Bundesamt für Sicherheit in der Informationstechnik

M 2.369 Regelmäßige sicherheitsrelevante Wartungsmaßnahmen eines Windows Server 2003

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Wartung dient der Werterhaltung eines Windows Server 2003 bzw. der Aufrechterhaltung seiner Funktionen und vorgesehenen Verwendbarkeit. Sie darf nur von fachkundigem sowie autorisiertem Personal ausgeführt werden und kann Bestandteil einer Gewährleistung sein. Bei der Durchführung von Wartungen sind insbesondere beim Einsatz von externem Personal die Forderungen der Maßnahme M 2.4 Regelungen für Wartungs- und Reparaturarbeiten zu berücksichtigen.

Eine Wartung wird regelmäßig und geplant auf Grundlage eines Wartungsplanes, in der Regel außerhalb des Normalbetriebes, durchgeführt. Werden Cluster für den Netzwerklastenausgleich eingesetzt (Network Load Balancing, NLB), ist auch eine Wartung ohne Unterbrechung des Normalbetriebs möglich. Die Wartung umfasst Konfigurationsarbeiten, Reinigungen, die Begutachtung und Erneuerung von Verschleißteilen, Hardware-Erweiterungen sowie das Beheben kleiner Defekte. Herstellerangaben sind dabei zu beachten (siehe M 2.213 Inspektion und Wartung der technischen Infrastruktur ).

Somit werden erkannte Fehler behoben, Anpassungen und Aktualisierungen umgesetzt und gegebenenfalls über Erweiterungen neue Funktionen und Anwendungen bereitgestellt. Die Erweiterungen dürfen nur nach ausreichendem Testen und vorliegender Genehmigung vorgenommen werden. Änderungen am Server sind zu dokumentieren.

Wartungsanforderungen und deren Durchführung sind vom Verantwortlichen für die Wartung, meist der zuständige Administrator, zu koordinieren (siehe Baustein B 1.9 Hard- und Software-Management ) und zu dokumentieren (Maßnahme M 2.34 Dokumentation der Veränderungen an einem bestehenden System ).

Vorbereitung der Wartung

Anhand der Teilkonzepte für die Rollen und Komponenten des Servers sollten die bei der Wartung abzuarbeitenden Bereiche identifiziert werden. Für wartungsrelevante Aspekte können die spezifischen Grundschutzmaßnahmen konsultiert werden. Anhaltspunkte für weitere wartungsrelevante Aspekte in verschiedenen Anwendungsszenarien sind in der Dokumentationsbibliothek Microsoft Operations Framework (MOF) für Windows Server 2003 zu finden.

Bestimmte wartungsrelevante Systemeigenschaften lassen sich nur im Normalbetrieb feststellen. Deshalb sind entsprechende Informationen aus dem Systemmonitor, Netzwerkmonitor, Taskmanager und rollenspezifischen Konsolen rechtzeitig zu ermitteln und zu berücksichtigen. Besonderes Augenmerk ist dabei auf die Seitenfehler in Verbindung mit der Auslagerungsdatei und auf den Ressourcenverbrauch von Prozessen zu richten (siehe M 2.365 Planung der Systemüberwachung unter Windows Server 2003 ).

Mit dem Windows Systemressourcen Manager (WSRM) besteht für Enterprise- oder Datacenter-Editionen die Möglichkeit, den Ressourcenverbrauch für Anwendungen, Prozesse und Dienste mittels Richtlinien zu definieren und zu steuern.

Es sollte ein Protokoll zu den während der Wartung abzuarbeitenden Schritten geführt werden, das auch Datum und einen Verantwortlichen enthält. Nach der Wartung sollte es aufbewahrt werden, um später eventuelle Unregelmäßigkeiten nachvollziehen zu können, z. B. bei der Auswertung der Ereignisanzeige.

Das Systemprotokoll aus der Ereignisanzeige ist auf Fehler und Warnungen zu prüfen. Es ist auf jeden Fall zu beurteilen, in wie weit der sichere Betrieb des Servers durch diese Ereignisse gefährdet ist.

Wenn durch Wartungsarbeiten ein stark erhöhtes Aufkommen von bestimmten Ereignistypen zu erwarten ist, dann sollte dies vorher angekündigt werden, um Fehlalarme zu vermeiden. Unter Umständen kann dies auch für andere Protokolle sinnvoll sein, soweit sie betroffen sind.

Darüber hinaus kann die Serverhardware mit anderen Werkzeugen überwacht werden. Viele Hersteller bieten für ihre Hardware eigene Überwachungssoftware an, die auch Warnmeldungen senden und verarbeiten kann. Je nach Ausstattung werden z. B. die Festplatten, die Lüfterdrehzahl, die Spannungen des Netzteiles und die unterbrechungsfreie Stromversorgung überwacht. Häufig bieten hochwertige Festplatten eine so genannte Fehlerfrüherkennung. Dadurch ist es möglich, rechtzeitig vor dem Ausfall der Festplatte diese zu wechseln. Es ist zu gewährleisten, dass diese Informationen bei der Wartung berücksichtigt werden, siehe hierzu auch M 2.365 Planung der Systemüberwachung unter Windows Server 2003 .

Regelmäßige Wartungsarbeiten

Es ist zu prüfen und zu gewährleisten, dass die Serverhardware vollständig ist und keine in der Organisation nicht zugelassenen Komponenten beinhaltet. Für den sicheren Betrieb des Servers müssen alle Geräte und Dienste ohne Störung in Betrieb sein. Deshalb ist ihr ordnungsgemäßer Betrieb in der Computerverwaltung (Gerätemanager und Dienste) zu kontrollieren.

Die aktuellen Systemeigenschaften des Servers sind mit den dokumentierten Konfigurationsvorgaben abzugleichen. Dabei sind besonders die Einstellungen unter Erweitert, Systemwiederherstellung und Automatische Updates zu beachten. Falls Sicherheitsvorlagen verwendet werden, ist die Konformität des Servers zur aktuellen Version der Vorlagen zu prüfen.

Patches

Bei einer Wartung ist zu überprüfen, ob aktuell verfügbare Sicherheits-Patches eingepflegt sind. Für diese Aufgabe kann der Microsoft Security Baseline Analyser (MBSA) genutzt werden. Zuvor sollte jedoch geprüft werden, ob der MBSA alle relevanten Patches detektieren kann und welche der verfügbaren Patches tatsächlich für den Server relevant sind. Normalerweise werden erforderliche Sicherheitsaktualisierungen zeitnah ausgeführt.

Da unter Umständen einzelne Patches für deren Wirksamkeit einen Neustart von Geräten, Diensten oder gar des Servers erforderlich machen, können diese Aktualisierungen nur während einer Wartung ausgeführt werden. Abweichungen sind zu begründen.

Konten und Passwörter

Die Organisationsrichtlinien für den Umgang mit Konten und Passwörtern gelten auch für lokale Konten des Servers und die Dienstkonten (siehe M 4.48 Passwortschutz unter Windows-Systemen ). Im Rahmen von Wartungs- und Integritätsprüfungen des Windows-Server-2003-Systems sollte geprüft werden, ob die Organisationsrichtlinien für den Umgang mit Konten und Passwörtern bzw. die Regelungen des Berechtigungskonzeptes eingehalten werden. Insbesondere sollte hierbei geprüft werden, ob unbenutzte lokale Konten vorhanden sind oder leere Passwörter bzw. Passwörter, die nicht den Organisationsrichtlinien entsprechen, vergeben wurden. Hierbei können Tools bzw. Scripte des MBSA genutzt werden. Besonderes Augenmerk ist auch auf temporäre Konten zu richten, also solche, die nur für einen begrenzten Zeitraum vorgesehen waren oder sind.

Dienstkonten verfügen häufig über erweiterte Rechte und bedürfen deshalb eines besonderen Schutzes. Bei der Kennwortänderung der Dienstkonten muss das neu vergebene Kennwort zusätzlich in den Eigenschaften des betroffenen Dienstes auf dem Reiter Anmelden eingetragen werden. Anschließend ist ein Neustart der betroffenen Dienste notwendig. Werden diese Dienste während des Normalbetriebes benötigt, können solche Maßnahmen nur während der Wartung durchgeführt werden, siehe auch Maßnahme M 4.284 Umgang mit Diensten ab Windows Server 2003 .

Datenträger und Datenbestände

Die Datenbestände des Servers sind auf nicht erlaubte Datentypen und Software zu prüfen. Abweichungen sind gemäß Vorgaben der Organisation zu behandeln. Dabei sind auch verschlüsselte Datenbestände zu erfassen, welche den Vorgaben der Verschlüsselungsrichtlinie der Organisation nicht entsprechen. Unerwünschte EFS -Verschlüsselungen können z. B. mit dem Werkzeug EFSInfo lokalisiert werden (siehe auch M 4.278 Sichere Nutzung von EFS unter Windows Server 2003 ).

Vorgaben für die Speicherplatznutzung (z. B. maximale Verzeichnisgröße oder Auslagerung alter Daten) sind auf deren Einhaltung zu kontrollieren und gegebenenfalls umzusetzen. Datenträgerkontingente unterstützen diese Aufgabe, erlauben jedoch für Windows Server 2003 (bis einschließlich SP1) nur eine Beschränkung pro Benutzer und Partition. Mit dem Windows Server 2003 R2 stehen mit der erweiterten Kontingentverwaltung und der Dateiprüfung umfangreiche und komfortable Werkzeuge mit Berichtsfunktion zur Verfügung.

Die aktuellen Berechtigungen für Daten, Freigaben, Registrierung und Drucker sind auf Unregelmäßigkeiten sowie Abweichungen von Vorgaben zu prüfen. Für relativ statische Datenbestände und für Systemdaten wird die Dokumentation und Überprüfung der vergebenen Berechtigungen mittels .inf-Dateien (Sicherheitsvorlagen) und Sicherheitskonfiguration und -analyse empfohlen.

Die Wartung für Datenträger umfasst die Überwachung des freien Speicherplatzes auf der Partition, die Datenträgerbereinigung und die Defragmentierung. Für deren Durchführung ist ausreichend Zeit einzuplanen.

Erhebliche Inkonsistenzen zwischen der Summe der gespeicherten Dateien, dem erwarteten und dem noch verfügbaren Speicherplatz auf der Festplatte können auf unerwünschte versteckte Datenströme (Alternate Data Streams, ADS ) auf NTFS-Partitionen hinweisen. Falls es Hinweise auf versteckte Datenströme gibt, sollte darauf geachtet werden, dass die eingesetzte Antivirensoftware versteckte Datenströme untersucht (siehe M 2.157 Auswahl eines geeigneten Viren-Schutzprogramms ). Ist die Festplattenbelegung durch vermutete versteckte Datenströme erheblich, sollte eine Analyse mit geeigneten Werkzeugen von Drittherstellern erfolgen (siehe G 2.116 Datenverlust beim Kopieren oder Verschieben von Daten ab Windows Server 2003 ).

Visuelle Kontrolle

Durch die visuelle Kontrolle ist das äußere Umfeld des Servers zu begutachten. Dabei sind Kabel und Verbindungen, sowie die Befestigung von Baugruppen zu kontrollieren. Weiterhin ist eine Überprüfung der Sauberkeit und gegebenenfalls eine Reinigung der Lüftungskanäle, der Ventilatoren und der Kühlkörper durchzuführen.

Spezielle Wartungsarbeiten

Sollen Datenträger im Zuge von Wartungsarbeiten zuverlässig gelöscht werden, kann das nur mit Werkzeugen von Drittanbietern durchgeführt werden. Hierzu sind geeignete Produkte auszuwählen, siehe B 1.15 Löschen und Vernichten von Daten .

Ist Hardware redundant ausgelegt, wie z. B. durch RAID 5, doppelte Netzteile und Cluster, muss beim Ausfall einer redundanten Komponente diese umgehend ersetzt werden, da ansonsten die Ausfallsicherheit nicht mehr gegeben ist.

Alle Hardware-Hersteller bieten aktuelle Informationen, Firmware und Treiber für ihre Produkte an. Es wird empfohlen, diese Angebote regelmäßig zu prüfen und bei wesentlichen Änderungen deren Umsetzung innerhalb der Wartung zu berücksichtigen.

Garantie- und Wartungsverträge

Die Einhaltung von Garantie- und Wartungsverträgen ist zu überwachen, damit erforderliche Wartungen durch Vertragspartner durchgeführt werden und keine unnötigen Ausfälle oder Kosten entstehen. Die Beschaffung ist rechtzeitig über notwendige Aktivitäten zu unterrichten.

Prüffragen:

  • Beinhalten die regelmäßigen Wartungsarbeiten unter Windows Server 2003 neben der Überprüfung des Patch-Levels auch eine regelmäßige Überprüfung der Hardware?

  • Wurde für jeden Windows Server 2003 ein Wartungsplan erstellt und mit den Anforderungen der Sicherheitsrichtlinien abgestimmt?

  • Werden durchgeführte Wartungsarbeiten angemessen dokumentiert?

  • Sind die erforderlichen Garantie- und Wartungsverträge noch gültig und entsprechen den aktuellen Anforderungen?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK