In diesem Kapitel wird auf Sicherheitsmechanismen eingegangen, die bereits sehr frühzeitig bei der Erstinstallation und Anfangskonfiguration von NT-Systemen beachtet werden sollten und die zu einem späteren Zeitpunkt nur umständlich zu korrigieren sind. Insbesondere sollten folgende Fragen beantwortet werden:
Lokale und globale Benutzergruppen
Eingeschränkter Zugriff auf Systemressourcen
Lokale versus zentrale Datenspeicherung
Ein wesentlicher Baustein innerhalb der NT-Sicherheitsarchitektur ist das Dateisystem. Windows NT ermöglicht die Arbeit mit drei verschiedenen Dateisystemen:
Domänen bilden die grundlegende Einheit beim Betrieb von NT-Netzen. Das Zusammenfassen von NT-Servern zu Domänen ist sowohl für Netzwerkadministratoren als auch für Benutzer vorteilhaft. Für jede Domäne wird eine gemeinsame Datenbank mit Benutzerkonten, Gruppenkonten und Sicherheitseinstellungen erstellt. Der Administrator muss innerhalb einer Domäne für jeden Benutzer nur ein Benutzerkonto verwalten, einzelne Server-Konten werden dadurch vermieden.
In einem Netzwerk können mehrere Domänen voneinander unabhängig oder durch Vertrauensbeziehungen mit einander verknüpft installiert werden. Durch Vertrauensbeziehungen lässt sich in einem Netzwerk mit vielen Domänen ein Duplizieren der Benutzerkonten vermeiden und das Risiko uneinheitlicher Kontoinformationen verringern. Gleichzeitig besteht jedoch die Gefahr, dass der Überblick über Berechtigungen sowohl für globale Gruppen als auch für einzelne Benutzer bei vielfältigen Vertrauensbeziehungen verloren geht.
Die Auswahl des Domänenmodells sollte bei der Planung eines NT-Netzes getroffen werden. Dabei sind unterschiedliche Domänen-Modelle denkbar.
Neben der domänenorientierten Vernetzung auf Client-Server-Basis können unter Windows NT auch serverlose Peer-to-Peer-Netzwerke gebildet werden. Innerhalb einer solchen Arbeitsgruppe verwaltet jeder Computer seine eigenen Benutzer- und Gruppenkonten bzw. seine eigenen Sicherheitsrichtlinien und Datenbanken für Sicherkeitskonten; diese sind nicht für andere Computer freigegeben. Gegenüber anderen Rechnern der Arbeitsgruppe muss sich der Benutzer daher immer mit seiner NT-Kennung und seinem Passwort anmelden. Es findet kein Austausch der Authentisierungsinformationen zwischen den jeweiligen Rechnern statt. Arbeitsgruppen sind deshalb nur für kleine Gruppen von Computern mit relativ wenigen Benutzerkonten ohne zentrale Netzwerkverwaltung zu empfehlen.
NT-Netze, in denen sensible personenbezogene Daten verarbeitet werden, sollten möglichst nur als Domäne betrieben werden. Mail-Server sind von dieser Produktionsdomäne getrennt in einer eigenen Domäne unterzubringen. In einem solchen Domänenmodell können die Mail-Server der Produktionsdomäne zur Verwaltung der Anmeldekonten vertrauen, nicht jedoch umgekehrt. NT-Domänen, in denen sensible personenbezogene Daten verarbeitet werden, sollten möglichst nicht Domänen anderer Stellen vertrauen.
Jede Person, die auf Ressourcen einer Domäne zugreifen möchte, benötigt ein Benutzerkonto in der Domäne des Netzwerkes. Zur Vereinfachung und übersichtlicheren Gestaltung der Netzwerkverwaltung sollten vom Administrator Benutzergruppen für solche Benutzer eingerichtet werden, die Anwendungsprogramme gemeinsam benutzen, ähnliche Aufgaben ausführen oder ähnliche Informationen benötigen. Die Rechte für die einzelnen Benutzer, die Mitglied in der Gruppe sind, müssen dann nur einmal pro Gruppe vergeben und gepflegt werden. Es empfiehlt sich, den einzelnen Gruppen separate Verzeichnisbereiche zuzuweisen. Ein Benutzer kann dabei auch Mitglied mehrerer Gruppen sein.
Bei Benutzergruppen unterscheidet man zwischen lokalen und globalen Gruppen. Eine lokale Gruppe steht nur auf dem jeweiligen PC zur Verfügung, auf dem sie eingerichtet wurde, während eine globale Gruppe in der eigenen und allen vertrauenden Domänen verfügbar ist. Eine globale Gruppe enthält lediglich einzelne Benutzerkonten, keine weiteren Gruppen aus der jeweiligen Domäne, in der sie eingerichtet wurde. Eine lokale Gruppe umfasst dagegen eine Anzahl von Benutzern und globalen Gruppen aus einer oder mehreren Domänen, die unter einem Gruppennamen zusammengefasst werden. Der Gruppe können nur Rechte und Privilegien innerhalb der eigenen Domäne zugewiesen werden.
Sofern sensible personenbezogene Daten verarbeitet werden, sollte der Benutzer möglichst nur diejenigen Anwendungen aufrufen bzw. Systemressourcen nutzen können, die zur eigentlichen Aufgabe benötigt werden. Ansonsten besteht die Gefahr, dass Software per Diskette oder CD-ROM oder per elektronischer Post nachgeladen und aufgerufen wird, mit deren Hilfe Sicherheitsmechanismen direkt oder indirekt unterlaufen werden können.
Die Forderung nach Sperrung nicht benötigter Arbeitsmittel sollte zwar nicht dazu führen, dass der PC nur noch sehr restriktiv genutzt werden kann und kaum mehr als flexibles Arbeitsmittel zur Verfügung steht. Umgekehrt darf das durchaus berechtigte Interesse eines jeden Beschäftigten, unabhängig vom konkreten Anwendungsbedarf elektronische Post und Internetzugang nutzen zu können, jedoch nicht zur Folge haben, dass ein derartiger Infrasturkturansatz mit allen damit verbundenen Sicherheitsrisiken sorglos an jedem Arbeitsplatz umgesetzt wird.
Die Frage, welche Arbeitsmittel zur Verfügung gestellt werden, sollte daher für jede Anwendung problembewusst entschieden werden. Dabei muss auch dem PC-Benutzer mehr Verantwortung hinsichtlich lokaler Sicherheit übertragen werden. Inwieweit dies möglich ist, kann allerdings nicht anwendungsübergreifend durch Standardlösungen vorgegeben werden.
Systemressourcen können auf Hardware- bzw. BIOS-Ebene oder auf NT-Ebene ein-geschränkt werden. Disketten- und CD-ROM-Laufwerke lassen sich im Registry-Teilschlüssel HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\ Winlogon sperren, indem die Werte AllocateFloppies bzw. AllocateCDRoms auf den DWORD-Wert 1 gesetzt werden. Das Deaktivieren ist jedoch nur für den gesamten Rechner möglich, nicht differenziert für einzelne Benutzer, so dass der Systemadministrator erst die entsprechenden Registry-Einträge zurücksetzen muss, wenn er über das CD-ROM-Laufwerk Software installieren will.
Ebenfalls im Registry-Teilschlüssel HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\ CurrentVersion\Winlogon sollte die Möglichkeit eingeschränkt werden, NT-Server zu beenden. Sofern der Wert ShutdownWithoutLogon auf den Wert 1 gesetzt ist, kann das System nur von hierfür authorisierten Benutzern heruntergefahren werden.
NT-seitig kann der netzweite Zugriff auf Systemressourcen auch durch den Systemrichtlinien-Editor poledit definiert und eingeschränkt werden; dies gilt insbesondere für
Die Arbeitsumgebung eines Benutzers sollte bei Anwendungen mit sensiblen personenbezogenen Daten derart einschränkt werden, dass dieser keinen Zugriff auf die Eingabeaufforderung Ausführen hat, sondern nur Zugriff auf bestimmte Anwendungen. Die Systemrichtlinie muss im Verzeichnis WINNT\SYSTEM32\REPL\IMPORT\ SCRIPTS unter dem Namen NTCONFIG.POL abgelegt werden.
Diese Richtlinien können auf den Standardbenutzer, einzelne Benutzer oder ganze Benutzergruppen angewandt werden. Ebenso können Richtlinien für den Standardcomputer oder für einzelne, mit einem Namen versehene Computer erzeugt werden. Die Standardcomputer-Einstellungen werden angewandt, wenn sich ein neuer Benutzer auf einem Rechner anmeldet, dem keine individuellen Richtlinien zugewiesen wurden.
Personenbezogene Daten sind auf einer räumlich ungesicherten NT-Workstation in der Regel nicht so sicher aufgehoben wie auf einem NT-Server, der in einem verschlossenen Raum untergebracht ist. Lokale Festplatten oder der gesamte Arbeitsplatz-PC können entwendet und die darauf hinterlegten Daten - sofern sie unver-schlüsselt gespeichert sind - von Aussenstehenden ausgelesen werden. Auch kann aufgrund der begrenzten Sicherheitsmechanismen, die auf BIOS-Ebene zur Verfügung stehen, ein Laden anderer Betriebssysteme und das Umgehen der Zugriffsbeschränkungen vor Ort nicht ausgeschlossen werden (siehe auch Boot-Schutz).
Angesichts dieser Risiken, sollten sensible personenbezogene Daten - sofern ein Client-Server-Netzwerk zur Verfügung steht - nicht lokal auf einem Arbeitsplatz-PC gespeichert werden. Die Daten sollten stattdessen auf einem NT-Server hinterlegt sein, der durch geeignete räumliche Sicherheitsmassnahmen vor fremdem Zugang geschützt ist. Bei unvernetzten Arbeitsplatz-PC sollte zusätzlich zu Windows NT geeignete Sicherheitssoftware eingesetzt werden, die es u.a. ermöglicht, die sensiblen personenbezogenen Daten lokal zu verschlüsseln.
Zurück zur Übersicht Windows NT
