1 Serverrollen und Serversicherheit

Transkript

1 Einführung 1 Serverrollen und Serversicherheit Lernziele Serverrollen Die Windows Server 2003 Betriebssysteme Planen einer sicheren Installation Sicherheitsvorlagen und deren Einsatzbereiche GPRESULT GPMC SYSKEY 1.1 Einführung Die Sicherheit der Server ist eines der ersten Dinge, an die bei einer Netzwerkplanung gedacht werden muss. Aber auch im laufenden Betrieb kommt es immer wieder vor, dass die Sicherheitseinstellungen auf Servern verändert werden müssen. Um die Sicherheitsanforderungen an einen Server definieren zu können, muss man über seine Rolle im Netzwerk genau informiert sein. Ebenfalls ein wichtiger Aspekt sind die Anforderungen, die die verschiedenen Versionen von Windows Server 2003 erfüllen. Hier müssen Sie darauf achten, dass die installierte Version alle Anforderungen erfüllen kann. Sicherheitseinstellungen werden in einer Domäne meistens über eine Gruppenrichtlinie zugewiesen. Diese Vorgehensweise erfordert genaue Kenntnis über das Sicherheitskonzept von Windows Server In komplexen Domänen ist es oft nicht einfach zu erkennen, welche Einstellungen der Gruppenrichtlinien genau gelten. Zur Analyse gibt es zwei Tools: GPSESULT GPMC 17

2 Serverrollen und Serversicherheit Damit die Kennwörter von Servern nicht mit Drittherstellertools geknackt werden können, sollten die Kennwörter zusätzlich verschlüsselt werden. Windows Server 2003 stellt hierfür das Tool SYSKEY zur Verfügung. 1.2 Serverrollen In einem Unternehmen gibt es die verschiedensten Anforderungen, denen ein Server gerecht werden muss. Alle diese Anforderungen verlangen unter Umständen sehr individuelle Konfigurationen, was die Sicherheit betrifft. Aus diesem Grund hat Microsoft verschiedene Serverrollen definiert, die von der Seite der Sicherheit verschieden betrachtet werden. Serverrollen können Sie sehr einfach mit dem Assistenten Serververwaltung definieren. Dieser Assistent erscheint automatisch beim ersten Start von Windows Server Sie können ihn aber auch jederzeit über das Verwaltungsmenü aufrufen. Abbildung 1.1: Assistent Serververwaltung Wenn Sie einem Server eine bestimmte Rolle zuweisen möchten, klicken Sie auf Funktionen hinzufügen oder entfernen. 18

3 Serverrollen Abbildung 1.2: Hinweis Es erscheint ein Hinweis, der Sie auf die Voraussetzungen aufmerksam macht, die Sie für die Zuweisung von Serverrollen beachten müssen. Wenn alles stimmt, klicken Sie auf Weiter. Abbildung 1.3: Suchen der Einstellungen Im nächsten Schritt werden die Netzwerkeinstellungen gesucht. 19

4 Serverrollen und Serversicherheit Dieser Schritt dauert eine Weile, je nach Hardwareausstattung des Servers. Im Anschluss wird ein Auswahlfenster gezeigt, in dem Sie die entsprechende Serverrolle definieren können. Abbildung 1.4: Auswahl der Anwendungsserver Hier können Sie eine Serverrolle auswählen, und dem Assistenten folgen, der Ihnen die Einrichtung erleichtert Dateiserver Ein Dateiserver soll für das Speichern von Daten von vielen Benutzern optimiert sein. Der Assistent gibt Ihnen die Möglichkeit, Datenträgerkontingente zu definieren, damit die Benutzer nur eine bestimmte Menge an Daten speichern können. Auch der Indexdienst kann aktiviert werden. Dies erleichtert den Benutzern das Durchsuchen des Servers nach bestimmten Daten, bremst jedoch die Serverleistung Druckserver Druckserver sind die Server, auf denen der Drucker installiert wird. Möglicherweise sind die Druckgeräte auch direkt am Druckserver angeschlossen. Der Assistent gibt Ihnen hier die Möglichkeit zu wählen, ob Sie nur Windows 2000 und Windows XP Clients versorgen möchten, oder auch ältere Windows Clients. 20

5 Serverrollen Anwendungsserver (IIS, ASP.NET) Wenn Sie einen Webserver einrichten möchten, müssen Sie sich entscheiden, für welchen Anwendungszweck er konfiguriert werden soll. Der Assistent gibt Ihnen die Möglichkeit, zu wählen, ob Sie die Frontpage-Erweiterungen oder ASP-NET aktivieren möchten. Webserver haben einen besonderen Sicherheitsbedarf, da sie für andere Personen zugänglich sind. Aus diesem Grund müssen sie besonders gut gesichert werden. In erster Linie bedeutet das, dass Sie nur die Komponenten aktivieren, die Sie auch wirklich benötigen. IIS 6.0 ist hierfür geeignet, da er nachinstalliert werden muss, und dann zunächst statisch ist Mailserver (POP3, SMTP) Mailserver werden benötigt, um s zu empfangen und zu verschicken. Hierfür gibt es viele sehr gute Komplettlösungen, die einfach eingesetzt werden können Terminalserver Terminalserver erlauben, dass viele Benutzer auf einen einzigen Server zugreifen, und die Ressourcen dort benutzen können, als wenn Sie lokal an dieser Maschine sitzen würden. Terminalserver erfordern ein sehr konkretes Sicherheitskonzept, das auf NTFS-Rechten und Sicherheitsvorlagen basiert, denn alle Benutzer des Terminalservers können auf die lokalen Ressourcen zugreifen und sie verändern, da sie lokal angemeldet sind RAS / VPN-Server RAS / VPN-Server bieten den Benutzern die Möglichkeit, sich von einem entfernten Standort in das Firmennetz einzuwählen. Ebenfalls kann hier IAS (Internet Authentication Service) installiert sein, ein Dienst, der die Auslagerung der Authentifizierung erlaubt Domänencontroller Die Domänencontroller haben in einer Windows Server 2003 Umgebung die wahrscheinlich wichtigste Rolle. Domänencontroller müssen besonders abgesichert werden, denn wenn ein Domänencontroller ausfällt, kann das einen kompletten Ausfall der Anmeldemöglichkeit bedeuten. Und selbst wenn noch andere Domänencontroller für die Anmeldung zur Verfügung stehen, muss ein ausgefallener Domänencontroller sofort wiederhergestellt 21

6 Serverrollen und Serversicherheit werden, um die Netzwerkintegrität zu gewährleisten. Auf einem Domänencontroller steht die zentrale Datenbank zur Verfügung, auf die nicht nur beim Anmeldevorgang, sondern auch bei jeder Kontoverifizierung zugegriffen werden muss. Domänencontroller sollten aus Sicherheitsgründen nur an physisch vom übrigen Netzwerk getrennten Orten aufgestellt werden, und der Zugang zu diesen Räumlichkeiten sollte eingeschränkt werden. Auch sollte man für Domänencontroller entsprechende Sicherheitsrichtlinien erlassen, die auch für den Fall eine ausreichende Sicherheit gewährleistet, dass die physische Trennung vom restlichen Netzwerk nicht genügt Infrastrukturserver Infrastrukturserver sind Server, die Netzwerkdienste bereitstellen. Beispiele für solche Dienste sind DHCP WINS DNS Bei Infrastrukturservern sollte besonders auf die Ausfallsicherheit geachtet werden, denn sie sind in den meisten Fällen zwingend nötig, damit der Netzwerkverkehr funktionieren kann. 1.3 Die verschiedenen Windows Server 2003 Betriebssysteme Windows 2003 Server wird in sechs verschiedenen Varianten angeboten. Dies sind: Web Edition Standard Edition Enterprise Edition Enterprise Edition 64 bit Datacenter Edition Datacenter Edition 64 bit Diese Versionen unterscheiden sich erheblich in der nutzbaren Ausstattung. Die Tabelle zeigt die wichtigsten Merkmale: 22

7 Die verschiedenen Windows Server 2003 Betriebssysteme Maximale Anzahl Prozessoren Web Ed. Standard Ed. Enterpr. Ed. Enterpr. Ed 64 bit D.C. Ed D.C. Ed. 64 bit Maximaler RAM 2 GB 4 GB 32 GB 64 GB 64 GB 512 GB Hot Add Memory Ja Ja Shadow Copy Ja Ja Ja Ja Ja Ja Einsetzbar als Domänencontroller Meta Directory Services (MMS) Unterstützung -- Ja Ja Ja Ja Ja Ja Ja Ja Ja RIS -- Ja Ja Ja Ja Ja Terminaldienste -- Ja Ja Ja Ja Ja IAS -- Ja Ja Ja Ja Ja ICS -- Ja Ja Ja Ja Ja IPv6 Ja Ja Ja Ja Ja Ja Cluster Dienst Ja Ja Ja Ja Anzahl der maximalen Knoten im Cluster Tabelle 1.1: Die Funktionen der Versionen von Windows Server 2003 ACHTUNG! Die Angabe des Arbeitsspeichers ist oft irreführend! Der angegebene Arbeitsspeicher ist der Arbeitsspeicher insgesamt, also einschließlich des Betriebssystems. Das bedeutet, dass nicht mehr der volle Arbeitsspeicher für die Anwendungen zur Verfügung stehen kann. 23

