|
Übersicht: |
Windows-Dienste sicherer konfigurieren |
Weitere
Konfigurationsmaßnahmen |
Andere Beiträge zur
Computersicherheit |
Windows 2000 und XP gehören, ebenso wie Windows NT4 und Windows 2003
Server, zur Windows NT Familie. NT ist die
Abkürzung für "New Technology" und wurde von Microsoft
1993 zusammen mit dem neuentwickelten 32bit-(Server)-Betriebssystem
Windows NT 3.1 eingeführt.
Jedoch beging Microsoft hierbei einen folgenschweren Fehler:
(nichtbenötigte) Netzwerk-Dienste waren standardmäßig
aktiviert, von außen erreichbar und somit auch angreifbar. Somit
wurde eine wichtige Grundregel der Netzwerksicherheit mißachtet:
"Biete keine Dienste an, die Du nicht brauchst". Dienste (engl.: services) sind Programme, die
beim Laden des Betriebssystems mitgestartet werden, ohne dass ein
Benutzer sich anmelden muss. Sie stellen Funktionen bereit, die von
anderen Programmen genutzt werden können.
Ein Einzelplatzrechner benötigt beispielsweise keine Netzwerk-Dienste. Daher ist es wichtig, Rechnersysteme sicherer zu konfigurieren, um Angreifern nur geringe Möglichkeiten zu geben, Schäden an der IT-Infrastruktur im Unternehmen oder am Privat-PC anzurichten.
Achtung: Für Computer in Netzwerken (LANs) ist dieses Script NICHT geeignet!
Um diese Sicherheit auch in der Praxis anwenden zu können, wurden unter kssysteme.de zwei Anleitungen veröffentlicht, die eine sicherere Konfiguration der Dienste (Services) unter Windows 2000 und Windows XP ermöglichen. Es wurde unter anderem die Umkonfiguration der NT-Dienste hinsichtlich Starttyp beschrieben, um nicht benötigte Dienste über das Netzwerkinterface nach außen erst gar nicht anzubieten und somit das Sicherheitsrisiko zu minimieren.
Da in den o.g. Artikeln fast alle Dienste aufgelistet sind, ist es bei mehreren NT-Systemen sehr mühsam, die immer wiederkehrenden Abläufe manuell durchzuführen. Oft fügen sich Flüchtigkeitsfehler bei der Umsetzung hinzu. Um dies komfortabler zu gestalten, und Konfigurationsfehler weitestgehend zu vermeiden, wird im nachfolgenden Abschnitt ein Script vorgestellt, welches
Wichtiger Hinweis: Es werden ausschliesslich windowseigene Dienste konfiguriert, sodaß diese, in Abhängigkeit der gewählten Option 1, 2 oder 3 entsprechend den Schaltern "/lan", "/std" oder "/all", von außerhalb nicht mehr erreichbar sind. Jedoch entbindet die Ausführung des Scripts einen NICHT von der zeitnahen Einspielung sicherheitsrelevanter Updates und Patches.
Was die Aufgaben eines Dienstes sind, wird unter http://www.different-thinking.de/windows_2000_dienste.php erklärt. Desweiteren wird unter http://www.microsoft.com/germany/technet/datenbank/articles/900048.mspx ("Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP") ein PDF-Dokument zum Download angeboten, in dessen Kapitel 7 genauere Informationen zu den jeweiligen Diensten nachzulesen sind.
Im nachfolgenden Abschnitt werden Parameter/Voreinstellungen näher erläutert, welche durch das Script angeboten werden.
Seit Januar 2004 stand die bisherige Version 2.0 zum Download
bereit, welche gegenüber der Vorgängerversion vor allem in den
Punkten Übersichtlichkeit, Anpassung, Sicherheit sowie Umfang
deutlich verbessert wurde.
Nach Version v2.1 liegt nun die aktuelle Fassung v2.2 vor und soll diese
Maßstäbe weiter fortsetzen. Diese ist auf die Änderungen
durch Service Pack 2 für Windows XP abgestimmt. So deckt die
aktuelle Fassung des Scripts ein noch breiteres Einsatzspektrum ab.
Nachfolgende Tabelle soll einen Überblick über die
Möglichkeiten der neuen Version geben:
| (1) LAN oder "/lan" | Mit dieser Einstellung wird versucht, alle offenen Ports zu schließen. Einige Dienste wie "Automatische Updates" oder "Taskplaner" sowie SMB-Funktionen bleiben unberührt. Verwenden Sie diese Einstellung, wenn Sie auf Netzwerkfreigaben oder -drucker zugreifen müssen. Komfortfunktionen der Netzwerkumgebung (z.B. browsing) gehen hierbei jedoch verloren. Es werden aber weiterhin grundlegende Funktionalitäten (u.a. Netzlaufwerke im Format \\$IP\SHARENAME) unterstützt. |
| (2) Standard oder "/std" | Im Gegensatz zu (1) LAN wird zusätzlich SMB deaktiviert. Alle Ports sind nun geschlossen. Einige Dienste wie "Automatische Updates" oder "Taskplaner" bleiben aber unberührt. Daher ist diese Option geeignet, falls keine (Standard-)Dienste nach aussen angeboten werden sollen, man auf "Automatische Updates" sowie den "Taskplaner" nicht verzichten möchte. |
| (3) ALL oder "/all" | Setzt die Vorschläge von www.ntsvcfg.de vollständig um, dh. alle Dienste + SMB werden beendet bzw. deaktiviert. (dieser Punkt empfiehlt sich zum "hardening" für Einzelplatzrechner, welche sich NICHT in einem Netzwerk befinden.). |
| (4) Restore oder "/restore" | Nimmt die letzten Änderungen zurück. Es erscheint möglicherweise eine Fehlermeldung, das es während des Rücksicherns Probleme beim Schreiben der Registry gegeben hat. Dies lässt sich aufgrund gestarteter Dienste nicht vermeiden. Ignorieren Sie bitte diese Fehlermeldung mittels "OK". |
| "/reLAN" | Setzt für LAN-Betrieb benötigte Dienste auf "automatisch" und startet diese anschließend neu (Re-Aktivierung). Diese Option ist nur über Kommandozeile aufrufbar. |
| "/fix" | Behebt ein Problem mit dem Taskplaner ("falscher Parameter"), welches nach Ausführung früherer Script-Versionen auftrat. Diese Option ist nur über Kommandozeile aufrufbar. |
| /? | Zeigt eine Hilfsübersicht über die Aufrufparameter an. |
| Alle vorgenommenen Einstellungen werden erst nach einem Neustart wirksam! |
Beispiel:
svc2kxp.cmd /lan (für
Rechner im LAN / Netzwerk. Achtung: Funktionen der Netzwerkumgebung (z.B. browsing) gehen
hierbei verloren!)
svc2kxp.cmd /std (für
Einzelplatzrechner ohne LAN /
Netzwerkanbindung, z.B. ein PC, welcher nur über ADSL-/Kabelmodem
mit dem Internet verbunden ist.)
Es ist ausreichend, das Script nach größeren Änderungen der Systemkonfiguration (z.B. nach Einspielen von Service Packs, Updates,...) auszuführen und nur eines der drei Profile (/lan, /std oder /all) auszuwählen und anzuwenden. Für die Ausführung des Scripts ist die Datei "SC.EXE" notwendig, welche in Windows XP, im W2k/XP-ResourceKit als auch in VisualStudio.NET bereits enthalten ist oder bei bestehender Internetverbindung auf Wunsch durch das Script selbst heruntergeladen und installiert wird. Desweiteren kann sie unter ftp://ftp.microsoft.com/reskit/win2000/sc.zip bezogen werden. Entpacken Sie die Datei SC.EXE nach Winnt/System32/ bzw. Windows/System32/.
http://www.ntsvcfg.de/svc2kxp.zip
(v2.2_build10 vom 30. August 2008; 19 kB; ZIP-MD5: 20F69073283D0F0663016CF3CB38C874)
( history // Erfahren Sie mehr über "fingerprinting" sowie Änderungen bzgl. XP SP2 // Lizenzbedingungen: www.gnu.de )
Hiermit sei nochmals erwähnt, das das angebotene Script nur einen Teil der Maßnahmen von ntsvcfg.de und kssysteme umsetzen kann. Der andere Teil bleibt weiterhin Handarbeit. Was genau im Einzelnen noch vom Benutzer selbst zu ändern ist, und was bereits "automatisch" durch das Script erledigt wurde, ist in folgender Übersicht aufgeführt:
Legende:
noch
selbst abzuarbeiten bzw. zu überprüfen
wurde durch das Script bereits geändert
Windows 2000 |
Windows XP |
|---|---|
| 1. Entbinden der Netbiosdienste (netbios-ssn, netbios-ns, netbios-dgm) vom DFÜ-Netzwerk (Internetverbindung) (weitere Informationen) |
1. Entbinden der Netbiosdienste (netbios-ssn, netbios-ns,
netbios-dgm, Port 135,137,139) von der DFÜ/LAN-Verbindung
(Teil A+B+C) (weitere Informationen) |
2. Beenden von epmap, isakmp und microsoft-ds*
|
2. Beenden von epmap (Port 135)
|
| * Es wird nicht, wie in Frank Kaunes' Anleitung beschrieben, der Dienst NetBT deaktiviert, sondern alternativ der Eintrag "SMBDeviceEnabled=0" gesetzt, was ebenso Port 445 schließt, und dennoch NetBIOS-Funktionalität sichert (weitere Informationen) | 3. Beenden von mtaskp (Port 1026) |
| 4. Beenden von ssdp (Port 1900, 5000) | |
| 5. Beenden von alg (Port >3000) | |
| 6. Beenden von microsoft-ds* (Port 445) |
Überprüfen Sie nach einem Neustart, ob durch die o.g. Maßnahmen keine von außen erreichbaren Ports geöffnet wurden! Windows-Dienste können auch nachträglich über Systemsteuerung ->Verwaltung -> Dienste konfiguriert werden. Windows NT4 sowie Server-Versionen werden durch das Script nicht unterstützt! Für W2k3 sei als Leitfaden Windows Server 2003 Sicherheitshandbuch erwähnt.
Das seit 9. August 2004 offiziell verfügbare Service Pack 2 für Windows XP beinhaltet einige wichtige Neuerungen, welche in Zusammenhang mit Verwendung des Scripts näher erläutert werden sollen:
Ein Kern dieser neuen Sicherheitspolitik im Servicepack 2 ist das Sicherheitscenter. Dieses beinhaltet u.a. eine verbesserte Internetverbindungsfirewall, welche nunmehr standardmäßig für alle Netzwerk- und DFÜ-Interfaces aktiv ist. Bei Anwendung des Scripts svc2kxp.cmd bis v2.1_build4 wird die Windows-Firewall u.U. deaktiviert. (mehr >>)
Zur Überprüfung, ob der Rechner noch unnötige Dienste zum Internet anbietet (Status: 'offen'): http://webscan.security-check.ch/ sowie http://www.linux-sec.net/Audit/nmap.test.gwif.html. (Hinweis: Diese Tests sind nicht über jeden Internet Provider möglich, da einige den Zugang über Proxies bereitstellen, und somit der eigene Rechner nicht überprüft werden kann.)
Sind noch offene Ports vorhanden? Hier eine Übersicht, was möglicherweise die Ursache sein könnte:
Arbeiten Sie unter Windows
2000/XP immer mit Benutzerrechten und
nie mit Administratorrechten. Voraussetzung
dafür ist, daß NTFS als
Dateisystem verwendet wird. Nur so können Sie weitestgehend
verhindern, daß z.B. unerwünschte Software wie Dialer
o.ä. auf ihr System gelangen kann und/oder Schäden am
Systemverzeichnis entstehen.
Da fast
täglich neue Sicherheitslücken in aktuellen Betriebssystemen
entdeckt werden, ist es erforderlich, Windows 2000/XP immer auf dem
aktuellen Stand zu halten. Dies geschieht am einfachsten mit Hilfe von
Windows-Update . Neben
der Behebung von Schwachstellen im Betriebssystem erhält man oft
auch verbesserte Geräteunterstützung für aktuelle Hardware
und/oder bessere Stabilität des Betriebssystems. Die alleinige
Anwendung des Scripts reicht hierfür nicht aus, da dieses keine
Dienste aktualisiert/patcht, sondern nur sicherer konfiguriert. Fehler in
NT-Diensten und Programmen werden durch das Script NICHT behoben!
Wie NT-Dienste so konfiguriert werden, daß sie
keine potentiellen Angriffsflächen bieten, wurde im ersten Kapitel
dieser Webseite beschrieben. Desweiteren wird ein Script angeboten,
welches die Konfiguration der Dienste erleichtert.
Von der Benutzung der bei Windows 2000/XP
mitgelieferten Programme "Internet Explorer" sowie "Outlook
Express" muss abgeraten werden,
da die konzeptionellen Schwächen (u.a. ActiveX,
Nichteinhalten von Standards oder sog. "Browser-Hijacking") sowie
sicherheitskritischen Fehler dieser Programme ein zu großes Risiko
darstellen. Auch das Zonenmodell bietet keinen ausreichenden Schutz
(siehe auch: -> heise.online).
Windows XP
bringt eine integrierte Internet-Verbindungs-Firewall (ICF) mit,
welche auf im TCP/IP Stack integrierte IPSEC-Funktionen
zurückgreift. Da sie bis SP1 nicht global aktiviert werden kann,
muss dies für jede Verbindung einzeln erfolgen. Empfohlen wird,
die XP-Firewall vor der Verbindung zum Internet zu aktivieren.
So verhindert sie, wie auch das Script, das Netzwerkdienste von
außen erreichbar sind. Im Gegensatz zu Desktop-Firewalls zeichnet
sie sich durch einfachere Konfiguration sowie ein geringeres Risiko
bezüglich der Manipulierbarkeit (Regeln ändern,
deaktivieren,...) aus. Außerdem sollte überprüft werden, dass keine Ausnahmen
zugelassen sind! Sollte Service Pack
2 installiert sein, beachten Sie bitte auch folgenden wichtigen Hinweis!
Kompromittierung, Datenverlust durch defekte
Dateisysteme oder Festplattenausfälle können jederzeit
eintreten. Eine regelmäßige Sicherung (Backup) aller wichtigen
Daten (Dokumente, Bilder,...) mit der richtigen Strategie hilft,
finanzielle Schäden sowie Ausfallzeiten zu minimieren. Im
Privatbereich bietet sich beispielsweise die DVD-RAM als preiswertes und
relativ zuverlässiges Speichermedium für Backups an (mehr >>).
Nachfolgend einige Beispiele von Software, auf die man besser verzichten
sollte: Norton Internet Security und Norton Personal
Firewall, BlackIce (Defender), ZoneAlarm, Sygate Personal
Firewall, Lockdown2000, Outpost u.a....
(siehe auch -> http://www.udel.de/faq/, http://copton.net/vortraege/pfw/index.html)
Um mehr zum Thema DV-Sicherheit zu erfahren, und/oder in diesen Angelegenheiten immer auf dem aktuellen Stand zu sein, sei folgende Seite der Universität Stuttgart empfohlen: http://cert.uni-stuttgart.de/
|
"Sicherheit auf Tastendruck" "Wer sich mit der Dienstkonfiguration nicht selbst herumschlagen will, kann auch ein vorgefertigtes Script verwenden. Es stammt von der Website www.ntsvcfg.de, die sich dem Thema sichere Windows-Konfiguration widmet (...)." (Auszug; Artikel & Interview: PC Professional 12/2004). |
|
"Website der Woche" "Die Seite bietet ausführliche Informationen zur sicheren Konfiguration von NT-Diensten unter Windows 2000/XP. Hier ist zudem ein Script verfügbar, mit dem nicht benötigte Dienste komfortabler bearbeitet werden können.(...) Darüber hinaus findet sich im Link-Block eine Sammlung von guten Links zum Thema Sicherheit am PC." (Wintotal.de, 16.12.2004) |
|
"Superbatch Svc2kxp.cmd" "Die Batchdatei Svc2kxp nutzt letztlich nur die Windows-Bordmittel, dies aber auf über 1000 Zeilen Code, die alle unerwünschten Ports schließen und überflüssige Dienste abschalten. Svc2kxp bietet nach dem Start drei Sicherheitsstufen an, die Sie durch Eintippen der entsprechenden Nummer aktivieren" (PC-Welt, Ausgabe 10/2005, >>> ) |
|
Alle Neuigkeiten ab jetzt noch direkter - folge uns auf Twitter.com |
An dieser Stelle gehört der Dank all denjenigen, welche durch Initiative, konstruktive Kritik, Anregungen und Verbesserungsvorschläge nachhaltig sowohl an der Gestaltung des Scripts, als auch an dieser Seite, mitwirkten:
Christian D. Anderson, Bernd Eckenfels, Wolfgang Ewert, Stephan Grossklass, Chris Haaser, Sybille Kahl, Stefan Kanthak, Besim Karadeniz, Frank Kaune, Rüdiger Lahl, Daniel Leidert, Johannes Lichtenberger, Joachim Meyer, Harald Mühlböck, Michael Paul, Jürgen Port, Manuel Reimer, Rüdiger Rösler, Björn Schliessmann, Alexander Skwar, Ralf Storm, Jörg Ulbrich, Karin Weber, Ansgar Wiechers, Thomas Winter.
|
An dieser Stelle sei darauf hingewiesen, das dieses Webangebot keinerlei kommerzielle oder gewerbliche Interessen verfolgt, sondern ausschließlich als privates, freiwilliges Angebot zur privaten Nutzung, insbesondere für die Nutzer der NewsGroup de.comp.security.misc, dient. Alle in diesem Webangebot genannten Bezeichnungen von Produkten sind Marken und Produktnamen der jeweiligen Anbieter. Kommerzielle Nutzung ist ohne vorherige Einverständniserklärung des Autors dieser Seite nicht erlaubt. Alle Angaben nach bestem Wissen und Gewissen aber unter Ausschluß jeglicher Gewähr. |
|
| www.ntsvcfg.de, © 2003-2010 Torsten Mann, Albert-Schweitzer-Str. 6, 01187 Dresden. Mehr... | Letzte Aktualisierung: January 27th, 2010, 01:55pm Pacific Standard Time |
