BDD 2007: Sicherheit – Handbuch für das Feature-Team

Zielsetzung

Veröffentlicht: 30. Nov 2006

Abbildung 2 zeigt die Hauptaktivitäten während der Zielsetzungsphase. Während die anderen Teams Abbilder, Projektpläne und ähnliches entwickeln, konzentriert sich das SicherheitsFeature-Team aus der Perspektive der Sicherheit auf die vorhandene Produktionsumgebung. Das Team ermittelt, ob die Computerabbilder geändert werden sollten, um die Gefahr neuer oder anderer Sicherheitsrisiken für das Unternehmen zu verringern und, falls ja, wie sich diese am besten integrieren lassen.

Abbildung 2: Aktivitäten während der Zielsetzungsphase
Auf dieser Seite

Risikoanalyse zur Desktopsicherheit Risikoanalyse zur Desktopsicherheit
Überlegungen zur Risikoverwaltung bei Clients Überlegungen zur Risikoverwaltung bei Clients
Sicherheitstechnologien Sicherheitstechnologien
Datenschutztechnologien Datenschutztechnologien
Sicherheitsfunktionen in Internet Explorer 7 Sicherheitsfunktionen in Internet Explorer 7
Windows-Diensthärtung Windows-Diensthärtung

Risikoanalyse zur Desktopsicherheit

Häufig wird die Sicherheitsarchitektur eines Unternehmens eher beiläufig als analytisch ermittelt. Beispielsweise sind u. U. Administratoren zugewiesen, um die Sicherheitseinstellungen für neue Computer zu identifizieren. Wenn Sie Windows XP Service Pack 2 (SP2) oder Windows Vista verwenden, führt dieser Ansatz wahrscheinlich nicht zu erheblichen Sicherheitsrisiken, da diese Betriebssysteme als standardmäßig sicher entworfen wurden. Es ist jedoch durchaus möglich, dass wohlmeinende und sachkundige Ingenieure Sicherheitseinstellungen für Desktops bereitstellen, die zu sehr einschränken. Übermäßig beschränkende Einstellungen können die Benutzerproduktivität beeinträchtigen, die Kosten für die Anwendungsbereitstellung erhöhen und letztendlich sehr teuer für ein Unternehmen sein. Erfreulicherweise können Teammitglieder mithilfe des Prozesses zur Verwaltung von Sicherheitsrisiken die effizienteste Möglichkeit identifizieren, um die Sicherheit eines Unternehmens zu verbessern.

Der Prozess zur Verwaltung von Sicherheitsrisiken

Der Prozess zur Verwaltung von Sicherheitsrisiken, der im Handbuch zur Sicherheitsrisikoverwaltung (möglicherweise in englischer Sprache) unter http://www.microsoft.com/technet/security/topics/policiesandprocedures/secrisk ausführlich beschrieben wird, stellt einen proaktiven, strukturierten Ansatz dar, mit dem ermittelt werden kann, welche Sicherheitseinstellungen und Gegenmaßnahmen für ein Unternehmen von Vorteil wären und welche ungerechtfertigt teuer sind.

Der Prozess zur Verwaltung von Sicherheitsrisiken von Microsoft wird in vier Phasen unterteilt:

  • Einschätzen des Risikos. Identifizieren und Priorisieren von Risiken für das Unternehmen.

  • Durchführen von Decision Support. Identifizieren und Bewerten von Steuerungslösungen aufgrund einer festgelegten Kosten-Nutzen-Analyse.

  • Implementieren von Steuerungen. Bereitstellen und Betreiben von Steuerungslösungen, um das Risiko für das Unternehmen zu verringern.

  • Messen der Programmeffektivität. Analysieren des Risikoverwaltungsprozesses auf Effektivität und überprüfen, ob die Steuerung das erwartete Maß an Schutz bietet.

Diese vier Phasen sind in Abbildung 3 dargestellt.

Abbildung 3: Der Prozess zur Verwaltung von Sicherheitsrisiken von Microsoft

Viele Unternehmen haben bereits einen Prozess zur Verwaltung von Sicherheitsrisiken, vom von Microsoft eingesetzten Prozess abweichen kann. Ungeachtet des verwendeten Prozesses ist es wichtig, die Desktopbereitstellung in eine strukturierte Risikoanalyse zu integrieren, in der sowohl die Kosten als auch die Vorteile von Sicherheitsentscheidungen abgewogen werden. Selbst wenn das SicherheitsFeature-Team letztendlich entscheidet, die Standardsicherheitseinstellungen zu akzeptieren, bringt der Prozess zur Verwaltung von Sicherheitsrisiken dem Unternehmen Vorteile; denn dadurch müssen mehrere Managementebenen anerkennen, dass nicht alle Sicherheitsrisiken beseitigt werden können. Durch die Anerkennung, dass ein gewisses Maß an Sicherheitsrisiko akzeptabel ist, trägt das Management Mitverantwortung für Entscheidungen bezüglich der Sicherheit.

