Windows Vista Security P1

Chia sẻ: Vong Phat | Ngày: | Loại File: PDF | Số trang:30

0
48
lượt xem
5
download

Windows Vista Security P1

Mô tả tài liệu
  Download Vui lòng tải xuống để xem tài liệu đầy đủ

Eines der wohl meisterwähntesten und aufsehenerregendsten Features von Windows Vista ist die Benutzerkontensteuerung (User Account Control, UAC). Bereits lange vor dem Launch von Windows Vista wurde viel über diese neue Funktion berichtet, die dem neuesten Clientbetriebssystem mehr Sicherheit einhauchen soll, und auch heute wird bei Aufzählungen der Windows Vista-Highlights oft zuerst die Benutzerkontensteuerung erwähnt. Grundsätzlich geht es bei dieser Funktion darum, dass Benutzer für tägliche Aufgaben keine Administrationsrechte mehr benötigen...

Chủ đề:
Lưu

Nội dung Text: Windows Vista Security P1

  1. Zehner Windows Vista Security
  2. Marcel Zehner Windows Vista Security
  3. Der Autor: Marcel Zehner, smart dynamic ag, Bern Alle in diesem Buch enthaltenen Informationen, Verfahren und Darstellungen wurden nach bestem Wissen zusammengestellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund sind die im vorliegenden Buch enthaltenen Informationen mit keiner Verpflich- tung oder Garantie irgendeiner Art verbunden. Autoren und Verlag übernehmen infolgedessen keine juristische Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen – oder Teilen davon – entsteht. Ebenso übernehmen Autoren und Verlag keine Gewähr dafür, dass beschriebene Verfahren usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbe- zeichnungen usw. in diesem Buch berechtigt deshalb auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Bibliografische Information Der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar. Dieses Werk ist urheberrechtlich geschützt. Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung des Buches, oder Teilen daraus, vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form (Fotokopie, Mikrofilm oder ein anderes Verfahren) – auch nicht für Zwecke der Unterrichtsgestaltung – reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, ver- vielfältigt oder verbreitet werden. © 2007 Carl Hanser Verlag München Gesamtlektorat: Fernando Schneider Sprachlektorat: Sandra Gottmann, Münster-Nienberge Herstellung: Monika Kraus Umschlagdesign: Marc Müller-Bremer, Rebranding, München Umschlaggestaltung: MCP · Susanne Kraus GbR, Holzkirchen Datenbelichtung, Druck und Bindung: Kösel, Krugzell Ausstattung patentrechtlich geschützt. Kösel FD 351, Patent-Nr. 0748702 Printed in Germany ISBN 978-3-446-41356-6 www.hanser.de/computer
  4. Inhalt Einleitung............................................................................................................................. 1 1 Benutzerkontensteuerung....................................................................................... 5 1.1 Lokales Administratorenkonto – deaktiviert!...........................................................................6 1.2 Standardbenutzerrechte – ein entscheidender Vorteil! .............................................................8 1.3 Verwaltung von Windows Vista – Rechteerhöhung bei Bedarf!..............................................9 1.4 Anwendungen mit Standardbenutzerrechten ausführen – eine wahre Herausforderung! .......13 1.5 Steuerung mittels Gruppenrichtlinien.....................................................................................21 1.6 Deaktivieren der Benutzerkontensteuerung............................................................................27 1.7 Für Entwickler........................................................................................................................29 1.8 Rückblick ...............................................................................................................................29 2 Integritätskontrolle mit Verbindlichkeitsstufen................................................... 31 2.1 Der neue Schutzmechanismus von Windows Vista ...............................................................31 2.2 Verfügbare Verbindlichkeitsstufen und Richtlinien ...............................................................32 2.3 Verbindlichkeitsstufen für Objekte ........................................................................................33 2.4 Verbindlichkeitsstufen für Prozesse .......................................................................................38 2.5 Verbindlichkeitsstufen von Benutzerkonten ..........................................................................40 2.6 Rückblick ...............................................................................................................................42 3 Internet Explorer 7 ................................................................................................. 43 3.1 Umfassender Schutz durch mehrere Sicherheitsschichten .....................................................43 3.1.1 Schutzschicht 1 – Adressleistensicherheit und IDN-Unterstützung..........................44 3.1.2 Schutzschicht 2 – Sicherheitsstatusanzeige, Zertifikatsverwaltung und Phishing-Filter ..........................................................................................................45 3.1.3 Schutzschicht 3 – Warnung bei unsicheren Einstellungen........................................52 3.1.4 Schutzschicht 4 – Reduzierte Angriffsoberfläche.....................................................54 3.1.5 Schutzschicht 5 – ActiveX Opt-In............................................................................54 3.1.6 Schutzschicht 6 – Dateiausführungsverhinderung (Data Execution Prevention, DEP) ..........................................................................55 3.1.7 Schutzschicht 7 – Geschützter Modus......................................................................56 V
