Im April gelang es Sicherheitsforschern in den USA, mithilfe einer manipulierten JPEG-Bilddatei Zugang zu SQL-Servern und Domänen-Controllern zu erlangen. »Es handelte sich zwar in diesem Fall nur um eine simulierte Attacke auf einen Windows Server 2012 R2. Dennoch zeigt dieses Beispiel eindrucksvoll, dass einmal eroberte Server kinderleicht zum Einfallstor werden können, um sich Zutritt zu anderen Rechnern in einem Netzwerk zu verschaffen. Serversicherheit darf deshalb nie auf die leichte Schulter genommen werden«, macht Christian Heutger, Geschäftsführer der PSW Group, aufmerksam [1].
Server unterscheiden sich in ihren Sicherheitsanforderungen von anderen Systemen. Einerseits sind sie laufend Angriffen durch Viren und Hacker-Attacken von außen ausgesetzt. Andererseits wird die innere Sicherheit immer häufiger zum Problem: Das Risiko Mensch ist massiver zu bewerten als bei mobilen und Desktop-Systemen. Mitarbeiter können angreifen, sei es aus Unwissenheit heraus oder aus böser Absicht. »Der physikalische Schutz, also der Serverstandort, ist bei Servern deshalb genauso relevant wie die Bordmittel der Windows-Server zum Verschlüsseln von Dateien und Verzeichnissen. Diese sollten Anwender übrigens auch unbedingt einsetzen«, rät Christian Heutger. Nach Einschätzung des IT-Sicherheitsexperten ist für Windows Server 2012 R2 obendrein eine Security-Suite unabdingbar: »Anwender sollten dabei auf Mal- und Spyware-Schutz achten und diesen um weitere Features, die je nach Einsatz des Servers individuell verschieden sein können, ergänzen.«
Physikalischer Schutz: Server-Standort & Zugangskontrollen
Datendiebe wählen für gewöhnlich den leichtesten Weg. Und der führt nicht über Sicherheitslücken in der Firewall, sondern zum persönlichen Zugang. Server sowie andere zentrale Komponenten gehören deshalb in einen separaten, abschließbaren und über eine Zugangskontrolle gesicherten Raum, damit sie physikalisch sicher sind. »Befindet man sich physikalisch vor dem Server, kann er kinderleicht ausgeschaltet und mithilfe einer eigenen CD gebootet werden. Wenn die Boot-CD auch noch mit RAID-Controller-Treibern bespickt ist, kann der Angreifer auf sämtliche Server-Daten zugreifen. Auch lassen sich komplette Datenbanken verhältnismäßig leicht kopieren. Das Unternehmen bemerkt außer einer nicht erklärbaren Downtime nichts von dem physikalischen Angriff«, erklärt Christian Heutger.
Die Standortwahl ist übrigens entscheidend bei Elementarschäden: Ein Rechenzentrum auf Kellerebene erhöht die Risiken eines Wasserschadens stark. Auch Gas- und Wasserleitungen haben in Rechenzentren nichts zu suchen. Feuerlöschanlagen in Reichweite und Überwachungssensorik für die Umgebungsparameter, beispielsweise Luftfeuchtigkeit oder Temperatur, sind weitere sinnvolle Maßnahmen. Da Serverausfälle grundsätzlich jederzeit denkbar sind, sollten Anwender ihre Server entweder an einem alternativen Standort spiegeln. »Wer dafür nicht über die finanziellen Mittel verfügt, kann auch ein Storage-System aufsetzen und die Produktivdaten synchron spiegeln. Zusammen mit Servern für Exchange und SAP gestalten Anwender so bereits einen speziellen IT-Schrank, der vor Einbruch und Umwelteinflüssen schützt«, rät Heutger.
Einbindung externer Nutzer: VPN- und SSL-Nutzung
Mitarbeiter sollten grundsätzlich lediglich Zugriff auf jene Ressourcen erhalten, die sie für ihre Arbeit benötigen. Unternehmen erhöhen damit die Datenschutzstandards und sichern sich selbst vor dem »Risiko Mensch« ab. Um sicher mit externen Mitarbeitern, weiteren Firmenstandorten oder sonstigen Partnern zu kommunizieren, können Anwender auf VPN-Verbindungen sowie SSL-verschlüsselte Kommunikationswege setzen. »Oftmals offerieren Provider eigene Backbones mit Verbindungsqualitäts-Garantien oder Pakete für die VPN-Nutzung. Mit wenigen Handgriffen lässt sich die Sicherheit eines Windows-Servers damit wesentlich erhöhen«, ergänzt Christian Heutger.
Windows Server-Bordmittel
Vor allem aber sollten Nutzer die Schutzkomponenten ihres Windows Server 2012 R2 kennen, um gut gegen Angriffe gerüstet zu sein. Dazu gehören die Netzwerkrichtlinien- und Zugriffsdienste, mit deren Hilfe Anwender definieren können, dass ihr System nicht auf das Netz zugreifen darf, wenn der Virenschutz veraltet oder Patches missachtet wurden. Genauso wichtig ist in diesem Zusammenhang die Windows-Firewall. Sie ist bereits integriert und verhindert unbefugte Zugriffe auf Server und Clients. Zum Verteilen der Patches im Netzwerk dienen die Windows Server Update Services. Mit dem Encrypting File System (EFS) haben Anwender von Windows Server 2012 R2 zudem ein Bordmittel an der Hand, das Dateien verschlüsselt im Dateisystem abspeichert. »Wir empfehlen, eine PKI aufzubauen, damit die für das Verschlüsseln benötigten Zertifikate an einer zentralen Stelle erzeugt werden können. Wer ein Sicherheitsmanagement für sensible Dokumente aufbauen möchte, bei dem es darum geht, dass nur bestimmte Personen auf bestimmte Dokumente zugreifen können, für den eignet sich der Active-Directory-Rechteverwaltungsdienst«, gibt Heutger einen Tipp.
Zusätzliche Security-Suite
Die Frage nach einer Security-Suite, beantwortet sich in dem Moment, in dem Anwender über den Zweck eines Servers nachdenken: In Unternehmen sind Server das Großhirn. »Auf eine Security-Suite zu verzichten, hätte etwa denselben Wert, als würde man ohne Helm und Gurt mit dem Kopf voraus gegen einen Baum fahren. Vermutlich würde das nicht nur dem Großhirn, sondern auch dem restlichen Körper schaden«, veranschaulicht Christian Heutger. Security-Suiten werden für Microsofts Server-System in rauen Mengen angeboten. Grundsätzlich sollten Anti-Malware- und Spyware-Schutz vorhanden sein sowie eine Server-Verwaltung die physisch, virtuell und Cloud-basiert implementieren kann. Eine geeignete Security-Suite zeichnet sich zudem durch einen On-Demand-Scanner aus, der regelmäßig das komplette System untersucht und deren Wächter Zugriffe kontrolliert. Auch kann es effizient für die Sicherheit sein, wenn die Suite das Definieren und Überwachen von Sicherheitsregeln beherrscht: »Einige Suiten erlauben das Erstellen von Profilen, um ungewöhnliche Zugriffe zu erkennen und den Admin darüber zu informieren. Mit anderen Suiten lassen sich Sicherheitsregeln definieren und überwachen. Dies können Zugriffskontrollen sein oder das Einhalten von Compliance-Vorschriften«, ergänzt Christian Heutger. Weiterhin sinnvoll sind Whitelistings, die vor Zero-Day-Bedrohungen schützen, sowie zusätzliche Änderungskontrollen, die Server auf gesetzliche Sicherheitsvorschriften hin prüfen und Verstöße beim Admin melden. Da Windows Server bereits über eine Firewall verfügen, kann dieses eine Feature bei der Auswahl der geeigneten Server-Security-Suite vernachlässigt werden.