Überlegungen zur Risikoverwaltung bei Clients

Die grundlegendste Sicherheitsentscheidung, die das SicherheitsFeature-Team auf einer hohen Ebene treffen wird, ist die Wahl zwischen der standardmäßigen Sicherheitsstufe und der erweiterten Sicherheit. Durch Auswahl der Standardstufe entscheidet das Team, dass die Sicherheitsanforderungen typisch für Microsoft-Kunden sind. Obwohl Windows XP SP2 und Windows Vista dahingehend entworfen wurden, standardmäßig sicher zu sein, kann das Team sicherere Einstellungen implementieren. Werden die Standardsicherheitseinstellungen akzeptiert, werden auch mehr Sicherheitsrisiken akzeptiert als wenn das Team sich für die Implementierung erhöhter Sicherheit entscheidet.

Obwohl die Akzeptanz dieser Risiken ihren Preis hat, sind die Vorteile der Verwendung von Standardsicherheitseinstellungen bedeutsam:

  • Es ist wahrscheinlicher, dass Clientanwendungen ohne zusätzliche Konfiguration ausgeführt werden können.

  • Entwickeln und Testen von Standardanwendungen nimmt weniger Zeit in Anspruch.

  • Benutzer haben weniger Probleme, die durch beschränkende Sicherheitseinstellungen verursacht werden.

Erfolgreiche Sicherheitskompromisse haben immer einen Preis. Je nach Art des Kompromisses können die Kosten minimal und sogar nicht der Rede wert sein. Gravierende Kompromisse können Unternehmen Millionen kosten. Wenn das SicherheitsFeature-Team während des Prozesses zur Verwaltung von Sicherheitsrisiken feststellt, dass die Kosten für einen möglichen Sicherheitskompromiss größer sind als die Kosten für eine stärker einschränkende Desktopsicherheit, sollte das Team eine bessere Desktopsicherheit implementieren. Die Vorteile der erhöhten Sicherheit sind ebenfalls signifikant:

  • Feinabstimmen der Sicherheitseinstellungen auf die Bedürfnisse des Unternehmens.

  • Übernehmen der Kontrolle über Sicherheitsrisiken durch aktives Verringern der Sicherheitsrisiken.

  • Verringern der Sicherheitsanfälligkeiten hinsichtlich bestimmter Exploits wie Würmer oder Viren, wodurch mehr Zeit bleibt, um auf Sicherheitsereignisse zu reagieren.

  • Verringern der Sicherheitsanfälligkeiten gegenüber weit verbreiteten Exploits wie Würmern und Viren, da diese in der Regel auf bestimmte Standardsicherheitseinstellungen abzielen.

  • Mehr Flexibilität bei der Bereitstellung von Sicherheitsupdates, da das Unternehmen u. U. nicht von den Sicherheitsanfälligkeiten betroffen ist, die von diesen behoben werden.

Letztendlich kann das SicherheitsFeature-Team sich dafür entscheiden, beide Arten von Sicherheitseinstellungen für verschiedene Desktoprollen innerhalb des Unternehmens zu implementieren. So könnte das Team die erhöhte Sicherheit beispielsweise bei Computern für vorübergehend beschäftigtes Personal implementieren, da es bei diesen Computern wahrscheinlicher ist, dass sie andere Computer angreifen oder durch Malware beeinträchtigt werden. Im Gegensatz dazu ist für ein Entwicklungsteam u. U. Standardsicherheit erforderlich, damit die Teammitglieder leichter administrative Aufgaben auf ihren eigenen Computern durchführen können. Jedoch steigen mit jeder unterschiedlichen erstellten Rolle die Kosten. Das SicherheitsFeature-Team muss mehrere Sätze von Sicherheitseinstellungen entwerfen und verwalten und ggf. getrennte Abbilder für jede Rolle verwalten.

Wenn das SicherheitsFeature-Team die erhöhte Sicherheit implementiert, müssen Sicherheitsrisiken gegen Benutzerfunktionalität, Komfort und Benutzerfreundlichkeit abgewogen werden. In der Regel nimmt die Funktionalität für Benutzer ab, während das Maß an Sicherheit zunimmt. Eine Standardfunktion von Windows, die Automatische Wiedergabe, startet z. B. automatisch das Standardprogramm auf einer CD-ROM, wenn ein Benutzer eine CD in das CD-ROM-Laufwerk einlegt. Durch diese Funktionalität muss der Benutzer die CD nicht nach der entsprechenden Anwendung durchsuchen und die Anwendung manuell ausführen. Doch diese Funktion kann eine Anfälligkeit darstellen, wenn die CD ungeeignete oder schädliche Software enthält, die dem Computer schaden könnte. In diesem Falle müssen Unternehmen zwischen der Benutzerfreundlichkeit der Automatischen Wiedergabe und dem Sicherheitsrisiko wählen, das mit der Möglichkeit des Vorhandenseins schädlicher Inhalte auf der CD einhergeht.

Sicherheitstechnologien

In diesem Abschnitt erhalten Sie einen Überblick über Sicherheitstechnologien, die während der Zielsetzungsphase der Desktopbereitstellung vom SicherheitsFeature-Team berücksichtigt werden sollten. Ausführliche Informationen zu diesen Sicherheitstechnologien finden Sie im Windows XP-Sicherheitshandbuch unter http://go.microsoft.com/fwlink/?LinkId=14839 und dem Windows Vista-Sicherheitshandbuch unter http://go.microsoft.com/?linkid=5637271.

Hinweis:   Das Windows XP-Sicherheitshandbuch und das Windows Vista-Sicherheitshandbuch sind die maßgeblichen Ressourcen für die Beurteilung von Sicherheitseinstellungen. In diesem Handbuch werden Clientsicherheitseinstellungen nur erörtert, um dem SicherheitsFeature-Team zu ermöglichen, die Technologie von einer hohen Warte aus zu beurteilen und die verfügbaren Sicherheitsoptionen schnell zu verstehen; insbesondere jene, die mit Windows Vista neu eingeführt werden. Wenn Sie die Sicherheitshandbücher lesen, konzentrieren Sie sich auf die Einstellungen für den Unternehmensclient (UC). In den Sicherheitshandbüchern werden Tools für das Erstellen von Gruppenrichtlinienobjekten (Group Policy Objects, GPOs) bereitgestellt, die das Bereitstellen von Sicherheitseinstellungen für Active Directory-Mitgliedercomputer vereinfachen.

Systemsicherheitseinstellungen

Ermitteln Sie die Sicherheit von Clientcomputern, indem Sie Tausende unterschiedlicher Einstellungen sammeln, die sich direkt oder indirekt auf die Sicherheit des Betriebssystems und der Anwendungen auswirken. Konfigurieren Sie diese Einstellungen mithilfe von Gruppenrichtlinieneinstellungen in einer Microsoft Active Directory®-Verzeichnisdienstdomäne, oder indem Sie sie lokal anwenden. Durch diese Richtlinieneinstellungen wird sichergestellt, dass Desktopcomputer und tragbare Computer in dem Unternehmen entsprechend konfiguriert werden, die Sicherheitsanforderungen zu erfüllen:

  • Kontorichtlinieneinstellungen. Kennwortkomplexität und -ablauf sowie Kontosperrungseinstellungen

  • Lokale Richtlinieneinstellungen. Überwachungsrichtlinie, Zuweisen von Benutzerrechten (präzise Benutzerberechtigungen) und Sicherheitsoptionen (Einstellungen, die das Systemverhalten beeinflussen)

  • Dateiberechtigungen. Definieren von Berechtigungen für Clientdateisysteme

  • Registrierungseinstellungen. Definieren von Berechtigungen für Clientregistrierungen

  • Diensteinstellungen. Definieren, welche Dienste automatisch starten und welche deaktiviert sind

  • Richtlinien öffentlicher Schlüssel. Definieren der Verschlüsselungseinstellungen für öffentliche Schlüssel, einschließlich der Verteilung der Schlüssel für das verschlüsselnde Dateisystem (Encrypting File System, EFS)

  • Richtlinien für Softwareeinschränkung. Definieren, welche Anwendungen Benutzer ausführen können und welche nicht

  • IP-Sicherheitsrichtlinien. Definieren der Netzwerkauthentifizierung und Verschlüsselungsanforderungen

Ausführliche Informationen zu bestimmten Sicherheitseinstellungen finden Sie in Sicherheit und Schutz in Windows Vista (möglicherweise in englischer Sprache) unter http://www.microsoft.com/technet/windowsvista/secprot/default.mspx und dem Windows XP-Sicherheitshandbuch unter http://go.microsoft.com/fwlink/?LinkId=14839.

Benutzerkontensteuerung

Obwohl die Anmeldung bei einem Computer als Standardbenutzer (unter Windows XP bekannt als Benutzer mit beschränkten Rechten – Benutzer, die nur Mitglieder der lokalen Benutzergruppe sind) besseren Schutz vor Malware bietet, war die Arbeit mit dieser Art von Konto so schwierig, dass viele Benutzer sich für die Verwendung von Administratorrechten entschieden haben. Die Benutzerkontensteuerung von Windows Vista (User Account Control, UAC – nur verfügbar in Windows Vista) bietet die Vorteile von Standardbenutzerkonten ohne die Einschränkungen. Erstens werden alle Benutzer (einschließlich Administratoren) standardmäßig mit begrenzten Berechtigungen ausgeführt. Zweitens ermöglicht Windows Vista Standardbenutzerkonten, die Systemzeit zu ändern und weitere gängige Aufgaben durchzuführen, ohne administrative Anmeldeinformationen bereitstellen zu müssen. Dadurch können Unternehmen mehr Benutzer mit Standardkonten konfigurieren. Drittens ermöglicht die Benutzerkontensteuerung die richtige Ausführung der meisten Anwendungen, selbst jener, für die unter dem Betriebssystem Windows XP Administratorrechte erforderlich waren.

Ausführliche Informationen zu Windows Vista UAC finden Sie in „Funktionsweise und Konfiguration von UAC in Windows Vista“ (möglicherweise in englischer Sprache) unter http://www.microsoft.com/technet/WindowsVista/library/00d04415-2b2f-422c-b70e-b18ff918c281.mspx. Weitere Informationen zum Verwenden der Sicherheit mit geringsten Rechten in Windows XP finden Sie in „Anwenden des Prinzips der geringsten Rechte auf Benutzerkonten in Windows XP“ unter http://go.microsoft.com/fwlink/?linkid=58445.

Windows-Firewall

Mit Windows Vista wird die Windows-Firewall eingeführt, die eine Verbesserung zur Windows-Firewall in Windows XP SP2 darstellt. Die Windows-Firewall ist eine Kombination aus Hostfirewall und Internetprotokollsicherheit (Internet Protocol Security, IPSec). Im Gegensatz zu einer Umkreisfirewall wird sie auf jedem Computer unter Windows Vista ausgeführt und stellt lokalen Schutz vor Netzwerkangriffen bereit, die das Umkreisnetzwerk durchdringen könnten oder ihren Ursprung innerhalb des Unternehmens haben. Außerdem wird eine Verbindungssicherheit zwischen Computern bereitgestellt, mit der Mitglieder des SicherheitsFeature-Teams Authentifizierung und Datenschutz für alle Kommunikationen fordern können.

Die Windows-Firewall ist eine statusbehaftete Firewall. Deshalb prüft und filtert sie sowohl unter Windows XP als auch unter Windows Vista jeglichen Datenverkehr über TCP/IP Version 4 (IPv4) und unter Windows Vista nur Datenverkehr über TCP/IP Version 6 (IPv6). Unerwünscht eingehender Datenverkehr wird gelöscht, es sei denn, es handelt sich um eine Antwort auf eine Anforderung durch den Host (angeforderter Datenverkehr), oder der Datenverkehr wird ausdrücklich zugelassen (das heißt, er wurde der Ausnahmenliste hinzugefügt). Ausgehender Datenverkehr wird ebenfalls standardmäßig gefiltert, obwohl viele gängige Anwendungen auf das Netzwerk zugreifen dürfen. Mitglieder des SicherheitsFeature-Teams können Datenverkehr gemäß Anwendungsname, Dienstname, Portnummer, Zielnetzwerk, Domänenmitgliedschaft oder weiteren Kriterien der Ausnahmenliste hinzufügen, indem Einstellungen der Windows-Firewall konfiguriert werden.

Verwenden Sie bei zugelassenem Datenverkehr die Windows-Firewall, um zu fordern, dass Computer sich vor der Kommunikation gegenseitig authentifizieren, und bei der Kommunikation Datenintegrität und Datenverschlüsselung verwenden.

In Windows Vista hat die Windows-Firewall viele neue Funktionen, einschließlich:

  • Integration der Verwaltung in IPSec.

  • Neue Benutzer- und Befehlszeilenoberflächen.

  • Unterstützung für IPv6.

  • Ausgehende Filterung.

  • Windows-Diensthärtung, wodurch die Aktionen eingeschränkt werden, die ein Dienst ausführen kann, um den Schaden zu verringern, der durch einen Sicherheitskompromiss verursacht wird.

  • Vollständige Integration von Gruppenrichtlinien.

  • Filterung nach neuen Eigenschaften:

    • Active Directory-Gruppen (autorisierte Benutzer und autorisierte Computer)

    • ICMP-Erweiterungen (Internet Control Message Protocol)

    • IP-Adresslisten

    • Portlisten

    • Dienstnamen

    • Authentifiziert (d. h., eine Verbindung wird nur zugelassen, wenn sie mit IPSec authentifiziert wurde)

    • Verschlüsselt (d. h., eine Verbindung wird nur zugelassen, wenn sie mit IPSec authentifiziert und verschlüsselt wurde)

    • Schnittstellentyp

  • IP-Authentifizierung (die Möglichkeit, über zwei Authentifizierungsvorgänge in Folge und zusätzliche Benutzeranmeldeinformationen zu verfügen).

  • Anwendungsbasierte IPSec-Richtlinien.

  • Autorisierungsumgehung pro Port.

  • Vereinfachte IPSec-Richtlinie.

  • Remoteverwaltung.

Ausführliche Informationen zur Windows-Firewall finden Sie in „Verbesserungen an Sicherheit und Datenschutz in Windows Vista“ (möglicherweise in englischer Sprache) unter http://www.microsoft.com/technet/windowsvista/evaluate/feat/secfeat.mspx.

Angriffserkennung

Die Angriffserkennung überwacht die Aktivität im Netzwerk und kann Administratoren in Echtzeit vor verdächtigen Sicherheitsereignissen warnen. Wenn beispielsweise ein neuer Wurm das Netzwerk angreift, könnte ein Angriffserkennungssystem Mitglieder des SicherheitsFeature-Teams auf verdächtige Netzwerkaktivitäten aufmerksam machen. Das Team ist frühzeitig gewarnt und kann Sicherheitseinrichtungen anpassen, um die Ausbreitung des Wurms zu beschränken.

Ohne Angriffserkennungssystem ist es sehr wahrscheinlich, dass erfolgreiche Angriffe unbemerkt bleiben. Unentdeckte Exploits können gewieften Angreifern einen dauerhaften Zugriffspunkt auf das Netzwerk und vertrauliche Daten bereitstellen.

Wie jede Gegenmaßnahme bei Sicherheitsproblemen haben Angriffserkennungssysteme ihren Preis. Für eine typische Lösung wäre eine Kombination von Microsoft- und Microsoft-fremder Software erforderlich. Angriffserkennungssysteme tendieren dazu, sowohl in der Konfiguration als auch in der Verwaltung komplex zu sein. Außerdem müssen die Systeme angepasst werden, um die Anforderungen der Netzwerk- und der Sicherheitsbetriebsteams zu erfüllen. Insbesondere müssen Mitglieder des SicherheitsFeature-Teams Filter entwickeln, um zwischen bedeutsamen und bedeutungslosen Ereignissen zu unterscheiden. Automatisierte Netzwerkangriffe finden im Internet ständig statt, und das Verwalten der Warnungen für solche Angriffe kann zeitaufwändig sein.

Obwohl Windows nicht über integrierte Angriffserkennungstechnologien verfügt, enthält es Protokollierungs- und Überwachungsfunktionen, die einem Angriffserkennungssystem Informationen bereitstellen können. Ausführliche Informationen zur Angriffserkennung finden Sie unter The Security Monitoring and Attack Detection Planning Guide (in englischer Sprache) unter http://www.microsoft.com/technet/security/topics/auditingandmonitoring/securitymonitoring/default.mspx.

Datenschutztechnologien

Da jedes Jahr Hunderttausende von Computern verloren gehen oder gestohlen werden, sind Kunden um die Datensicherheit besorgt. Wenn derzeit ein System verloren geht oder gestohlen wird, kann jeder auf dessen Inhalte zugreifen, der ein Programm herunterladen kann. Das aktuelle Kennwort und die Verschlüsselungsmethoden können z. B. umgangen werden, indem Wiederherstellungssoftware aus dem Internet verwendet wird, die auf den Datenträger zugreift, wenn das Betriebssystem Windows offline ist. Selbst wenn die Daten auf einem verloren gegangenen oder gestohlenen Computer nicht vertraulich sind, kann mit dieser Methode auf ein Unternehmensnetzwerk zugegriffen werden, das vertrauliche Daten enthält.

In diesem Abschnitt erhalten Sie einen Überblick über Datenschutztechnologien, die das SicherheitsFeature-Team während der Zielsetzungsphase der Desktopbereitstellung berücksichtigen sollte.

BitLocker-Laufwerkverschlüsselung

Mithilfe der BitLocker™-Laufwerkverschlüsselung (nur in Windows Vista verfügbar) können Unternehmen das Risiko verringern, vertrauliche Daten zu verlieren, wenn der tragbare Computer eines Benutzers gestohlen wird. Durch dessen Verschlüsselung ganzer Laufwerke wird der symmetrische Schlüssel in einem TPM 1.2-Chip (Trusted Platform Module) oder einem USB-Flashlaufwerk (Universal Serial Bus) versiegelt. Ein TPM-Chip ist eine Hardwarekomponente, die in einigen neueren Computern verfügbar ist und in der Schlüssel, Kennwörter und digitale Zertifikate gespeichert werden.

In der BitLocker-Laufwerkverschlüsselung werden auch Messungen von wichtigen Betriebssystemdateien im TPM-Chip oder USB-Flashlaufwerk gespeichert. Bei jedem Start des Computers überprüft Windows Vista, ob die Betriebssystemdateien durch einen Offlineangriff geändert wurden. Ein Offlineangriff ist ein Szenario, bei dem ein Angreifer ein alternatives Betriebssystem startet, um die Kontrolle über das System zu erhalten. Wenn die Dateien geändert wurden, warnt Windows Vista den Benutzer und verweigert die Freigabe des Schlüssels, der für den Zugriff auf das Betriebssystem erforderlich ist. Das System wechselt dann in einen Wiederherstellungsmodus, in dem der Benutzer aufgefordert wird, einen Wiederherstellungsschlüssel bereitzustellen, um Zugriff auf das Startvolume zu ermöglichen.

Hinweis:   Die BitLocker-Laufwerkverschlüsselung bietet Schutz für die Windows-Partition und ist kein Ersatz für EFS. Die BitLocker-Laufwerkverschlüsselung bietet keine Verschlüsselung von Daten, die außerhalb der Windows-Partition gespeichert werden. Sie stellt jedoch eine zusätzliche Sicherheitsstufe für EFS zur Verfügung, indem die EFS-Schlüssel innerhalb der Windows-Partition verschlüsselt werden. Außerdem stellt EFS eine zusätzliche Sicherheitsstufe bereit, wenn mehrere Benutzer dieselbe Partition verwenden. Ein Benutzer kann sowohl die BitLocker-Laufwerkverschlüsselung als auch EFS aktivieren, oder auch eine der beiden Technologien für sich. Wenn EFS deaktiviert ist, funktioniert die BitLocker-Laufwerkverschlüsselung weiterhin und umgekehrt.

Weitere Informationen zu den Vorteilen der BitLocker-Laufwerkverschlüsselung finden Sie in „Sicherer Start – Laufwerkverschlüsselung: Kurzübersicht“ (möglicherweise in englischer Sprache) unter http://www.microsoft.com/whdc/system/platform/pcdesign/secure-start_exec.mspx und auf der Homepage für die BitLocker-Laufwerkverschlüsselung unter http://www.microsoft.com/technet/windowsvista/security/bitlockr.mspx.

Weitere Informationen zur TPM-Dienstarchitektur und Plattformkomponenten in Windows Vista finden Sie in „TPM-Dienste in Windows Longhorn“ (möglicherweise in englischer Sprache) unter http://www.microsoft.com/resources/ngscb/WinHEC05.mspx.

Weitere Informationen zu den TCG-Spezifikationen (Trusted Computing Group) sowie Informationen zum TPM finden Sie auf der TCG-Website unter http://www.trustedcomputinggroup.org.

EFS

EFS ist ein Dateiverschlüsselungssystem, das im Dateisystem NTFS zur Verfügung steht. EFS ist für Endbenutzer völlig transparent, da verschlüsselte Dateien sich genau so verhalten wie nicht verschlüsselte. Wenn ein Benutzer jedoch nicht über den richtigen Entschlüsselungsschlüssel verfügt, kann die Datei nicht geöffnet werden, selbst wenn ein Angreifer die Betriebssystemsicherheit umgeht. Es ist möglich, einzelne Dateien zu verschlüsseln. Doch wenn Benutzer einen Ordner verschlüsseln, werden alle Dateien, die innerhalb des Ordners erstellt werden, ebenfalls verschlüsselt.

EFS eignet sich insbesondere zum Sichern vertraulicher Daten auf tragbaren Computern bzw. auf Computern, die von mehreren Benutzern verwendet werden. Beide Arten von Systemen sind anfällig gegenüber Angriffen durch Techniken, die die Einschränkungen von Zugriffssteuerungslisten (ACLs) umgehen. Ein Angreifer kann einen Computer stehlen, die Festplatten entfernen, die Datenträger in ein anderes System einbauen und Zugriff auf die gespeicherten Dateien erlangen. Dateien, die mit EFS verschlüsselt sind, werden jedoch als unverständliche Zeichen angezeigt, wenn der Angreifer nicht über den Entschlüsselungsschlüssel verfügt.

Windows Vista enthält neue Features für das EFS, einschließlich:

  • Unterstützung von Smartcards. Bietet starken Schutz für Szenarios mit tragbaren und gemeinsam genutzten Computern

  • Clientseitige Verschlüsselung. Verbesserte Sicherheit und Schutz vor böswilligen Serveradministratoren

  • Zentralisierte Verwaltung. Verbesserte Verwaltung von Schutzrichtlinien

Weitere Informationen zu den EFS-Funktionen in Windows Vista finden Sie im Microsoft TechNet-Dokument „Verbesserungen der Sicherheit und des Datenschutzes in Windows“ unter http://www.microsoft.com/technet/windowsvista/evaluate/feat/secfeat.mspx.

Ausführliche Informationen zu EFS-Technologien in Windows finden Sie im Windows XP Professional Ressource Kit unter http://www.microsoft.com/resources/documentation/windows/xp/all/reskit/en-us/prnb_efs_awzg.asp.

Rechteverwaltungsdienste

Bei den Microsoft Windows-Rechteverwaltungsdiensten (Rights Management Services, RMS) handelt es sich um eine Informationsschutztechnologie, die mit RMS-fähigen Anwendungen zusammenarbeitet, um digitale Informationen sowohl online als auch offline, innerhalb und außerhalb der Firewall, vor nicht autorisierter Verwendung zu schützen. Dieses Produkt wurde für Unternehmen entwickelt, die vertrauliche und proprietäre Informationen schützen müssen, z. B. Finanzberichte, Produktspezifikationen, Kundendaten und vertrauliche E-Mail-Nachrichten.

RMS verbessert die Sicherheitsstrategie eines Unternehmens durch die Bereitstellung des Schutzes von Informationen durch persistente Nutzungsrichtlinien (auch bekannt als Nutzungsrechte und -bedingungen), die bei den Informationen bleiben, gleichgültig, wohin diese gelangen. RMS schützt beständig jedes binäre Datenformat, sodass die Nutzungsrechte bei den Informationen bleiben, sogar beim Transport. Die Rechte bestehen also auch außerhalb des Netzwerks eines Unternehmens. Durch diese Funktionalität wird das Unternehmen außerdem befähigt, Nutzungsrechte durchzusetzen, nachdem ein autorisierter Empfänger auf die Informationen zugegriffen hat, sowohl online als auch offline, innerhalb und außerhalb des Unternehmens.

Ausführliche Informationen zu RMS finden Sie auf der Microsoft RMS-Site unter http://www.microsoft.com/windowsserver2003/technologies/rightsmgmt.

Windows Defender

Spyware ist ein allgemeiner Begriff, der für Software verwendet wird, die bestimmte Aktionen durchführt wie das Anzeigen von Werbung, das Sammeln persönlicher Informationen oder das Ändern der Konfiguration des Computers eines Benutzers. Dies geschieht im Allgemeinen ohne Zustimmung des Benutzers. Ferner ist für diese Art von Software in der Regel Interaktion mit dem Kunden erforderlich, um zu ermitteln, ob eine korrekte Zustimmung eingeholt wurde. Spyware unterscheidet sich von Viren, bei denen es sich um schädliche Programme handelt, die sich replizieren und Computer ohne Zustimmung infizieren.

Die Auswirkungen von Spyware auf Benutzercomputer reichen von kleinen Problemen bis zu einer ernsthaften Beeinträchtigung der Leistung, der Sicherheit und des Datenschutzes. Unten sind einige der gängigsten Symptome aufgeführt:

  • Nicht autorisierte Popupwerbung, auch wenn nicht im Internet gesurft wird

  • Eine Änderung an der Browserhomepage oder Standardsuchmaschine ohne Benutzerzustimmung, die häufig Versuchen widersteht, diese Änderung rückgängig zu machen

  • Eine neue und unerwünschte Symbolleiste im Browser, die häufig Versuchen widersteht, sie zu entfernen

  • Eine plötzliche und drastische Verringerung der Computerleistung

  • Vermehrte Abstürze des Betriebssystems, des Webbrowsers und anderer Anwendungen

Windows Vista stellt das Blockieren von Spyware in Echtzeit zur Verfügung, um potenziell unerwünschte Software daran zu hindern, sich zu installieren. Mit den in Windows Vista integrierten Antimalwarefunktionen wird schädliche Software entfernt. Benutzer haben eine bessere Kontrolle über die Software auf ihren Computern.

Weitere Informationen zu Windows Defender (früher Microsoft Windows AntiSpyware) finden Sie auf der Microsoft Windows Antispyware-Site unter http://www.microsoft.com/athome/security/spyware/software. Windows Defender wird auch für Windows XP frei verfügbar sein.

