Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?

Transkript

1 Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug? Fünf Jahre nach der Veröffentlichung von Windows XP bezweckt Microsoft mit Windows Vista in erster Linie, Sicherheitslücken und die allgemeine Anfälligkeit für Malware und andere Bedrohungen zu reduzieren. Es wurden mehrere neue Sicherheitsfunktionen eingeführt, um die erhöhte Priorität der Sicherheit widerzuspiegeln. Dieses White Paper beschreibt die Windows Vista-Sicherheit, gibt einen Überblick über das Schutzniveau, das von dem Betriebssystem für Unternehmensbenutzer geboten wird und schätzt ein, inwieweit die neuen Funktionen den Bestrebungen von Microsoft für ihr neues Desktop-Betriebssystem gerecht werden. Sophos White Paper November 2006

2 Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug? Übersicht Das neueste Desktop-Betriebssystem von Microsoft, Windows Vista, enthält zahlreiche neue Funktionen, von der Benutzeroberfläche bis zum Zentrum des Betriebssystems. Aufgrund der zahlreichen Kritik an den Schwachstellen des Vista Vorgängers Windows XP hat Microsoft den neuen Sicherheitstechnologien die höchste Priorität eingeräumt. Zu den Entwicklungen gehören verbesserte Überwachung und Reporting des Sicherheitsstatus, weniger Möglichkeiten für Angriffe und verbesserter Schutz vor Spyware. Es gibt außerdem einen neuen Mechanismus, um schädliche Codes daran zu hindern, Änderungen des Betriebssystem-Kernels vorzunehmen, und verbesserte Browser- und Firewall-Funktionen. Wenn Sie sich unsere Investition in die nächste Version von Windows [Vista] ansehen, sticht Sicherheit als das hervor, wofür wir die meiste Zeit aufgewandt haben Microsoft trägt an dieser Stelle eine große Verantwortung. Bill Gates, RSA Konferenz 2006, San Jose Windows Security Center Das Windows Security Center (WSC) läuft im Hintergrund, überwacht und meldet den Sicherheitsstatus eines Computers. Seit sie erstmals von Microsoft in Windows XP (Service Pack 2) eingeführt wurden, bietet die verbesserte Version in Vista nun mehr Integration mit anderen Vista-Sicherheitsfunktionen und mit Sicherheitslösungen Dritter. Wie bei Windows XP überwacht das WSC die Internet-Firewall und überprüft den Status automatischer Updates und Antiviren-Software, es wurde in Vista jedoch erweitert, um die Überwachung von Anti-Spyware-Anwendungen einzuschließen. Die Überwachung der Sicherheitseinstellungen im Internet Explorer 7 und der neuen Benutzerkontenkontrolle-Funktion (siehe unten) wurde ebenfalls hinzugefügt. Einer der Beweggründe der Verbesserung des WSCs ist es, die Endbenutzer über Sicherheitsprobleme zu informieren, indem sie in solchen Situationen alarmiert werden. Obwohl dies für Privatanwender offensichtlich von Vorteil ist, sind diese Endbenutzeralarme für Unternehmen und andere Organisationen, wie das Bildungswesen und Behörden, sowohl unzureichend als auch lästig und werden von ihnen möglicherweise aus diesem Grund deaktiviert. Außerdem haben einige Hersteller von Sicherheitslösungen negativ darauf reagiert, dass das WSC nicht deaktiviert werden kann, wenn alternative Sicherheitslösungen installiert werden, obwohl Sophos nicht nachvollziehen kann, warum andere Hersteller Einwände gegen ein integriertes Sicherheitscenter haben sollten, das den Status seiner Software meldet. Benutzerkontenkontrolle Benutzerkontenkontrolle (User Account Control (UAC)) ist eine der wichtigsten Sicherheitsfunktionen in Windows Vista. Ihr 1