8 Serverrollen und Serversicherheit 1.4 Planen einer sicheren Installation Wenn ein Server installiert wird, muss bereits vor der Installation geplant werden, welche Aufgaben er später zu erfüllen hat, und welche Sicherheitseinstellungen für diesen Server relevant sein sollen. 1.5 Sicherheitsvorlagen Microsoft hat ein sehr effektives Konzept für die Sicherheit der Server, nämlich die Sicherheitsvorlagen. Sicherheitsvorlagen sind Sätze von Sicherheitseinstellungen, die genau nach den Sicherheitsvorgaben definiert, und bei Bedarf den entsprechenden Servern zugewiesen werden können. Windows Server 2003 kennt verschiedene Sicherheitsvorlagen, die verschiedene Sicherheitsstufen beinhalten. Bei der Installation werden Grundeinstellungen getroffen, die die Basissicherheit des Betriebssystems definieren. Diese Grundeinstellungen sind in Form einer Vorlage ( *.inf-datei) im Ordner %systemroot%\security\templates abgelegt. Betrachten können Sie alle diese Vorlagen, indem Sie in eine MMC das Snap-In Sicherheitsvorlagen hinzufügen. Für die Installationssicherheit kommen nur zwei Vorlagen in Frage: SETUP SECURITY.INF Abbildung 1.5: Setup Security 24

9 Sicherheitsvorlagen Diese Sicherheitsvorlage wird automatisch bei der Installation zugewiesen. Sie enthält die Basissicherheitseinstellungen, die unter anderem die Dateisicherheit im Stammlaufwerk der Systempartition betreffen. ACHTUNG! Diese Sicherheitsvorlage beinhaltet besonders viele Einstellungen. Aus diesem Grund sollte sie nicht mit einer Gruppenrichtlinie zugewiesen werden, da die Verarbeitungszeit beim Computerstart sehr lange dauern würde. DC SECURITY.INF Diese Vorlage wird angewendet, wenn Sie aus einem Server einen Domänencontroller machen, indem Sie DCPROMO ausführen. Hier werden zusätzlich noch Sicherheitseinstellungen für die Netzwerkdienste und die Registry festgelegt. Abbildung 1.6: Domänencontroller Security Natürlich haben Sie hier noch viele weitere Sicherheitsvorlagen zur Verfügung. Diese weiteren Sicherheitsvorlagen haben starke Auswirkung auf die Verwendungsmöglichkeiten der Server, aus diesem Grund sollten Sie die Unterschiede der verschiedenen Vorlagen sehr genau kennen. Compatws Dies ist die Sicherheitsvorlage, die auf einer Workstation verwendet werden sollte, die 25

10 Serverrollen und Serversicherheit kompatibel für die meisten Anwendungen sein soll. Die Sicherheitseinstellungen sorgen dafür, dass die Anwendungen funktionieren. Diese Vorlage modifiziert auch die Benutzerrechte. Compatws sollte nicht auf Domänencontroller angewendet werden, da die Sicherheit in diesem Fall zu gering wäre. Die wichtigsten Einstellungen auf einen Blick: Die Gruppe der Benutzer kann alle Anwendungen mit dem Windows Logo- Programm ausführen Die Gruppe der Hauptbenutzer ist leer ACHTUNG! Manche Anwendungen, vor allem ältere, verlangen von den Benutzern Rechte, die nicht in der Gruppe Benutzer vorhanden sind. In diesem Fall kann entweder diese Sicherheitsvorlage nicht verwendet werden, oder sie muss manuell angepasst werden! Securews, Securedc In den sicheren Vorlagen werden Sicherheitseinstellungen definiert, die mit möglichst allen Anwendungen kompatibel sind. Hier werden Kennwörter, Überwachung und Sperrung definiert. Die sicheren Vorlagen schränken die Verwendung von LAN Manager- und NTLM- Authentifizierungsprotokollen ein. Clients werden so konfiguriert, dass sie nur NTLMv2- Antworten senden, oder Server so konfigurieren, dass sie LAN Manager-Antworten ablehnen. Securews.inf kann auf einen Mitgliedscomputer angewendet werden. Dafür muss auf allen Domänencontrollern, die Konten der Benutzer enthalten, die sich am Client anmelden, Windows NT 4.0 Service Pack 4 oder höher installiert sein. Die wichtigsten Einstellungen auf einen Blick: Die Einstellungen der Compatws: Die Gruppe der Benutzer kann alle Anwendungen mit dem Windows Logo- Programm ausführen Die Gruppe der Hauptbenutzer ist leer Zusätzlich gibt es noch folgende Einstellungen: Sichere Kennwort-, Sperrungs- und Überwachungseinstellungen Keine LAN Manager Authentifizierung mehr, nur noch NTLMv2 (W95 und W98 Clients erfüllen diese Anforderung erst, wenn der Active Directory Client installiert ist) 26