Sicherheitsfunktionen in Internet Explorer 7

Windows Internet Explorer® 7 konzentriert sich auf wichtige Änderungen der Sicherheitsarchitektur, die dynamischen Schutz gegen Datendiebstahl, betrügerische Websites und schädliche und verborgene Software bietet, und stellt außerdem Verbesserungen an der Plattform für Webentwickler zur Verfügung. Microsoft hat an Internet Explorer 7 architektonische Verbesserungen vorgenommen, damit der Browser weniger zur Zielscheibe für Hacker und andere potentielle Angreifer wird und Benutzer in aller Ruhe im Internet surfen können. Wenn die Sicherheit verstärkt wird, geschieht dies oft zu Lasten der Kompatibilität und Erweiterbarkeit. Bei Internet Explorer 7 arbeitet Microsoft hart daran, die Einhaltung dieses Gleichgewichts sicherzustellen, damit Benutzer das bestmögliche Surferlebnis erfahren.

Die neuen Sicherheitsfunktionen von Internet Explorer 7 sind:

  • Geschützter Modus. Verringert das Risiko der automatischen Installation von schädlichem Code

  • Verbesserte domänenübergreifende Barrieren. Schutz vor Spoofing

  • Phishingfilter. Antiphishing-Warnungen und Blockieren

  • Adressleiste. In jedem Fenster sichtbar

  • „One-Click-Bereinigung“. Löscht zwischengespeicherte Seiten, Kennwörter und Verlauf

  • ActiveX-Anmeldung. Stellt die Benutzerzustimmung sicher, bevor Microsoft ActiveX®-Steuerelemente ausgeführt werden

  • Zurücksetzen auf Werkseinstellungen. Setzt den Browser auf eine saubere Konfiguration zurück

Weitere Informationen zu den erweiterten Sicherheitsfunktionen von Internet Explorer 7 finden Sie in der Technologieübersicht zu Internet Explorer 7 Beta 3 (möglicherweise in englischer Sprache) unter http://www.microsoft.com/windows/ie/ie7/about/default.mspx.

Windows-Diensthärtung

Die Windows-Diensthärtung, eine neue Funktion in Windows Vista, hält kritische Windows-Dienste davon ab, nicht ordnungsgemäße Aktivitäten im Dateisystem, in der Registrierung, im Netzwerk oder anderen Ressourcen durchzuführen, die dazu verwendet werden könnten, die Installation von Malware zuzulassen oder andere Computer anzugreifen. So kann der Dienst des Remoteprozeduraufrufs (Remote Procedure Call, RPC) davon abgehalten werden, Systemdateien zu ersetzen oder die Registrierung zu verändern.

Im Hinblick auf die Quantität des gesamten, immer aktiven Codefootprints im System und die Berechtigungsstufe dieses Codes machen Dienste einen großen Prozentsatz der Gesamtangriffsfläche von Windows aus. Windows Vista beschränkt die Anzahl der Dienste, die standardmäßig ausgeführt werden und betriebsbereit sind. Heutzutage werden viele Systemdienste und Microsoft-fremde Dienste im Konto „LocalSystem“ ausgeführt, in dem eine Sicherheitsverletzung dem lokalen Computer uneingeschränkt schaden könnte, einschließlich Datenträgerformatierung, Benutzerdatenzugriff oder Treiberinstallation.

Durch die Windows-Diensthärtung wird das Schadenspotential eines beeinträchtigten Diensts verringert, indem folgende neue Konzepte eingeführt werden:

  • Die Einführung einer Sicherheits-ID (SID) pro Dienst ermöglicht eine Identität pro Dienst. Anschließend kann die Zugriffssteuerung mithilfe des in Windows vorhandenen Zugriffssteuerungsmodells partitioniert werden, das alle Objekte und Ressourcen-Manager abdeckt, die ACLs verwenden. Dienste können jetzt explizit ACLs auf Ressourcen anwenden, die nur für den Dienst gelten. Dadurch wird verhindert, dass sowohl andere Dienste als auch der Benutzer auf die Ressource zugreifen.

  • Durch das Verschieben von Diensten aus dem Konto „LocalSystem“ in ein Konto mit niedrigeren Berechtigungen, etwa LocalService oder NetworkService, wird die Gesamtberechtigungsstufe des Diensts verringert. Dies ähnelt den Vorteilen der Benutzerkontensteuerung.

  • Entfernen unnötiger Windows-Berechtigungen pro Dienst, z. B. die Möglichkeit zum Debuggen.

  • Wenn der Satz von Objekten, in die der Dienst schreibt, gebunden ist und konfiguriert werden kann, kann ein Token mit eingeschränktem Schreiben auf den Dienstprozess angewendet werden. Schreibversuche in Ressourcen, die der Dienst-SID keinen expliziten Zugriff gewähren, schlagen fehlt.

  • Diensten werden Netzwerkfirewallrichtlinien zugewiesen, durch die Netzwerkzugriff außerhalb des normalen Bereichs des Dienstprogramms verhindert wird. Die Firewallrichtlinie ist direkt mit einer SID pro Dienst verknüpft.

Anzeigen: