DER VÖLK. für Microsoft Examen Implementieren und Verwalten der Sicherheit in einem Microsoft Windows Server 2003-Netzwerk

Transkript

1 tmögl ich ke i r Kosten lose es net i l n n te tu Michael Völk Arne Lorenz O DER VÖLK ing learn e/e net.d n riere egist r h issen ie sic en S Ihr W Lass sten Sie n! te wolle ie und S ft so o.mvs www für Microsoft Examen Implementieren und Verwalten der Sicherheit in einem Microsoft Windows Server 2003-Netzwerk M. Völk Systems

2 IMPRESSUM Impressum Bibliografische Information der Deutschen Bibliothek - CIP Einheitsaufnahme Die Deutsche Bibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN (10stellig) ISBN (13stellig) Version Auflage MVS Press Michael Völk Systems, Puchheim Text: Michael Völk, Arne Lorenz Grafiken: Kerstin Völk, Arne Lorenz Fachlektorat: Andreas Hengge, München Sprachlektorat: Dr. Bernd Wollner, Küps, dr.bernd.wollner@mvspress.de Geschützte Warennamen (Warenzeichen) werden nicht immer kenntlich gemacht. Aus dem Fehlen eines solchen Hinweises kann nicht geschlossen werden, dass es sich um einen freien Warennamen handelt. Alle Rechte, insbesondere das Recht zur Vervielfältigung und Verbreitung sowie der Übersetzung, vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (durch Fotokopie, Mikrofilm oder ein anderes Verfahren) ohne schriftliche Genehmigung des Verlages reproduziert werden. Der Verlag übernimmt keine Gewähr für die Funktion einzelner beschriebener Vorgänge oder von Teilen derselben. Insbesondere übernimmt er keinerlei Haftung für eventuelle, aus dem Gebrauch resultierende Folgeschäden.

3 INHALTSVERZEICHNIS Inhaltsverzeichnis Impressum Inhaltsverzeichnis Vorwort Liebe Leserin, lieber Leser, Wie ist dieses Buch aufgebaut? Wie sollten Sie dieses Buch nutzen? Danksagung Kapitel Prüfungsfragen Examen Kapitel Lösungen und Begründungen für Examen

4 VORWORT Vorwort Liebe Leserin, lieber Leser, willkommen beim E-Book von MVSPress Der Völk für Windows Server 2003 Prüfungsvorbereitung für das Examen Aufgrund der Tatsache, dass wir das Buch als E-Book anbieten, können wir deutlich schneller auf Veränderungen und Modifizierungen reagieren. Sie als Käufer erhalten einen zeitlich unbegrenzten Zugriff auf die aktuelle Version. Einmal kaufen und immer wieder die neueste Version im Zugriff haben! Sobald eine neue Version bereitsteht, werden Sie hierüber per informiert. In dieses Buch haben wir deshalb die Erfahrungen aller im Rahmen dieser Prüfungsvorbereitungen Beteiligten einfließen lassen. Damit erreichen wir einen direkten Bezug zur Prüfung, der sich allein schon in der Fragestellung widerspiegelt. Zudem haben wir uns um eine größtmögliche Aktualität bemüht. Sie finden daher in diesem Buch Fragen zum Examen, die Sie vermutlich in ähnlicher Form erst wieder in der Prüfung zu Gesicht bekommen. Der Völk für Windows Server 2003 kann die Praxis und Erfahrung rund um Windows Server 2003 nicht ersetzen. Auch wenn in der Vergangenheit manche Leser unsere Bücher auswendig gelernt und dadurch die einzelnen Examen bestanden haben, so ist dies nicht der richtige Weg. Setzen Sie sich mit der Thematik ausführlich auseinander und bringen Sie dieses erworbene Wissen in die Lektüre dieses Buchs mit ein. Dieses Buch ist ausschließlich zur Prüfungsvorbereitung gedacht und ersetzt kein Fachbuch, keine Schulung oder gar die Erfahrung mit dem Produkt

5 VORWORT Wie ist dieses Buch aufgebaut? Die Kapitel 1 und 2 dienen der individuellen Vorbereitung auf die Prüfung. Das Kapitel 1 dient der Vorbereitung auf das Examen und enthält nur die Fragen und Lösungsvorschläge. Im Kapitel 2 finden Sie die gleichen Fragen und Lösungsvorschläge wieder. Neben der bloßen Angabe der richtigen Lösung/en erhalten Sie darüber hinaus eine Begründung, weshalb diese angegebene/n Lösung/en die richtige/re/n ist/sind, sowie Verweise auf die Original-Microsoft-Trainings ( grüne Bücher ) und auf die Hilfe. Diese Hilfe wird oft unterschätzt; sie stellt jedoch eine Informationsquelle dar, die nicht nur kostenlos ist, sondern auch wirklich als Nachschlagewerk dienen kann. Wir geben im Kapitel 2 immer nur MS-Training als Verweis an. Dieser Verweis bezieht sich auf das folgende Buch: Herausgeber: Microsoft Press Deutschland Titel: Einführen und Verwalten der Sicherheit im Windows Server 2003 Netzwerk Original Microsoft Training 1. Auflage ISBN: Wir geben hier jeweils (nach Verfügbarkeit) die Verweise in dem entsprechenden MS Trainingshandbuch an. Wir stellen Ihnen auf unserer Homepage zusätzliche Informationen bereit. Neben einer Übersicht der unterschiedlichen Fragentypen finden Sie dort Informationen rund um die Microsoft Zertifizierungen. Dort können Sie auch online Ihr Wissen testen und, fast wie bei der richtigen Prüfung, Ihr Wissen unter Beweis stellen

6 VORWORT Wie sollten Sie dieses Buch nutzen? Arbeiten Sie bitte zuerst das Kapitel 1 durch und nutzen Sie alle Ihnen zugänglichen Informationsmedien, um die Fragen zu beantworten. Versuchen Sie bei jeder Frage, sich selbst zu erklären, warum z. B. der Lösungsvorschlag C besser ist als der Lösungsvorschlag A. Es heißt nicht umsonst: Wer lehrt, der lernt! Uns bleibt zu guter Letzt nur, Ihnen viel Erfolg und auch ein wenig Spaß beim erfolgreichen Durcharbeiten dieses Buches und viel Glück beim Examen »Einführen und Verwalten der Sicherheit im Windows Server 2003 Netzwerk«zu wünschen. Weiteren Support (per Mail oder auch per Telefon) zu diesem Buch stellen wir nicht bereit, da in der Vergangenheit diese Möglichkeit von manchen Lesern zum persönlichen Training missbraucht wurde. Lassen Sie andere von Ihren Erfahrungen mit profitieren und mailen Sie Anregungen an mcsetraining@mvspress.de. Vielen Dank schon jetzt für Ihren Beitrag

