Marc Grote, Christian Gröbner, Dieter Rauscher. Microsoft Forefront Threat Management Gateway 2010 Das Handbuch

Transkript

1

2 Marc Grote, Christian Gröbner, Dieter Rauscher Microsoft Forefront Threat Management Gateway 2010 Das Handbuch

3

4 Marc Grote, Christian Gröbner, Dieter Rauscher Microsoft Forefront Threat Management Gateway 2010 Das Handbuch

5 Marc Grote, Christian Gröbner, Dieter Rauscher: Microsoft Forefront Threat Management Gateway 2010 Das Handbuch Microsoft Press Deutschland, Konrad-Zuse-Str. 1, D Unterschleißheim Copyright 2010 by Microsoft Press Deutschland Das in diesem Buch enthaltene Programmmaterial ist mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autor, Übersetzer und der Verlag übernehmen folglich keine Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Programmmaterials oder Teilen davon entsteht. Das Werk einschließlich aller Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die in den Beispielen verwendeten Namen von Firmen, Organisationen, Produkten, Domänen, Personen, Orten, Ereignissen sowie -Adressen und Logos sind frei erfunden, soweit nichts anderes angegeben ist. Jede Ähnlichkeit mit tatsächlichen Firmen, Organisationen, Produkten, Domänen, Personen, Orten, Ereignissen, -Adressen und Logos ist rein zufällig ISBN , PDF-eBook-ISBN O'Reilly Verlag GmbH & Co. KG Balthasarstr. 81, Köln Alle Rechte vorbehalten Fachlektorat: Georg Weiherer, Münzenberg Korrektorat: Karin Baeyens, Judith Klein, Siegen Layout und Satz: Cordula Winkler, mediaservice, Siegen ( Umschlaggestaltung: Hommer Design GmbH, Haar ( Gesamtherstellung: Kösel, Krugzell (

6 Übersicht Einleitung Teil A Grundlagen und Installation Firewallgrundlagen Windows Server 2008 R2 absichern Einführung in die Forefront-Familie Einführung in Forefront Threat Management Gateway Neuerungen in Forefront TMG Internetanbindung Teil B Allgemeine Konfiguration und Administration Installieren von Forefront TMG Assistentengestützte Konfiguration Konfigurieren von Forefront TMG Forefront TMG-Clients installieren und konfigurieren Administration von Forefront TMG Spezielle Konfigurationen Zertifikatverwaltung Teil C Betrieb von Forefront TMG Zugriffsregeln Veröffentlichen von Exchange Server Webveröffentlichungen

7 Übersicht 17 Serververöffentlichungen Schutz Eindringschutzsystem/Netzwerküberprüfungssystem Voice over IP Teil D Virtuelle private Netzwerke Virtuelle private Netzwerke Clientanbindung mit VPN VPN-Quarantänesteuerung Standortverbindungen Teil E Forefront TMG 2010 Enterprise Edition Microsoft Forefront TMG 2010 Enterprise Edition Teil F Überwachung und Fehlersuche Überwachen von Forefront TMG Protokollierung und Berichte Fehlersuche Weiterführende Hilfe für Administratoren Teil G Anhang A MCLS-Kurs und MCTS-Prüfung B Die Autoren Stichwortverzeichnis

8 Inhaltsverzeichnis Einleitung Das Buch Die Zielgruppe des Buchs Die Autoren Die Beispielfirma Fabrikam Inc Der Inhalt im Überblick Teil A Grundlagen und Installation Teil B Allgemeine Konfiguration und Administration Teil C Betrieb von Forefront TMG Teil D Virtuelle private Netzwerke Teil E Forefront TMG Enterprise Edition Teil F Überwachung und Fehlersuche Anhang Unser Dank Wie können Sie Kontakt mit uns aufnehmen? Teil A Grundlagen und Installation Firewallgrundlagen Was ist eine Firewall? Organisation Software Technik/Hardware Firewallarten Firewallkonfigurationen Häufig verwendete Firewallkonfigurationen Regelwerk Umgebungssicherheit Physische Sicherheit Sicherheit der Peripherie Kennwortrichtlinien Risiko Mensch Warum eine Firewall einsetzen? Mythos Hardwarefirewall Unterschiede zur Windows-Firewall Zusammenfassung