  5. Inhalt 3.1.8 Webseite mit IE7-Demos .........................................................................................57 3.2 Weitere Sicherheitseinstellungen ........................................................................................... 58 3.2.1 Sicherheitszonen ...................................................................................................... 58 3.2.2 Datenschutzeinstellungen......................................................................................... 61 3.2.3 Zertifikatsverwaltung ............................................................................................... 63 3.2.4 Löschen von persönlichen Informationen ................................................................65 3.3 Konfiguration über Gruppenrichtlinien.................................................................................. 65 3.4 Installation von ActiveX-Elementen steuern ......................................................................... 67 3.5 Rückblick...............................................................................................................................71 4 Schützen von Daten und Betriebssystemdateien............................................... 73 4.1 Das NTFS-Dateisystem ......................................................................................................... 73 4.1.1 Lokale Sicherheit auf Datei- und Ordnerebene – Jumpstart und Refresh!............... 75 4.1.2 Besitzer von Systemobjekten ................................................................................... 76 4.1.3 Umleitungen im Dateisystem ...................................................................................78 4.1.4 Verbindlichkeitsstufen – Sie erinnern sich? .............................................................80 4.1.5 Kontrolle ist gut, Überwachung ist besser................................................................81 4.2 Das verschlüsselte Dateisystem (Encrypting File System, EFS)............................................87 4.2.1 Lösungen ohne Zertifizierungsstelle ........................................................................90 4.2.2 Lösungen mit einer Windows Server-Zertifizierungsstelle ......................................98 4.2.3 Steuerung über Gruppenrichtlinien ........................................................................ 112 4.2.4 Noch etwas zum Abschluss von EFS .....................................................................116 4.3 Partitionsverschlüsselung mit BitLocker.............................................................................. 116 4.3.1 BitLocker einrichten............................................................................................... 120 4.3.2 BitLocker über die Kommandozeile verwalten ...................................................... 126 4.3.3 Wiederherstellung .................................................................................................. 127 4.3.4 Schlüsselspeicherung im Active Directory............................................................. 128 4.3.5 Gruppenrichtlinien für BitLocker-Konfiguration ...................................................132 4.4 Rückblick............................................................................................................................. 136 5 Update-Management ........................................................................................... 137 5.1 Automatische Updates über Microsoft Update .................................................................... 138 5.2 Windows Server Update Services (WSUS) .........................................................................142 5.2.1 Installation von WSUS...........................................................................................142 5.2.2 WSUS-Basiskonfiguration .....................................................................................147 5.2.3 Computergruppen................................................................................................... 154 5.2.4 WSUS-Clients konfigurieren ................................................................................. 155 5.2.5 WSUS-Clients registrieren ..................................................................................... 159 5.2.6 Updates verwalten .................................................................................................. 159 5.3 Rückblick............................................................................................................................. 161 6 Sicherer Netzwerkbetrieb.................................................................................... 163 6.1 Netzwerkverbindungen ........................................................................................................ 163 6.1.1 LAN-Verbindungen ...............................................................................................165 6.1.2 WLAN-Verbindungen............................................................................................ 170 6.1.3 Virtuelle private Netzwerke (VPN)........................................................................ 180 VI
  6. Inhalt 6.2 Die Windows-Firewall .........................................................................................................183 6.2.1 Netzwerktypen für Netzwerke festlegen.................................................................186 6.2.2 Die Standardkonsole der Windows-Firewall ..........................................................188 6.2.3 Die erweiterte Konsole der Windows-Firewall ......................................................191 6.2.4 Firewall-Konfiguration mithilfe von Gruppenrichtlinien .......................................205 6.3 IPsec ohne Firewall..............................................................................................................205 6.3.1 IPsec-Konfiguration über Gruppenrichtlinien ........................................................210 6.4 Rückblick .............................................................................................................................211 7 Erweiterter Schutz vor Malware und Viren ........................................................ 213 7.1 Automatische Updates .........................................................................................................217 7.2 Echtzeitschutz zum Erkennen neuer unerwünschter Programme .........................................218 7.3 Manuelle Scans zum Suchen nach bereits installierten Spyware-Programmen....................219 7.4 Verlauf .................................................................................................................................220 7.5 Extras ...................................................................................................................................221 7.5.1 Optionen .................................................................................................................222 7.5.2 Microsoft SpyNet ...................................................................................................224 7.5.3 Unter Quarantäne ...................................................................................................226 7.5.4 Software-Explorer ..................................................................................................227 7.6 Informationen in der Ereignisanzeige ..................................................................................228 7.7 Konfiguration über Gruppenrichtlinien ................................................................................229 7.8 Rückblick .............................................................................................................................232 8 Windows-Dienste absichern ............................................................................... 233 8.1 Dienst- und Systemkonten ...................................................................................................233 8.2 Viele Dienste standardmäßig nicht ausgeführt .....................................................................237 8.3 Dienste werden mit tiefstmöglichen Rechten und isoliert ausgeführt ..................................237 8.4 Dienste können für den Netzwerkbetrieb eingeschränkt werden..........................................241 8.5 Isolation der „Session 0“......................................................................................................242 8.6 Rückblick .............................................................................................................................244 9 Hardware und Treiber.......................................................................................... 245 9.1 Neue Gruppenrichtlinieneinstellungen .................................................................................246 9.2 Treibersignaturen .................................................................................................................253 9.3 Rückblick .............................................................................................................................255 10 Benutzerkonten und Kennwörter ....................................................................... 257 10.1 Übersicht zur Benutzerauthentifizierung..............................................................................257 10.1.1 Kennwortspeicherung.............................................................................................258 10.1.2 Übertragung über das Netzwerk .............................................................................259 10.2 Schutz der lokalen Benutzerdatenbank von Windows Vista ................................................264 10.3 Kennwortrichtlinien und Kontosperrung..............................................................................265 10.4 Dienstkonten ........................................................................................................................271 10.5 Ausbildung, Ausbildung, Ausbildung ..................................................................................271 10.6 Rückblick .............................................................................................................................272 VII
  7. Inhalt 11 Verschiedene Sicherheitseinstellungen ............................................................ 273 11.1 Kernel Patch Protection (PatchGuard) ................................................................................. 273 11.2 Code-Integrität..................................................................................................................... 274 11.3 Address Space Layout Randomization (ASLR)...................................................................275 11.4 Remotedesktopverbindungen............................................................................................... 276 11.5 Software Restriction Policies ............................................................................................... 279 11.6 Rückblick............................................................................................................................. 285 Register............................................................................................................................ 287 VIII
  8. Einleitung Sicherheit, Sicherheit, Sicherheit. Überall in der Welt der Informationstechnologie geht es nur noch um dieses eine Thema. Nur noch? Natürlich nicht, aber Sicherheit ist mittlerweile zum „Top Concern“, also zum Thema Nummer eins, vieler Firmen geworden. In einer vernetzten Welt, in der jeder mit jedem kommunizieren kann, alle erdenklichen Informati- onen in öffentlichen Netzwerken abgerufen werden können und Firmennetzwerke von je- dem Punkt dieser Welt aus zugänglich sind, existiert auch eine Reihe von Risiken. Und diese Risiken sind enorm. Ereignisse wie beispielsweise das Täuschen von Benutzern, der Zugriff auf fremde Informationen oder das Außerkraftsetzen von Diensten gehören leider mittlerweile zur Tagesordnung. Unter dem Deckmantel des Internets lässt sich leicht eine kriminelle Tat begehen, ohne dass es möglich ist, jemals herauszufinden, woher und von wem ein Angriff ausgeübt worden ist. Aber damit müssen wir lernen zu leben, und in naher Zukunft wird sich das bestimmt nicht zum Besseren ändern. Was aber kann dagegen unternommen werden? Wie kann man sich schützen, um die Angriffsfläche der eigenen Firmeninfrastruktur zu minimieren? Wie kann ich meine Firma schützen und sicher machen? Die Kurzantwort auf diese Frage lautet: Ihr Netzwerk wird niemals sicher sein – es lässt sich bestenfalls optimal schützen. Selbst wenn Sie jedes verfügbare Sicherheitstool dieser Welt installieren, wird das der Fall sein. Wes- halb das denn nun wieder? Nun, Sicherheit ist komplex, vielschichtig und dynamisch. In einem Sicherheitskonzept müssen deshalb verschiedenste Bereiche, Komponenten und Prozesse eingebunden werden, die weit über die Grenzen der Informationstechnologie hin- ausreichen. Technische Sicherheit in der IT reicht dabei bei Weitem nicht aus. Deshalb wird das Buch, das Sie in den Händen halten (oder natürlich das PDF, das Sie lesen), auch nicht alle Bereiche abdecken können. Das soll es aber auch nicht. Es soll sich auf einen einzigen Bereich fokussieren, und das ist das Client-Betriebssystem Windows Vista. Sicherheit bei Client-Betriebssystemen Mit diesem Buch möchte ich Ihnen, liebe Leserinnen und Leser, die neuen Abwehrmecha- nismen, die Windows Vista bietet, ein bisschen genauer aufzeigen und erklären, wie diese in einer Firmenumgebung eingesetzt werden können, um die Gesamtsicherheit der IT- Landschaft entscheidend zu erhöhen. Dabei geht es mir einerseits darum aufzuzeigen, wel- 1
  9. Einleitung che Mechanismen Windows Vista für den Schutz des Betriebssystems bietet und wie Sie diese konfigurieren können, andererseits aber auch darum, dass Sie verstehen, was diese Einstellungen genau bedeuten. Ich bin überzeugt, dass umfangreiches und tiefes Sicher- heitsdenken und -verständnis nur dann möglich ist, wenn auch die Hintergründe von Diensten, Konfigurationen oder von was auch immer verständlich sind. Ich zeige Ihnen daher in diesem Buch auch auf, wie Windows Vista mit Ihren Konfigurationen umgeht und was hinter den Kulissen alles vor sich geht. Ein nicht unwesentlicher Baustein einer solchen Sicherheitsarchitektur stellen Clients dar. Clients sind diejenigen Komponenten, die am häufigsten vertreten sind (in den meisten Fällen jedenfalls), und sie werden unter anderem genutzt, um mit unbekannten Partnern zu kommunizieren. Wie bitte? Unbekannte Partner? Viele Clients arbeiten mit Internetres- sourcen, und dabei handelt es sich um Webserver, Webseiten und Webdienste, die nicht vertrauenswürdig, meistens komplett unbekannt sind. Dieser Kommunikationspfad vom internen Netzwerk zur Außenwelt ist nicht vertrauenswürdig und muss ganz besonders ge- sichert werden, einerseits mit zentralen Komponenten wie beispielsweise einer Firewall- oder Proxy-Infrastruktur, andererseits aber auch auf dem Endgerät selber, nämlich dem Client. Es ist auch möglich, dass mobile Clients das firmeninterne Netzwerk verlassen und sich mit fremden, unbekannten Netzwerken verbinden. Was in diesem Zustand dann genau passiert, lässt sich nicht detailliert nachvollziehen. Fakt ist aber, dass diese Geräte zu ei- nem späteren Zeitpunkt wieder am Firmennetzwerk angebunden werden. Da nicht bekannt ist, was in der Zwischenzeit mit diesen Geräten passiert ist, besteht auch hier ein erhöhtes Risiko. Die Liste mit solchen Beispielen lässt sich fast endlos weiterführen. Wichtig ist mir per- sönlich, dass die gezeigten Beispiele zum Nachdenken anregen. Gibt es solche Szenarien auch in meiner Firma? Wie arbeiten unsere Anwender mit ihren Clients? Habe ich über- haupt in irgendeiner Art und Weise die Kontrolle über meine Clients? Sind meine Anwen- der geschult, und wissen sie, wie sie sich verhalten müssen? Im Ungang mit E-Mail? Im Umgang mit dem Internet? Technische Sicherheit ist nicht ausreichend Wie aber kann Windows Vista hier ansetzen, um die Sicherheit eines Clients und dadurch des gesamten Netzwerks entscheidend zu verbessern? Bevor wir uns das anschauen, ist etwas ganz besonders zu erwähnen: Die beste Konfiguration, die höchsten Sicherheitsein- stellungen und die umfangreichste Überwachung sind unter Umständen wertlos, wenn Be- nutzer sich falsch verhalten. Einfaches Beispiel gefällig? Ein Benutzer erhält einen Anruf von einer unbekannten Person, die behauptet, dass sie seit Kurzem in der Helpdeskabtei- lung arbeitet. So weit nichts Außergewöhnliches. Wenn dieser Anrufer den Benutzer auf- fordert, ihm sein Kennwort zwecks Verifizierung am Telefon durchzugeben, wird es schon kritischer. Viele Benutzer werden dem Wunsch des Anrufers vom Helpdesk – der in Wirk- lichkeit jemand ganz anderes ist und die Absicht hat, an sensitive Firmendaten zu gelangen – nachkommen und ihm ihr Kennwort bedenkenlos mitteilen. Sie denken, das kann in Ihrer Firma nicht passieren? Versuchen Sie es! Und Sie werden erstaunt sein über den Erfolg. 2
  10. Einleitung Aber Moment einmal, ich habe ja eine Firewall, einen Virenscanner, eine Anti-Spy- Lösung und erst noch ein superkomplexes Administratorenkennwort. Eigentlich kann da nichts passieren. Wenn eine fremde Person – nennen wir sie einmal „Angreifer“ – mit der gezeigten Methode an ein Kennwort eines Unternehmens kommt, ist das schon äußerst kri- tisch. Angriffe sind oft mehrstufig und eine erfolgreiche Authentifizierung an einem frem- den Netzwerk oft der beste Einstiegspunkt, um den Angriff später auszuweiten. Und das gezeigte Beispiel ist nur eines von vielen, um Benutzer zum falschen Handeln zu bringen. Diese Technik wird im Übrigen als „Social Engineering“ bezeichnet und ist heute weit verbreitet, um Netzwerke bzw. Firmen anzugreifen. Mit diesem kleinen Beispiel möchte ich lediglich aufzeigen, dass technische Sicherheit nicht alles ist. Nichtsdestotrotz ist sie sehr wichtig, um den Schutz einer Infrastruktur zu vervollständigen. Und jetzt kommt (endlich) Windows Vista zum Zug! Sicherheit mit Windows Vista Noch vor ein paar Jahren hat sich im Bereich Netzwerksicherheit alles fast ausschließlich um das Thema Firewall gedreht, andere Themen waren nicht oder nur begrenzt relevant. Die Zeiten haben sich aber geändert, und das Sicherheitsdenken hat sich bis zu den Endge- räten ausgeweitet. Schließlich soll Sicherheit ja mehrschichtig sein, um es einem potenziel- len Angreifer schwieriger zu machen, erfolgreich zu werden. Und genau hier setzt Win- dows Vista an. Mit neuen Sicherheitsmechanismen, die Clients schützen können, um das Gesamtsicherheitskonzept eines Unternehmens zu vervollständigen. Dazu hat Microsoft in den letzten Jahren einiges auf den Kopf gestellt, um mit Windows Vista wirklich „das si- cherste Windows-Betriebssystem aller Zeiten“ auf den Markt zu bringen. Das hört sich vielleicht ein bisschen übertrieben an und sehr marketingorientiert, ist aber tatsächlich so. Windows Vista ist das erste Betriebssystem, das vollständig nach dem neuen Security De- velopment Lifecycle entwickelt worden ist. Dabei wird die Sicherheit – anders als bei älte- ren Betriebssystemen und Produkten – von Anfang an in den Entwicklungsprozess integ- riert. Sicherheit ist demnach nicht einfach ein simples „Add-On“, sondern fester Bestand- teil des Produkts. Dazu aber später mehr. Wer sollte dieses Buch lesen? Für wen hat dieses Buch einen Nutzen? Wer sollte es lesen und sich mit den Inhalten ver- traut machen? Nun, dieses Buch ist primär auf Tätigkeitsbereiche von System Engineers, Administratoren und technischen Projektleitern, die im Firmenumfeld arbeiten, fokussiert. Es geht primär darum, die neuen Sicherheitsmechanismen von Windows Vista zu durch- leuchten und Ihnen anhand vieler Beispiele zu erklären, wie einzelne Funktionen imple- mentiert sind, warum sie in das neue Betriebssystem eingebettet worden sind und natürlich wie alles richtig konfiguriert wird. Auch Heimanwender werden von den Inhalten dieses Buches profitieren, allerdings werden diese einige Funktionen, die ausschließlich für den privaten Bereich relevant sind, also Funktionen wie beispielsweise Windows Mail oder Windows Kalender, vermissen. Diese Programme werden im Firmenumfeld kaum einge- setzt und werden daher nicht berücksichtigt. Das Buch ist – so hoffe ich zumindest – „gee- 3
  11. Einleitung kig“ ausgelegt und behandelt viel Hintergrundwissen, das bestimmt vielen Lesern bisher noch nicht bekannt ist. Freuen Sie sich also über ein nicht ganz alltägliches Buch. Es ist schwierig, ein Buch, das sich ausschließlich mit Sicherheitsfunktionen befasst, für jedermann sinnvoll strukturiert aufzubauen. Einige Themen überschneiden sich oder bauen aufeinander auf, andere wiederum sind komplett unabhängig und isoliert. Das alles in ei- nen harmonischen Ablauf zu bringen ist eine echte Herausforderung, und ich hoffe, dass mir dieses Meisterstück zumindest einigermaßen gelungen ist. Die einzelnen Kapitel sind grundsätzlich autonom, d.h., Sie können die Kapitel losgelöst voneinander lesen und die Inhalte durcharbeiten. Wie ich bereits in der Einleitung erwähnt habe, ist Sicherheit ein dynamischer Prozess. Was heute relativ sicher ist, kann morgen absolut unsicher sein, was heute aktuell ist, kann übermorgen veraltet sein. Wie lange die Inhalte in diesem Buch Gültigkeit haben bzw. wie lange sie für den Leser wertvoll sind, lässt sich natürlich nicht mit Bestimmtheit sagen. Fakt ist allerdings, dass die erwähnten Technologien mit größter Wahrscheinlichkeit wäh- rend der gesamten Lebensdauer von Windows Vista aktuell bleiben werden. Natürlich werden einige Komponenten aktualisiert, vielleicht auch erweitert werden, aber diese Neu- erungen bauen auf den heute aktuellen Informationen auf. Sie verlieren demnach kein Know-how, keine investierte Zeit und auch kein Geld. Mit einer Webseite zum Buch möchten wir Ihr Know-how aber regelmäßig auffrischen, und so erhalten Sie die Möglich- keit, sich kostenlos über Neuerungen in diesem Bereich zu informieren. Verwenden Sie dazu lediglich folgende URL: http://www.zehni.ch/vistasecurity Danksagungen Ich schreibe diese Zeilen (und den Großteil des Buchs) kurz nach der Durchführung der TechEd in Orlando/USA im Juni 2007. Ich bin seit zwei Wochen in den Vereinigten Staa- ten, um mir einerseits die letzten Informationen für dieses Buch aus erster Hand bei Micro- soft zu beschaffen, andererseits um das Manuskript zum Buch fertigzustellen. Meine Fami- lie – meine Lebenspartnerin Valerie sowie unsere beiden Kinder Jana-Alena und Linus – sind in der Schweiz geblieben, damit ich mich voll auf die bevorstehende Aufgabe kon- zentrieren kann. Für dieses Verständnis möchte ich den dreien danken. Ich vermisse euch und freue mich, bald wieder zu Hause zu sein! Ebenfalls bedanken möchte ich mich bei allen „Technical Readers“ – alles gute Freunde von mir –, die viel Zeit investiert haben, um meine geschriebenen Texte kritisch zu analy- sieren und mir wertvolles Feedback zu geben. Besten Dank an dieser Stelle, ich hoffe, ihr seid auch beim nächsten Buch wieder so engagiert dabei! Auch das Team des Carl Hanser Verlags soll nicht unerwähnt bleiben. Allen, besonders aber meinem Lektor Fernando Schneider, der die Idee zu diesem Buch hatte und mir den entscheidenden Anstoß zum Schreiben gegeben hat, möchte ich herzlich danken. Ich freue mich über viele weitere Bücher! So, und jetzt geht’s los ... 4
  12. 1 Benutzerkontensteuerung Eines der wohl meisterwähntesten und aufsehenerregendsten Features von Windows Vista ist die Benutzerkontensteuerung (User Account Control, UAC). Bereits lange vor dem Launch von Windows Vista wurde viel über diese neue Funktion berichtet, die dem neues- ten Clientbetriebssystem mehr Sicherheit einhauchen soll, und auch heute wird bei Auf- zählungen der Windows Vista-Highlights oft zuerst die Benutzerkontensteuerung erwähnt. Grundsätzlich geht es bei dieser Funktion darum, dass Benutzer für tägliche Aufgaben kei- ne Administrationsrechte mehr benötigen. Microsoft hat bereits bei früheren Releases von Windows-Betriebssystemen darauf hingewiesen, dass Benutzer mit „normalen“ Benutzer- rechten anstelle von lokalen Administrationsrechten arbeiten können, allerdings hat sich das in der Praxis alles andere als bewährt. Mit normalen Benutzerrechten lässt sich ein System nicht wirklich sinnvoll nutzen, weil essenzielle Aktivitäten schlicht nicht wahrge- nommen werden können. Mit normalen Benutzerrechten lässt sich beispielsweise unter Windows XP keine vollständige Wireless-Einrichtung inkl. WEP/WPA-Konfiguration vor- nehmen, genauso bei Eingriffen in die Energieoptionen – Konfigurationsänderung Fehlan- zeige! Auch sind viele Anwendungen nicht oder nur eingeschränkt ausführbar, weil diese möglicherweise Konfigurationsänderungen an Orten speichern, an denen Standardbenutzer keine Rechte besitzen. Um dieses Problem zu umgehen, haben sich viele Administratoren entschieden, Benutzern lokale Administrationsrechte zuzuweisen, sodass diese uneingeschränkt mit ihren Syste- men arbeiten können. Aus Sicht der Produktivität und Nutzbarkeit in erster Linie sicher ein Vorteil, sicherheitstechnisch aber ein großer Nachteil. Durch die permanent hohen – nein, höchstmöglichen – Rechte, die Anwender besitzen, wird es für Angreifer, Malware oder Viren deutlich einfacher, ein System zu kompromittieren, weil der immer aktive Administ- ratorenkontext eine breite Angriffsfläche ohne Einschränkungen bietet. Installationen oder Konfigurationsänderungen können so ohne große Probleme und Kenntnis des Anwenders erfolgen und einen Rechner innerhalb kürzester Zeit zu einer Virenschleuder oder einem Zombie umfunktionieren. 5
