IT-Symposium Security Evangelist Microsoft Deutschland GmbH.

Transkript

1 { Security } Daniel Melanchthon Security Evangelist Microsoft Deutschland GmbH Agenda Einführung Stärkerer Schutz Network Access Protection Server und Domain Isolation Sichere Anbindung von Zweigstellen Bessere Kontrolle Erweiterten Gruppenrichtlinien Granularere Passwortkontrolle Sicherer Schutz Rights Management Server 1

2 Microsoft Product Development Lifecycle Microsoft Security Development Lifecycle D Reduktion der Schichten mit hohem Risiko Segmentierung der Dienste Erweiterung der Schichten Kernel-mode Treiber Service A Service Service D D D Service 3 Service 1 Service 2 Service B D User-mode Treiber D D D 2

3 Dienste arbeiten mit verringerten Berechtigungen Windows-Dienste sind für erlaubte Aktionen im Netz, am Dateisystem und an der Registry profiliert Verhinderung von Einrbuchsversuchen durch Schadsoftware, über Windows Dienste Härtung der Dienste Active Protection Dateisystem Registry Netzwerk Zusammenführung Firewallregeln Policy-basierendes werden Netzwerk von intelligenter Firewall- und Ipsec-Verwaltung 3

4 DO Action = {By-pass Allow Block} IF: Protocol = X AND Direction = {In Out} AND Local TCP/UDP port is in {Port list} AND Remote TCP/UDP port is in {Port list} AND ICMP type code is in {ICMP type-code list} AND Interface NIC is in {Interface ID list} AND Interface type is in {Interface types list} AND Local address is found in {Address list} AND Remote address is found in {Address list} AND Application = <Path> AND Service SID = <Service Short Name> AND Require authentication = {TRUE FALSE} AND Require encryption = {TRUE FALSE} AND Remote user has access in {SDDL} AND Remote computer has access in {SDDL} AND OS version is in {Platform List} Policy Server z.b. Patch, AV Windows- Client DHCP, VPN, Switch/Router MSFT NPS Richtlinien -konform 4 Nicht richtlinienkonform Eingeschränktes Netzwerk Fix-Up- Server z.b. Patch 1 Client bittet um Zugang zum Netzwerk und präsentiert seinen 2 DHCP, VPN oder Switch/Router leitet Gesundheitszustand an Microsoft Network Policy-Server (RADIUS-basierend) weiter 3 Network Policy Server (NPS) validiert diesen mit der von der Unternehmens- Falls nicht richtlinien-konform, wird Client in ein 4 eingeschränktes VLAN umgeleitet und erhält Zugriff auf Ressourcen wie Patches, Konfigurationen und Signaturen 5 Bei Richtlinien-Konformität wird dem Client der vollständige Zugang zum Unternehmensnetz gewährt 5 Unternehmensnetz 4

5 Zugriff erlaubt oder verweigert (ACL) 6 Berechtigungen der Freigabe Dept Group Computer und User Authentisierung und Authentifizierung Prüfen des Netwerkzugriffs (User) Prüfen des Netzwerkzugriffs (Computer) 3 5 IKE Aushandlung beginnt User versucht auf Ablage zuzugreifen. IKE Local Lokale Policy Policy IKE erfolgreich, User AuthN findet statt Labs Unmanaged guests Segmentiert dynamisch Windows Umgebungen in sicherere und isolierte logische Netzwerke basierend auf Policies Server Isolation Domain Isolation Schützt spezifische Server und Daten Schützt verwaltete Computer vor unverwaltete oder bösartige Computer und Benutzer 5

6 HUB Schreibbarer DC Sichere Lokation Read-only Kopie der AD Datenbank Alle Verzeichnisobjekte & Attribute Verwaltet read-only Kopie der DNS-Zonen Unidirectionale Replikation Keine lokalen Änderungen Kontrollierte Replikation (Bandbreitenlimit) Branch Read-Only DC Read-Only DNS One-way Replikation Credential Cache Lokale Adminrolle Umgang mit Passworten User Password Cache (explizit einzustellen) Admin kennt Accounts bei Kompromittierung RODC stellt lokale Auth Tickets aus Separieren der administrativen Rollen Management delegierbar an lokale User 1. 1 AS_Req an RODC (Anfrage für TGT) Hub Branch 2. 2 RODC schaut in seine DB: "Ich habe kein Passwort des Benutzers" Windows Server 2008 DC Read-Only DC Weiterleiten der Anfrage an einen Windows Server 2008 DC 4. 4 Windows Server 2008 DC authentisiert Anfrage 5. 5 Rüchgabe der Antwort und des TGT an den RODC RODC gibt TGT an Benutzer und kann Daten zwischenspeichern 7 Ab diesem Zeitpunkt hat der Benutzer ein hub signed TGT 6

7 IT-Symposium Perspektive des Angreifers Perspektive des Administrators sehen Programme Nur unterstützt ab wie RemoteApp Konsole Entfernte Programe lokal ausgeführte Remote Desktop Client stellt Anwendungen integriert im lokalen Anwendungen aus (RDC) 6.1 zur Verfügung Computer Auch Benutzt zur Zentrale Konfiguration Publizierung auf Terminal für Server TS Access mit Web der Terminal Server Configuration Console Remote Desktop Client erforderlich Terminal Server 7