9 Inhaltsverzeichnis 2 Windows Server 2008 R2 absichern Warum Windows Server absichern? Wie sollten Sie Windows Server absichern? Windows Update Windows Server Update Services (WSUS) Microsoft Baseline Security Analyzer Gruppenrichtlinien Sicherheitskonfiguration und -analyse Dienste Windows-Komponenten TCP/IP-Filterung an der Netzwerkkarte Umgebungssicherheit Physische Sicherheit Sicherheitsrichtlinie erstellen Personal schulen und verantwortungsvoller Umgang mit den Firewallsystemen Neuerungen in Service Pack 2 für Windows Server Zusammenfassung Einführung in die Forefront-Familie Forefront-Produktportfolio im Kurzüberblick Edge/Perimeter Forefront Threat Management Gateway Forefront Unified Access Gateway Microsoft Forefront Threat Management Gateway Medium Business Edition Serveranwendungen Allgemeine Übersicht zu Forefront Server Security Forefront Protection 2010 für Exchange Forefront Protection 2010 für SharePoint Forefront Security für Office Communication Server Clientsicherheit Forefront Client Security Forefront Endpoint Protection Verwaltung Forefront Identity Manager Forefront Server Security Management Console Zusammenfassung Einführung in Forefront Threat Management Gateway Lizenzierung und Beschaffung Appliance Systemanforderungen Zusammenfassung

10 Inhaltsverzeichnis 5 Neuerungen in Forefront TMG Neue Funktionen Verbesserte Erstkonfiguration Assistent für den Webzugriff Malwareschutz für den Webzugriff URL-Filterung HTTPS-Datenverkehr überprüfen Eindringschutzsystem s schützen Integrierte Updateverwaltung ISP-Redundanz Erweitertes NAT überstützen SSTP implementieren Neue Verschlüsselungsalgorithmen für IPsec-S2S-VPN-Verbindungen NAP zur VPN-Quarantänesteuerung integrieren SIP-Filter implementieren Konfiguration im Konfigurationsspeicherserver speichern Fehlende Funktionen Ausgehende IP-Adresse pro Firewallrichtlinie Protokollbasiertes Routing Regelbasiertes Routing :1-NAT Unterstützung von SIP-TCP und SIP-TLS Bandbreitenregelung IPsec-Standort-zu-Standort-VPN-Verbindung mit dynamischen IP-Adressen Zusammenfassung Internetanbindung Standleitung mit Router DSL mit dynamischer IP-Adresse DFÜ-Wählverbindung Mehrere ISPs anbinden Failover Bündelung mit Lastverteilung Traffic-Shaping Konzept der DNS-Auflösung DNS-Namensauflösung für interne Clients Split-DNS-Konfiguration Zusammenfassung

11 Inhaltsverzeichnis Teil B Allgemeine Konfiguration und Administration Installieren von Forefront TMG Vorbereiten der Netzwerkumgebung Netzwerkschnittstellen Verbindungsreihenfolge Protokollbindung TCP/IP-Eigenschaften Neuinstallation Installation vorbereiten Forefront TMG 2010 installieren Update-Möglichkeiten Einschränkungen der Update-Möglichkeiten Forefront TMG 2010 auf einem Windows Server 2008 x64 installieren und Migration der Konfiguration von ISA Server Gründe für den Export einer Konfiguration Aufgaben vor der Migration Export und Import der Konfiguration Evaluierungsversion Virtualisierung Zusammenfassung Assistentengestützte Konfiguration Assistentengestützte Konfiguration Zusammenfassung Konfigurieren von Forefront TMG Toolbox-Elemente konfigurieren Protokolle Benutzer Inhaltstypen Zeitpläne Netzwerkobjekte Netzwerkeinrichtung Neues Netzwerkobjekt erstellen Netzwerkbeziehung erstellen Besondere Netzwerkkonfigurationen Netzwerksätze Netzwerkadapter Systemrichtlinien Grundlagen zu Firewallrichtlinien Firewallrichtlinien verwalten

12 Inhaltsverzeichnis Cachekonfiguration Webcache aktivieren Cacheregeln konfigurieren BITS-Caching Geplanter Inhaltsdownload HTTP-Komprimierung Webverkettung Webverkettung für bestimmte Ziele konfigurieren Generelle Umleitung zu einem Upstreamserver Anwendungs- und Webfilter Anwendungsfilter Webfilter Routing ISP-Redundanz ISP-Redundanzmodus Nur Failover ISP-Redundanzmodus Lastenausgleich mit Failoverfunktion Voraussetzungen für die ISP-Redundanz Verfügbarkeitsüberprüfung der ISP-Redundanz ISP-Redundanz konfigurieren ISP-Redundanz verwalten und überwachen DiffServ-Filter DiffServ Update Center Fehlersuche zur Signaturaktualisierung Kundenfeedback Telemetrie Zusammenfassung Forefront TMG-Clients installieren und konfigurieren Der SecureNAT-Client Der Webproxyclient Proxyeinstellungen manuell konfigurieren Proxyeinstellungen über Gruppenrichtlinien konfigurieren Proxyeinstellungen automatisch suchen Der Forefront TMG-Client Funktionsweise des Forefront TMG-Client Forefront TMG-Clients bereitstellen Forefront TMG-Client konfigurieren Forefront TMG-Clientinstallation Manuelle Installation Forefront TMG-Clienteinstellungen definieren Zusammenfassung

13 Inhaltsverzeichnis 11 Administration von Forefront TMG Verwaltung per Remotedesktop Verwaltung mit der Forefront TMG 2010-Verwaltungskonsole Administrative Rollen zuweisen Konfiguration exportieren und sichern Gesamtkonfiguration exportieren Teile der Konfiguration exportieren Konfiguration per Skript exportieren Konfiguration importieren und wiederherstellen Konfiguration wiederherstellen Konfigurationsteile importieren und wiederherstellen Microsoft Forefront TMG Best Practices Analyzer Tool Microsoft Forefront TMG Best Practices Analyzer Tool installieren Konfiguration durch Microsoft Forefront TMG Best Practices Analyzer überprüfen Zusammenfassung Spezielle Konfigurationen Forefront TMG 2010 mit einer Netzwerkkarte Forefront TMG 2010 mit einer DMZ Umkreisnetzwerk mit öffentlichen IP-Adressen Umkreisnetzwerk mit privaten IP-Adressen IP-Konfiguration von Forefront TMG 2010 mit einer DMZ Forefront TMG 2010 mit mehreren Netzwerkkarten Forefront TMG 2010 im Front-End/Back-End-Szenario Back-End-Firewall mit Routebeziehung Back-End-Firewall mit NAT-Beziehung Forefront TMG 2010 auf einem Domänencontroller Zusammenfassung Zertifikatverwaltung Grundlagen Das Zertifikat Die Zertifizierungsstelle Public Key-Infrastruktur (PKI) Dateiformate von Zertifikaten Zertifizierungsstelle installieren Zertifikatbeantragung Zertifikat über das Snap-In Zertifikate beantragen Zertifikat über die Registrierungswebsite beantragen Zertifikate am Server mit Forefront TMG 2010 beantragen Zertifikatexport und -import Zertifikate exportieren Zertifikate importieren

14 Inhaltsverzeichnis Zertifikate in Webveröffentlichungen verwenden Grundlagen der SSL-Verschlüsselung Zertifikate in Forefront TMG 2010 verwenden SAN-Zertifikate Interne Zertifizierungsstelle für SAN-Zertifikate konfigurieren SAN-Zertifikat beantragen Zertifikatsperrliste veröffentlichen Sperrlisten-Verteilungspunkt hinzufügen Zertifikatsperrliste über Forefront TMG 2010 veröffentlichen Webveröffentlichung durch die HTTP-Filterung absichern Zertifikatsperrung in Forefront TMG 2010 konfigurieren SelfSSL verwenden Zusammenfassung Teil C Betrieb von Forefront TMG Zugriffsregeln Systemrichtlinien Zugriff auf DNS-Server einschränken Zugriff auf Active Directory einschränken Zugriff auf Webserver erlauben Nicht benötigte Systemrichtlinien deaktivieren Eingeschränkter Zugriff für Server Zugriff auf DNS-Server Zugriff auf externe Zeitserver Server für den Zeitabgleich konfigurieren Zugriff auf Windows Update Zugriff auf Forefront Signaturupdates Eingeschränkter Zugriff für Clients Zugriffsregeln für den Webzugriff planen Zugriffsregel für den Webzugriff erstellen Zugriff auf bestimmte Websites sperren HTTP-Filterung Zugriffsregel für den FTP-Zugriff erstellen Zugriffsregel für den Zugriff auf einen externen Mailserver erstellen Webzugriffsrichtlinie Webzugriffsrichtlinie mit dem Assistenten konfigurieren URL-Filterung Malwareüberprüfung HTTP ohne Webproxyfilter HTTPS-Überprüfung Zusammenfassung

15 Inhaltsverzeichnis 15 Veröffentlichen von Exchange Server Grundlagen von SMTP SMTP-Serververöffentlichung Outlook Web App veröffentlichen Vorbereitende Konfiguration von Exchange Server Webveröffentlichungsregel für Outlook Web App erstellen Absicherung mithilfe der HTTP-Filterung Outlook Anywhere veröffentlichen Vorbereitende Konfiguration von Exchange Server Veröffentlichungsregel für Outlook Anywhere in Forefront TMG 2010 erstellen Absicherung durch die HTTP-Filterung Outlook 2010 konfigurieren Exchange-ActiveSync veröffentlichen Exchange Server 2010 vorbereiten Veröffentlichungsregel für Exchange-ActiveSync erstellen Absicherung durch die HTTP-Filterung ActiveSync auf dem Endgerät konfigurieren Fehlerbehebung BlackBerry Zusammenfassung Webveröffentlichungen Webveröffentlichung HTTP-Website veröffentlichen Durch HTTPS gesicherte Website veröffentlichen SharePoint-Site veröffentlichen Linkübersetzung Remotedesktopdienste veröffentlichen Remotedesktopgateway veröffentlichen Web Access für Remotedesktop veröffentlichen Authentifizierungsmethoden Standardauthentifizierung Digest- und WDigest-Authentifizierung Integrierte Windows-Authentifizierung (NTLM und Kerberos) RSA SecurID Formularbasierte Authentifizierung Single Sign-On Zertifikatbasierte Authentifizierung RADIUS (Remote Access Dial-In User Service) RADIUS-Einmalkennwörter LDAP (Lightweight Directory Authentication Protocol) Konfiguration der Authentifizierungsmethoden LDAP konfigurieren LDAP-Serversatz erstellen