7 VORWORT Danksagung Wir möchten an dieser Stelle all denjenigen ein herzliches Dankeschön aussprechen, die an der Entwicklung dieses Buches mitgewirkt haben, insbesondere unseren Mitarbeitern, Freunden und Kollegen und natürlich auch unseren Teilnehmern. Ohne ihr Engagement und auch die konstruktive Kritik wäre dieses Buch nicht entstanden. Auch unsere Familien mussten Ihren Tribut für das Entstehen dieses Buches zollen, ein Dankeschön an unsere Ehefrauen und Kinder, die ihre Männer und Väter oft entbehren mussten. Zu guter Letzt möchten wir noch einen Hinweis auf das Cover geben. Wir haben als Hintergrund Detailaufnahmen von versteinertem Holz gewählt, weil ja im Englischen immer wieder vom Forest(s) oder Tree(s) gesprochen wird. Puchheim, im Dezember 2007 Michael Völk und Arne Lorenz - 6 -

8 PRÜFUNGSFRAGEN EXAMEN Kapitel 1 Prüfungsfragen Examen

9 PRÜFUNGSFRAGEN EXAMEN Frage 1 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Domäne mit dem Namen MVSNET.DE. Die Domäne enthält Windows Server 2003 Computer und Windows XP Professional Clientcomputer. Alle Computer des Unternehmens sind Mitglied der Domäne. Die Domänenbenutzerkonten der Mitarbeiter sind als Mitglied der lokalen Administratorengruppe auf den Clientcomputern konfiguriert. Sie haben gelegentlich Schwierigkeiten bei der Verwaltung der Clientcomputer, weil einige Mitarbeiter die globale Gruppe Domänen-Admins aus der lokalen Administratorengruppe Ihrer Clientcomputer entfernen. Sie müssen verhindern, dass die Mitarbeiter die Gruppe Domänen-Admins aus der lokalen Administratorengruppe Ihrer Clientcomputer entfernen können. Wie gehen Sie vor? A Weisen Sie den Clientcomputern eine Sicherheitsvorlage zu und konfigurieren die Gruppe Domänen-Admins mit Hilfe der Richtlinie Eingeschränkte Gruppen als Mitglied der lokalen Administratorengruppe auf den Clientcomputern. B Weisen Sie den Domänencontrollern eine Sicherheitsvorlage zu und konfigurieren die globale Gruppe Domänen-Admins mit Hilfe der Richtlinie Eingeschränkte Gruppen als Mitglied der domänenlokalen Gruppe Administratoren. C Sie bearbeiten die Sicherheitseinstellungen des Active Directory Objektes Domänen-Admins und erteilen Sie der globalen Gruppe Domänen-Admins das Recht Zulassen Vollzugriff. D Sie bearbeiten die Sicherheitseinstellungen des Active Directory Objektes Domänen-Admins und erteilen Sie der globalen Gruppe Domänen-Admins das Recht Verweigern Vollzugriff

10 PRÜFUNGSFRAGEN EXAMEN Frage 2 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Das Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Die Domänenfunktionsebene ist Windows 2003 Server. Ihre Firma kauft eine andere Firma mit der Bezeichnung IT Consulting Merk auf. Das Netzwerk der Firma besteht aus einem Verzeichnisdienst mit der Bezeichnung MERK.NET und einer untergeordneten Domäne mit der Bezeichnung MITTENWALD.MERK.NET. Die Domänenfunktionsebene des Verzeichnisdienstes ist Windows Die Domänenfunktionsebene der untergeordneten Domäne ist Windows 2000 pur. Eine Geschäftsentscheidung bestimmt, dass die Domäne MITTENWALD.MERK.NET aufgelöst werden soll. Sie müssen alle Benutzer von MITTENWALD.MERK.NET nach MVSNET.DE mit dem Verzeichnisdienst Migration Tool verschieben. Sie sollen die Aufgabe so durchführen, dass keine Anmelderechte und sonstige Berechtigungen der Mitarbeiter verloren gehen. Sie müssen sicherstellen, dass alle Mitarbeiter aus der Domäne MITTENWALD.MERK.NET sich in der Domäne MVSNET.DE mit Ihrem Benutzernamen und Passwort anmelden können. Wie gehen Sie vor? A Sie erstellen eine beidseitige Windows 2003 Vertrauensstellung zwischen MVSNET.DE und der Domäne MERK.NET. B Sie erstellen eine einseitige Windows 2003 Vertrauensstellung, in der MVSNET.DE der Domäne MERK.NET vertraut. C Sie erstellen eine vorübergehende beidseitige Vertrauensstellung zwischen MVSNET.DE und der Domäne MITTENWALD.MERK.NET. D Sie erstellen eine vorübergehende beidseitige Vertrauensstellung zwischen MVSNET.DE und der Domäne MERK.NET

11 PRÜFUNGSFRAGEN EXAMEN Frage 3 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Firmennetzwerk besteht aus zwei Active Directory Domänen. Auf allen Servern ist das Betriebssystem Windows Server 2003 installiert. Auf den Clientcomputern ist entweder Windows XP Professional oder Windows 2000 Professional installiert. Alle Computer des Netzwerkes sind als Mitglied einer Domäne konfiguriert. Während einer Sicherheitsprüfung stellen Sie fest, dass Sie sowohl LAN Manager als auch NTLM Passwort Hashwerte von den Domänencontrollern auslesen können. Mit Hilfe einer Crack Software und den extrahierten Hashwerten, ist es Ihnen in kurzer Zeit möglich zahlreiche Benutzerkennwörter zu erraten. Das Sicherheitsrisiko dieser Schwachstelle wird für das Unternehmen als unakzeptabel eingestuft. Sie müssen den Zeitaufwand für das Erraten der Kennwörter erhöhen. Sie erhöhen die minimale Kennwortlänge auf 9 Zeichen und fordern komplexe Kennwörter. Anschließend konfigurieren Sie alle Benutzerkonten so, dass die Benutzer Ihr Kennwort bei der nächsten Anmeldung ändern müssen. Welchen Schritt sollten Sie zusätzlich durchführen? A Sie konfigurieren eine neue Sicherheitsvorlage und aktivieren die Richtlinie Domänenmitglied: Starker Sitzungsschlüssel erforderlich (Windows 2000 oder höher). Weisen Sie die Einstellungen den Domänencontrollern zu. B Sie konfigurieren eine neue Sicherheitsvorlage und konfigurieren die Richtlinie Netzwerksicherheit: LAN Manager-Authentifizierungsebene mit dem Wert Nur NTLMv2-Antworten senden. Weisen Sie die Einstellungen den Domänencontrollern zu. C Sie konfigurieren eine neue Sicherheitsvorlage und aktivieren die Richtlinie Netzwerksicherheit: Keine LAN Manager-Hashwerte für nächste Kennwortänderung speichern. Weisen Sie die Einstellungen den Domänencontrollern zu. D Sie konfigurieren eine neue Sicherheitsvorlage und aktivieren die Richtlinie Systemkryptografie: FIPSkonformen Algorithmus für Verschlüsselung, Hashing und Signatur verwenden. Weisen Sie die Einstellungen den Domänencontrollern zu

12 PRÜFUNGSFRAGEN EXAMEN Frage 4 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Das Netzwerk besteht aus einem einzelnen Verzeichnisdienst mit dem Namen MVSPRESS.DE. Das Netzwerk enthält zwei Windows Server 2003 Domänencontroller. Alle Server verwenden Windows Server 2003 als Betriebssystem, und alle Clientcomputer arbeiten mit Windows XP Professional. Sie installieren ein Funknetzwerk und stellen fest, dass keine Sicherheit für den Bereich der Geschäftsleitung vorhanden ist. Sie müssen die Sicherheit des Funknetzwerkes für die Geschäftsleitung in Ihren Bereichen erhöhen. Das Planungsteam hat folgende Richtlinien erlassen: Die leitenden Angestellten benötigen im gesamten Gebäude und in ihren Büros Zugriff auf das Netzwerk über eine drahtlose Verbindung. Die Mitarbeiter sollen Access Points verwenden, die nur in ihrem Bürobereich liegen, andere dürfen sie nicht verwenden. Sie müssen einen Plan erstellen, der den Zugriff der Geschäftsleitung verbessert. Sie müssen das mit einem Minimum an Aufwand durchführen. Wie gehen Sie vor? A Sie verwenden das Verbindungs-Manager-Verwaltungskit (CMAK), um ein neues Profil zu erstellen. Sie verwenden das Profil nur für die Geschäftsleitung. B Sie verwenden den Befehl nicconfig der Windows- Verwaltungsinstrumentation, um den Alias der Netzwerkkarte zu erfragen. C Sie installieren einen neuen Access Point für die Geschäftsleitung mit einer neuen Dienstsatzidentifizierung (Service Set Identifier, SSID). Sie verwenden eine Richtlinie für drahtlose Netzwerke, um festzulegen, wer diese Dienstsatzidentifizierung benützen darf. D Sie installieren einen neuen Access Point für die Geschäftsleitung mit einer neuen Dienstsatzidentifizierung (Service Set Identifier, SSID). Sie verwenden eine Richtlinie für drahtlose Netzwerke, um die Computer-mit-Computer-Netzwerkverbindung zu kontrollieren

13 PRÜFUNGSFRAGEN EXAMEN Frage 5 Sie sind der verantwortliche Administrator für die Netzwerksicherheit der Firma MVS M. Völk Systems. Das Firmennetzwerk besteht aus einer einzelnen Active Directory Domäne mit der Bezeichnung MVSNET.DE. Auf allen Servern ist das Betriebssystem Windows Server 2003 installiert. Auf den Clientcomputern wird Windows XP Professional ausgeführt. Sie verwenden Gruppenrichtlinienobjekte (GPOs) für die Verwaltung der Clientcomputer. Die Firma MVS M. Völk Systems betreibt ein drahtloses Netzwerk (WLAN), das von ca. 50 Mitarbeitern mit tragbaren Computern genutzt wird. Ihr Vorgesetzter berichtet Ihnen, dass innerhalb der nächsten 6 Monate 500 weitere Mitarbeiter mit tragbaren Computern ausgestattet werden. Diese Mitarbeiter sollen ebenfalls über eine drahtlose Verbindung an das Firmennetzwerk angeschlossen werden. Um Bedenken bezüglich der Sicherheit einer drahtlosen Lösung auszuräumen, erfordert das Management, dass die Benutzer der tragbaren Computer eine Smartcard für die Anmeldung verwenden. Sie müssen die notwendige Infrastruktur planen, um den Anforderungen des Managements gerecht zu werden. Sie wollen Ihre Ziele erreichen, ohne die Anwendung der Gruppenrichtlinien zu beeinträchtigen. Welche drei Schritte werden Sie durchführen? (Jede korrekte Antwort stellt einen Teil der Lösung dar. Wählen Sie drei Antworten.) A Sie verteilen die WLAN Hardware mit der Unterstützung für die IEEE 802.1x Authentifizierung. B Sie verteilen die WLAN Hardware mit der Unterstützung für 128-bit Wired Equivalent Privacy (WEP) Schlüssel. C Sie implementieren eine Internet Authentication Service (IAS) Infrastruktur. D Sie implementieren eine Public Key Infrastruktur (PKI). E Sie implementieren eine Routing und Remote Access (RRAS) Infrastruktur. F Sie konfigurieren alle tragbaren Computer für die Verwendung von IPSec

14 PRÜFUNGSFRAGEN EXAMEN Frage 6 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Das Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Die Domänenfunktionsebene ist Windows 2003 Server. Sie fügen acht neue Server für eine neue Software hinzu. Sie erstellen eine Organisationseinheit SOFTWARE, die die neuen Server sowie Ressourcen der Software enthält. Benutzer und Gruppen in der Domäne benötigen unterschiedliche Berechtigungen für die neuen Softwareserver. Die Mitglieder einer globalen Gruppe ServerZugriffsTeam müssen in der Lage sein, Zugriffsrechte erteilen zu können. Ansonsten müssen die Mitglieder dieser Gruppe keine anderen Tätigkeiten auf den Servern ausführen. Sie müssen den Mitgliedern der Gruppe ServerZugriffsTeam die Möglichkeit geben, Berechtigungen für diese Server zu vergeben und sicherstellen dass nur die benötigten Rechte zugewiesen werden. Wie gehen Sie vor? A Sie erstellen ein neues Gruppenrichtlinienobjekt für beschränkte Gruppen. Sie verändern die Gruppenrichtlinie so, dass die Gruppe ServerZugriffsTeam Mitglied der Hauptbenutzer auf jedem neuen Server wird. Sie verknüpfen diese Gruppenrichtlinie mit der Organisationseinheit SOFTWARE. B Sie gewähren der Gruppe ServerZugriffsTeam das Recht zum Ändern von Computerobjekten in der Organisationseinheit SOFTWARE. C Sie verschieben die Gruppe ServerZugriffsTeam in die Organisationseinheit SOFTWARE. D Sie erstellen eine neue lokale Domänengruppe und gewähren dieser den Zugriff auf die Softwareserver. Sie gewähren der Gruppe ServerZugriffsTeam das Recht zum Ändern der Mitgliedschaft für diese lokale Domänengruppe

15 PRÜFUNGSFRAGEN EXAMEN Frage 7 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Domäne mit der Bezeichnung MVSNET.DE. Auf allen Servern des Netzwerkes ist das Betriebssystem Windows Server 2003 installiert. Die Firma MVS M.Völk Systems hostet eine abgesicherte Webseite für einen Firmenkunden auf einem Computer mit dem Namen»MVSC001«. Kunden, die auf diese Webseite zugreifen wollen, erhalten ein Zertifikat von einer Zertifizierungsstelle des Unternehmens. Die Zertifizierungsstelle ist für das Speichern von Benutzerzertifikaten im Active Directory konfiguriert. Die Firmensicherheitsrichtlinien enthalten folgende Anforderungen für»mvsc001«: Nur Benutzer mit einem gültigen Zertifikat, das von der Zertifizierungsstelle MVSNET.DE ausgestellt wurde, dürfen Zugriff auf die Webseite erhalten. Die Wartung und Pflege für den Benutzerzugriff auf die Webseite darf nur einen minimalen administrativen Aufwand in Anspruch nehmen. Sicherheitsadministratoren müssen in der Lage sein den Zugriff auf Benutzerebene zu überwachen. Sie müssen»mvsc001«konfigurieren, um den Kunden den Zugriff auf die Webseite zu ermöglichen. Wie gehen Sie vor? A Sie konfigurieren»mvsc001«, so dass für alle Verbindungen die SSL Verschlüsselung erfordert wird. B Sie konfigurieren»mvsc001«für die Verwendung der 1:1 Zuordnung von Clientzertifikaten. C Sie konfigurieren»mvsc001«für die Verwendung der n:1 Zuordnung von Clientzertifikaten. D Sie konfigurieren»mvsc001«für die Verwendung der Windows Verzeichnisdienstzuordnung von Clientzertifikaten

