Bundesamt für Sicherheit in der Informationstechnik

M 4.283 Sichere Migration von Windows NT 4 Server und Windows 2000 Server auf Windows Server 2003

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Aktualisierung einer Vorgängerversion auf Windows Server 2003 hat meist verschiedene Gründe und verfolgt mehrere Ziele. Die Ausgangspositionen sind dabei organisatorisch und technisch sehr vielfältig. Deshalb ist die umfassende und sorgfältige Planung einer Serveraktualisierung unter Berücksichtigung der zu erreichenden Ziele unerlässlich. Die Forderungen in M 2.315 Planung des Servereinsatzes und M 2.319 Migration eines Servers sind zu beachten. Für die Migration eines Windows NT-Servers gelten grundsätzlich auch die Festlegungen aus M 2.233 Planung der Migration von Windows NT auf Windows 2000 .

Vor- und Nachteile verschiedener Migrationspfade

Bei der Entscheidung für einen Migrationspfad sind besonders die Vor- und Nachteile der Aktualisierung eines bestehenden Servers (In-place Upgrade) gegen die einer Neuinstallation sorgfältig abzuwägen. So weicht unter Umständen ein aktualisierter Server auf Grund übernommener "Altlasten" oder alter Konzepte erheblich von den Sicherheitsstandards eines neu installierten Windows Server 2003 Systems ab. Maßgeblich ist auch die Ausgangsversion des aktualisierten Servers. Die Standardsicherheitseinstellungen eines aktualisierten Windows Server 2003 entsprechen nicht den Standardeinstellungen der Neuinstallation. Die Einstellungen werden vom Setup-Programm je nach Ausgangsversion und Service Pack unterschiedlich gesetzt. Wird also Windows NT 4.0 Server auf Windows Server 2003 aktualisiert, dann unterscheiden sich die resultierenden Einstellungen von denen eines von Windows 2000 Server aus aktualisierten Windows-Server-2003-Systems.

Für die Durchsetzung einer homogenen Sicherheitsrichtlinie müssen abhängig von der Ausgangssituation (Version, Rolle, Konfiguration) die Sicherheitskonfigurationen angepasst werden.

Die Aktualisierung eines bestehenden Servers erfordert im Allgemeinen weniger Aufwand, da die vorhandenen Benutzer, Gruppen und Rechte beibehalten werden. Dateien und Anwendungen müssen nicht neu installiert werden.

Eine Neuinstallation mit frisch formatierten Festplatten ist hingegen leistungsfähiger. Die Datenträgerpartitionen können den aktuellen Bedürfnissen angepasst werden. Für Server, bei denen die Verfügbarkeitsanforderungen sehr hoch sind, ist eine Neuinstallation zu empfehlen. Anderenfalls sollte nach vorheriger Datensicherung auf jeden Fall eine komplette Defragmentierung der Partitionen erfolgen.

Vorbereitungen

Die Herstellerinformationen, insbesondere die mitgelieferten Dokumentationen auf den Installationsmedien (z. B. Verzeichnis \DOC auf dem Windows Server 2003 Installationsmedium) sind zu beachten. Vor einer Aktualisierung muss geprüft werden, ob die Voraussetzungen dafür erfüllt sind. Dazu gehört die Upgrade-Fähigkeit der unterschiedlichen Versionen der Betriebssysteme. Die Systemanforderungen und Hardwarekompatibilität sind beim Hersteller nachzulesen oder mittels Setup vom Windows Server 2003 Installationsmedium mit Systemkompatibilität prüfen zu kontrollieren. Neben diesen empfohlenen Herstelleranforderungen sind die produktiv benötigten Kapazitäten (Festplatte, Arbeitsspeicher usw.) zu berücksichtigen. Informationen über die vorhandenen Geräte und Treiber helfen unter Umständen bei erforderlichen manuellen Eingriffen. Es wird empfohlen, ein Inventarverzeichnis für den Server anzulegen, in dem Angaben zu dessen Komponenten (wie Bezeichnung, Typ, Anzahl, IRQ, E/A-Adresse, etc.) dokumentiert sind. Sofern Treiber für diese Komponenten vom Hersteller angeboten werden, sollten diese vorab beschafft werden.

Der Einsatz von Windows Server 2003 erfordert gegebenenfalls den Einsatz neuer Treiber, die möglicherweise nur mit neueren BIOS -Versionen lauffähig sind, wodurch ein Update des BIOS notwendig wird. Dies sollte jedoch erst geschehen, nachdem recherchiert wurde, welche Treiberversionen welche BIOS-Stände benötigen.

Befinden sich auf dem zu aktualisierenden Server

  • Cluster,
  • Volumensätze,
  • Spiegelsätze,
  • Stripesets oder
  • FAT /FAT32-Partitionen

bedürfen diese der besonderen Berücksichtigung, wobei die Nutzung von FAT grundsätzlich nicht zu empfehlen ist.

Software, welche auf dem aktualisierten Server weiter betrieben werden soll, ist vorab auf ihre Kompatibilität zu testen. Dazu gehören u.a. Virenschutzprogramme, Backup- und Managementsysteme sowie Verschlüsselungsanwendungen.

Die Namen, Namensdienste und Netzwerkeinstellungen der zu migrierenden Server sind so zu wählen, dass in allen Phasen keine Konflikte oder zusätzliche Gefährdungen auftreten.

Hinweise hierzu finden sich unter den Hilfsmitteln zum IT-Grundschutz (siehe DNS/WINS/DHCP als Infrastrukturdienste unter Windows Server 2003 in Hilfsmittel zum Windows Server 2003).

Ein produktiver Windows Server 2003 sollte (abgesehen von der Wiederherstellungskonsole) grundsätzlich nur eine Betriebssysteminstallation beherbergen und ausschließlich NTFS-Partitionen besitzen.

Es sollte überlegt werden, aus den Erkenntnissen und Anforderungen der Planungsphase eine Prüfliste zu erstellen, welche in einer Testmigration und vor allem nach der durchgeführten Migration dem dokumentierten Funktionsnachweis dient.

Durchführung

Nach dem erfolgreichen Abschluss aller Tests sollte die Migration eines produktiven Servers mit dem Geschäftsbetrieb abgestimmt werden. Zum angekündigten Termin ist der Server für den Installationsvorgang aus dem Produktivbetrieb zu entfernen. Für eine aktuelle vollständige Datensicherung ist zu sorgen.

Für die Installation darf nur Software aus sicheren Quellen verwendet werden (M 2.273 Zeitnahes Einspielen sicherheitsrelevanter Patches und Updates ). Aktuelle Servicepacks, Sicherheitspatches und Treiber müssen zur Verfügung stehen. Deren Bereitstellung auf geeigneten Wechselmedien wie CD oder DVD ist am sichersten und auch später nachvollziehbar.

Während der Installation ist ein aktiver Netzwerkanschluss am Server notwendig. Der serielle Anschluss einer evtl. vorhandenen unterbrechungsfreien Stromversorgung ist wegen möglicher Komplikationen bei der Schnittstellenerkennung vorsorglich zu trennen.

Die Option eines dynamischen Updates über das Internet sowie eine unbeaufsichtigte Aktualisierung sind zu vermeiden, denn beim Aktualisieren von produktiv genutzten Servern sind meist Besonderheiten zu berücksichtigen, die individuelle Entscheidungen und Eingriffe erfordern. Internetverbindungen während einer Serverinstallation erfordern zusätzliche Sicherheitsmaßnahmen und schaffen vermeidbare Gefährdungen. Außerdem kann ihre Verfügbarkeit nicht garantiert werden.

Hilfsmittel

Die Servermigration auf neue Hardware wird durch Werkzeuge von Microsoft unterstützt. Vor dem Einsatz von diesen Tools und Werkzeugen ist mit dem Hersteller die Unterstützung bei Problemen zu klären Sie sind besonders sorgfältig auszuwählen und vor ihrer Anwendung zu testen. Es können ebenso Werkzeuge von Drittanbietern einbezogen werden.

  • Das File Server Migration Toolkit ( FSMT ) dient zur Migration und Konsolidierung der Daten älterer Dateiserver. Neben den Daten werden mit FSMT auch die Berechtigungen auf NTFS- und Freigabe-Ebene übertragen.
  • Der Microsoft Print Migrator überträgt Druckertreiber und deren Konfiguration jedoch ohne Sicherheitsberechtigungen.
  • Für die Migration und Konsolidierung von Domänen steht das Active Directory Migration Tool ( ADMT ) zur Verfügung.
  • Für die Migration eines Betriebssystems und der installierten Anwendungen eines physischen Servers in eine virtuelle Maschine unter MS Virtual Server 2005 kann das Tool Virtual Server Migration Toolkit (VSMT) genutzt werden.

Nacharbeiten

Nach Abschluss wesentlicher Arbeitsschritte, z. B. nach einem Neustart des Windows Server 2003, sind die Ereignisanzeigen auf kritische Fehler und Hinweise zu prüfen.

Abhängig von der Produktversion und den Lizenzbedingungen ist gegebenenfalls eine Produktaktivierung erforderlich. Hinweise hierzu finden sich unter den Hilfsmitteln zum IT-Grundschutz (siehe Auswahl geeigneter Lizenzierungsmethoden für Windows XP/Server 2003 in Hilfsmittel zum Windows Server 2003).

Sicherheitskonfiguration

Die Sicherheitskonfiguration unter Windows Server 2003 wird mit verschiedenen Werkzeugen durchgeführt, deren Konfigurationsbereiche sich teilweise überschneiden. Es können eigene Richtlinien und Vorlagen definiert werden.

  • Nach einer Aktualisierung ist mit Hilfe des Sicherheitskonfigurations-Assistenten (SCW) eine vorbereitete Sicherheitskonfiguration auf den Server anzuwenden. Die Rolle des betroffenen Servers muss zu diesem Zeitpunkt definiert sein.
  • Mit der Microsoft Management Console (MMC) werden mittels Sicherheitskonfiguration und -Analyse bzw. Sicherheitsvorlagen Vorlagen für Sicherheitseinstellungen erstellt und gegebenenfalls angewendet. Die Anwendung dieser Vorlagen ist auch über Gruppenrichtlinien möglich. Im Sicherheitshandbuch für Windows Server 2003 (online beim Hersteller verfügbar) stehen empfohlene Sicherheitsvorlagen, Beschreibungen und Dokumentationsvorlagen zur Verfügung. Diese Vorschläge müssen jedoch in jedem Fall an die spezifischen Anforderungen angepasst werden. Hilfestellung hierzu bieten die Maßnahmen M 4.280 Sichere Basiskonfiguration ab Windows Server 2003 und M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003 .

Nach jeder Sicherheitskonfiguration sind die Ereignisanzeigen zu kontrollieren.

Unter Windows Server 2003 ist der Internet-Explorer standardmäßig auf erhöhte Sicherheit eingestellt. Die daraus resultierenden Einschränkungen können durch Übernahme von Internetadressen in die Zone vertrauenswürdige Sites bzw. der UNC-Pfade in die Zone Lokales Intranet aufgehoben werden. Der Benutzer muss dafür die erforderlichen Berechtigungen für die Konfiguration des Internet-Explorers besitzen.

Unter Windows Server 2003 wurden zusätzliche lokale Gruppen und Benutzer, z. B. Remotedesktopbenutzer, Netzwerkkonfigurations-Operatoren, Support_388945a0 (deaktiviert), eingerichtet, welche beachtet und berücksichtigt werden müssen.

Der Verzeichnispfad für Benutzerprofile hat sich gegenüber Windows NT 4.0 verändert. Vorhandene Skripte und Verfahren sind gegebenenfalls diesbezüglich anzupassen.

Prüffragen:

  • Ist der Migrationspfad auf Windows Server 2003 Systeme mit den Sicherheitsrichtlinien der Organisation abgestimmt und dokumentiert?

  • Wurde die Upgrade-Fähigkeit auf Windows Server 2003 im Vorfeld überprüft (Treiber, Erfüllung der Hardware-Anforderungen der Hersteller etc. ) und in einer Prüfliste dokumentiert?

  • Erfolgt nach Installation von Windows Server 2003 eine Sicherheitskonfiguration zur Systemhärtung?

Stand: 13. EL Stand 2013