16 Inhaltsverzeichnis RADIUS Grundlagen Sicherheitsaspekte beim Einsatz von RADIUS Serverrolle Netzwerkrichtlinien- und Zugriffsdienste installieren RADIUS-Server in Active Directory registrieren Forefront TMG 2010 als RADIUS-Client im Netzwerkrichtlinienserver hinzufügen RADIUS-Unterstützung in Forefront TMG Nachteile der RADIUS-Authentifizierung mit Forefront TMG Zugriffsregel zur Verwendung von RADIUS erstellen RADIUS-Server veröffentlichen Netzwerkrichtlinienserver (NPS) Netzwerkzugriffsschutz (NAP) Webserver-Lastenausgleich Lastenausgleichsmodi Webfarm-Einstellungen Zusammenfassung Serververöffentlichungen Grundlagen Internen Remotedesktopdienste-Server veröffentlichen Grundlagen zum Remotedesktopprotokoll Serververöffentlichung unter Verwendung der Standardeinstellungen erstellen Serververöffentlichung mit Abweichungen von den Standardeinstellungen erstellen (Portadressübersetzung) Forefront TMG 2010 als DHCP-Server DHCP-Serverrolle einrichten Neue Zugriffsregel erstellen Zusammenfassung Schutz Installationsreihenfolge der Komponenten für den -Schutz Exchange Server 2010 Edge Transport Server Sprachoptionen auswählen Edge-Transport-Rolle installieren Systemvoraussetzungen prüfen Forefront Protection 2010 für Exchange Server installieren Richtlinie konfigurieren Forefront TMG 2010-Systemrichtlinien aktivieren EdgeSync konfigurieren Antispam- und Antiviruskonfiguration Microsoft Exchange Server lizenzieren Erweiterte Eigenschaften konfigurieren Forefront Protection 2010 für Exchange Server lizenzieren Erweiterte Forefront Protection für Exchange-Konfiguration Zusammenfassung

17 Inhaltsverzeichnis 19 Eindringschutzsystem/Netzwerküberprüfungssystem Netzwerküberprüfungssystem (NIS) Zero-Day-Vulnerability Generic Application-Level Protocol Analyzer NIS in Forefront TMG 2010 konfigurieren Verhaltensbasierte Eindringversuchserkennung Wurmausbreitung TCP-Massenangriffe SYN-Angriffe HTTP-Denial-of-Service-Angriffe Nicht-TCP-DDoS-Angriffe (verteilte Denial-of-Service-Angriffe) UDP-Massenangriffe Eindringschutz für allgemeine Angriffe Flutabwehreinstellungen konfigurieren Alarmdefinitionen für IDS und IPS Zusammenfassung Voice over IP Grundlagen zu VoIP Forefront TMG 2010 für VoIP-Verbindungen konfigurieren Forefront TMG 2010 für ausgehende VoIP-Verbindungen ohne IP-Telefonanlage konfigurieren Forefront TMG 2010 für VoIP-Verbindungen mit einer internen IP-Telefonanlage konfigurieren Einschränkungen in Forefront TMG 2010 zur Nutzung von VoIP Zusammenfassung Teil D Virtuelle private Netzwerke Virtuelle private Netzwerke Grundlagen zu VPN-Netzwerken PPTP L2TP/IPsec IPsec SSTP Zusammenfassung Clientanbindung mit VPN Konfigurieren von Forefront TMG 2010 für eingehende VPN-Clientverbindungen Konfigurieren von Forefront TMG Konfigurieren der VPN-Clientverbindungen Konfiguration des Clients für VPN-Clientverbindungen Verbindungskonfiguration für das PPTP-Protokoll Verbindungskonfiguration für das L2TP/IPsec-Protokoll

18 Inhaltsverzeichnis Verbindungskonfiguration für das SSTP-Protokoll Konfiguration von Split-Tunneling Konfiguration der Proxyeinstellungen für VPN-Clients Zusammenfassung VPN-Quarantänesteuerung Grundlagen zur VPN-Quarantänesteuerung Möglichkeiten der VPN-Quarantänesteuerung VPN-Quarantänesteuerung in Forefront TMG 2010 konfigurieren VPN-Quarantänesteuerung aktivieren Authentifizierungseinstellungen konfigurieren Netzwerkrichtlinienserver konfigurieren Neuen RADIUS-Client einrichten Systemintegritätsprüfung konfigurieren Systemintegritätsrichtlinien erstellen Netzwerkrichtlinien erstellen Verbindungsanforderungsrichtlinie konfigurieren Client für NAP konfigurieren NAP-Dienst aktivieren und starten Remotezugriffs-Quarantäneerzwingungsclient aktivieren VPN-Verbindung für NAP konfigurieren VPN-Clients überwachen Zusammenfassung Standortverbindungen Istzustand der Firma Fabrikam Inc Grundlagen zu Standortverbindungen Standort-zu-Standort-VPN-Verbindung mit PPTP einrichten Forefront TMG 2010 am Standort München konfigurieren Forefront TMG 2010 am Standort Hamburg konfigurieren Standort-zu-Standort-VPN-Verbindung mit L2TP/IPsec einrichten Forefront TMG 2010 am Standort München konfigurieren Forefront TMG 2010 am Standort Zürich konfigurieren Standort-zu-Standort-VPN-Verbindung mit IPsec einrichten Standort-zu-Standort-VPN-Verbindung mit dem IPsec-Protokoll in Forefront TMG 2010 konfigurieren Cisco ASA 5505 konfigurieren LANCOM 1724 VoIP konfigurieren Sonicwall TZ 180 konfigurieren Zusammenfassung