3 Ziel ist es, die Möglichkeit für Angriffe zu minimieren und somit die Installation aktueller Malware-Bedrohungen zu verhindern, wenn Endbenutzer lokale Admin-Rechte haben. Wie bei Windows XP erhalten Endbenutzer standardmäßig Admin-Rechte. Anstatt jedoch den Administratorstatus pauschal für alle Anwendungen geltend zu machen, erzeugt das Vista-Login zwei Sicherheitstoken: StandardUser und Administrator. Standardmäßig weist Vista Anwendungen das StandardUser-Token zu, d.h. Anwendungen, die keine Admin-Rechte erfordern, werden ohne Eingreifen des Benutzers ausgeführt. Viele Anwendungen erfordern jedoch Admin-Rechte. In diesem Falle wird das Administrator-Token angewandt und der Benutzer aufgefordert, das Programm je nach Bedarf abzubrechen oder zu erlauben, wie auf dieser Seite dargestellt. Eins steht fest: Microsoft muss sich damit auseinandersetzen, dass bei UAC das Verhältnis zwischen Leistung und Sicherheit nicht annehmbar ist. Wenn die aktuelle Version so bleibt wie sie ist, ist es sehr wahrscheinlich, dass zu viele Anwender sie komplett ablehnen und wenn das der Fall ist, verlieren alle. Ed Bott s Microsoft Report 1 Vom Sicherheitsstandpunkt aus gesehen ist UAC ein wichtiger Schritt nach vorn und das Prinzip des am wenigsten benötigten Privilegs ist theoretisch gut, da standardmäßig der Zugriff auf die Registrierung und das Dateisystem eingeschränkt ist. Das heißt, dass Malware daran gehindert wird, sich automatisch in Speicherorte wie den Windows-Systemordner zu kopieren zudem kann sie nicht in Registrierungsschlüssel geschrieben werden, um automatisch beim Start des Betriebssystems ausgeführt zu werden. Das Vistas UAC: Sicherheit auf einer weiteren Ebene Prinzip des StandardUser-Tokens verhindert außerdem, dass schädliche Anwendungen in den Speicherbereich anderer Prozesse schreiben, eine Methode, die häufig von Malware verwendet wird, um Personal oder Client Firewalls zu umgehen. Leider ist UAC nicht nur sicher, sondern mit seinen zahlreichen Alarmen, von denen viele für Benutzer ohne technisches Know-how keine Bedeutung haben, auch aufdringlich. Die Gefahr liegt darin, dass diese Anwender automatisch auf "Erlauben" klicken, wenn Sie dazu aufgefordert werden, ohne genau in Betracht zu ziehen, ob dies ratsam ist. Die andere Gefahr liegt darin, dass UAC deaktiviert werden kann viele Beta-Tester haben diese Option tatsächlich gewählt wodurch die verbesserte Sicherheit entfernt wird. Windows Defender Windows Defender ist ein kostenloses Anti- Spyware-Programm, das in Windows Vista integriert ist und einige Adware, Spyware und andere unerwünschte Programme erkennen und entfernen kann. Die Software verwendet automatische Updates von Microsoft-Analysten, 2

4 um neue Bedrohungen zu erkennen und zu entfernen, sobald sie identifiziert sind. Dieser Schutz bietet keinen umfassenden Schutz vor Malware, obwohl die Informationen im WSC implizieren, dass dies der Fall ist. Windows Defender unterstützt nur Windows XP mit Service Pack 2 oder höher oder Windows Server 2003 mit Service Pack 1 oder höher. Andere Betriebssysteme, darunter Windows 95/98/Me und 2000, werden nicht unterstützt. Da Windows Defender den Verbrauchermarkt zum Ziel hat, stehen keine zentralen Administrationsfunktionen zur Verfügung. Es bietet also zentral verwalteten Unternehmensnetzwerken mit mehreren Plattformen wenig an. Kernel-Schutz Es wurden zwei neue Mechanismen eingeführt, um den Betriebssystem-Kernel zu schützen Kernel Patch Protection (KPP) oder PatchGuard, und obligatorisches Signieren. KPP wurde in 64-Bit Vista implementiert, um eine bestimmte Art schädlicher Aktivitäten zu verhindern, die den Betriebssystem-Kernel manipuliert und zu schwerwiegenden Verletzungen der Sicherheit führen und sich negativ auf die Stabilität, Verlässlichkeit und Leistung des Betriebssystems und von Benutzeranwendungen auswirken kann. Diese Art von Malware wird allgemein als "Rootkit" bezeichnet und wird oft dazu verwendet, andere potentiell unerwünschte Software, wie Bots und Spyware, zu tarnen. KPP hindert Kernel-Mode-Treiber daran, erweitert zu werden oder Betriebssystemdienste zu ersetzen und sollte darum Rogue-Treiber daran hindern, schädliche Änderungen am Kernel vorzunehmen. KPP wurde nicht zur 32-Bit-Version von Vista hinzugefügt, da viele Programme (einschließlich Sicherheitssoftware) den Kernelbereich auf nicht dokumentierte Weise verwenden und Microsoft Bedenken bezüglich der Kompatibilität mit den bestehenden Anwendungen hatte. Das bedeutet, dass 32-Bit-Systeme weiterhin für Rootkit-Angriffe anfällig sind. Der zweite Kernel-Mechanismus das obligatorische Signieren von Treibern wurde jedoch in 32-Bit und 64-Bit Vista implementiert und kann so eingestellt werden, dass es verhindert, nicht signierte Treiber zu laden. Einige Hersteller von Sicherheitslösungen haben sich beschwert, dass sie aus dem Vista-Betriebssystem-Kernel durch KPP "ausgeschlossen" wurden. Der Grund dafür liegt darin, dass sie den Kernel von Microsoft ändern müssen, um sicherzustellen, dass ihre bestehenden Produkte 64-Bit-Versionen unterstützen können. Obwohl es zutrifft, dass nun eine gewisse Abhängigkeit besteht, dass Microsoft Kernel- Oberflächen anbietet, wodurch alle Hersteller von Sicherheitslösungen gebremst werden könnten, wird dies durch die zusätzliche Sicherheit, die ein gesperrter Kernel bietet, mehr als aufgewogen. Windows Vista mit KPP ist für Kunden ein Schritt in die richtige Richtung obwohl dies Integritätslevel Niedrig Mittel System Hoch Beschreibung Nicht vertrauenswürdig Standard für die meisten Standardbenutzerprozesse Uneingeschränkter Zugriff auf das System Administrativer Prozess kann Dateien installieren Vier Integritätslevel für obligatorische Integritätskontrolle 3

5 ein Software-Mechanismus ist und daher sehr wahrscheinlich von Malware-Schreibern früher oder später umgangen wird und Hersteller von Sicherheitslösungen sollten das Dienstprogramm begrüßen und damit arbeiten anstatt sich dagegen zu stellen. Internet Explorer 7 Der integrierte Webbrowser von Windows Vista, Internet Explorer 7 (IE7), enthält Sicherheitsverbesserungen, die zum Schutz von Computern vor Phishing- und Spoofing- Attacken entwickelt wurden. Im geschützten Modus hilft er zu verhindern, dass Daten und Konfigurationseinstellungen von schädlichen Websites oder Malware gelöscht oder geändert werden. Die Funktion wird dabei durch einen neuen Mechanismus unterstützt, der sich Mandatory Integrity Control nennt. Dabei wird jedem Prozess ein Integritätslevel zugewiesen und jedes Level schränkt den Zugriff auf Systemobjekte (Registrierung, Dateisystem, andere Prozesse usw.) ein. Der neue IE7 geschützte Modus startet den IE mit dem Integritätslevel "Niedrig" dies ist niedriger als der Standard für die meisten Benutzerprozesse. Dies trifft für alle Sicherheitszonen außer der vertrauenswürdigen Zone zu. Heruntergeladene Checkliste zur Sicherung von Windows Vista Planen Sie jetzt Ihr Upgrade zu Windows Vista, da dieses Betriebssystem wesentlich sicherer ist als seine Vorgänger. Es ist jedoch empfehlenswert, Qualitäts- und Stabilitäts-Reports im Auge zu behalten, bevor Sie einen Termin für Ihren Übergang festlegen. 1 Installieren Sie eine Sicherheitslösung wie Sophos Anti-Virus, um vor bekannter und unbekannter Malware zu schützen. 2 Stellen Sie sicher, dass Windows Vista, wo möglich, automatisch gegen Schwachstellen gepatcht ist, zumindest für kritische Sicherheitspatches. 3 Verwenden Sie 64-Bit Vista für kritische Rechner, da Kernel Patch Protection mehr Sicherheit gewährleistet und es weniger wahrscheinlich ist, dass es erfolgreich zum Ziel von Malware wird. 4 Stellen Sie sicher, dass Ihre Sicherheitslösungen die 64-Bit-Versionen von Vista unterstützen; sorgen Sie insbesondere dafür, dass ihre HIPS (Host Intrusion Prevention System)-Funktion mit 64-Bit kompatibel ist. 5 Schulen Sie Endbenutzer darin, wie Benutzerkontenkontrolle (UAC)-Alarme zu interpretieren und welche Maßnahmen zu ergreifen sind, damit Sie sich die Vorteile von UAC zu Nutze machen können. 6 Schalten Sie das Windows Security Center nicht aus, da Remote- und Heimnutzer davon profitieren. Sollten Sie aber Management Tools haben, mit denen Sie den Status Ihres Netzwerks zentral überwachen können, ziehen Sie in Betracht, die Endbenutzeralarme von WSC zu deaktivieren. 7 Verwenden Sie eine zentral verwaltete Sicherheitslösung, wie z.b. Sophos Endpoint Security, mit der Sie Vista-Computer von nur einer Stelle aus überwachen, Richtlinien erstellen und durchsetzen und Probleme schnell identifizieren und beheben können. 4

6 Programme übernehmen das niedrige Integritätslevel, das schädliche Programme und PUAs daran hindern sollte, das System zu infizieren und sich in den Browser zu integrieren. IE7 enthält außerdem einen Phishing-Filter, der Anwendern ein sichereres Browsen ermöglicht, indem sie benachrichtigt werden, wenn Websites eventuell versuchen, ihre vertraulichen Daten zu stehlen. Der Filter analysiert Website- Inhalte, indem er nach bekannten Merkmalen von Phishing-Methoden sucht und ein globales Netzwerk von Datenquellen verwendet, um zu entscheiden, ob die Website vertrauenswürdig ist. Über die Einstellung von Microsoft zur Privatsphäre der Benutzer gibt es viele Diskussionen und viele Benutzer haben Bedenken, dass Informationen an Microsoft gesendet werden. Microsoft antwortet damit, dass die Phishing-Filter keine persönlich identifizierbaren Informationen sendet. Interessanterweise wird die IP- und URL-Datenbank von MSN verwaltet die gleiche Stelle, die ihren Werbetreibenden "beispiellose, umfassende Web-Statistiken" versprochen hat. 2 Windows Firewall Windows Vista enthält eine neue Firewall, die über die Firewall von Windows XP mit Service Pack 2 hinausgeht. Filter für ausgehenden Netzwerkverkehr auf Anwendungsbasis sowie standortbasierte Profile wurden hinzugefügt, mit denen Benutzer verschiedene Regeln je nach Netzwerkort einrichten können. Die Standardrichtlinie erlaubt jedoch immer noch allen ausgehenden Datenfluss und die Standardeinstellung bietet keinen zusätzlichen Schutz zur Firewall in XP SP2. Außerdem, obwohl eine gewisse Verwaltung über Gruppenrichtlinien zur Verfügung steht, bietet die zentrale Verwaltungsfunktion Unternehmensadministratoren nicht die Übersicht, Überwachung, Richtlinienkonfiguration und schnelle Reaktion, die Sicherheitsmanagement- Konsolen auf Unternehmensebene zur Verfügung stellen. Andere Sicherheitsfunktionen Windows Vista enthält außerdem eine verbesserte Wi-Fi (Wireless Fidelity)-Sicherheit, Multi- Factor-Authentifizierung, BitLocker-Datenschutz, Netzwerkzugriffsschutz (Network Access Protection)-Client und verbesserte Überwachung zur Einhaltung von Richtlinien. In Windows Vista sind kabellose Netzwerke standardmäßig sicherer. Support für das neueste und sicherste kabellose Netzwerkprotokoll, Wi-Fi Protected Access 2 (WPA2), ist enthalten. Windows Vista enthält eine API, um das Hinzufügen von Smart Cards und anderen Systemen, wie z.b. Biometrieverfahren, zur Windows-Authentifizierung zu vereinfachen, damit es Hackern erschwert wird, auf Computer und Daten über das Knacken von Kennwörtern oder Social Engineering-Methoden zuzugreifen. Eine verbesserte Verschlüsselung ermöglicht Unternehmen, sich vor Diebstahl oder dem Verlust geistigen Eigentums zu schützen. Windows Vista hat den Support für Datenschutz auf Dokument-, Datei-, Verzeichnis- und Rechnerebene verbessert, u.a. kann definiert werden, welche Mitarbeiter auf bestimmte Daten zugreifen können. Kodierungsschlüssel können nun auf Smart Cards gespeichert werden. Das BitLocker-Disketten- Kodierungssystem gibt einen gewissen Schutz vor Hacker-Angriffen, die über das Booten von Wechseldatenträgern erfolgen. Der Network Access Protection (NAP)-Client kann dazu verwendet werden, Rogue- oder ungeschützte Computer daran zu hindern, vollen Zugriff auf ein Netzwerk zu erlangen, er ist allerdings erst wirklich implementierbar, 5

7 wenn die notwendigen Server-Komponenten mit der nächsten Version von Windows Server veröffentlicht werden, Codename Longhorn, voraussichtliche Veröffentlichung Ende des Jahres Um die Einhaltung von Richtlinien zu unterstützen, überwacht und protokolliert Windows Vista den Zugriff auf eingeschränkte Ressourcen, damit Unternehmen beispielsweise unbefugte Benutzer identifizieren können, die versuchen, auf vertrauliche Daten zuzugreifen. Schlussfolgerung Microsoft hat viel Zeit und Ressourcen in den Sicherheitsaspekt der neuen Version von Windows investiert. Windows Vista enthält mehrere Verbesserungen, die bedeuten, dass Heimnutzer sicherer sind. Windows Vista ist jedoch keines Wegs ein sicheres Betriebssystem und obwohl es mehr Sicherheit vor Malware bietet, stoppt es sie nicht. Es gibt keinen Zweifel, dass Malware für Vista schon bald nach der Veröffentlichung des Betriebssystems erscheinen wird. Um die Anforderungen von Unternehmen zu erfüllen, muss Microsoft seine Malware-Expertise, seinen Support und die zentralen Verwaltungsfunktionen wesentlich verbessern. Die Sophos-Lösung Sophos Anti-Virus für Windows 2000/XP/2003/ Vista unterstützt sowohl 32-Bit- als auch 64-Bit- Versionen von Vista und enthält unsere HIPS- Technologie Behavioral Genotype Protection. Weitere Infos und Test-Software für Sophos Lösungen unter 6

8 Quellen 1 blogs.zdnet.com/bott/ 2 "Vista von Microsoft wird den Sekundärmarkt für Windows-Sicherheit nicht stoppen".yankee Group Research, Inc. Mai 2006 Über Sophos Sophos ist einer der weltweit führenden Hersteller von Integrated Threat Management-Lösungen speziell für Unternehmen, das Bildungswesen und Behörden. Durch über 20 Jahre Erfahrung und vereintes internes Antiviren-, Antispyware- und Antispam-Fachwissen schützen die SophosLabs selbst komplexe Netzwerke vor bekannten und unbekannten Bedrohungen. Unsere zuverlässigen, einfach zu bedienenden Produkte schützen über 35 Millionen Benutzer in mehr als 150 Ländern vor Viren, Spyware, Hackern, unerwünschten Anwendungen, Phishing, Spam und dem Missbrauch von -Richtlinien. Unsere ständige Wachsamkeit ist Grundlage für unser internationales Wachstum, unsere wachsende Benutzerbasis und steigenden Gewinne. Unsere sofortige Reaktion auf neue Bedrohungen wird durch unseren unternehmensorientierten, technischen 24/7-Support ergänzt, wodurch wir das höchste Niveau an Kundenzufriedenheit in der Branche erreichen. Boston, USA Mainz, Deutschland Mailand, Italien Oxford, UK Paris, Frankreich Singapur Sydney, Australien Vancouver, Kanada Yokohama, Japan Copyright Sophos Plc. All registered trademarks and copyrights are understood and recognized by Sophos. Kein Teil dieser Publikation darf ohne schriftliche Genehmigung des Copyright-Inhabers in jeglicher Form vervielfältigt, gespeichert oder übertragen werden.