16 PRÜFUNGSFRAGEN EXAMEN Frage 8 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Ihr Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Alle Computer in Ihrem Netzwerk sind Mitglieder der Domäne. Sie planen eine Infrastruktur für öffentliche Schlüssel für Ihre Firma. Sie wollen sicherstellen, dass Benutzer, die sich bei der Domäne anmelden, ein Zertifikat erhalten, das verwendet wird, um Webseiten zu beglaubigen. Sie erstellen eine neue Zertifikatsvorlage mit der Bezeichnung Benutzer- Authentifizierung. Sie erstellen eine Gruppenrichtlinie und wenden sie auf alle Mitarbeiter an. Die Benutzer-Authentifizierung soll immer dann, wenn die Gruppenrichtlinie zur Anwendung kommt, ausgeführt werden. Sie installieren eine Organisationszertifizierungsstelle auf einem Windows 2003 Server. Mitarbeiter berichten, dass sie beim Anmelden keinen Zugriff auf Webseiten, die ein Zertifikat benötigen, bekommen. Sie müssen sicherstellen, dass die Mitarbeiter Zugriff auf diese Webseiten bekommen. Welche zwei Optionen wählen Sie? (Jede richtige Antwort ist ein Teil der Lösung!) A In der Benutzerauthentifizierungsvorlage wählen Sie das betreffende Kommando zur Zertifikatseinholung aus. B Sie fügen die Gruppe Domänenbenutzer mit dem Recht Registrieren für die Zertifikatsvorlage Benutzer- Authentifizierung hinzu. C Konfigurieren Sie die Organisationszertifizierungsstelle, damit die Mitarbeiter die Zertifikatsvorlagen verwenden können. D Sie fügen die Gruppe Domänenbenutzer mit dem Recht Zertifikate ausstellen und verwalten für die Zertifizierungsstelle hinzu

17 PRÜFUNGSFRAGEN EXAMEN Frage 9 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Domäne mit der Bezeichnung MVSNET.DE. Die Domäne enthält Windows Server 2003 Computer und Windows XP Professional Clientcomputer. Ein Windows Server 2003 Computer mit dem Namen»MVSSV001«ist als Mitglied einer Arbeitsgruppe konfiguriert.»mvssv001«stellt eine Anwendung für das Wissensmanagement bereit die über das Netzwerk verwendet wird. Die Firma MVS M. Völk Systems beschäftigt häufig Mitarbeiter über einen Werkvertrag. Diese Mitarbeiter benötigen Zugriff auf die Wissensmanagementlösung. Sie wollen jedoch vermeiden, dass diese Mitarbeiter neue Benutzerkonten auf»mvssv001«erstellen können. Sie müssen den Vertragsmitarbeitern geeignete Berechtigungen für den Zugriff auf die Wissensmanagementlösung auf»mvssv001«erteilen. Wie gehen Sie vor? A Sie erstellen die Benutzerkonten in der Active Directory Domäne und nehmen die Konten in die Gruppe Authentifzierte Benutzer auf. Erteilen Sie der Gruppe die geeigneten Berechtigungen auf»mvssv001«. B Sie erstellen die Benutzerkonten in der Active Directory Domäne und nehmen die Konten in die Gruppe Domänen-Benutzer auf. Erteilen Sie der Gruppe die geeigneten Berechtigungen auf»mvssv001«. C Sie erstellen die Benutzerkonten in der lokalen Kontendatenbank auf»mvssv001«und nehmen die Konten in die Gruppe Benutzer auf MVSSV001«auf. Erteilen Sie der Gruppe die geeigneten Berechtigungen auf»mvssv001«. D Sie erstellen die Benutzerkonten in der lokalen Kontendatenbank auf»mvssv001«und nehmen die Konten in die Gruppe Hauptbenutzer auf»mvssv001«auf. Erteilen Sie der Gruppe die geeigneten Berechtigungen auf»mvssv001«

18 PRÜFUNGSFRAGEN EXAMEN Frage 10 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Die Firma verwendet einen Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Alle Server verwenden das Betriebssystem Windows Server Alle Clientcomputer verwenden Windows XP Professional. Alle Computerkonten für die Clientcomputer sind in einer Organisationseinheit COMPUTERKONTEN, alle Benutzerkonten in einer Organisationseinheit BENUTZERKONTEN. Sie verwenden den Dienst Software Update Services (SUS) in ihrem Netzwerk. Die SUS-Struktur ist wie folgt aufgebaut: Updates, die verwendet werden, dürfen keine Konflikte auf den Clientcomputern verursachen. Sie müssen die Clientcomputer so konfigurieren, dass sie die genehmigten Aktualisierungen vom richtigen Server herunterladen. Welche zwei Maßnahmen sollten Sie ergreifen? (Jede richtige Antwort ist Teil der Lösung.) A Erstellen Sie ein Gruppenrichtlinienobjekt und setzen den Standarddownloadpfad auf die interne Schnittstelle der Firewall. B Erstellen Sie ein Gruppenrichtlinienobjekt und setzen den Standarddownloadpfad auf den zweiten SUS-Server. C Erstellen Sie ein Gruppenrichtlinienobjekt und setzen den Updatedownloadpfad auf den zweiten SUS-Server

19 PRÜFUNGSFRAGEN EXAMEN D Erstellen Sie ein Gruppenrichtlinienobjekt und setzen den Updatedownloadpfad auf den Microsoft Update Server. E Verknüpfen Sie die Gruppenrichtlinie mit der Organisationseinheit BENUTZERKONTEN. F Verknüpfen Sie die Gruppenrichtlinie mit der Organisationseinheit COMPUTERKONTEN

20 PRÜFUNGSFRAGEN EXAMEN Frage 11 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Firmennetzwerk besteht aus einer einzelnen Active Directory Domäne mit dem Namen MVSNET.DE. Auf allen Servern ist das Betriebssystem Windows Server 2003 installiert. Auf allen Clientcomputern ist das Betriebssystem Windows XP Professional installiert. Die Domäne enthält 8 Windows Server 2003 Computer auf denen vertrauliche Daten gespeichert werden. Diese Computer sind in einem gesonderten Raum untergebracht, zu dem nur Mitarbeiter der IT-Abteilung des Unternehmens physikalischen Zugang erhalten. Sie müssen verhindern, dass sich die Mitglieder einer Sicherheitsgruppe mit dem Namen glbauftragnehmer mit den Dateiservern verbinden können. Alle anderen Mitarbeiter des Unternehmens sollen Verbindungen zu den Dateiservern herstellen können. Wie gehen Sie vor? A Sie erstellen eine neue Sicherheitsvorlage und erteilen der Gruppe Domänen-Benutzer das Benutzerrecht Auf diesen Computer vom Netzwerk aus zugreifen. Weisen Sie den Dateiservern die neue Sicherheitsvorlage zu. B Sie erstellen eine neue Sicherheitsvorlage und erteilen der Gruppe glbauftragnehmer das Benutzerrecht Zugriff vom Netzwerk auf diesen Computer verweigern. Weisen Sie den Dateiservern die neue Sicherheitsvorlage zu. C Sie erstellen eine neue Sicherheitsvorlage und erteilen der Gruppe Domänen-Benutzer das Benutzerrecht Lokal anmelden zulassen. Weisen Sie den Dateiservern die neue Sicherheitsvorlage zu. D Sie erstellen eine neue Sicherheitsvorlage und erteilen der Gruppe glbauftragnehmer das Benutzerrecht Lokal anmelden verweigern. Weisen Sie den Dateiservern die neue Sicherheitsvorlage zu

21 PRÜFUNGSFRAGEN EXAMEN Frage 12 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Alle Server verwenden Windows 2003 Server als Betriebssystem. Die Clientcomputer verwenden Windows XP Professional. Alle Computer verbinden sich über einen drahtlosen Zugriffspunkt mit dem Netzwerk. Sie installieren eine Zertifizierungsstelle und benötigen ein Zertifikat basierend auf dem IEEE 802.1x Standard für die Anmeldung an einem drahtlosen Zugriffspunkt. Sie müssen den Computern erlauben über das drahtlose Netzwerk miteinander zu kommunizieren. Welche zwei Möglichkeiten führen Sie zum Ziel? (Jede Antwort steht für sich selbst.) A Sie verwenden einen 128-bit WEP-Schlüssel (Wired Equivalent Privacy) auf dem Zugriffspunkt und jedem Computer. B In den Eigenschaften des drahtlosen Netzwerkes wählen Sie die Option Schlüssel wird automatisch zur Verfügung gestellt. C Verbinden sie jeden Computer kurzfristig über einen Ethernet Anschluss mit dem Netzwerk und installieren Sie das Zertifikat. D Installieren Sie das Zertifikat auf jedem Computer mittels einer Diskette

22 PRÜFUNGSFRAGEN EXAMEN Frage 13 Sie sind als Administrator der Firma MVS M. Völk Systems verantwortlich für die Sicherheit des Firmennetzwerkes. Die Firma MVS M. Völk Systems betreibt Standorte in zwei großen deutschen Städten. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Gesamtstruktur mit zwei Domänen. Die Domänen befinden sich in unterschiedlichen Städten, die Namen lauten MVSNET.DE und MVSPRESS.DE. Auf allen Servern des Netzwerkes ist das Betriebssystem Windows Server 2003 installiert. Auf den Clientcomputern wird ausschließlich Windows XP Professional eingesetzt. Die Konfiguration des Netzwerkes wird in der Abbildung veranschaulicht Jede Niederlassung verfügt über einen eigenen DNS-Server. Auf dem DNS-Server ist eine primäre Zone für die lokale Domäne konfiguriert und eine sekundäre Zone für den jeweils anderen Standort. Die Konfiguration der DNS-Zonen wird ebenfalls in der Abbildung gezeigt

23 PRÜFUNGSFRAGEN EXAMEN Sie untersuchen die Protokolldateien Ihrer Firewall und stellen eine große Zahl von Verbindungsversuchen zu den internen Servern fest. Sie finden heraus, dass externe Benutzer Zugriff auf die DNS Informationen Ihres internen Netzwerkes haben. Sie müssen verhindern, dass externe Benutzer auf die Daten Ihrer internen DNS-Server zugreifen können. Wie gehen Sie vor? A Sie ersetzen die primären Zonen durch Stub Zonen. B Sie konfigurieren eine IPSec Richtlinie, so dass der Datenverkehr der Zonenreplikation für die sekundären Zonen mit dem Encapsulating Security Payload (ESP) Protokoll verschlüsselt wird. C Sie konfigurieren eine IPSec Richtlinie, so dass der Datenverkehr zur Auflösung von DNS Namen der primären Zonen mit dem Encapsulating Security Payload (ESP) Protokoll verschlüsselt wird. D Sie konfigurieren die Zonenübertragung, so dass der Transfer nur an ausgewählte DNS-Server zugelassen wird

24 PRÜFUNGSFRAGEN EXAMEN Frage 14 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Das Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSPRESS.DE. Die Verkaufsabteilung hat externe Mitarbeiter, die von zu Hause aus arbeiten. Sie verwenden Windows XP Professional als Betriebssystem und sind nicht Mitglieder der Domäne. Die externen Mitarbeiter verfügen alle über einen Internetzugang über einen Internet Service Provider (ISP). Die Domäne MVSPRESS.DE verwendet einen Windows 2003 Server mit der Bezeichnung»MVSPRESSDC01«, auf dem der Routing und RAS- Dienst installiert ist.»mvspressdc01«ist als VPN-Server konfiguriert, und alle externen Mitarbeiter verwenden diese Option, um eine Verbindung in das Firmennetzwerk herzustellen. Vertrauliche Forschungsdaten werden zwischen den externen Mitarbeiter ausgetauscht. Sicherheit ist für Ihre Firma sehr wichtig, und»mvspressdc01«muss die Datenübertragung zwischen den externen Mitarbeitern und dem Hauptbüro schützen. Die Clientcomputer der externen Mitarbeiter verwenden L2TP/IPSec, um eine VPN-Verbindung herzustellen. Welche sichere Authentifizierungmethode sollten Sie verwenden, und wie gehen Sie vor? A Sie verwenden die Authentifizierungsmethode der Standard IPSec-Richtlinie. B Sie erstellen eine eigene IPSec-Richtlinie und verwenden Kerberos V5 als Authentifizierungsprotokoll. C Sie erstellen eine eigene IPSec-Richtlinie und verwenden Zertifikate zur Anmeldung. D Sie erstellen eine eigene IPSec-Richtlinie und verwenden die Pre-Shared Authentifizierung E Sie verwenden die Authentifizierungsmethode der Routing und RAS IPSec-Richtlinie für L2TP Verbindungen

25 PRÜFUNGSFRAGEN EXAMEN Frage 15 Sie sind der verantwortliche Administrator für die Netzwerksicherheit der Firma MVS M. Völk Systems. Das Netzwerk enthält einen Windows Server 2003 Computer auf dem die Internet-Informationsdienste ausgeführt werden. Sie verwenden den Server für das Hosting einer öffentlichen Webseite, auf der Internetbesucher Produkte Ihres Unternehmens bestellen können. Sie planen die Verwendung von SSL (Secure Sockets Layer) für die Übermittlung vertraulicher Informationen über diese Webseite. Sie wollen vermeiden, dass Ihre Kunden eine zertifikatsbezogene Sicherheitswarnung erhalten, wenn sie HTTPS für die Verbindung zum Webserver verwenden. Sie müssen eine geeignete Zertifizierungsstelle wählen, um ein SSL Zertifikat für Ihren Webserver auszustellen. Wie gehen Sie vor? A Sie verwenden eine Online-Stammzertifizierungsstelle (CA) des Unternehmens. B Sie verwenden eine eigenständige Online- Stammzertifizierungsstelle (CA). C Sie verwenden eine kommerzielle Zertifizierungsstelle (CA). D Sie verwenden eine eigenständige Offline- Stammzertifizierungsstelle (CA)