19 Inhaltsverzeichnis Teil E Forefront TMG 2010 Enterprise Edition Microsoft Forefront TMG 2010 Enterprise Edition Neuerungen in Forefront TMG 2010 Enterprise Edition Merkmale von Forefront TMG 2010 Enterprise Edition Vergleich von Forefront TMG 2010 Standard mit Forefront TMG 2010 Enterprise Edition Forefront TMG 2010 Enterprise Edition installieren und konfigurieren Forefront TMG 2010 Enterprise auf einem Domänencontroller Systemanforderungen Forefront TMG 2010 Enterprise auf TMG-MUC1 und TMG-MUC2 installieren Enterprise Management Server Forefront TMG 2010-Array umbenennen Kommunikation Hostkennung Verbindung mit einem Enterprise Management Server herstellen Unternehmensnetzwerke Berechtigungsdelegation und Forefront TMG 2010-Rollen Zentrale Protokollierung VPN-Besonderheiten Firewallrichtlinien auf Unternehmens- und Arrayebene Von ISA Server 2006 Enterprise Edition auf Forefront TMG 2010 Enterprise migrieren Updateprozess Forefront TMG 2010 Enterprise Management Server installieren und konfigurieren Cache Array Routing Protocol konfigurieren Cache Array Routing Protocol einrichten Netzwerklastenausgleich konfigurieren NLB an Forefront TMG 2010 einrichten Windows-Netzwerkkonfiguration für NLB ADAM Sites Tool Zusammenfassung Teil F Überwachung und Fehlersuche Überwachen von Forefront TMG Übersicht Alarme Sitzungen Konnektivitätsverifizierungen Dienste Konfiguration Änderungsnachverfolgung

20 Inhaltsverzeichnis Produktversion herausfinden Dritthersteller-Tools Bandwidth Splitter für Microsoft Forefront TMG TrafficQuota CyBlock für ISA Server und Forefront TMG GFI WebMonitor 2009 für ISA Server und Forefront TMG Burstek WebFilter Zusammenfassung Protokollierung und Berichte Protokollierungsmöglichkeiten Protokollierung konfigurieren Protokollwarteschlange konfigurieren Ausnahme von Datenverkehr aus der Protokollierung Berichterstellung Einmalige Berichte erstellen Erstellen von wiederkehrenden Berichten Einstellungen zur Berichterstattung festlegen Zusammenfassung Fehlersuche Protokolle auswerten Protokolltextfarben anpassen Datenverkehr von einem bestimmten Client herausfiltern Datenverkehr mit einem bestimmten Protokoll herausfiltern Bereits gesendeten Datenverkehr herausfiltern Netzwerktools Zusatztools ADAM Sites-Tool Forefront TMG 2010 Software Development Kit Microsoft Netzwerkmonitor Neuerungen des Netzwerkmonitor Aktives und passives FTP Filterung von Netzwerkverkehr Besonderheiten zum Microsoft Netzwerkmonitor Zusammenfassung Weiterführende Hilfe für Administratoren Veranstaltungen Microsoft TechNet-Veranstaltungen Microsoft TechEd User Groups Exchange User Group Forefront User Group Microsoft Partner-Stammtisch