  13. 1 Benutzerkontensteuerung 1.1 Lokales Administratorenkonto – deaktiviert! Eine wichtige Neuerung, die eigentlich nichts mit der Benutzerkontensteuerung zu tun hat, ist die Tatsache, dass das lokale Administratorenkonto unter Windows Vista standardmäßig deaktiviert ist. Wie soll denn ein Windows Vista-Rechner ohne aktives Administratorenkonto administriert werden? Ganz einfach: Beim Setup des Betriebssystems wird ein zusätzliches Konto angelegt, das über Administratorenrechte verfügt und somit die volle Verwaltungshoheit über den Rechner besitzt. Weshalb das so ist? Um sich erfolgreich an einem System anzumelden, benötigt man einen gültigen Anmeldenamen und das zugehörige Kennwort. Bei allen Betriebssystemen vor Windows Vista hatte der Administrator – und somit das heikelste Benutzerkonto eines Systems – jeweils den Anmeldenamen „Administrator“. Somit war immer bereits eine der beiden benötigten Informationen für eine erfolgreiche Anmeldung mit den höchstmöglichen Rechten vorhanden, und es musste nur noch das entsprechende Kennwort ausfindig gemacht werden. Eine Umbenennung des Kontos und somit auch des Anmeldenamens hatte hier Abhilfe geschafft. Tatsächlich? Nun, wenn man es genau betrachtet, nur begrenzt. Jedes Benutzerkonto (un- abhängig davon, ob es sich dabei um ein lokales Konto oder ein Domänenkonto handelt) besitzt eine Security-ID (SID) die eindeutig sein muss. Alles, was nun irgendetwas mit Be- rechtigungen zu tun hat, wird über diese SID abgehandelt, sei es der Zugriff auf Ressour- cen oder das Anwenden eines bestimmten Rechts. Bei dem zweiten Teil dieser SID handelt es sich um die Relative ID (RID), und die ist bei jedem Standardadministratorenkonto je- weils 500. Ein Konto kann umbenannt oder verschoben werden (nur in einer Active Direc- tory-Domäne), aber die SID und daher auch die RID bleiben immer unverändert, wodurch eine Identifizierung relativ einfach ist. Unabhängig davon, ob das mit integrierten Tools, mit Werkzeugen von Drittherstellern oder mit Skripten erfolgt, ist das Resultat immer das gleiche: Sie wissen anschließend, bei welchem Konto es sich um das Standardadministra- torenkonto handelt. Und das ist schlecht. Folgendes Beispiel zeigt die Informationsbe- schaffung mithilfe von WMIC (Windows Management Instrumentation Console), einem Werkzeug, das mit Windows Vista (und auch mit früheren Betriebssystemen) mitgeliefert wird. 6
  14. 1.1 Lokales Administratorenkonto – deaktiviert! Abbildung 1.1 WMIC zum Identifizieren des lokalen Standardadministratorenkontos Aufgrund des RID-Werts von 500 kann das Konto identifiziert werden. Im gezeigten Bei- spiel ist das Administratorenkonto in „Master“ umbenannt worden, was aber offensichtlich nicht sehr viel gebracht hat. Es ist innerhalb weniger Sekunden bekannt. Mit dem gezeig- ten Beispiel soll lediglich beleuchtet werden, dass eine Umbenennung des Standardadmi- nistratorenkontos unter Umständen nicht den gewünschten Effekt bringt. Aber bei Ihrem Windows Vista ist das ja kein Problem – das Konto ist ja deaktiviert, und das effektive Administratorenkonto kann nicht so einfach ausfindig gemacht werden. Abbildung 1.2 Deaktiviertes Standardadministratorenkonto 7
  15. 1 Benutzerkontensteuerung 1.2 Standardbenutzerrechte – ein entscheidender Vorteil! Mit dem Release von Windows Vista haben Standardbenutzer neue und sinnvollere Rech- tezuweisungen erhalten, sodass viele Aktivitäten, die Benutzer wahrnehmen möchten oder müssen, jetzt ohne Administratorenrechte möglich sind. Es ist demnach grundsätzlich nicht mehr notwendig, einen Benutzer in die lokale Administratorengruppe aufzunehmen, nur weil er Wireless-Konfigurationen, Zeitzonen- oder Energieschema-Anpassungen vorneh- men muss. Was aber hat sich an den Rechten für Standardbenutzer genau geändert? Was können Standardbenutzer neu tun? Folgende Liste schafft Klarheit: Anzeigen der Systemzeit und des Datums Ändern der Zeitzone (für mobile Benutzer, die unterschiedliche Zeitzonen bereisen) Einrichten von WEP/WPA (für die Verbindung mit sicheren WLAN-Netzwerken) Ändern der Anzeigeeinstellungen Ändern von Energieeinstellungen bzw. Energieplänen Installieren von zusätzlichen Schriftarten Einrichten von Druckern und anderen Geräten (sofern entsprechende Treiber zur Ver- fügung stehen) Erstellen und Konfigurieren von VPN-Verbindungen (für den sicheren Zugriff auf pri- vate Netzwerke, beispielsweise das eigene Firmennetzwerk) Installation von kritischen Updates (falls Geräte über längere Zeit nicht mehr mit dem Firmennetzwerk verbunden waren und daher nicht mehr dem aktuellsten Patch- und Si- cherheitsstand entsprechen) Installieren von ActiveX-Controls (wenn ein Administrator die entsprechenden Sites zuvor freigegeben hat) Defragmentieren der Festplatte (wird automatisch und regelmäßig mithilfe eines ge- planten Tasks ausgeführt) Aufgrund der erweiterten Rechte der Standardbenutzergruppe wird die Gruppe „Hauptbenut- zer“ nicht mehr benötigt. Die Gruppe steht nach wie vor zur Verfügung, um Migrationsszena- rien zu vereinfachen, wird aber für neue Implementierungen grundsätzlich nicht mehr einge- setzt. Mit diesen neuen Rechten können Standardbenutzer ihr Gerät bzw. Betriebssystem schon mal sinnvoller und bequemer nutzen. Was aber, wenn ein Benutzer administrative Tätig- keiten wahrnehmen muss und Standardrechte doch nicht ausreichen? Was, wenn Benutzer Anwendungen ausführen müssen, die nicht Vista-konform programmiert worden sind und mit Standardrechten nicht auskommen, weil beispielsweise Schreibfunktionen fehlschla- gen? Hier kommt jetzt endlich die Benutzerkontensteuerung zum Zug. 8
