Bundesamt für Sicherheit in der Informationstechnik

B 3.108 Windows Server 2003

Logo Windows Server 2003

Beschreibung

Das Software-Paket Windows Server 2003 ist das Nachfolgeprodukt zum Betriebssystem Windows 2000 Server. Windows Server 2003 ist in den Varianten Standard Edition,Enterprise Edition, Web Edition und Datacenter Edition erhältlich. Besonders weit verbreitet ist hierbei die Standard-Edition. Die Web-Edition bildet eine Teilmenge der Standard-Edition, die Enterprise-Edition enthält zusätzliche Funktionen, die nur in großen Umgebungen oder bei speziellen Anforderungen zum Einsatz kommen. Dazu gehören unter anderem die Funktionen Fail-over-Cluster, vollständige Terminalserver, netzgestützte UDDI-Datenbanken, unbegrenzte VPN- und RADIUS-Verbindungen, neue Zertifikatsdienste und der Windows System Resource Manager (WSRM). Jede dieser Editionen ist auch in einer 64-Bit-Version verfügbar, die sich in ihrem Funktionsumfang nicht signifikant von den 32-Bit-Versionen unterscheidet.

Abgrenzung des Bausteins

Der Baustein Windows Server 2003 bezieht sich in der Regel auf die Funktionen der Standard-Edition inklusive Service Pack 1. Er kann jedoch auch problemlos auf die Varianten Web-Edition und Enterprise-Edition angewendet werden. Andere Editionen wie z. B. die Datacenter-Edition und Windows Small Business Server 2003 enthalten zusätzliche, anwendungsspezifische Funktionalitäten, die hier nicht betrachtet werden.

Die vielfältigen Einsatzmöglichkeiten erfordern eine differenzierte Betrachtung und damit eine inhaltliche Abgrenzung dieses Bausteins. Windows Server 2003 kann einerseits als reine Plattform für zusätzlich erhältliche Serverapplikationen dienen und andererseits mit den vielen im Lieferumfang von Windows Server 2003 enthaltenen Applikationen für bestimmte Bereiche ein vollständiges Gesamtsystem bilden.

Die Aktivierung einiger Funktionen ist nur bei bestimmten Anwendungsszenarien eines Windows-Server 2003 Systems notwendig. Für solche Anwendungsszenarien werden in diesem Baustein übergreifende Rahmenaspekte erläutert. Betroffen sind u. a. die Funktionen Network Load Balancing (NLB), Hochverfügbarkeitscluster, Application Server, Role Based Access Control (RBAC), Zertifikatdienste (PKI) sowie Routing und RAS.

Sollte der Windows Server 2003 die Rolle eines Domänen Controller in einer Active Directory Gesamtstruktur übernehmen, so ist der Baustein B 5.16 Active Directory gemäß der Modellierungsanweisung anzuwenden.

Nicht näher betrachtet werden kostenlos von Microsoft erhältliche Zusatzpakete, die nicht im Standard-Lieferumfang enthalten sind. Hierzu zählen beispielsweise Windows Sharepoint Services (WSS), Windows Software Update Service (WSUS), Rights Management Service (RMS) oder Microsoft Shared Computer Toolkit.

Die folgenden mitgelieferten Komponenten werden ebenfalls nicht betrachtet, da ihr Einsatz die Berücksichtigung vieler nicht allgemeingültiger Aspekte erfordert:

  • Windows Media Services
  • Terminalserver

Gefährdungslage

Für den IT-Grundschutz eines servergestützten Netzes unter dem Betriebssystem Windows Server 2003 werden die folgenden typischen Gefährdungen angenommen:

Organisatorische Mängel

G 2.7 Unerlaubte Ausübung von Rechten
G 2.19 Unzureichendes Schlüsselmanagement bei Verschlüsselung
G 2.111 Kompromittierung von Anmeldedaten bei Dienstleisterwechsel
G 2.114 Uneinheitliche Windows-Server-Sicherheitseinstellungen bei SMB, RPC und LDAP
G 2.115 Ungeeigneter Umgang mit den Standard-Sicherheitsgruppen ab Windows Server 2003
G 2.116 Datenverlust beim Kopieren oder Verschieben von Daten ab Windows Server 2003

Menschliche Fehlhandlungen

G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.38 Konfigurations- und Bedienungsfehler
G 3.48 Fehlerhafte Konfiguration von Windows- /basierten IT-Systemen
G 3.56 Fehlerhafte Einbindung des IIS in die Systemumgebung
G 3.81 Unsachgemäßer Einsatz von Sicherheitsvorlagen ab Windows Server 2003

Technisches Versagen

G 4.13 Verlust gespeicherter Daten
G 4.22 Software-Schwachstellen oder -Fehler
G 4.54 Verlust des Schutzes durch das verschlüsselnde Dateisystem EFS
G 4.55 Datenverlust beim Zurücksetzen des Kennworts ab Windows Server 2003 und XP

Vorsätzliche Handlungen

G 5.7 Abhören von Leitungen
G 5.52 Missbrauch von Administratorrechten bei Windows-Betriebssystemen
G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.79 Unberechtigtes Erlangen von Administratorrechten unter Windows-Systemen
G 5.83 Kompromittierung kryptographischer Schlüssel
G 5.85 Integritätsverlust schützenswerter Informationen
G 5.132 Kompromittierung von RDP-Benutzersitzungen ab Windows Server 2003
G 5.133 Unautorisierte Benutzung web-basierter Administrationswerkzeuge

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Alle Überlegungen zu einem Windows Server 2003 sollten auf den im Baustein B 3.101 Allgemeiner Server enthaltenen Maßnahmen basieren. Die dort beschriebenen allgemeinen Maßnahmen werden im vorliegenden Baustein konkretisiert und ergänzt.

Server und Clients bilden eine Funktionseinheit. Daher muss auch der Baustein B 3.201 Allgemeiner Client und die darauf aufbauenden Betriebssystem-spezifischen Bausteine im Zusammenhang mit diesem Baustein beachtet werden.

Planung und Konzeption

Ist die allgemeine Planung des Servereinsatzes abgeschlossen und die Wahl des Betriebssystems auf Windows Server 2003 gefallen, müssen Teilkonzepte für den Servereinsatz unter Berücksichtigung aller geltenden übergeordneten Konzepte und Richtlinien erstellt werden. Die generelle Vorgehensweise bei der Planung wird in M 2.315 Planung des Servereinsatzes erläutert.

Für die darin genannten Themengebiete sind die spezifischen Empfehlungen aus den Maßnahmen M 4.276 Planung des Einsatzes von Windows Server 2003 und M 2.364 Planung der Administration ab Windows 2003 zu entnehmen.

Während der Planung müssen wichtige Entscheidungen über grundlegende Infrastrukturdienste gefällt werden. Maßgeblich ist M 5.152 Austausch von Informationen und Ressourcen über Peer-to-Peer-Dienste . In die Entscheidungen hinsichtlich der Konzeption der Infrastrukturdienste fließen die geplanten Rollen und die Hinweise aus den Hilfsmitteln zum IT-Grundschutz (siehe DNS/WINS/DHCP als Infrastrukturdienste unter Windows Server 2003 in Hilfsmittel zum Windows Server 2003) ein.

Zu planen sind weiterhin die Kommunikationsprotokolle des Servers (M 4.277 Absicherung der SMB-, LDAP- und RPC-Kommunikation unter Windows-Servern , M 5.131 Absicherung von IP-Protokollen unter Windows Server 2003 ).

Weitere übergreifende Funktionen können die Sicherheit des Servers erhöhen, z. B. WebDAV und Encrypting File System ( EFS ) (siehe M 5.132 Sicherer Einsatz von WebDAV unter Windows Server 2003 , M 4.278 Sichere Nutzung von EFS unter Windows Server 2003 ), Netzwerklastenausgleich (Network Load Balancing, NLB), IPSec, Benutzerauthentisierung mittels Smart Card und andere. Hierbei sollten auch M 6.99 Regelmäßige Sicherung wichtiger Systemkomponenten für Windows-Server , M 4.279 Erweiterte Sicherheitsaspekte für Windows Server 2003 beachtet werden.

Bei allen bisher genannten Schritten sind die Grundsätze aus M 5.10 Restriktive Rechtevergabe und M 5.9 Protokollierung am Server zu berücksichtigen. Spezifische Hilfestellungen geben M 2.370 Administration der Berechtigungen ab Windows Server 2003 und M 2.365 Planung der Systemüberwachung unter Windows Server 2003 . Die dort genannten Empfehlungen für den Betrieb des Servers sollten auch schon bei der Planung von Berechtigungskonzepten berücksichtigt werden.

Im Rahmen der Planung des Servers sollte eine Sicherheitsrichtlinie erstellt und/oder bestehende Richtlinien ergänzt werden. Bei allen bisher genannten Schritten ergeben sich in Abhängigkeit von Einsatzzweck und Nutzdaten kritische Aspekte sowie individuelle Lösungen und Verfahrensweisen. Diese werden gesammelt. Dann wird anhand der individuellen Situation und Organisationsstruktur des Unternehmens oder der Behörde überlegt, welche Aspekte den Sicherheitsrichtlinien hinzugefügt werden sollen. Die Maßnahme M 2.316 Festlegen einer Sicherheitsrichtlinie für einen allgemeinen Server schildert eine geeignete Herangehensweise.

Beschaffung

Nach Abschluss der konzeptionellen Planungsarbeiten und der Definition der Beschaffungskriterien für einen Server (siehe M 2.317 Beschaffungskriterien für einen Server ) sollte in Abhängigkeit der Anzahl der zu beschaffenden Server ein geeignetes Lizenzmodell ausgewählt werden. Die Hilfsmittel zum IT-Grundschutz bieten hierbei Hilfestellung (siehe Auswahl geeigneter Lizenzierungsmethoden für Windows XP/Server 2003 in Hilfsmittel zum Windows Server 2003).

Umsetzung

Nach der Planung von sicherheitsrelevanten Maßnahmen für Windows Server 2003 müssen diese im Rahmen der Umsetzung bzw. Installation und Konfiguration des Windows Server 2003 Systems realisiert werden.

Zur Gewährleistung eines angemessenen Sicherheitsniveaus sollten bei der Umsetzung (und später auch im Betrieb) eines Windows-Server-2003-Systems die folgenden Prämissen beachtet werden:

In der Maßnahme M 4.280 Sichere Basiskonfiguration von Windows Server 2003 sind eine Reihe von kleineren Funktionen sowie grundsätzliche Vorgehensweisen bei der Umsetzung erläutert, mit denen die oben genannten Prämissen erfüllt werden können.

Zur Installation und Konfiguration sollten Hilfsprogramme, sogenannte Assistenten, bevorzugt werden. Manuelle Einstellungen sollten nur wenn unbedingt notwendig vorgenommen werden. So wird einerseits Fehlkonfigurationen vorgebeugt und andererseits die Dokumentation vereinfacht (z. B.: "Assistent mit Standardeinstellungen sowie folgenden drei abweichenden Einstellungen konfiguriert..."). Administrative Hilfsmittel wie Vorlagen und Skripte (M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003 und M 2.367 Einsatz von Kommandos und Skripten ab Windows Server 2003 ) unterstützen die Standardisierung und Dokumentation.

Sofern der Server neu aufgesetzt wird, fließen alle bisher genannten Schritte bei der Installation und Bereitstellung des Servers zusammen. Um hierfür einen sicheren und zuverlässigen Prozess zu etablieren, sollte M 4.281 Sichere Installation und Bereitstellung von Windows Server 2003 umgesetzt werden.

Betrieb

Im Regelbetrieb ist neben der Gewährleistung einer aktuellen Dokumentation insbesondere der Umgang mit administrativen Vorlagen und die Administration der Berechtigungen von Bedeutung (M 2.368 Umgang mit administrativen Vorlagen unter Windows ab Server 2003 und M 2.370 Administration der Berechtigungen ab Windows Server 2003 ).

Die Aufrechterhaltung der Sicherheit wird neben den im Baustein B 3.101 Allgemeiner Server , genannten Maßnahmen M 4.93 Regelmäßige Integritätsprüfung und M 5.8 Regelmäßiger Sicherheitscheck des Netzes für einen Windows Server 2003 durch die Maßnahme M 2.369 Regelmäßige sicherheitsrelevante Wartungsmaßnahmen eines Windows Server 2003 ergänzt bzw. konkretisiert.

Aussonderung

Zur geregelten Aussonderung eines Windows Servers 2003 sollten generell die im Baustein B 3.101 Allgemeiner Server beschriebenen Maßnahmenempfehlungen berücksichtigt werden. Zusätzlich ist in Bezug auf die Deaktivierung bzw. Löschung von einzelnen Konten die Maßnahme M 2.371 Geregelte Deaktivierung und Löschung ungenutzter Konten zu beachten.

Notfallvorsorge

Aspekte der Notfallplanung für einen Windows Server 2003 werden in den Maßnahmen M 6.99 Regelmäßige Sicherung wichtiger Systemkomponenten für Windows-Server und M 6.76 Erstellen eines Notfallplans für den Ausfall von Windows-Systemen thematisiert.

Nachfolgend wird das Maßnahmenbündel für den Bereich "Windows Server 2003" vorgestellt.

Planung und Konzeption

M 2.232 (C) Planung der Windows-CA-Struktur ab Windows 2000
M 2.364 (A) Planung der Administration ab Windows 2003
M 2.365 (A) Planung der Systemüberwachung unter Windows Server 2003
M 4.276 (A) Planung des Einsatzes von Windows Server 2003
M 4.277 (C) Absicherung der SMB-, LDAP- und RPC-Kommunikation unter Windows-Servern
M 4.278 (Z) Sichere Nutzung von EFS unter Windows Server 2003
M 4.279 (Z) Erweiterte Sicherheitsaspekte für Windows Server 2003
M 5.131 (A) Absicherung von IP-Protokollen unter Windows Server 2003
M 5.132 (B) Sicherer Einsatz von WebDAV unter Windows Server 2003

Umsetzung

M 2.366 (B) Nutzung von Sicherheitsvorlagen unter Windows Server 2003
M 2.367 (C) Einsatz von Kommandos und Skripten ab Windows Server 2003
M 4.48 (A) Passwortschutz unter Windows-Systemen
M 4.52 (A) Geräteschutz unter NT-basierten Windows-Systemen
M 4.280 (A) Sichere Basiskonfiguration ab Windows Server 2003
M 4.281 (A) Sichere Installation und Bereitstellung von Windows Server 2003
M 4.282 (B) Sichere Konfiguration der IIS-Basis-Komponente unter Windows Server 2003
M 4.283 (B) Sichere Migration von Windows NT 4 Server und Windows 2000 Server auf Windows Server 2003
M 4.284 (B) Umgang mit Diensten ab Windows Server 2003
M 4.285 (A) Deinstallation nicht benötigter Client-Funktionen von Windows Server 2003
M 4.286 (A) Verwendung der Softwareeinschränkungsrichtlinie unter Windows Server 2003
M 5.90 (Z) Einsatz von IPSec unter Windows

Betrieb

M 2.368 (C) Umgang mit administrativen Vorlagen unter Windows ab Server 2003
M 2.369 (A) Regelmäßige sicherheitsrelevante Wartungsmaßnahmen eines Windows Server 2003
M 2.370 (A) Administration der Berechtigungen ab Windows Server 2003
M 4.56 (C) Sicheres Löschen unter Windows-Betriebssystemen

Aussonderung

M 2.371 (A) Geregelte Deaktivierung und Löschung ungenutzter Konten

Notfallvorsorge

M 6.76 (C) Erstellen eines Notfallplans für den Ausfall von Windows-Systemen
M 6.99 (A) Regelmäßige Sicherung wichtiger Systemkomponenten für Windows-Server

Stand: 13. EL Stand 2013