Bundesamt für Sicherheit in der Informationstechnik

B 3.209 Client unter Windows XP

Logo Client unter Windows XP

Beschreibung

Betrachtet werden Arbeitsplatz-PCs ( APC s) mit dem Betriebssystem Windows XP Professional. Windows XP ist das Nachfolgeprodukt von Windows 2000 Professional. Die Sicherheit eines solchen Betriebssystems spielt eine wichtige Rolle für die Sicherheit in einem Informationsverbund, da Schwachstellen auf der Betriebssystemebene die Sicherheit aller Anwendungen und des gesamten Netzes beeinträchtigen können. Der vorliegende Baustein beschreibt die Sicherheitsmaßnahmen, die für einen APC mit Windows XP umzusetzen sind. Die Maßnahmen beziehen sich insbesondere auf die Planung und den Betrieb eines Windows XP Clients in einer Domänenumgebung, auf Installationen von Windows XP auf Einzelplatzrechnern wird nur am Rande eingegangen. Die serverspezifischen Sicherheitsmaßnahmen, die beim Betrieb der Clients in einer Domänenumgebung relevant sind, sind in den Server-Bausteinen der Schicht 3 beschrieben (siehe z. B. Baustein  B 3.106 Server unter Windows 2000 ).

Gefährdungslage

Wie jedes IT-System sind auch Clients unter Microsoft Windows XP vielfältigen Gefährdungen ausgesetzt. Oft nutzen erfolgreiche Angriffe Fehlkonfigurationen einzelner oder mehrerer Systemkomponenten aus. Daher kommt der korrekten Konfiguration des Systems und seiner Komponenten eine wichtige Rolle zu. Generell gilt, dass die Gefährdungslage einzelner Rechner immer auch vom Einsatzszenario abhängt und diese Einzelgefährdungen auch in die Gefährdung des Gesamtsystems eingehen. Es ist zu beachten, dass bei nicht vernetzten PCs alle Angriffe (siehe "Vorsätzliche Handlungen") den lokalen Zugang zum Gerät (Konsole) erfordern.

Für den IT-Grundschutz einzelner PCs unter dem Betriebssystem Windows XP werden folgende typische Gefährdungen angenommen.

Höhere Gewalt

G 1.2 Ausfall von IT-Systemen
G 1.4 Feuer
G 1.5 Wasser
G 1.8 Staub, Verschmutzung

Organisatorische Mängel

G 2.7 Unerlaubte Ausübung von Rechten
G 2.9 Mangelhafte Anpassung an Veränderungen beim IT-Einsatz

Menschliche Fehlhandlungen

G 3.2 Fahrlässige Zerstörung von Gerät oder Daten
G 3.3 Nichtbeachtung von Sicherheitsmaßnahmen
G 3.6 Gefährdung durch Reinigungs- oder Fremdpersonal
G 3.8 Fehlerhafte Nutzung von IT-Systemen
G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.22 Fehlerhafte Änderung der Registrierung
G 3.48 Fehlerhafte Konfiguration von Windows- /basierten IT-Systemen

Technisches Versagen

G 4.1 Ausfall der Stromversorgung
G 4.7 Defekte Datenträger
G 4.23 Automatische Erkennung von Wechseldatenträgern

Vorsätzliche Handlungen

G 5.2 Manipulation an Informationen oder Software
G 5.4 Diebstahl
G 5.7 Abhören von Leitungen
G 5.9 Unberechtigte IT-Nutzung
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.21 Trojanische Pferde
G 5.23 Schadprogramme
G 5.43 Makro-Viren
G 5.52 Missbrauch von Administratorrechten bei Windows-Betriebssystemen
G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.79 Unberechtigtes Erlangen von Administratorrechten unter Windows-Systemen
G 5.83 Kompromittierung kryptographischer Schlüssel
G 5.85 Integritätsverlust schützenswerter Informationen

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Aufgrund der oben aufgeführten besonderen Gefährdungen für vernetzte Geräte werden einige Maßnahmen ausdrücklich herausgestellt. Vor allem Maßnahmen zum Schutz gegen Angriffe aus dem Netz müssen hierbei sorgfältig durchgeführt werden. Eine effiziente, zentralisierte Verwaltung der Clients leistet einen wichtigen Beitrag zur Aufrechterhaltung eines hohen Sicherheitsstandards. Einheitliche Konfigurationsvorgaben erleichtern die Überwachung von ungewollten Änderungen der Konfiguration, Änderungen der Sicherheitsvorgaben können schneller auf allen Clients wirksam werden und Softwareaktualisierungen können schneller verteilt werden. Die Mehrzahl der empfohlenen Maßnahmen aus dem Bereich Hardware/Software lassen sich mit zentral vorgegebenen Gruppenrichtlinien umsetzen. Wenn in der Organisation der Einsatz von Microsoft Active Directory vorgesehen ist, muss dieser Einsatz gründlich geplant werden.

Einen Sonderfall stellt die Verwaltung von Windows XP Clients in Windows NT Domänenumgebungen dar. In diesem Fall stehen als Werkzeug zur zentralen Verwaltung nur die Windows NT Systemrichtlinien zur Verfügung. Aufgrund der technischen Beschränkungen dieser Lösung wird der Einsatz von Systemrichtlinien für Windows XP jedoch nicht empfohlen. Für die Verwaltung von Clients unter Windows XP sollte der Einsatz von Active Directory Gruppenrichtlinien erwogen werden.

Clients unter Windows XP können anstatt in Domänen auch in Arbeitsgruppen verwendet werden. Die Verwaltung sämtlicher Sicherheitsmerkmale erfolgt in diesem Fall lokal auf jedem einzelnen Client. Freigegebene Ressourcen auf einzelnen Rechnern lassen sich nur schwer zentral verwalten und überwachen. Ein Problem stellt auch die Datensicherung dar. Aufgrund der Vernetzung können jedoch einige netzbasierte Maßnahmen angewendet werden, z. B. die Verwendung von Sicherheitsvorlagen zur Konfiguration und die automatische Aktualisierung des Betriebssystems mithilfe des Software Update Service.

Für die erfolgreiche und sichere Konfiguration von Clients unter Windows XP sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Installation bis zum Betrieb.

Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Nach der Entscheidung, Windows XP als Client-Betriebssystem einzusetzen, sollte zunächst der Einsatz geplant werden (siehe Maßnahme M 2.324 Einführung von Windows auf Clients ab Windows XP planen ). Parallel dazu ist eine Sicherheitsrichtlinie zu erarbeiten (siehe Maßnahme M 2.325 Planung der Sicherheitsrichtlinien für Windows-Clients ab Windows XP ), die einerseits die bereits bestehenden Sicherheitsrichtlinien im Windows XP-Kontext umsetzt und andererseits die für Windows XP spezifischen Erweiterungen definiert.

In einer vernetzten Umgebung wird der Einsatz eines zentralen Verwaltungssystems empfohlen. Hierfür kann z. B. Microsoft Active Directory zum Einsatz kommen. Insbesondere die Verwendung von Gruppenrichtlinien ermöglicht eine relativ einfache zentrale Umsetzung von Sicherheitsvorgaben. Beim Betrieb eines Windows XP Einzelsystems ist der Einsatz lokaler Gruppenrichtlinien empfehlenswert. Die Maßnahme M 2.326 Planung der Gruppenrichtlinien für Clients ab Windows XP enthält die entsprechenden Empfehlungen zum Einsatz von Gruppenrichtlinien zur Konfiguration und Verwaltung eines Windows XP Systems.

Weitere Aspekte müssen in der Planungsphase berücksichtigt werden. Diese betreffen vor allem die sichere Konfiguration eines Windows XP Systems. Folgende Maßnahmen sind hierfür relevant:

Wird in einem Unternehmen bzw. einer Behörde der Einsatz von Windows XP spezifischen Fern­zugriffsmöglichkeiten beabsichtigt, so müssen in der Planungsphase die entsprechenden Technologien ausgewählt und damit verbundene Sicherheitsaspekte evaluiert werden (siehe dazu die Maßnahme M 2.327 Sicherheit beim Fernzugriff auf Clients ab Windows XP ).

Soll Windows XP zum Einsatz auf mobilen Rechnern kommen, so müssen bereits in der Planungsphase spezifische Sicherheitsaspekte berücksichtigt werden. Die Maßnahme M 2.328 Einsatz von Windows XP auf mobilen Rechnern fasst die für Windows XP spezifischen Aspekte zusammen.

Windows XP bietet einige Verwaltungswerkzeuge an, die bereits in der Planungs- bzw. Testphase helfen können, Konfigurationsfehler zu vermeiden, was zweifellos einen Sicherheitsgewinn bringt.

Die Maßnahme M 4.243 Verwaltungswerkzeuge unter Windows Client-Betriebssystemen fasst die wichtigsten Werkzeuge zusammen.

Umsetzung

In der Umsetzungsphase werden alle Maßnahmen ergriffen, die den sicheren Betrieb vorbereiten und gewährleisten. Dazu zählen insbesondere Maßnahmen zur Sicherheit bei der Installation und Grundkonfiguration des Systems.

Nachdem die organisatorischen und planerischen Vorarbeiten durchgeführt wurden, kann die Installation von Windows XP Systemen erfolgen. Die Installation muss mit besonderer Sorgfalt durchgeführt werden. In M 4.248 Sichere Installation von Windows Client-Betriebssystemen sind die relevanten Empfehlungen zusammengefasst. Die für die Konfiguration eines Windows XP Systems zu beachtenden Aspekte müssen während der Planungsphase ermittelt worden sein.

Betrieb

Nach der Erstinstallation und einer Testbetriebsphase wird der Regelbetrieb aufgenommen. Unter Sicherheitsgesichtspunkten sind dabei folgende Aspekte zu beachten:

  • Ein Windows XP System ändert sich in der Regel täglich. Dabei muss bei jeder Änderung sichergestellt werden, dass die Sicherheit auch nach der Änderung nicht beeinträchtigt wird. Die dabei zu beachtenden Aspekte sind in M 4.146 Sicherer Betrieb von Windows Client-Betriebssystemen zusammengefasst.
  • Ein Mittel im Rahmen der Aufrechterhaltung der Sicherheit eines Windows XP Netzes ist die Überwachung des Systems bzw. seiner Einzelkomponenten. Die hier relevanten Maßnahmen finden sich in M 4.148 Überwachung eines Windows 2000/XP Systems . Dabei spielen auch insbesondere Datenschutzaspekte eine Rolle.
  • Windows XP Systeme sind wie auch andere IT-Systeme den allgemeinen Sicherheitsrisiken ausgesetzt. Um die Wahrscheinlichkeit eines erfolgreichen Angriffs entschieden zu verringern, müssen Windows XP Systeme aktuell gehalten werden. Die entsprechenden Empfehlungen sind M 4.249 Windows Client-Systeme aktuell halten zu finden.
  • Für die bereits im Betrieb befindlichen Windows XP Systeme müssen die aus dem Einspielen des Service Packs 2 resultierende Auswirkungen berücksichtigt werden (siehe dazu M 2.329 Einführung von Windows XP SP2 ).
  • Eine regelmäßige Prüfung der geltenden Sicherheitseinstellungen und generell der existierenden Sicherheitsrichtlinien ist maßgebend für die Sicherheit der Windows XP Systeme im laufenden Betrieb. Die dabei zu beachtenden Aspekte sind in M 2.330 Regelmäßige Prüfung der Sicherheitsrichtlinien und ihrer Umsetzung bei Windows-Clients ab Windows XP Sicherheitsrichtlinien und ihrer Umsetzung zusammengefasst.
  • Windows XP bietet einige Verwaltungswerkzeuge an, deren Einsatz auch aus Sicherheitssicht empfehlenswert ist, da mit ihrer Hilfe unter anderem auch Konfigurationsfehler vermieden werden können. Im Weiteren sind diese Werkzeuge bei der Fehleranalyse bzw. bei der Revision nützlich (siehe dazu M 4.243 Verwaltungswerkzeuge unter Windows Client-Betriebssystemen ).

Aussonderung

Wenn ein Windows XP APC stillgelegt wird, ist dafür Sorge zu tragen, dass die gespeicherten Daten nicht in falsche Hände geraten oder missbräuchlich verwendet werden können. Zu den gespeicherten Daten gehören auch Passwörter, Cookies, temporäre Internetdateien usw. Gleichzeitig ist zu beachten, dass bei Archivierung der Daten der Zugriff erhalten bleibt, auch wenn beispielsweise der bisherige Benutzer eines APCs die Organisation verlassen hat. Die gleichen Anforderungen gelten, wenn ein APC von einem Benutzer zu einem anderen Benutzer umgesetzt wird.

Notfallvorsorge

Neben der Absicherung im laufenden Betrieb spielt jedoch auch die Notfallvorsorge eine wichtige Rolle, da nur so der Schaden im Notfall verringert werden kann. Hinweise zur Notfallvorsorge finden sich in M 6.76 Erstellen eines Notfallplans für den Ausfall von Windows-Systemen . Hinweise zur Datensicherung sind in M 6.78 Datensicherung unter Windows Clients enthalten.

Nachfolgend wird das Maßnahmenbündel für den Baustein "Windows XP Client" vorgestellt.

Planung und Konzeption

M 2.324 (A) Einführung von Windows auf Clients ab Windows XP planen
M 2.325 (A) Planung der Sicherheitsrichtlinien für Windows-Clients ab Windows XP
M 2.326 (A) Planung der Gruppenrichtlinien für Clients ab Windows XP
M 2.327 (B) Sicherheit beim Fernzugriff auf Clients ab Windows XP
M 2.328 (B) Einsatz von Windows XP auf mobilen Rechnern
M 4.147 (Z) Sichere Nutzung von EFS unter Windows
M 4.243 (Z) Verwaltungswerkzeuge unter Windows Client-Betriebssystemen
M 4.244 (A) Sichere Systemkonfiguration von Windows Client-Betriebssystemen
M 4.245 (A) Basiseinstellungen für Windows Group Policy Objects
M 4.246 (A) Konfiguration der Systemdienste auf Clients ab Windows XP
M 4.247 (A) Restriktive Berechtigungsvergabe bei Client-Betriebssystemen ab Windows Vista
M 5.123 (B) Absicherung der Netzkommunikation unter Windows

Umsetzung

M 2.32 (Z) Einrichtung einer eingeschränkten Benutzerumgebung
M 3.28 (A) Schulung zu Sicherheitsmechanismen für Benutzer bei Windows Client-Betriebssystemen
M 4.48 (A) Passwortschutz unter Windows-Systemen
M 4.49 (A) Absicherung des Boot-Vorgangs für ein Windows-System
M 4.52 (A) Geräteschutz unter NT-basierten Windows-Systemen
M 4.57 (A) Deaktivieren der automatischen CD-ROM-Erkennung
M 4.75 (A) Schutz der Registry unter Windows-Systemen
M 4.149 (A) Datei- und Freigabeberechtigungen unter Windows
M 4.248 (A) Sichere Installation von Windows Client-Betriebssystemen
M 5.89 (A) Konfiguration des sicheren Kanals unter Windows
M 5.90 (Z) Einsatz von IPSec unter Windows

Betrieb

M 2.329 (A) Einführung von Windows XP SP2
M 2.330 (B) Regelmäßige Prüfung der Sicherheitsrichtlinien und ihrer Umsetzung bei Windows-Clients ab Windows XP
M 4.56 (C) Sicheres Löschen unter Windows-Betriebssystemen
M 4.146 (A) Sicherer Betrieb von Windows Client-Betriebssystemen
M 4.148 (B) Überwachung eines Windows 2000/XP Systems
M 4.249 (A) Windows Client-Systeme aktuell halten

Notfallvorsorge

M 6.76 (C) Erstellen eines Notfallplans für den Ausfall von Windows-Systemen
M 6.78 (A) Datensicherung unter Windows Clients

Stand: 11. EL Stand 2009