11 Sicherheitsvorlagen Anonyme Benutzer können folgende Dinge nicht mehr ausführen: o Auflisten von Freigaben o Auflisten von Kontennamen o SID-zu-Name und Name-zu-SID Auflösungen Aktivierung von SMB-Paketsignatur serverseitig, wenn Client dies unterstützt Diese Einstellungen haben folgende Auswirkungen auf die Kommunikation zwischen den einzelnen Rechnern: Wenn secure*.inf auf einen Client angewendet wird: Kann der Client sich nicht authentifizieren, wenn von der Serverseite nur LAN- Manager unterstützt wird Wenn der Client sich mit einem lokalen Konto auf einem NT 4.0 oder Windows 2000 Rechner verbindet, darf die Zeitdifferenz nicht größer als 30 Minuten sein Wenn der Client sich mit einem lokalen Konto auf einem Windows XP oder Windows Server 2003 Rechner verbindet, darf die Zeitdifferenz nicht größer als 20 Stunden sein Wenn secure*.inf auf einen Memberserver angewendet wird: Wenn der Server mit einem Domänencontroller kommunizieren will, muss der Domänencontroller Windows NT 4.0 ab SP 4 haben Wenn der Server sich mit einem lokalen Konto auf einem NT 4.0 Server verbindet, darf die Zeitdifferenz nicht größer als 30 Minuten sein Wenn secure*.inf auf einen Domänencontroller angewendet wird: Es gibt keine Authentifizierung mehr mit LAN-Manger Hisecws, Hisecdc In den sehr sicheren Vorlagen sind die Einschränkungen auf den Ebenen Verschlüsselung und Signatur verschärft, die für die Authentifizierung und für die über sichere Kanäle und zwischen SMB-Clients und -Servern übertragenen Daten erforderlich sind. Während z. B. die sicheren Vorlagen zur Folge haben, dass Server LAN Manager- Antworten verweigern, führen die sehr sicheren Vorlagen dazu, dass Server sowohl LAN Manager- als auch NTLM-Antworten verweigern. Während die sichere Vorlage die serverseitige SMB-Paketsignatur ermöglicht, erfordert die sehr sichere Vorlage diese. Darüber hinaus erfordern die sehr sicheren Vorlagen starke Verschlüsselung und Signaturen für die sicheren Kanaldaten, die den Domäne-zu-Mitglied- und Domäne-zu- 27

12 Serverrollen und Serversicherheit Domäne-Vertrauensstellungen zugrunde liegen. Die wichtigsten Einstellungen auf einen Blick: Die Einstellungen der Compatws: Die Einstellungen der secure*. Zusätzlich gibt es noch folgende Einstellungen: Keine NTLMv2 Antworten mehr SMB verpflichtend Diese Einstellungen haben folgende Auswirkungen auf die Kommunikation zwischen den einzelnen Rechnern: Wenn hices*.inf auf einen Client angewendet wird: Kann der Client sich nicht authentifizieren, wenn von der Serverseite nur LAN- Manager unterstützt wird Kann der Client sich nicht authentifizieren, wenn von der Serverseite NT 4.0 vor SP 4 benutzt wird Wenn der Client sich mit einem lokalen Konto auf einem NT 4.0 oder Windows 2000 Rechner verbindet, darf die Zeitdifferenz nicht größer als 30 Minuten sein Wenn der Client sich mit einem lokalen Konto auf einem Windows XP oder Windows Server 2003 Rechner verbindet, darf die Zeitdifferenz nicht größer als 20 Stunden sein Wenn hisec*.inf auf einen Server angewendet wird: Wenn der Server mit einem Domänencontroller kommunizieren will, muss der Domänencontroller Windows NT 4.0 ab SP 4 haben Wenn der Server sich mit einem lokalen Konto auf einem NT 4.0 verbindet, darf die Zeitdifferenz nicht größer als 30 Minuten sein Clients müssen SMB benutzen Wenn hisec*.inf auf einen Domänencontroller angewendet wird: Alle Domänencontroller müssen Windows 2000 oder Windows Server 2003 sein Keine LAN-Manger Authentifizierung mehr Die Clients müssen für NTLMv2 Antworten konfiguriert sein 28