Windows Vista Security

Transkript

1 Marcel Zehner Windows Vista Security ISBN-10: ISBN-13: Inhaltsverzeichnis Weitere Informationen oder Bestellungen unter sowie im Buchhandel

2 Inhalt Einleitung Benutzerkontensteuerung Lokales Administratorenkonto deaktiviert! Standardbenutzerrechte ein entscheidender Vorteil! Verwaltung von Windows Vista Rechteerhöhung bei Bedarf! Anwendungen mit Standardbenutzerrechten ausführen eine wahre Herausforderung!...13 Steuerung mittels Gruppenrichtlinien Deaktivieren der Benutzerkontensteuerung Für Entwickler Rückblick Integritätskontrolle mit Verbindlichkeitsstufen Der neue Schutzmechanismus von Windows Vista Verfügbare Verbindlichkeitsstufen und Richtlinien Verbindlichkeitsstufen für Objekte Verbindlichkeitsstufen für Prozesse Verbindlichkeitsstufen von Benutzerkonten Rückblick Internet Explorer Umfassender Schutz durch mehrere Sicherheitsschichten Schutzschicht 1 Adressleistensicherheit und IDN-Unterstützung Schutzschicht 2 Sicherheitsstatusanzeige, Zertifikats-verwaltung und Phishing-Filter Schutzschicht 3 Warnung bei unsicheren Einstellungen Schutzschicht 4 Reduzierte Angriffsoberfläche Schutzschicht 5 ActiveX Opt-In Schutzschicht 6 Dateiausführungsverhinderung (Data Execution Prevention, DEP) Schutzschicht 7 Geschützter Modus...56 V

3 Inhalt Webseite mit IE7-Demos Weitere Sicherheitseinstellungen Sicherheitszonen Datenschutzeinstellungen Zertifikatsverwaltung Löschen von persönlichen Informationen Konfiguration über Gruppenrichtlinien Installation von ActiveX-Elementen steuern Rückblick Schützen von Daten und Betriebssystemdateien Das NTFS-Dateisystem Lokale Sicherheit auf Datei- und Ordnerebene Jumpstart und Refresh! Besitzer von Systemobjekten Umleitungen im Dateisystem Verbindlichkeitsstufen Sie erinnern sich? Kontrolle ist gut, Überwachung ist besser Das verschlüsselte Dateisystem (Encrypting File System, EFS) Lösungen ohne Zertifizierungsstelle Lösungen mit einer Windows Server-Zertifizierungsstelle Steuerung über Gruppenrichtlinien Noch etwas zum Abschluss von EFS Partitionsverschlüsselung mit BitLocker BitLocker einrichten BitLocker über die Kommandozeile verwalten Wiederherstellung Schlüsselspeicherung im Active Directory Gruppenrichtlinien für BitLocker-Konfiguration Rückblick Update-Management Automatische Updates über Microsoft Update Windows Server Update Services (WSUS) Installation von WSUS WSUS-Basiskonfiguration Computergruppen WSUS-Clients konfigurieren WSUS-Clients registrieren Updates verwalten Rückblick Sicherer Netzwerkbetrieb Netzwerkverbindungen LAN-Verbindungen WLAN-Verbindungen Virtuelle private Netzwerke (VPN) VI

4 Inhalt 6.2 Die Windows-Firewall Netzwerktypen für Netzwerke festlegen Die Standardkonsole der Windows-Firewall Die erweiterte Konsole der Windows-Firewall Firewall-Konfiguration mithilfe von Gruppenrichtlinien IPsec ohne Firewall IPsec-Konfiguration über Gruppenrichtlinien Rückblick Erweiterter Schutz vor Malware und Viren Automatische Updates Echtzeitschutz zum Erkennen neuer unerwünschter Programme Manuelle Scans zum Suchen nach bereits installierten Spyware-Programmen Verlauf Extras Optionen Microsoft SpyNet Unter Quarantäne Software-Explorer Informationen in der Ereignisanzeige Konfiguration über Gruppenrichtlinien Rückblick Windows-Dienste absichern Dienst- und Systemkonten Viele Dienste standardmäßig nicht ausgeführt Dienste werden mit tiefstmöglichen Rechten und isoliert ausgeführt Dienste können für den Netzwerkbetrieb eingeschränkt werden Isolation der Session Rückblick Hardware und Treiber Neue Gruppenrichtlinieneinstellungen Treibersignaturen Rückblick Benutzerkonten und Kennwörter Übersicht zur Benutzerauthentifizierung Kennwortspeicherung Übertragung über das Netzwerk Schutz der lokalen Benutzerdatenbank von Windows Vista Kennwortrichtlinien und Kontosperrung Dienstkonten Ausbildung, Ausbildung, Ausbildung Rückblick VII

5 Inhalt 11 Verschiedene Sicherheitseinstellungen Kernel Patch Protection (PatchGuard) Code-Integrität Address Space Layout Randomization (ASLR) Remotedesktopverbindungen Software Restriction Policies Rückblick Register VIII

6 Marcel Zehner Windows Vista Security ISBN-10: ISBN-13: Leseprobe Weitere Informationen oder Bestellungen unter sowie im Buchhandel

7 4 Schützen von Daten und Betriebssystemdateien Für Windows Vista Service Pack 1 und Windows Server 2008 ist angekündigt, dass ein noch höherer VMK-Schutz mit der Key Protector-Kombination TPN, PIN und USB möglich sein wird. Was ist TPM ganz genau? Stellen Sie sich das am einfachsten wie eine SmartCard vor, die sich auf dem Motherboard Ihres Rechners befindet. Darin können Informationen abgespeichert und bei Bedarf abgerufen werden. Damit die Informationen im TPM-Chip zusätzlich geschützt sind, können sie mit einem PIN (Stufe3) oder einer Information auf einem USB- Stick (Stufe 4) gesichert werden. Damit ein TPM-Chip für BitLocker eingesetzt werden kann, muss es sich mindestens um einen Chip der Version 1.2 handeln BitLocker einrichten Es gibt zwei Möglichkeiten, BitLocker einzurichten: wenn Windows Vista neu installiert wird oder nachträglich, falls Windows Vista schon komplett installiert ist. Bei einer Neuinstallation kann die notwendige Partitionierung von zwei Partitionen direkt im Setup-Prozess vorgenommen werden. Dazu wechseln Sie beim Setup zu den Wiederherstellungsoptionen und starten die Eingabeaufforderung. Erstellen Sie mit dem Tool Diskpart.exe zwei neue Partitionen: Partition 1, 1500 MB, Laufwerk S:\, aktiv setzen (auf diese Partition werden die Startdateien platziert) Partition 2, beliebige Größe, z.b.: MB, Laufwerk C:\ Nach dieser Konfiguration kann Windows Vista normal installiert werden. Wählen Sie als Installationspartition die größere der beiden Partitionen aus. Den Rest erledigt die Setup-Routine. Falls bereits eine Installation vorliegt, ist das Vorgehen ein bisschen mühsamer. Vermutlich wird Windows Vista auf einer einzigen Partition installiert und daher nicht für den BitLocker-Einsatz geeignet sein. Für dieses Szenario stellt Microsoft das Tool BitLocker Drive Preparation Tool zur Verfügung, das die korrekte Partitionierung nachträglich vornimmt. Natürlich können diese Schritte auch manuell ausgeführt werden. Dazu muss zuerst die aktive Partition verkleinert werden (was mit Windows Vista neu möglich ist), dann eine neue Partition von 1500 MB Größe erstellt und formatiert werden. Zuletzt muss die Partition aktiviert und die entsprechenden Startdateien müssen darauf kopiert werden. Damit es zu keinen Fehlern kommt, würde ich Ihnen aber die Nutzung des BitLocker Drive Preparation Tools empfehlen. Dieses Tool wird über Windows Update zur Verfügung gestellt und muss vor der Nutzung explizit heruntergeladen und installiert werden. Starten Sie das Tool, das sich im Ordner Startmenü\Alle Programme\Zubehör\ Systemprogramme\BitLocker befindet. Das Tool wird die notwendigen Änderungen an 120

8 4.3 Partitionsverschlüsselung mit BitLocker der Partitionierung vornehmen. Nach Abschluss der Änderung muss Windows Vista neu gestartet werden, diesmal bereits ab der neuen aktiven Partition. Abbildung 4.46 BitLocker-Laufwerkverschlüsselung: Partitionierung vorbereiten Abbildung 4.47 Neue Partitionierung mit aktiver Partition 121

9 4 Schützen von Daten und Betriebssystemdateien Nach dem Neustart wird automatisch die BitLocker-Konfigurtionskonsole gestartet, die auch über Systemsteuerung\Sicherheit\BitLocker-Laufwerkverschlüsselung angezeigt werden kann. Da die Partitionierung jetzt BitLocker-konform ist, kann BitLocker für die Partition, auf der Windows Vista installiert ist, aktiviert werden. Abbildung 4.48 BitLocker aktivieren Nach dem Anwählen des Menüpunkts BitLocker aktivieren wird festgelegt, welche Systemstartoptionen verwendet werden sollen. Dazu stehen wie bereits erwähnt verschiedene Methoden zur Verfügung, die je nach eingesetztem Gerät genutzt werden können. Geräte ohne TPM-Chip verfügen lediglich über eine Option, wohingegen Geräte mit einem TPM- Chip die Wahl zwischen drei verschiedenen Methoden haben. Je nach getroffener Auswahl variiert die Speicherung der Startschlüssel (im folgenden Screenshot wird ein USB- Laufwerk für die Speicherung des Startschlüssels genutzt). Nach dem Festlegen der Starteinstellungen müssen die Wiederherstellungsmechanismen aktiviert werden. Diese können einzeln oder in Kombination genutzt werden. Sicherheitshalber sollten immer mindestens zwei Speicherorte für das Wiederherstellungskennwort genutzt werden. Je nach ausgewählter Methode muss ein USB-Laufwerk, ein Pfad zu einem Ordner oder ein Drucker angegeben werden. 122

10 4.3 Partitionsverschlüsselung mit BitLocker Abbildung 4.49 Systemstarteinstellungen festlegen Falls Sie sich für die Speicherung in einer Datei entscheiden, darf sich der Ordner, in den die Speicherung erfolgt, nicht auf der mit BitLocker verschlüsselten Partition befinden. Das würde natürlich auch keinen Sinn machen, weil es bei einem Problem mit der Entschlüsselung der Partition nicht zur Verfügung stehen würde. Sinnvoller wäre die Speicherung auf einem Medium, das nicht an das lokale Gerät gebunden ist, also beispielsweise ein Netzlaufwerk, auf das (z.b. mit einem anderen Gerät) einfach zugegriffen werden kann, sobald das Wiederherstellungskennwort benötigt wird. Wenn die Speicherung der Wiederherstellungskennwörter abgeschlossen ist, kann Windows Vista mit der Verschlüsselung der Festplatte beginnen. Optional haben Sie noch die Möglichkeit, überprüfen zu lassen, ob die Speicherung des Startschlüssels erfolgreich war und ob Ihr System diese Information bei Gerätestart auch tatsächlich auslesen kann. Für diese Prüfung ist ein Neustart erforderlich, und wenn der Startschlüssel tatsächlich gelesen werden konnte, startet Windows Vista anschließend mit der Verschlüsselung der gesamten Partition. Konnte der Startschlüssel nicht gelesen werden, wird die Verschlüsselung nicht gestartet. 123

11 4 Schützen von Daten und Betriebssystemdateien Abbildung 4.50 Wiederherstellung konfigurieren Abbildung 4.51 Systemprüfung vor der BitLocker-Aktivierung 124

12 4.3 Partitionsverschlüsselung mit BitLocker Die Verschlüsselung kann je nach Größe der Partition recht lange dauern, allerdings kann während dieses Vorgangs (mit entsprechenden Leistungseinbußen) mit dem System weitergearbeitet werden. Ist die Verschlüsselung abgeschlossen, ist dies über die BitLocker- Konfigurationskonsole in der Systemsteuerung sichtbar. Zudem lassen sich dort jederzeit wieder Systemstart- und Wiederherstellungsschlüssel erstellen. Abbildung 4.52 BitLocker verwalten BitLocker kann jederzeit wieder deaktiviert werden, wenn die erhöhte Sicherheit nicht mehr benötigt wird. Die Funktion lässt sich auch temporär ausschalten, was beispielsweise dann Sinn macht, wenn das BIOS des Rechners aktualisiert werden muss. Wenn BitLocker während dieser Phase aktiviert ist, wird auf einem Gerät, das einen TPM-Chip nutzt, die Integritätsprüfung fehlschlagen, weil TPM denkt, dass unautorisierte Updates des BIOS vorgenommen worden sind. In diesem Fall müsste eine Wiederherstellung mit den erwähnten Methoden erfolgen, was im Firmenumfeld recht mühsam sein kann. Um das zu realisieren, verwendet Windows Vista einen neuen Schlüssel, der im Klartext abgespeichert wird. Die Daten bleiben im verschlüsselten Zustand, sind allerdings wegen des ungeschützten Schlüssels während dieser Zeit nicht wirklich sicher. Erst nach einer erneuten Aktivierung von BitLocker wird das Kennwort im Klartext wieder erneuert und in verschlüsselter Form abgelegt. Bei einer Entschlüsselung hingegen wird die gesamte Partition entschlüsselt, was wiederum viel Zeit in Anspruch nehmen kann. Diese Methode sollte demnach nur dann eingesetzt werden, wenn BitLocker anschließend nicht mehr verwendet wird. 125