Windows Richtlinien. Sicherheitstage WS 2005/2006. Hergen Harnisch Universität Hannover.

Transkript

1 Windows Richtlinien Sicherheitstage WS 2005/2006 Hergen Harnisch

2 Hergen Harnisch Richtlinien Folie 2 Einführung Ziel Einstellungen (für mehrere Benutzer / Computer automatisiert) vorgeben (Service) oder erzwingen (Sicherheit) Mittel Benutzerprofile Sicherheitsrichtlinien Gruppenrichtlinien benutzerspezifische computerspezifische Wirkungsweise Richtlinien u.a. Übernahme von Einträgen in die Registry Registry- & Rechteübernahme mit System-Rechten Profile u.a. Dateien unter Dokumente und Einstellungen Registry- & Dateiübernahme mit User-Rechten

3 Einführung Hergen Harnisch Richtlinien Folie 3 1. Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

4 Einführung Exkurs Registry Hergen Harnisch Richtlinien Folie 4 Zentrale Windowsdatenbank zu System- & Programmeinstellungen aktive Anwendungseinst. akt. angemeldeter Benutzer inst. Hard- & Software benutzerspez. Einst. aller B. Kopie HKLM je Hardwareprof. HKCR: nur ein View, entspricht HKLM\Software\Classes mit HKCU\Software\Classes überlagert

5 Profile: Hergen Harnisch Richtlinien Folie 5 1. Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

6 Profile: Hergen Harnisch Richtlinien Folie 6 enthalten Einstellungen für Benutzeroberfläche (Icons, Farben, Menü,... ) Netzwerkverbindungen Druckerverbindungen und -einstellungen ggf. eigene Dateien Achtung Gruppenrichtlinien überschreiben Profil-Einstellungen.

7 Profile: Netz Hergen Harnisch Richtlinien Folie 7 im Netzwerk 3 Profiltypen lokal auf der einzelnen Station, automatisch erzeugt bei erster Anmeldung serverbasiert (roaming) vom Admin auf Server erzeugt; wird bei Anmeldung herunterund bei Abmeldung hochgeladen verbindlich (mandatory) vom Admin vorgegeben, überschreibt andere, nicht durch Nutzer änderbar

8 Hergen Harnisch Richtlinien Folie 8 Profile: technisch Dateipfad %USERPROFILE% (C:\Dokumente und Einstellungen\Benutzer ) MMC-Snapin Lokale Benutzer und Gruppen (lusrmgr.msc), dort Benutzer / Kartei Profil [bzw. im Active Directory]

9 Hergen Harnisch Richtlinien Folie 8 Profile: technisch Dateipfad %USERPROFILE% (C:\Dokumente und Einstellungen\Benutzer ) MMC-Snapin Lokale Benutzer und Gruppen (lusrmgr.msc), dort Benutzer / Kartei Profil [bzw. im Active Directory]

10 Profile: technisch Hergen Harnisch Richtlinien Folie 8 Dateipfad %USERPROFILE% (C:\Dokumente und Einstellungen\Benutzer ) MMC-Snapin Lokale Benutzer und Gruppen (lusrmgr.msc), dort Benutzer / Kartei Profil [bzw. im Active Directory] NTUSER.DAT: Registry-Ast HKEY_CURRENT_USER Ordner, Verknüpfungen, Dateien für Desktop, Menü etc. verbindlich: NTUSER.MAN statt NTUSER.DAT auf Server: Eigene Dateien (Basisordner) verschieben, sonst ggf. lange Kopierzeiten für Eigene Dateien %ALLUSERSPROFILE% (C:\Dokumente und Einst.\All Users ) nur lokal vorhandene, verbindliche Zusatzvorgaben (C:\Dokumente und Einst.\Default User ) Vorgabe für neue Benutzer

11 Profile: technisch Hergen Harnisch Richtlinien Folie 9 eingelesene Profile (NTUSER.DAT) in der Registry aktives Profil alle geladenen Profile

12 Richtlinien: Hergen Harnisch Richtlinien Folie Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

13 Richtlinien: Hergen Harnisch Richtlinien Folie 11 heißen unter Windows Gruppenrichtlinien (group policies) Richtlinien sind vorgegebene, zwingende Registry-Einträge, die mit SYSTEM-Berechtigung eingelesen werden; machen direkte Registry-Eingriffe unnötig (im AD mehr) beziehen sich auf lokal: den Computer und alle Benutzer im AD: auf Computer, Benutzer über Domäne, OU enthalten in Gruppenrichtlinienobjekten (GPO) lokal: nur ein lokales Gruppenrichtlinienobjekt im AD: für jeden Container mehrere möglich in XPSP2 über 1300 einzelne Richtlinien und erweiterbar mit.adm-dateien vorgegebene Templates (.inf-dateien)

