Bundesamt für Sicherheit in der Informationstechnik

M 5.131 Absicherung von IP-Protokollen unter Windows Server 2003

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Der TCP/IP-Stack ist nach einer Standardinstallation aktiviert. Die voreingestellten Sicherheitseinstellungen sind ein Kompromiss zwischen Sicherheit auf der einen und Abwärtskompatibilität und Offenheit gegenüber anderen Systemen auf der anderen Seite. Dies ist nur in Einzelfällen und dort auch nur bedingt ausreichend, daher ist zu überlegen, die Basiseinstellung auf ein höheres Sicherheitsniveau anzuheben. Erweitere Einstellungen zur Vorbeugung gegen Denial-of-Service-Attacken finden sich in der Maßnahme M 4.279 Erweiterte Sicherheitsaspekte für Windows Server 2003 .

Hinweis: Ab Windows Server 2003 mit Service Pack 1 setzt der Sicherheitskonfigurations-Assistent (SCW) zur Vorbeugung gegen Denial-of-Service-Attacken (siehe G 4.22 Software-Schwachstellen oder -Fehler ) einige weitere Einstellungen bei bestimmten Rollen automatisch (siehe M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003 ).

Kommunikationsprotokolle der Internetprotokoll-Suite

Einige Protokolle des TCP/IP-Stacks können optional konfiguriert werden. Sie sind in unterschiedlicher Qualität in die Sicherheitsarchitektur des Betriebssystems integriert und bieten zudem häufig keine ausreichende Authentisierung und Integritätssicherung. Nach einer Standardinstallation ist auf einem Windows Server 2003 System kein unsicheres Protokoll konfiguriert. Wird ein optionales Protokoll installiert, müssen Mechanismen zum Schutz der ausgetauschten Informationen (z. B. kryptographische Funktionen, Authentisierungsfunktionen) entsprechend dem Anwendungsbereich und dem Sicherheitsbedarf konfiguriert werden.

In den Hilfsmitteln zum IT-Grundschutz (siehe Hilfsmittel zum Windows Server 2003) wird eine Übersicht von Protokollen der Internetprotokollsuite in verschiedenen Bereichen von Windows Server 2003 gegeben. Hier sind Hinweise zum geeigneten Umgang mit diesen Protokollen enthalten.

Besonders großen Einfluss auf die Sicherheit und Stabilität von Windows-Server-2003 Infrastrukturen haben die Protokolle zur IP-Adressenverteilung ( DHCP ) und zur Namenauflösung ( DNS und WINS). Hierfür sind geeignete, nach den jeweiligen Einsatzbereichen differenzierte Konzepte für die gesamte Infrastruktur erforderlich. Eine Orientierung zum Erreichen des erforderlichen Sicherheitsniveaus findet sich in den Hilfsmitteln zum IT-Grundschutz (siehe DHCP/DNS/WINS als Infrastrukturdienste unter Windows Server 2003 in Hilfsmittel zum Windows Server 2003).

Sonstige Protokollgruppen wie IP-Routing-, Multicast- und Quality-of-Service-Protokolle (QoS) kommen zum Einsatz, wenn der Server für spezielle Rollen konfiguriert ist. Ansonsten sollten sie deaktiviert sein. Für einen sicheren Betrieb gilt generell:

  • Es ist das am besten geeignete Protokoll auszuwählen, alle anderen Protokolle müssen deaktiviert werden.
  • Speziell für Protokolle der Anwendungsschicht ist immer für Integrität und verschlüsselte Authentisierung in einer Windows-Server-2003-Umgebung zu sorgen, möglichst mittels NTLMv2 oder Kerberos.
  • Bei höherem Schutzbedarf müssen die Nutzdaten verschlüsselt werden.
  • Der Einsatz des gewünschten Protokolls sollte in der Richtlinie für den IT-Verbund und die betroffenen IT-Systeme definiert und entsprechende Sicherheitsanforderungen formuliert werden.
  • Der Einsatz von IPSec sollte überlegt werden, wenn ein gewünschtes Protokoll unter Windows Server 2003 den Sicherheitsanforderungen nicht entspricht (siehe M 5.90 Einsatz von IPSec unter Windows ).

Dokumentation

Alle aktiven Netz-Protokolle des Servers sind zu erfassen. Wurde der Server mittels einer Vorlage des SCW konfiguriert, ist die Vorlage für eine Mindestdokumentation ausreichend (siehe M 2.366 Nutzung von Sicherheitsvorlagen unter Windows Server 2003 ). Die effektiven Authentisierungs- und Verschlüsselungsmethoden sowie der Einsatzzweck sind für jedes Protokoll zu dokumentieren.

Prüffragen:

  • Sind die effektiven Authentisierungs- und Verschlüsselungsmethoden sowie der Einsatzzweck für jedes Protokoll dokumentiert?

  • Ist der TCP / IP -Stack des Servers ausreichend gegen DoS -Attacken geschützt?

  • Sind keine unsicheren Netz-Protokolle konfiguriert?

  • Wurden alle nicht benötigten Netz-Protokolle deaktiviert?

  • Ist für die IP -Adressenverteilung ( DHCP ) und Namenauflösung ( DNS und WINS ) ein geeignetes Infrastrukturkonzept entwickelt und umgesetzt?

  • Sind alle optionalen IP -Protokolle ausreichend abgesichert, z. B. durch Authentisierung und kryptographische Verfahren?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK