheimen Daten wie Passwörter, PIN o. ä. auf PC speichern (oder per Mail versenden). Dateien mit geheimem Inhalt nicht nur mit Windows-Befehl sondern mit Tools wirklich löschen (Windows-) Papierkorb regelmäßig leeren (oder gleich: Shift+Entf) Fremde Datenträger vor Verwendung auf Viren prüfen. Auch eigene Festplatte ab und zu sowie eigene Disketten vor der Abgabe oder Verwendung prüfen. Sichere Programme nutzen und auf hohe Sicherheit konfigurieren Der (un-)sichere Windows - PC Folie 3

4 Allgemeine Prävention Allgemeine Vorsichtsmaßnahmen im Institut bzw. zu Hause Keine formatierten (HTML-)Mails senden sonder nur als PLAIN/TEXT senden, Bekannte auffordern, ebenso zu verfahren s merkwürdiger Absender o. ä. sofort löschen, ggf. Mail-Filter einsetzen Unbekannte, unaufgefordert erhaltene Mail-Anhänge nur bei tatsächlichem Bedarf speichern und nach (!) Virenscan starten Keine unbekannte Software downloaden und installieren. Angebliche von Microsoft oder anderen Software-Herstellern per Mail erhaltene Sicherheits-Patches löschen, auf keinen Fall installieren. Kein seriöser Partner versendet so etwas per ! Der (un-)sichere Windows - PC Folie 4

5 Der (un-)sichere PC Prävention durch spezielle Schutzprogramme in Anlehnung an Günter Marxen, ZAIK/RRZK, PC-Sicherheit, 2003 Alexander Draude, ZAIK/RRZK, Der (un-)sichere PC, Frühjahr 2003 Der (un-)sichere Windows - PC Folie 5

6 Spezielle Schutzprogramme Virenscanner installieren und Scanner sowie Virendefinitionen regelmäßig aktualisieren. Scanning on Demand (scannen auf Nachfrage) Scanning on Access (scannen bei Dateizugriff: Virenwächter ) Sophos als Campuslizenz für jeden Angehörigen der Universität einsetzbar, alternativ: AntiVir Personal für den Heim-PC Opitional: Virenbenachrichtigungsdienst abonnieren Z. B. Der (un-)sichere Windows - PC Folie 6

7 Spezielle Schutzprogramme Personal-Firewall überwacht Paketverkehr im Netzwerk über zu definierende Regeln kann der Anwender Programmen den Zugriff auf das Internet ganz bzw. teilweise erlauben oder verbieten Im konkreten Fall: Darf das Programm XY auf Port Z nach Hause telefonieren? Paketfilter kontrolliert die Legitimität anhand einer Liste von Regeln Der (un-)sichere Windows - PC Folie 7

8 Spezielle Schutzprogramme Personal-Firewall Regeln bestehen im wesentlichen aus: Spezifizierter Anwendung IP-Adressen von Sender und Empfänger Portnummern des lokalen und entfernten Rechners dem verwendeten Protokoll Auswahl: SP2 integrierte Firewall (reicht in der Regel aus) Verbietet generell eingehende Verbindungen bis auf die festgelegten Ausnahmen (Remoteunterstützung deaktivieren!) Alle Programme dürfen ausgehende Verbindungen initialisieren Kerio, Sygate als Freeware verfügbar (oft leicht eingeschränkte Funktionen) erlauben Kontrolle ausgehenden Verbindungen Der (un-)sichere Windows - PC Folie 8

9 Spezielle Schutzprogramme Eine Personal-Firewall kann falsche Sicherheit vortäuschen Jede Firewall ist nur so gut wie die für sie erstellten Regeln Sehr viele Viren, Trojaner etc. sind in der Lage Firewalls auszuhebeln (Wichtig: immer neuste Updates installieren) Niemals unbekannten Programmen ungeprüft den Internetzugang erlauben (problematiscch z.b. bei Prozess SVCHOST.EXE) Grundsätzliches alle Ausgehenden Verbindungen auf Nachfrage stellen vertraute Programme per Regel dauerhaft erlauben Nicht erwünschte Programme möglichst umkonfigurieren, wenn keine Solche Option vorhanden ist per Regel verbieten alle Eingehenden Verbindungen auf deaktiviert stellen Ausnahme: Programme mit Server Funktionen, d.h. die unerwartet Verbindungen annehmen sollen (Messenger: ICQ, MSN etc. und P2P) Der (un-)sichere Windows - PC Folie 9

10 Spezielle Schutzprogramme Anti-Spyware-Programm installieren Ad-Aware, Spybot-Search&Destroy, Anti-Dialer-Programme Dialer Control, Warner, Der (un-)sichere Windows - PC Folie 10

11 Der (un-)sichere PC Prävention im Betriebssystem Vorsichtsmaßnahmen auf Ebene des Betriebssystems Der (un-)sichere Windows - PC Folie 11

12 Prävention im Betriebssystem Boot-Reihenfolge im BIOS auf Festplatte, CD (ggf. Festplatte, Diskette A:) einstellen. Festplatte nach Möglichkeit partitionieren (aufteilen) Eine Partition für Betriebssystem und Programme Eine Partition für Daten Direkt bei Installation festlegen, nachträgliches partitionieren der Systempartition geht in der Regel schief. Bei Mehrbenutzersystemen (Administrator-)Benutzer zur Computerverwaltung Internetbenutzer zum Surfen im Internet mit stark eingeschränkten Rechten, z. B. keine Möglichkeit Programme zu installieren (Verwaltung über Ausführen: mmc nicht ganz so einfach zu durchschauen aber für Administratoren unabdingbar) Der (un-)sichere Windows - PC Folie 12

13 Prävention im Betriebssystem Sicherungskopie des Betriebssystems ( Image ) nach jeder wesentlichen Änderung des Systems erstellen Windows XP Systemwiederherstellungspunkte Komplette Datensicherung mit XP Professional - Sicherungsprogramm Start Programme Zubehör Systemprogramme Windows-Explorer: alle Dateitypen anzeigen Windows XP: xp-antispy, (Gefährliche) Dateitypen mit einem anderen Programm verknüpfen z.b. Notepad bzw. Editor *.vbs (Visual Basic Script) andere typische Wurm-Überträger wie diverse Skript-Dateien (*.js, *.wcs, *.wbs, *.wsh, *.wsf, *.vbe) mit Texteditor verknüpfen Der (un-)sichere Windows - PC Folie 13

14 Prävention im Betriebssystem Regelmäßig Sicherheits-Patches installieren. Anschließend Sicherheitseinstellungen prüfen und ggf. erneut setzen. Microsoft Sicherheitsbenachrichtigungsdienst: WWW-Seite zum Thema Sicherheit von Microsoft Windows-Update von Microsoft (ab Windows 2000) Hinweis: Das automatische Update von dieser Seite funktioniert nur bei Verwendung des Internet-Explorers mit aktiviertem ActiveX Der (un-)sichere Windows - PC Folie 14

15 Prävention im Betriebssystem Benutzer-PC im Institut Nur Betriebssysteme mit Zugangskontrolle: Windows 2000 oder XP, Linux, Mac OS X kein Windows 9x/ME. Im UKLAN obligatorisch! NTFS Dateisystem benutzen. Drucker- und Laufwerks-Freigaben nur für eigene Subnetze freigeben, Bei Verlassen des PCs: Computer sperren und ggf. Raum abschließen. Bildschirmschoner mit Passwortschutz aktivieren. Der (un-)sichere Windows - PC Folie 15

16 Prävention im Betriebssystem Server und Netzwerk im Institut Sinnvoll Client-/Server-LAN, kein Peer-to-Peer-Netzwerk. Server (Windows Server oder Linux-Server mit Samba): Datei-System mit Zugriffsschutz auf dem Server benutzen (Windows: NTFS). Anti-Viren-Programm auf dem Server installieren. Server-Hardware in nicht allgemein zugänglichem Raum aufstellen. Der (un-)sichere Windows - PC Folie 16

17 Prävention im Betriebssystem Netzwerk nach außen abschotten. Standardmäßig kein Zugang zu einem Subnetz xxx von außen. Dienste für die Außenwelt müssen im ZAIK/RRZK registriert werden. siehe Betriebsregeln für das UKLAN und dort Zusatz Schutz der UKLAN-Subnetze Netzwerk (LAN) einrichten nur mit Client für Microsoft-Netzwerke, Internetprotokoll (TCP/IP) und höchstens noch Datei- und Druckerfreigabe für Microsoft-Netzwerke. Weitere Protokolle oder Bindungen nicht notwendig. Der (un-)sichere Windows - PC Folie 17

18 Prävention im Betriebssystem Verwendung von Linux Mittlerweile gute Hardware-Unterstützung und einfache Installation (z.b. Kanotix, Knoppix, Suse) Desktop oder Standardversion für Heim-PC wählen Keine unnötigen Server-Varianten oder Server-Programme aufspielen Gut zum Ausprobieren: Live-Systeme der einzelnen Distributionen Einführende Literatur: RRZN, Linux Nutzung mit KDE Der (un-)sichere Windows - PC Folie 18

19 Prävention auf Anwendungsebene Prävention auf Anwendungsebene Vorsichtsmaßnahmen in ausgewählten Programmen Der (un-)sichere Windows - PC Folie 19

20 Verwendung Alternativer Programme Internet-Browser Firefox oder Opera statt Internet Explorer -Clients Thunderbird statt Outlook (Express) Office-Pakete StarOffice oder OpenOffice.org statt MS Office Campuslizenz für StarOffice an der Uni Köln verfügbar! Fast alle Programme stehen (lizenz-)kostenfrei zur Verfügung Siehe auch: Der (un-)sichere Windows - PC Folie 20

21 Prävention auf Anwendungsebene MS Office in Word, Excel und PowerPoint im Menü Extras/Makros die Sicherheit auf hoch stellen unter der Registerkarte Vertrauenswürdige Quellen die Option allen installierten Add-ins und Vorlagen vertrauen deaktivieren Schutz vor Makro-Viren in Office-Dateien beim Öffnen von unbekannten Dateien MS-Office-Viewer oder Wordpad verwenden Alternativ: StarOffice oder OpenOffice.org Beispiele für Dateiendungen, die Makroviren enthalten können: *.doc, *.dot, *.ppt, *.pot, *.xls, *.xlt,... Der (un-)sichere Windows - PC Folie 21

22 Der (un-)sichere PC Sicherer Surfen Der (un-)sichere Windows - PC Folie 22

23 Aktive Inhalte Erweiterungen von HTML Java-Applets Ausführung mittels Virtual Machine (VM) in abgesicherter Sandbox W ichtig: aktuellste Java VM (ältere VM haben Sicherheitslücken) JavaScript in Anlehnung an Java entwickelt Ausführung ebenfalls in abgesicherter Sandbox Speziell im Internet Explorer JScript als Konkurrenz zu JavaScript Ausführung nicht mehr in abgesicherter Sandbox Visual-Basic-Scripts (VBS) JScript und VBS sind potentielles Risiko ActiveX-Controls Ermöglicht uneingeschränkten Zugriff auf den Rechner, wird von vielen Dialern, Trojaner etc. genutzt Nur auf Nachfrage ausführen Der (un-)sichere Windows - PC Folie 23

24 Aktive Inhalte Plugins z.b. Acrobat Reader, Flash-Player Im Internet Explorer leider nur über ActiveX ausführbar In anderen Browsern ohne ActiveX Abhilfe schafft das Tool c't-iecontroller 2.0 Download: Kontrolliert die Zugriffe auf COM-Module zur Ausführung aktiver Inhalte und verhindert das Starten von zusätzlichen Programmen durch den Internet Explorer Der (un-)sichere Windows - PC Folie 24

25 Sicherer Surfen Internet Explorer Sicherheitsstufe auf Hoch stellen zusätzlich manuell alles deaktivieren bis auf Downloads Bei Bedarf einige Komponenten auf Eingabeaufforderung zurückstellen Regelmäßig Updates und Patches des Internet Explorers einspielen Manuell: Automatisch: benötigt ActiveX Entweder zur Kontrolle generell ActiveX auf Eingabeaufforderung stellen Oder besser: generell ActiveX verbieten und windowsupdate.com als Vertrauenswürdige Site hinzufügen und dort ActiveX auf Eingabeaufforderung stellen Der (un-)sichere Windows - PC Folie 25

26 Sicherer Surfen Aktive Inhalte in Firefox (gelten als sicher) Java und JavaScript unter Extras Einstellungen WebFeatures Bei Bedarf deaktivieren Spuren beseitigen: Internet Explorer Extras Internetoptionen; Karteikarte Allgemein: Buttons: Verlauf leeren, Cookies löschen, Dateien löschen Cookies prüfen über Button Einstellungen Dateien anzeigen Im Internet Explorer < 6 muss man hier manuell löschen Firefox: Extras Einstellungen Datenschutz Je nach Bedarf alles löschen Der (un-)sichere Windows - PC Folie 26

27 Sicherer Surfen Anonym bleiben Verwenden von Proxy-Server(-Programmen) Proxy = Stellvertreter, vermittelt zwischen Server und Client ggü. Server als Client ggü. Client als Server Funktionen (Auswahl) Zwischenspeicher, Filter Beispiel-Programme Informationen zum HTTP-Proxy der Uni Köln JAP (Java Anon Proxy) der TU Dresden Der (un-)sichere Windows - PC Folie 27

28 Sicherer Surfen Sicherheitscheck durchführen c't Browsercheck: c't check: Der (un-)sichere Windows - PC Folie 28

29 Sicherer Surfen Vorsicht bei Downloads aus dem Internet Software möglichst nur von Originalanbieter oder aus zuverlässigen Quellen herunterladen Download wird mit Scanning on Access Virenscanner direkt geprüft Wenn kein Virenscanner aktiv ist: Direkt nach Download manuell Viren scannen gepackte Dateien erst entpacken, dann noch mal auf Viren prüfen Der (un-)sichere Windows - PC Folie 29

30 Der (un-)sichere PC Sicherer en Der (un-)sichere Windows - PC Folie 30

31 Prävention im Programm Viren, werden meist per Anhang verschickt, bzw. verschicken sich selber als solcher. Grundsätzlich keine unbekannten Anhänge öffnen! Auch bei bekannten Absendern kann sich ein Virus selbständig verschickt haben Viele s werden genau wie eine Web-Seite im HTML-Format verfasst Durch Aktive Inhalte können Viren durch das bloße Aufrufen einer infizierten Mail gestartet werden Programm regelmäßig aktualisieren Sicher konfigurieren (aktive Inhalte ausschalten) Der (un-)sichere Windows - PC Folie 31

32 Prävention im Programm In vielen Programmen lässt sich HTML komplett deaktivieren Thunderbird: Empfang: Ansicht Nachrichtentext Reiner Text Extras Einstellungen Verfassen Sende Optionen Reiner Text JavaScript deaktivieren: Extras Einstellungen Erweitert Datenschutz Erlaube JavaScript deaktivieren Zusätzlich Blockiere das Laden externer Grafiken aktivieren Outlook und Outlook Express Aktive Inhalte unbedingt deaktivieren Optionen (Extras/Optionen/Sicherheit) überprüfen, ob Outlook (Express) in der Zone eingeschränkte Sites arbeitet Dann in Internetoptionen noch mal prüfen ob für Eingeschränkte Sites alles deaktiviert ist Der (un-)sichere Windows - PC Folie 32

33 Prävention im Programm Outlook und Outlook Express Outlook Express Extras/Optionen/Register Senden und Lesen Nur Text aktivieren Extras/Optionen/Register Sicherheit Warnung anzeigen, wenn andere Anwendungen versuchen, s unter meinem Namen zu verschicken Nach Bedarf: Speichern oder Öffnen von Anlagen die möglicherweise einen Virus enthalten nicht zulassen Bilder und andere externe Inhalte in HTML- blockieren Ansicht/Layout Vorschaufenster anzeigen deaktivieren (auch in Thunderbird, Pegasus möglich) Der (un-)sichere Windows - PC Folie 33

34 Sicherer en Eingehende Offensichtlich nicht sinnvolle s von unbekannten Absendern sofort ungeöffnet löschen. Bei s auch von vermeintlich bekannten bzw. vertrauenswürdigen Absendern prüfen, ob der Text der Nachricht auch zum Absender passt und ob die Anlage (Attachment) auch erwartet wurde. s im HTML-Format können aktive Inhalte mit Schadensfunktionen enthalten. Nur vertrauenswürdige -Attachments öffnen Sicherstellen dass ein Scanning on Access Virenscanner aktiv ist und aktualisiert wurde Der (un-)sichere Windows - PC Folie 34

35 Sicherer en Ausgehende s nicht im HTML-Format versenden, auch wenn es vom eingesetzten Mail-Programm her möglich wäre, auch nicht zum zitieren Keine unnötigen s mit Scherz-Programmen und ähnlichem versenden, da diese evtl. einen Computer- Virus enthalten können. keine Hoaxes und Kettenbriefe weiterleiten Gelegentlich prüfen, ob s im Ausgangs-Postkorb stehen, die nicht vom Benutzer selbst verfasst wurden (Outlook und Outlook Express) Der (un-)sichere Windows - PC Folie 35

36 Sicherer en Verwendung von -Filtern zum Verwalten der eigenen s zum Aussortieren von Spam Spam: elektronisches Äquivalent zu unerwünschten Wurfsendungen (Quelle: Informationen des RRZK zu SPAM und zur Verwendung von Spamassassin mittels Filtern im -Client Junk-Mail-Funktionen zum herausfiltern von Spam, in vielen -Clients Junk: Ausschuss (Quelle: Der (un-)sichere Windows - PC Folie 36

37 Der (un-)sichere PC Zusammenfassung Der (un-)sichere Windows - PC Folie 37

38 Der (un-)sichere PC Mehr Vorsicht walten lassen. Daten sichern und entfernt aufbewahren Keine wichtigen Informationen unverschlüsselt speichern oder versenden Keine wichtigen Dateien im Papierkorb lassen! Dateien mit wichtigen Daten mit Spezial-Werkzeug wirklich löschen (z. B. BCWipe [Shareware]) Sichere Programme nutzen Merkwürdige s sofort löschen Unbekannte Programme aus dem Internet meiden, ggf. vor der Verwendung prüfen z. B. Google fragen. Der (un-)sichere Windows - PC Folie 38

39 Zusammenfassung Grundschutz am Beispiel Windows XP: Schutzprogramme installieren: Virenscanner: Sophos / AntiVir XP-Firewall aktivieren Anti-Spyware-Tools Browser und Klient sicher konfigurieren Sicherheits-Check durchführen Firefox/Thunderbird als Alternativen nutzen regelmäßig aktualisieren Betriebssystem & alle Zusatzprogramme Der (un-)sichere Windows - PC Folie 39

40 Der (un-)sichere PC Links Aktuelle Kursunterlagen und Link-Seite zum Kurs RRZK-Seiten zum Thema Sicherheit Sophos AntiVirus im ZAIK/RRZK UKLAN Kompass-Artikel zum Thema Sicherheit Der (un-)sichere Windows - PC Folie 40

41 Der (un-)sichere PC Links Weitere allgmeine Sicherheits-Infos (Virus-Test-Center der Uni Hamburg) Schutzsoftware (1) Microsoft-Patches: Personal-Firewalls: Kerio Firewall: Der (un-)sichere Windows - PC Folie 41

42 Der (un-)sichere PC Links Schutzsoftware (2) Anti-Spyware, -Trojaner Ad-Aware: Spybot Search&Destroy: Trojaner: Anti-Dialer 0190-Dialer: Recht: Sonstiges In die Mailingliste sec-info eintragen Der (un-)sichere Windows - PC Folie 42

43 Der (un-)sichere PC Noch Fragen? Oder noch besser direkt an die Beratung des ZAIK/RRZK Telefon: Der (un-)sichere Windows - PC Folie 43