14 Richtlinien: Hergen Harnisch Richtlinien Folie 12 Bearbeitung mit MMC-Snapin gpedit.msc: (Gruppenrichtlinie)

15 Richtlinien: Gliederung Hergen Harnisch Richtlinien Folie Ebene Computerkonfiguration gilt für den Computer und damit für alle Benutzer Benutzerkonfiguration benutzerspezifisch (lokal aber trotzdem alle) 2. Ebene jeweils Softwareeinstellungen Hinterlegung von MSI-Paketen zur Inst. bei Start/Anmeldung Windows-Einstellungen umfasst u.a. (lokale) Sicherheitsrichtlinien Administrative Vorlagen durch.adm-dateien zugreifbare Registry-Schlüssel

16 lokal: Sicherheitsrichtlinien Über Verwaltung im Startmenü bzw. Systemsteuerung aufrufbar: Hergen Harnisch Richtlinien Folie 14 entspricht lokalen Gruppenrichtlinien / Computer / Windows / Sicherheitseinst.

17 lokal: Sicherheitsrichtlinien Mit MMC-Snapin gpedit.msc: Hergen Harnisch Richtlinien Folie 14 AD

18 lokal: SR Kontorichtlinien Hergen Harnisch Richtlinien Folie 15 Aus Sicherheitsüberlegungen empfehlenswert: Kennwortrichtlinien Komplexität fordern maximales Kennwortalter 90 Tage Kennwortlänge mindestens 8 Zeichen Chronik aktivieren >3, ggf. min. Kennwortalter 1 Tag (Domänenkennwörter nicht speichern) Kontosperrungsrichtlinien nach 5 (Schwelle) ungültigen Anmeldeversuchen für 10 Minuten sperren

19 lokal: SR Lokale Richtlinien Hergen Harnisch Richtlinien Folie 16 Beispiele für sinnvolle Einstellungen: Überwachungsrichtlinien Anmeldeereignisse: erfolgreich & fehlgeschlagen Kontenverwaltung: erfolgreich Richtlinienänderung: erfolgreich und ggf. mehr, regelmäßige Auswertung (über Verwaltung / Ereignisanzeige) sinnvoll Sicherheitsoptionen Interaktive Anmeldung: STRG+ALT+ENTF fordern

20 lokal: Administrative Vorlagen Hergen Harnisch Richtlinien Folie 17 über.adm-dateien gesteuerte Einstellungen einzelne Beispiele Computerkonfiguration: IE: kein Download unsignierter ActiveX-Steuerelemente Windows-Firewall: Programmausnahmen zulassen / festlegen Autoplay-Funktion unterbinden Datenträgerkontingente Anfordern von Remote-Unterstützung unterbinden Benutzerkonfiguration: IE: Kennwörter bei Auto-Vervollständigen nicht speichern Liste der zuletzt geöffneten Dokumente nicht beibehalten Taskleiste fixieren Vorschreiben des Bildschirmschoners viele Möglichkeiten, längst nicht alle sinnvoll

21 lokal: Administrative Vorlagen Beispiel: Autoplay-Funktion Hergen Harnisch Richtlinien Folie 18

22 lokal: Administrative Vorlagen Beispiel: Autoplay-Funktion Hergen Harnisch Richtlinien Folie 18

23 Hergen Harnisch Richtlinien Folie 19 lokal: Administrative Vorlagen.adm-Dateien Windows Standard-Dateien in C:\WINDOWS\inf\: system.adm Systemeinstellungen von Windows inetres.adm Internet-Explorer conf.adm Netmeeting wuau.adm Windows-Update (ab XP/2003) wmplayer.adm Windows Media Player (ab XP/2003) neben Kurzerklärung dazu auch ausführlichere Hilfe vorhanden (erweitere Ansicht in gpedit oder Windows-Hilfe) extra über Administrative Vorlagen markieren, Aktion / Vorlagen hinzufügen/entfernen aufrufen extra erstellte für Applikationen, selbsterstellte... Abk.