8 Mit RDP erreichbare Ziele hinter Firewall HTTPS zur Überwindung von NAT/Firewalls vom Client AD/ISA/NAP-Tests bevor die Verbindung erlaubt Remote Desktop Connection Client 6.x AD/NPS/NAP Windows Vista RDC (TS) Client User initiiert RDP over HTTP/S Verbindung an hergestellt TS Gateway zu TSG User navigiert zu TS Web Access TS Gateway RDP 3389 an Host TS Web Access AD/NPS/NAP Prüfung Terminal Servers oder Windows XP/Vista Internet DMZ Internes Netzwerk Zugriff auf entfernte Anwendungen über TS Web Access Server 8

9 Agenda Einführung Stärkerer Schutz Network Access Protection Server und Domain Isolation Sichere Anbindung von Zweigstellen Bessere Kontrolle Erweiterten Gruppenrichtlinien Granularere Passwortkontrolle Sicherer Schutz Rights Management Server Geräte Treiber Geräte Treiber Geräte Identifikationstrings Geräte Setupklassen 9

10 Plug and Play Smart Cards Treiber und Certificate Service Provider (CSP) Loginfenster und User Account Control unterstützen Smart Cards Neue Logon-Architektur Keine GINA (das alte Windows Logon Modell) 3 rd Parties: Biometrik, One-Time Password Tokens und andere Authentifizierungsmethoden Passwort Policies Passwort Policies für Benutzer und/oder Gruppen Unterschiedlichen Policies in einer Domäne Agenda Einführung Stärkerer Schutz Network Access Protection Server und Domain Isolation Sichere Anbindung von Zweigstellen Bessere Kontrolle Erweiterten Gruppenrichtlinien Granularere Passwortkontrolle Sicherer Schutz Rights Management Server 10

11 Wovor wollen Sie sich schützen? Andere Benutzer oder Administratoren am PC: EFS Unauthorisierte Benutzer mit lokalem Zugriff: Laptop Server in Niederlassung Szenario BitLocker EFS RMS Lokaler Datei- und Verzeichnis-Schutz (Einzelner Anwender) Lokaler Datei- und Verzeichnis-Schutz (Mehrere Anwender) Remote Datei- und Verzeichnis-Schutz Schutz vor Administrator-Zugriff Richtlinien für Informations-Nutzung Schützt bei Diebstahl oder Verlust, wenn der PC mit BitLocker einem anderen Betriebssystem gestartet wird oder ein Hacking-Tool zur Umgehung der Windows- Sicherheit eingesetzt wird Bietet Schutz der Daten auf einem Windows-Client, selbst wenn sich der PC in falschen Händen befindet oder ein anderes Betriebssystem ausgeführt wird TPM v1.2 oder USB-Stick zur Schlüsselablage 11

12 Windows Partition > Verschlüsseltes Betriebsystem > Verschlüsselte Auslagerungsdatei > Verschlüsselte temporäre Dateien > Verschlüsselte Daten > Verschlüsseltes Hibernation File Wo ist der Verschlüsselungsschlüssel? 1. SRK (Storage Root Key) im TPM 2. SRK verschlüsselt VEK (Volume Encryption Key) geschützt durch TPM/PIN/Dongle 3. VEK gespeichert (verschlüsselt durch SRK) auf der Festplatte in der Boot Partition VEK 2 1 SRK Daten C Daten B 3 Boot Windows Daten A Boot Partition: MBR, Loader, Boot Utilities (Unverschlüsselt, 1,5 GB klein) BDE bietet ein Spektrum der Absicherung, das Kunden die Abwägung zwischen einfacher Benutzbarkeit und Systemsicherheit ermöglicht! Einfache Nutzung TPM Only. Protects against: SW-only attacks Vulnerable to: HW attacks (including easy HW attacks) Dongle Only. Protects against: All HW attacks Vulnerable to: Losing dongle Pre-OS attacks ******* TPM + PIN. Protects against: Many HW attacks Vulnerable to: TPM breaking attacks TPM + Dongle. Protects against: Many HW attacks Vulnerable to: HW attacks Sicherheit 12

13 13

14 14

15 15

16 16

17 Das Wiederherstellungskennwort wird dazu verwendet, Daten auf einem von BitLocker geschützten Laufwerk wiederherzustellen. Wiederherstellungskennwort: Um zu überprüfen, dass dies das richtige Wiederherstellungskennwort ist, vergleichen Sie diese Markierungen mit den Markierungen auf dem Wiederherstellungskennwort. Laufwerkbeschriftung: VISTA C: Kennwort-ID: {2EA35D2A-A81A F0932A26DDC}. 17

18 18

19 1 3 2 Linux-Fehlermeldungen für Bitlocker Laufwerk 1. fdisk liest Partitionstabelle und erkennt /dev/sda2 als NTFS-Partition 2. Falscher FS-Typ: Bad option, bad superblock on /dev/sda2, missing codepage oder andere Fehlermeldungen 3. Primärer Bootsektor ist ungültig: Kein NTFS Volume SQL Server 1 Information Author RMS Server 2 3 Active Directory The Recipient AD RMS schützt Zugriff auf digitale Dateien der Organisation AD RMS in Windows Server 2008 enthält einige neue Features Verbesserte Installation und administrative Erfahrung Self-Enrollment von AD RMS Cluster Integration mit AD FS Neue AD RMS administrative Rollen 19

20 20

21 Funktion AD RMS S/MIME Signing S/MIME Encryption ACLs EFS Bescheinigt die Identität des veröffentlichers Unterscheidet Berechtigungen per Benutzer Verhindert unerlaubtes Anzeigen Verschlüsselt geschützte Inhalte Definition eines Verfallsdatum Kontrolliert lesen, weiterleiten, speichern, ändern oder drucken per Benutzer * Erweitert den Schutz über den Veröffentlichungsort hinaus * * Mit Einschränkungen 21