26 PRÜFUNGSFRAGEN EXAMEN Frage 16 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Das Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Alle Domänencontroller verwenden Windows 2003 Server als Betriebssystem. Die Clientcomputer in allen Abteilungen verwenden Windows XP Professional. Mitarbeiter in den Abteilungen verwenden Ihre Computer zum Austauschen von unterschiedlichen Daten mit den Servern. Das Netzwerk verfügt über Kioskcomputer. Die Kioskcomputer werden von den Mitarbeitern verwendet, um Daten auf die Server abzulegen. Die Kioskcomputer verwenden Windows XP Professional. Eine firmeninterne Richtlinie schreibt vor, dass der gesamte Datenverkehr der Kioskcomputer mit einem Protokoll-Analyzer protokolliert werden muss. Sie müssen sicherstellen, dass die vertraulichen Datenübertragungen zu und von den Clientcomputern vertraulich bleiben. Sie müssen auch sicherstellen, dass Sie Veränderungen eines jeden Computers, der die Datenübertragungen verändert, feststellen können. Dies muss mit der firmeninternen Richtlinie übereinstimmen. Wie gehen Sie vor? A Sie verwenden IPSec Verschlüsselung sowohl auf den Clientcomputern als auch den Kioskcomputern. B Sie verwenden IPSec Verschlüsselung auf den Clientcomputern und IPSec Integrität auf den Kioskcomputern. C Sie verwenden IPSec Integrität auf den Clientcomputern und IPSec Verschlüsselung auf den Kioskcomputern. D Sie verwenden IPSec Integrität sowohl auf den Clientcomputern als auch den Kioskcomputern

27 PRÜFUNGSFRAGEN EXAMEN Frage 17 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Firmennetzwerk besteht aus einer einzelnen Active Directory Domäne mit dem Namen MVSNET.DE. Die Domäne enthält Windows Server 2003 Computer und Windows XP Professional Clientcomputer. Sie erstellen Organisationseinheiten in der Domäne, um die Benutzerkonten, die Computerkonten und die Gruppen nach den Abteilungen des Unternehmens zu ordnen. Die Struktur Ihrer Organisationseinheiten wird in der Abbildung gezeigt. Sie wollen ausgewählten Benutzern das Verschlüsseln von Dateien mit Hilfe des Encrypting File System (EFS) ermöglichen. Die Anforderungen für die Verwendung des EFS variieren in Abhängigkeit von der Organisationseinheit, in der das Computerkonto des Benutzers gespeichert ist. Für die Computer in der Organisationseinheit Verkauf soll das Encrypting File System deaktiviert werden. Für alle anderen Computer der Domäne soll die Verwendung der EFS-Verschlüsselung ermöglicht werden. Bei Bedarf sollen designierte Administratoren die Möglichkeit haben die Mitarbeiter beim Zugriff auf verschlüsselte Dateien zu unterstützen. Michael und Thomas sind ebenfalls als Sicherheitsadministratoren tätig. Michael muss in der Lage sein alle Dateien auf Computern der Organisationseinheiten Entwicklung und Marketing zu entschlüsseln. Thomas soll die Möglichkeit haben alle Dateien auf Domänencontrollern zu entschlüsseln. Derzeit bestehen keine Richtlinien für das verschlüsselnde Dateisystem für die Computer der Domäne. Sie müssen die geeigneten Richtlinien erstellen und den jeweiligen Organisationseinheiten (OU) zuordnen. Wählen sie die korrekte Konfiguration der Richtlinien:

28 PRÜFUNGSFRAGEN EXAMEN Wie verknüpfen Sie die Richtlinien? A OU Domain Controllers: Fügen Sie Thomas als Datenwiederherstellungs-Agenten hinzu. OU Marketing: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. OU Verkauf: Sie aktivieren die Option Datenwiederherstellungs-Agenten sind nicht erforderlich. OU Entwicklung: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. B OU Domain Controllers: Fügen Sie Thomas als Datenwiederherstellungs-Agenten hinzu. OU Marketing: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. OU Verkauf: Deaktivieren Sie die Option Benutzer dürfen das verschlüsselnde Dateisystem verwenden. OU Entwicklung: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. C OU Domain Controllers: Keine Richtlinie für das verschlüsselnde Dateisystem erforderlich. OU Marketing: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. OU Verkauf: Sie aktivieren die Option Datenwiederherstellungs-Agenten sind nicht erforderlich. OU Entwicklung: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. D OU Domain Controllers: Fügen Sie Thomas als Datenwiederherstellungs-Agenten hinzu. OU Marketing: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu. OU Verkauf: Keine Richtlinie für das verschlüsselnde Dateisystem erforderlich. OU Entwicklung: Fügen Sie Michael als Datenwiederherstellungs-Agenten hinzu

29 PRÜFUNGSFRAGEN EXAMEN Frage 18 Sie sind der Administrator der Firma MVS M. Völk Systems. Ihr Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Ihr Netzwerk enthält zehn Windows 2003 Server als Applikationsserver. Die Applikationsserver sind vom internen Netzwerk sowie vom Internet aus erreichbar. Ihr Netzwerkplan sieht vor, dass die Applikationsserver durch spezielle Sicherheitseinstellungen wie Kennwortrichtlinie, Authentifizierungsrichtlinie und weitere Sicherheitsoptionen geschützt werden. Sie erstellen eine Sicherheitsvorlage mit der Bezeichnung app.in, die die geforderten Sicherheitseinstellungen enthält. Sie vermuten, dass unbefugte Mitarbeiter in der Lage sind, die Konfigurationen zu ändern und somit Zugriff auf die Server bekommen. Sie wollen einige Einstellungen der von Ihnen gemachten Sicherheitseinstellungen auf den Applikationsservern überprüfen. Sie möchten einen Bericht erstellen, der die Sicherheitseinstellungen auf den Applikationsservern alle 24 Stunden überprüft. Wie gehen Sie vor? A Sie erstellen in der Gruppenrichtlinie ein Startup-Script, das den Befehl secedit mit der Sicherheitsvorlage app.inf ausführt und stellen das Aktualisierungsintervall auf 24 Stunden. B Sie importieren die Vorlage app.inf in die Gruppenrichtlinien und stellen das Aktualisierungsintervall auf 24 Stunden. C Sie erstellen eine Task und lassen das Tool gpresult alle 24 Stunden im Überprüfungsmodus laufen. D Sie erstellen ein Script, das den Befehl secedit mit der Sicherheitsvorlage app.inf ausführt und lassen dieses Script über eine Task alle 24 Stunden ausführen

30 PRÜFUNGSFRAGEN EXAMEN Frage 19 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Firmennetzwerk besteht aus sieben Active Directory Domänen. Die Domänen befinden sich alle in einer gemeinsamen Gesamtstruktur. Alle Domänen werden in der Domänenfunktionsebene Windows Server 2003 betrieben. Jede Domäne verfügt über eine Webseite, die für die Veröffentlichung von Informationen für die Führungskräfte des Unternehmens verwendet wird. Der Zugriff auf die Informationen der internen Webseiten muss den Führungskräften uneingeschränkt möglich sein. In jeder Domäne existiert eine globale Gruppe, in der die Benutzerkonten der Führungskräfte der jeweiligen Domäne zusammengefasst sind. Sie wollen den Führungskräften des Unternehmens exklusiven Zugriff auf die internen Webseiten erteilen. Sie wollen Ihr Ziel mit dem geringst möglichen administrativen Aufwand erreichen. Wie gehen Sie vor? A Sie erstellen in einer der Active Directory Domänen eine universelle Gruppe und konfigurieren die bestehenden globalen Gruppen der Führungskräfte als Mitglieder der universellen Gruppe. Sie erteilen der universellen Gruppe exklusiven Zugriff auf die Webseiten. B Sie erstellen in einer der Active Directory Domänen eine globale Gruppe und konfigurieren die bestehenden globalen Gruppen der Führungskräfte als Mitglieder der neuen globalen Gruppe. Sie erteilen der neuen globalen Gruppe exklusiven Zugriff auf die Webseiten. C Sie erstellen in einer der Active Directory Domänen eine domänenlokale Gruppe und konfigurieren die bestehenden globalen Gruppen der Führungskräfte als Mitglieder der domänenlokalen Gruppe. Sie erteilen der domänenlokalen Gruppe exklusiven Zugriff auf die Webseiten. D Sie erteilen den bestehenden globalen Gruppen der Führungskräfte exklusiven Zugriff auf die Webseiten

31 PRÜFUNGSFRAGEN EXAMEN Frage 20 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Die Firma arbeitet mit einem Partnerunternehmen, der EDV-Beratung Eißner, zusammen. Das Firmennetzwerk enthält zwei Active Directory Gesamtstrukturen mit den Bezeichnungen EISSNER-EDV.DE und MVSNET.DE. Die Domänenfunktionsebene beider Gesamtstrukturen ist Windows Server Es besteht eine bidirektionale Gesamtstrukturvertrauensstellung zwischen den beiden Gesamtstrukturen. Sie müssen folgende Aufgaben erfüllen: Die Benutzer der EISSNER-EDV.DE Gesamtstruktur müssen auf alle Ressourcen der MVSNET.DE Gesamtstruktur Zugriff haben. Die Benutzer der MVSNET.DE Gesamtstruktur sollen nur auf Ressourcen Zugriff haben, die auf einem Server mit dem vollqualifizierten Domänenamen»FDESRV01.EISSNER-EDV.DE«gespeichert sind. Wie müssen Sie die Gesamtstrukturvertrauensstellung und die Ressourcen auf»fdesrv01.eissner-edv.de«konfigurieren, um die Aufgabe zu erfüllen. Welche drei Aktionen müssen Sie durchführen? (Jede richtige Antwort stellt einen Teil der Lösung dar!) A Sie konfigurieren auf einem Domänencontroller der EISSNER-EDV.DE Gesamtstruktur die Eigenschaften der eingehenden Gesamtstrukturvertrauensstellung so, dass die Ausgewählte Authentifizierung benutzt wird. B Sie konfigurieren auf einem Domänencontroller der EISSNER-EDV.DE Gesamtstruktur die Eigenschaften der eingehenden Gesamtstrukturvertrauensstellung so, dass die Gesamtstrukturweite Authentifizierung benutzt wird. C Sie konfigurieren auf einem Domänencontroller der MVSNET.DE Gesamtstruktur die Eigenschaften der eingehenden Gesamtstrukturvertrauensstellung so, dass die Ausgewählte Authentifizierung benutzt wird. D Sie konfigurieren, auf einem Domänencontroller der MVSNET.DE Gesamtstruktur, die Eigenschaften der eingehenden Gesamtstrukturvertrauensstellung so, dass die Gesamtstrukturweite Authentifizierung benutzt wird

32 PRÜFUNGSFRAGEN EXAMEN E Sie modifizieren die Freigegebenen Zugriffssteuerungslisten (DACLs) auf»fdesrv01.eissner-edv.de«so, dass der Sicherheitsgruppe MVSNET_Benutzer der Zugriff gewährt wird. F Sie modifizieren die Freigegebenen Zugriffssteuerungslisten (DACLs) auf»fdesrv01.eissner-edv.de«so, dass der Sicherheitsgruppe EISSNER-EDV_Benutzer der Zugriff verweigert wird

33 PRÜFUNGSFRAGEN EXAMEN Frage 21 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Domäne mit dem Namen MVSNET.DE. Die Domäne enthält Windows Server 2003 Computer und Windows XP Professional Clientcomputer. Alle Computer des Unternehmens sind Mitglied der Domäne. Die Firma MVS M. Völk Systems verwendet eine Software für die Lohnbuchhaltung und das Personalwesen. Die Anwendung wird von 20 kaufmännischen Angestellten benutzt, die mit Ihren Clientcomputern Daten in eine Datenbank eingeben, die auf einem Microsoft SQL Server 2000 Computer mit dem Namen»MVSSQLSR001«bereitgestellt wird. Sie müssen verhindern, dass die Daten während der Übertragung über das Netzwerk durch nicht autorisierte Personen abgehört werden können. Nennen Sie zwei mögliche Lösungen um dieses Ziel zu erreichen. (Jede korrekte Antwort stellt eine vollständige Lösung dar. Wählen Sie zwei Antworten.) A Sie konfigurieren den Microsoft SQL Server 2000 auf»mvssqlsr001«für die Verwendung von Secure Socket Layer (SSL). B Sie konfigurieren eine IPSec Richtlinie und fordern das Authentication Headers (AH) Protokoll für die Kommunikation zwischen den Clientcomputern der Angestellten und dem SQL Server 2000 Computer. C Sie konfigurieren eine IPSec Richtlinie und fordern das Encapsulating Security Payload (ESP) Protokoll für die Kommunikation zwischen den Clientcomputern der Angestellten und dem SQL Server 2000 Computer. D Sie konfigurieren»mvssqlsr001«, so dass die Server Message Block (SMB) Kommunikation immer signiert wird

34 PRÜFUNGSFRAGEN EXAMEN Frage 22 Sie sind der Netzwerkadministrator der Firma EDV-Beratung Eißner. Das Firmennetzwerk besteht aus einer einzelnen Active Directory Domäne mit der Bezeichnung EISSNER-EDV.DE. Alle Computer sind Mitglieder der Domäne. Auf allen Servern läuft Windows Server 2003, auf allen Clientcomputern Windows XP Professional. Das Netzwerk enthält Desktopclientcomputer und einige portable Clientcomputer. Zu den portablen Clientcomputern zählen Laptops sowie Tablet-PCs. Die Computerkonten der Clientcomputer befinden sich in verschiedenen Organisationseinheiten (OUs), sortiert nach den einzelnen Abteilungen. Eine schriftliche Firmenrichtlinie verlangt, dass kein portabler Computer unbeaufsichtigt am Netzwerk angemeldet und verlassen werden darf, wenn er nicht passwortgeschützt ist. Benutzer dürfen sich nicht über diese Anordnung hinwegsetzen. Diese trifft jedoch nicht für die Desktopcomputer zu, da sich diese in gesicherten Büros befinden. Sie müssen das Netzwerk so konfigurieren, dass die portablen Computer diese Anforderung erfüllen. Was müssen Sie tun? A Sie erstellen eine Gruppenrichtlinie, die ein Logonscript spezifiziert. Danach verbinden Sie das Gruppenrichtlinienobjekt mit der Domäne. Sie konfigurieren das Logonscript so, dass es die oeminfo.inf Datei nach Hersteller- und Modellinformationen ließt, und die Bildschirmschonereigenschaften aktiviert, falls die Hersteller- und Modellnummer einen portablen Computer identifiziert. B Sie erstellen eine Gruppenrichtlinie, die ein Logonscript spezifiziert. Danach verbinden Sie das Gruppenrichtlinienobjekt mit der Domäne. Sie konfigurieren das Logonscript so, dass es eine WMI- Abfrage nach Herstellerinformation und ein Update der Benutzerprofilinformationen in den Active Directory durchführt, insofern der Benutzer einen portablen Computer verwendet

35 PRÜFUNGSFRAGEN EXAMEN C Sie erstellen eine Gruppenrichtlinie, die einen passwortgeschützten Bildschirmschoner spezifiziert. Danach verbinden Sie das Gruppenrichtlinienobjekt mit der Domäne. Anschließend verwenden Sie einen WMI- Filter, der nach den Chassistypinformationen abfragt, sodass die Gruppenrichtlinie nur auf portable Computer angewendet wird. D Sie erstellen eine Gruppenrichtlinie, die einen passwortgeschützten Bildschirmschoner spezifiziert. Danach verbinden Sie das Gruppenrichtlinienobjekt mit der Domäne. Anschließend verwenden Sie einen WMI- Filter, der nach der spezifischen Edition der Windows XP Professional Installation den Computer abfragt, sodass die Gruppenrichtlinie nur auf portable Computer angewendet wird

36 PRÜFUNGSFRAGEN EXAMEN Frage 23 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Die Firma MVS M. Völk Systems verwendet eine Webanwendung mit dem Namen App1. Die Anwendung wird von einem Windows Server 2003 Computer mit der Bezeichnung»MVSWEB001«bereitgestellt. Die Anwendung gestattet es Internetbenutzern direkt über eine Internetverbindung Daten in ein HTML Formular einzutragen. Die Daten werden dann von der Anwendung in eine Microsoft SQL Server 2000 Datenbank gespeichert, die auf einem Windows Server 2003 Computer mit der Bezeichnung»MVSSQL001«gehostet wird. Der Webserver erfordert für alle http Verbindungen die SSL Verschlüsselung. Die Konfiguration des Firmennetzwerkes wird in der Abbildung gezeigt Die Firma MVS M. Völk Systems verwendet eine Firewall, die automatisch Antworten für bereits hergestellte Verbindungen zulässt. Sie müssen die Firewall so konfigurieren, dass Internetbenutzer die Webanwendung benutzen können. Sie müssen sicherstellen, dass ein Höchstmaß an Sicherheit für das Netzwerk gewährleistet ist. Sie wollen Ihr Ziel mit der geringst möglichen Anzahl von Firewall-Regeln erreichen. Wie konfigurieren Sie die Firewall? (Verschieben Sie per drag-and-drop die entsprechenden Möglichkeiten auf die Optionen.)

37 PRÜFUNGSFRAGEN EXAMEN

38 PRÜFUNGSFRAGEN EXAMEN Frage 24 Sie sind der Netzwerkadministrator der Firma MVS M. Völk Systems. Ihr Netzwerk besteht aus einem Verzeichnisdienst mit der Bezeichnung MVSNET.DE. Die Domänenfunktionsebene ist Windows 2003 Server. Das Netzwerk umfasst 100 Clientcomputer mit Windows XP Professional. Sie konfigurieren ein drahtloses Netzwerk, das eine IEEE Authentifizierung mit Zertifikaten verwendet. Nur zehn Clientcomputer verwenden das drahtlose Netzwerk. Sie müssen es den entsprechenden Computern ermöglichen, das Netzwerk zu benützen, während allen anderen der Zugriff verweigert werden muss. Wie gehen Sie vor? A Sie installieren eine Enterprise-Zertifizierungsstelle für die Domäne. Sie erstellen eine globale Gruppe, die alle Mitarbeiter enthält, die das drahtlose Netzwerk verwenden müssen. Sie erstellen eine Zertifikatsvorlage für die IEEE 802.1x-Authentifizierung. Für diese Gruppe legen sie das automatisch registrieren auf Basis der Vorlage fest. B Sie installieren eine Enterprise-Zertifizierungsstelle für die Domäne. Sie erstellen eine globale Gruppe, die alle Computer enthält, die das drahtlose Netzwerk verwenden müssen. Sie erstellen eine Zertifikatsvorlage für die IEEE 802.1x-Authentifizierung. Für diese Gruppe legen sie das automatisch registrieren auf Basis der Vorlage fest. C Sie erstellen eine globale Gruppe, die alle Mitarbeiter enthält, die das drahtlose Netzwerk verwenden müssen. Sie konfigurieren die Sicherheitseinstellungen in dem Standarddomänengruppenrichtlinienobjekt so, dass diese Einstellungen nur auf die neue globale Gruppe angewendet werden. Sie installieren eine Enterprise- Zertifizierungsstelle für die Domäne. D Sie erstellen eine globale Gruppe, die alle Computer enthält, die das drahtlose Netzwerk verwenden müssen. Sie konfigurieren die Sicherheitseinstellungen in dem Standarddomänengruppenrichtlinienobjekt so, dass diese Einstellungen nur auf die neue globale Gruppe angewendet werden. Sie installieren eine Enterprise- Zertifizierungsstelle für die Domäne

39 PRÜFUNGSFRAGEN EXAMEN Frage 25 Sie sind der Sicherheitsadministrator der Firma MVS M. Völk Systems. Das Netzwerk der Firma besteht aus einer einzelnen Active Directory Domäne mit der Bezeichnung MVSNET.DE. Auf allen Servern ist das Betriebssystem Windows Server 2003 installiert. Auf allen Clientcomputern wird Windows XP Professional ausgeführt. Die Mitarbeiter speichern Dateien auf einem Server mit dem Namen»MVSSRV001«. Die Dateien enthalten vertrauliche Informationen und müssen verschlüsselt sein, solange Sie auf»mvssrv001«gespeichert sind. Sie konfigurieren eine neue Zertifizierungsstelle und verteilen Zertifikate für das Encrypting File System (EFS) an alle Mitarbeiter. Die Mitarbeiter berichten Ihnen, dass es Ihnen nicht möglich ist Dateien auf»mvssrv001«zu verschlüsseln. Die Mitarbeiter können allerdings Dateien verschlüsseln, die lokal auf Ihren Computern gespeichert sind. Sie müssen sicherstellen, dass die Mitarbeiter Dateien auf»mvssrv001«verschlüsseln können. Wie gehen Sie vor? A Sie installieren auf»mvssrv001«ein Computerzertifikat für die Unterstützung der Dateiverschlüsselung. B Sie konfigurieren einen neuen EFS- Wiederherstellungsagenten mit Hilfe einer Wiederherstellungsrichtlinie im Active Directory. C Sie konfigurieren das Computerkonto von»mvssrv001«und aktivieren die Option Computer bei Delegierungen aller Dienste vertrauen (nur Kerberos). D Sie installieren auf jedem Computer der Domäne ein Computerzertifikat für die Unterstützung der Dateiverschlüsselung