24 Erweiterungen eigene.adm-datei Hergen Harnisch Richtlinien Folie 20 Beispiel für Anzeige von Dateiendungen ; Beispiel fuer eigene.adm-datei zur Erweiterung von Richtlinien ; mehr zu Verwendung & Syntax in regpolicy.doc von Microsoft ; in gpedit.msc: Ansicht/Filterung auch nicht vollst. verw. R. anzeigen CLASS USER ; Reg-Key. also unter HKEY_CURRENT_USER CATEGORY Bsp. eigene Richtlinie POLICY!!HideFileExt_policy EXPLAIN!!HideFileExt_explain VALUENAME HideFileExt VALUEON NUMERIC 1 VALUEOFF NUMERIC 0 KEYNAME Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ; Reg-Key. ist HKCU \ %KEYNAME% \ %VALUENAME% END POLICY END CATEGORY [strings] HideFileExt_policy= Erweiterungen bei bekannten Dateitypen ausblenden HideFileExt_explain= Durch Aktivierung dieser Einstellung werden die D... Methode z.b. benutzt für SAP-Clients

25 Erweiterungen Hergen Harnisch Richtlinien Folie 21 Probleme unter NT4 tattooing der Registry, auch unter 2000 mit.adm-templates: Registry-Eintrag bleibt auch nach Entfernen der GP Registry-Einträge sollen gemäß MS nur in Policy-Unteräste, andere sind meist nicht durch Rechte geschützt Alternativen nur für Active Directory MS ermöglicht group policy extensions für erweiterte Funktionalitäten, u.a. auch für Dinge außerhalb der Registry, Erweiterung des GP-Editors Erweiterungen angeboten von Drittherstellern (inzwischen unübersichtlich, teilweise frei)

26 lokal: technisch Hergen Harnisch Richtlinien Folie 22 Dateipfad %SYSTEMROOT%\system32\GroupPolicy\Machine\Registry.pol enthält Computerkonfiguration, Einlesen beim Booten Registry-Zweig HKEY_LOCAL_MACHINE %SYSTEMROOT%\system32\GroupPolicy\User\Registry.pol enthält Benutzerkonfiguration, Einlesen bei Anmeldung Registry-Zweig HKEY_CURRENT_USER Verteilen Dateien können auf andere Rechner kopiert werden, Richtlinien aktivieren mit gpupdate oder Neustart

27 lokal: technisch Hergen Harnisch Richtlinien Folie 23 aktiver Gruppenrichtlinien-Ergebnissatz in der Registry Benutzerkonf. Computerkonf. HKCU: Richtlinien überschreiben Profil

28 Netz: Active Directory Hergen Harnisch Richtlinien Folie Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

29 Netz: Active Directory Richtlinien sind erst im Netz wirklich mächtig. Hergen Harnisch Richtlinien Folie 25 lokal

30 Netz: Active Directory Richtlinien sind erst im Netz wirklich mächtig. Hergen Harnisch Richtlinien Folie 25 über Registry-Manipulation hinausgehend, z.b. auch Dateisystem-Rechte, Softwareverteilung Microsoft: Group Policy Snap-in Extension Software Installation Scripts Security Settings Administrative Templates Folder Redirection Internet Explorer Maintenance RIS Available in LGPO No Yes Yes Yes No Yes No Richtlinien zentral abgelegt im Active-Directory verschiedene Richtlinien für verschiedene Objekte durch Baum-Struktur und Sonderbedingungen Prinzip der Vererbung

31 Hergen Harnisch Richtlinien Folie 26 Netz: Active Directory Gruppenrichtlinienobjekte Es gibt mehrere GPOs, die zur Anwendung kommen 1. lokales GPO auf dem Client 2. (ggf. Standort-GPO je nach Standort des Clients) 3. Domänen-Richtlinie 4. ggf. GPOs in OUs je nach Lage des Clients im AD Richtlinienergebnis Abarbeitung in dieser Reihenfolge, spätere GP überschreibt i.allg. frühere in 2. 4.: mehrere GPOs möglich, (Verknüpfungsreihenfolge: kleinste Zahl zuletzt) aber: Vererbung kann blockiert oder erzwungen werden, Anwendung erzwungen/unterdrückt je nach Sicherheitsgruppenzugehörigkeit

32 Netz: Active Directory Bearbeitung GPO ist zwar Objekt im AD (erweiterte Ansicht, System/Policies)

33 Netz: Active Directory Bearbeitung Hergen Harnisch Richtlinien Folie 27 aber eigentlich eine Eigenschaft von Containern Bearbeitung ebenfalls mit gpedit.msc

34 Netz: Active Directory Bearbeitung neuerdings einfachere Verwaltung mit gpmc.msc (Gruppenrichtlinien-Verwaltungskonsole)