  16. 1.3 Verwaltung von Windows Vista – Rechteerhöhung bei Bedarf! 1.3 Verwaltung von Windows Vista – Rechteerhöhung bei Bedarf! Schauen wir uns zuerst das Beispiel der erweiterten Verwaltung an. Wenn Benutzer erwei- terte Konfigurationsänderungen vornehmen müssen, beispielsweise neue Verbindungen durch die Windows Firewall zulassen möchten, dann reichen Standardbenutzerrechte na- türlich nicht mehr aus. Damit sich Benutzer für solche Operationen nicht extra ab- und neu anmelden müssen, bietet die Benutzerkontensteuerung die Möglichkeit, die aktiven Rechte zu erhöhen, sodass für die anstehende Konfigurationsänderung – und nur für genau diese – Administrationsrechte aktiviert werden. Alle anderen Programme und Aktivitäten werden nach wie vor mit Standardbenutzerrechten ausgeführt. Da nur für eine bestimmte Aktion Administrationsrechte benötigt werden, bleibt das gesamte System in einem verhältnis- mäßig sicheren Zustand und ist dennoch bequem nutzbar – die Balance zwischen Sicher- heit und Nutzbarkeit ist also fürs Erste realisiert. Wie aber kann ein Benutzer seine Rechte erhöhen, um beispielsweise erweiterte Konfigu- rationen vornehmen zu können? Dazu stehen verschiedene Möglichkeiten zur Verfügung. Benutzer können ihre Rechte erhöhen, indem sie bei einer entsprechenden Aktion – für die Standardbenutzerrechte nicht mehr ausreichen – ein anderes Konto mit Administra- tionsrechten verwenden, um sich zu authentifizieren. Die entsprechenden Informatio- nen dazu werden in ein Anmeldefenster eingegeben und die Rechte anschließend er- höht. Falls ein Benutzer bereits mit einem Konto, das über Administrationsrechte verfügt, angemeldet ist, muss lediglich die Erhöhung der Rechte bestätigt werden. Eine Eingabe von Anmeldeinformationen ist nicht notwendig. Sobald für eine bestimmte Aktion erhöhte Rechte benötigt werden, wird dies dem Benut- zer durch Anzeige eines entsprechenden Fensters mitgeteilt. Je nach Aktivität und Konfi- guration werden dazu (optisch) unterschiedliche Prompts verwendet. Abbildung 1.3 Zustimmung zur Rechteerhöhung 9
  17. 1 Benutzerkontensteuerung Abbildung 1.4 Eingabe von Anmeldeinformationen zur Rechteerhöhung Die oben aufgeführten Möglichkeiten, die Rechte bei Bedarf zu erhöhen, lassen sich mithilfe von Gruppenrichtlinien noch detailliert konfigurieren. Aber das werden wir uns später in diesem Kapitel ansehen. Die meisten Aktionen, die unter Windows Vista ein Erhöhen der Rechte benötigen, werden auf der grafischen Oberfläche mit einem Schildsymbol dargestellt. Somit ist sofort ersicht- lich, für welche Aufgaben die Rechte von Standardbenutzern nicht mehr ausreichen. Abbildung 1.5 Schildsymbole bedeuten Rechteerhöhung. 10
  18. 1.3 Verwaltung von Windows Vista – Rechteerhöhung bei Bedarf! Was aber läuft im Hintergrund ab, wenn Rechte über eine der gezeigten Varianten erhöht werden? Bei einer erfolgreichen Anmeldung eines Benutzers an einem Rechner wird ein Access Token generiert. Dabei handelt es sich um ein geschütztes Objekt, das Informatio- nen zum Benutzerkonto, dessen Gruppenmitgliedschaften und verfügbare Benutzerrechte enthält. Dieses Access Token kommt immer bei sicherheitsrelevanten Aktivitäten zum Zu- ge, beispielsweise wenn der Anwender auf Dateien zugreift oder eine Konfigurationsände- rung am System vornimmt. Dann werden die Aktivitäten jeweils mit den Informationen des Access Tokens verglichen und der Zugriff entsprechend gewährt bzw. verweigert. Wenn nun unter Windows Vista für eine Aktivität nicht genügend Rechte zur Verfügung stehen, kann ein Benutzer diese unter Angabe von Anmeldeinformationen eines Administ- ratorenkontos erhalten. Dazu wird ein zweites Access Token (Admin-Token) angelegt, das über mehr Möglichkeiten bzw. Rechte verfügt. Auf dieses Admin-Token hat nur genau derjenige Prozess Zugriff, für den die Rechteerhöhung vorgenommen worden ist. Für alle restlichen Prozesse steht ausschließlich das Standard-Token zur Verfügung. Das genau gleiche Verhalten tritt auf, wenn sich ein Benutzer anmeldet, dessen Konto ei- ner Administratorengruppen angehört. Eigentlich ist dieser Benutzer von Beginn an als Administrator authentifiziert, dennoch werden die Rechteinformationen in zwei Tokens, einem Standard- und einem Admin-Token, abgelegt. Falls das Recht für eine Aktivität er- höht werden muss, ist lediglich eine Aktivierung des zweiten Tokens notwendig. Wie dies genau erfolgt, lässt sich konfigurieren. Beispielsweise ist es möglich, die Aktivierung le- diglich über eine Bestätigung (und ohne erneute Authentifizierung) zu realisieren. Bei Be- darf kann allerdings auch festgelegt werden, dass eine erneute Authentifizierung unter Ein- gabe von Benutzername und Kennwort erfolgen muss. Abbildung 1.6 Split Token bei Administratorenanmeldung 11
Đồng bộ tài khoản