35 Netz: Active Directory Bearbeitung Hergen Harnisch Richtlinien Folie 27 GPO ist zwar Objekt im AD (erweiterte Ansicht, System/Policies) aber eigentlich eine Eigenschaft von Containern Bearbeitung ebenfalls mit gpedit.msc neuerdings einfachere Verwaltung mit gpmc.msc (Gruppenrichtlinien-Verwaltungskonsole) Sinn von mehreren GPOs in einem Container Vererbung & Erzwingen evt. unterschiedlich Wiederverwendbarkeit, da: GPO im Container ist immer nur Verknüpfung, ggf. ein GPO in mehreren Containern verwendet

36 Netz: Active Directory Computer- und Benutzer Hergen Harnisch Richtlinien Folie 28 Welche Richtlinien zur Anwendung kommt, hängt von der Lage im AD ab. Aber: Computer und Benutzer können evt. in unterschiedlichen Containern liegen... Computer Reihenfolge wie oben beschrieben in Abhängigkeit von der Lage des Computers bestimmt Computerkonfiguration. Benutzer Reihenfolge wie oben beschrieben in Abhängigkeit von der Lage des Benutzers bestimmt Benutzerkonfiguration.... Mit der Ausnahme Loopback: dann nur Lage des Computers

37 Netz: Active Directory Hergen Harnisch Richtlinien Folie 29 Was ist denn nun die anzuwendende Richtlinie? Gruppenrichtlinien-Ergebnissatz rsop.msc: zeigt nur die wirksame Ergebnis-Richtlinien an bei direktem Aufruf für aktuellen Computer und Benutzer über MMC Computer und Benutzer wählbar gpresult.exe (Kommandozeile): zeigt Ergebnis und benutzte GPOs an, Computer und Benutzer über Kommandozeile wählbar gpmc.msc: komfortable, erschöpfende Anzeige über Gruppenrichtlinienmodellierungs-Assistenten

38 Netz: Active Directory Beispiel Gruppenrichtlinienmodellierungs-Assistent Hergen Harnisch Richtlinien Folie 30

39 Netz: Active Directory Beispiel Gruppenrichtlinienmodellierungs-Assistent Hergen Harnisch Richtlinien Folie 30

40 Netz: Active Directory Hergen Harnisch Richtlinien Folie 31 Design-Überlegungen nicht zu viele GPOs nicht zu viele Ausnahmen (Vererbung blockieren, erzwingen etc.) Voraussetzung: sinnvolles Design des AD Administratoren in gesonderte OU (ohne GPO) Beispiel Grundsicherheit in Domänen-Policy (z.b. Passwortlänge) lockere Einstellungen für Mitarbeiter (-Rechner) restriktivere Einstellungen für Pool-Rechner und Studenten

41 Hergen Harnisch Richtlinien Folie 32 Netz: Active Directory Beispiel: Stammzertifikate für alle Computer im AD publizieren eigentlich UH-CA kein Stammzertifikat... ; geht nicht im lokalen GPO

42 Netz: Samba als DC Hergen Harnisch Richtlinien Folie Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

43 Netz: Samba als DC Richtlinien Hergen Harnisch Richtlinien Folie 34 Samba ist für Clients wie ein NT4-Server Richtlinien über NTConfig.Pol im Netlogon-Share auch für 2000, 2003, XP Clients aber nur Richtlinien basierend auf Registry (Einschränkungen ähnlich wie lokal) gegenüber NT4-Standardumfang erweiterbar (MS dokumentiert Erweiterung bei NT4-DCs) neben NT4-Tools (z.b. Group Policy Editor) 1 auch editreg-tool zum Bearbeiten 1 aus NT4 oder 2000-Lizenz, aus Service-Packs (vgl. Samba-Howto)

44 Netz: Samba als DC Profile Hergen Harnisch Richtlinien Folie 35 Samba unterstützt roaming profiles (wie schon NT4) zusätzlich verschiedene Profile je nach Client-OS, Client-Name etc. keine Probleme mit verschiedenen Windows-Versionen keine Probleme mit mehreren gleichzeitigen Anmeldungen aber verschiedene Profile Profile durch Unix-Skripte änderbar, ggf. Links gleiches gilt für Logon-Skripte

45 Netz: Samba als DC Hergen Harnisch Richtlinien Folie 36 Ersatz für Einschränkungen serverseitig dynamische Login-Skripten und Profilen per editreg serverseitig änderbare Richtlinien, serverseitig austauschbare.pol-dateien berücksichtigen NT4-Funktionalitäten in kleineren Umgebungen ausreichend NT4-Domäne leichter verständlich als AD vieles über (Logon-) Skripte lösbar Problem: als User keine System-Berechtigung Samba 4 soll auch AD anbieten können, Erscheinungsdatum ungewiss

46 Template: Hergen Harnisch Richtlinien Folie Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

47 Template: Hergen Harnisch Richtlinien Folie 38 Problem zuviele Einstellungen, mit jedem Service Pack wohl mehr Lösung Templates als.inf-dateien umfassen nicht alle Gruppenrichtlinien aber enthalten Sicherheitsrichtlinien und wie in Domäne zusätzlich gegenüber lokaler Sicherheitsrichtl. Systemdienste Rechte in der Registry Rechte im Dateisystem

48 Template: Hergen Harnisch Richtlinien Folie 38 Problem zuviele Einstellungen, mit jedem Service Pack wohl mehr Lösung Vorgefertigte Templates als.inf-dateien von Microsoft unter %SYSTEMROOT%\Security\Templates Setup security.inf Standard wie bei Installation Compatws.inf Hauptbenutzer nicht nötig Secure{ws dc}.inf sicherer Hisec{ws dc}.inf Sehr sicherer Rootsec.inf Systemlaufwerk-Berechtigungen andere z.b. NSA WinXP_workstation.inf eigene

49 Template: Bearbeitung Hergen Harnisch Richtlinien Folie 39 Die.inf-Dateien sind Textdateien in SDDL-Syntax. Statt direkter Bearbeitung lieber: Security Configuration Manager besteht aus MMC-Snapin Sicherheitsvorlagen (ansehen, bearbeiten) MMC-Snapin Sicherheitskonfiguration & -analyse Kommandozeilen-Tool secedit.exe

50 Hergen Harnisch Richtlinien Folie 40 Template: Bearbeitung Beispiel Sicherheitsvorlage

51 Template: Bearbeitung Beispiel Sicherheitsanalyse Hergen Harnisch Richtlinien Folie 41 legt temporär an: Datenbank.sdb mit Template-Einstellungen dann Protokoll.log mit Ist-/Soll-Vergleich

52 Hergen Harnisch Richtlinien Folie 42 Template: Bearbeitung Import von Richtlinien-Templates in GPO AD: niemals Setup security.inf verwenden lokal: Warnung wegen fehlender.sdb

53 Schlussbemerkungen: Hergen Harnisch Richtlinien Folie Einführung 2. Profile 3. Richtlinien allgemein & lokal Pause 4. Richtlinien im Netz 4.1 mit Active Directory 4.2 mit Samba 5. Templates / Security Configuration Manager 6. Schlussbemerkungen

54 Schlussbemerkungen: Warnung Hergen Harnisch Richtlinien Folie 44 Fehler leicht möglich! Richtlinien gelten evt. auch für den Administrator man kann sich aussperren etc. Standard-Domänen-Richtlinien (vorerst) nicht ändern immer testen Test-Benutzer, Test-OU mit Test-GPO Gruppenrichtlinienergebnis-Tool verwenden (bei Tests an gpupdate denken) im Fehlerfalle zurücksetzen mit: lokal: setup security.inf-template im AD: dcgopfix.exe (Standard-GPOs)

55 Schlussbemerkungen: Alternativen Hergen Harnisch Richtlinien Folie 45 nicht unbedingt empfehlenswert Registrierungs-Editor nur ein Rechner, tieferer Eingriff, Rechte extra setzen Anmeldeskripte, z.b. mit reg import Datei.reg tieferer Eingriff, erst bei Anmeldung, temporär überschreibbar, evt. keine Berechtigung neu, ungetestet Microsoft Shared-Computer-Toolkit als Ergänzung zu Policies (nicht so mächtig, Frontend) für Einsatz ohne Domäne gedacht z.b. Kiosksysteme & Schulungsräume kann zusätzlich Änderungen auf Laufwerken nur temporär zulassen, vorgegebenen Stand wiederherstellen

56 Schlussbemerkungen: Empfehlung Hergen Harnisch Richtlinien Folie 46 Für Vorgaben Profile verwenden: neuen Nutzer anlegen und anpassen lokal: Profil in Default-User kopieren AD: Vorgabe-Nutzer für neue Nutzer kopieren Richtlinien für Kennwörter, Logging & Internet Explorer massiver Einsatz wird unübersichtlich, erhöht Abhängigkeit von AD keine Überregulierung Akzeptanz, Arbeit durch Ausnahmen, Migrationsproblem Richtlinien allein nicht vertrauen, ersetzen nicht Rechte in Registry, Dateisystem Z.B. Softwareeinschränkung wirkungslos, wenn mit cmd gestartet. NTFS-Rechte = Dateisicherheit Richtlinien = Systemsicherheit