Windows Vista: Ist das Betriebssystem für - All-About

Windows Vista:
Ist das Betriebssystem für Unternehmen sicher
genug?
Fünf Jahre nach der Veröffentlichung von Windows XP bezweckt Microsoft mit Windows Vista
in erster Linie, Sicherheitslücken und die allgemeine Anfälligkeit für Malware und andere
Bedrohungen zu reduzieren. Es wurden mehrere neue Sicherheitsfunktionen eingeführt, um die
erhöhte Priorität der Sicherheit widerzuspiegeln. Dieses White Paper beschreibt die Windows
Vista-Sicherheit, gibt einen Überblick über das Schutzniveau, das von dem Betriebssystem
für Unternehmensbenutzer geboten wird und schätzt ein, inwieweit die neuen Funktionen
den Bestrebungen von Microsoft für ihr neues Desktop-Betriebssystem gerecht werden.
Sophos White Paper
sophos-vista-wpde.indd 1
November 2006
08.12.2006 10:25:50
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
Windows Vista:
Ist das Betriebssystem für Unternehmen sicher
genug?
Übersicht
Das neueste Desktop-Betriebssystem von
Microsoft, Windows Vista, enthält zahlreiche
neue Funktionen, von der Benutzeroberfläche
bis zum Zentrum des Betriebssystems. Aufgrund
der zahlreichen Kritik an den Schwachstellen
des Vista Vorgängers Windows XP hat Microsoft
den neuen Sicherheitstechnologien die höchste
Priorität eingeräumt. Zu den Entwicklungen
gehören verbesserte Überwachung und Reporting
des Sicherheitsstatus, weniger Möglichkeiten für
Angriffe und verbesserter Schutz vor Spyware. Es
gibt außerdem einen neuen Mechanismus, um
schädliche Codes daran zu hindern, Änderungen
des Betriebssystem-Kernels vorzunehmen, und
verbesserte Browser- und Firewall-Funktionen.
Wenn Sie sich unsere Investition in die nächste
Version von Windows [Vista] ansehen, sticht
Sicherheit als das hervor, wofür wir die meiste
Zeit aufgewandt haben – Microsoft trägt an dieser
Stelle eine große Verantwortung.
Bill Gates, RSA Konferenz 2006, San Jose
Windows Security Center
Das Windows Security Center (WSC) läuft
im Hintergrund, überwacht und meldet den
Sicherheitsstatus eines Computers. Seit sie
erstmals von Microsoft in Windows XP (Service
Pack 2) eingeführt wurden, bietet die verbesserte
Version in Vista nun mehr Integration mit
anderen Vista-Sicherheitsfunktionen und mit
Sicherheitslösungen Dritter.
Wie bei Windows XP überwacht das WSC die
Internet-Firewall und überprüft den Status
automatischer Updates und Antiviren-Software,
es wurde in Vista jedoch erweitert, um die
Überwachung von Anti-Spyware-Anwendungen
einzuschließen. Die Überwachung der
Sicherheitseinstellungen im Internet Explorer 7
und der neuen Benutzerkontenkontrolle-Funktion
(siehe unten) wurde ebenfalls hinzugefügt.
Einer der Beweggründe der Verbesserung
des WSCs ist es, die Endbenutzer über
Sicherheitsprobleme zu informieren, indem
sie in solchen Situationen alarmiert werden.
Obwohl dies für Privatanwender offensichtlich
von Vorteil ist, sind diese Endbenutzeralarme
für Unternehmen und andere Organisationen,
wie das Bildungswesen und Behörden, sowohl
unzureichend als auch lästig und werden
von ihnen möglicherweise aus diesem Grund
deaktiviert.
Außerdem haben einige Hersteller von
Sicherheitslösungen negativ darauf reagiert, dass
das WSC nicht deaktiviert werden kann, wenn
alternative Sicherheitslösungen installiert werden,
obwohl Sophos nicht nachvollziehen kann, warum
andere Hersteller Einwände gegen ein integriertes
Sicherheitscenter haben sollten, das den Status
seiner Software meldet.
Benutzerkontenkontrolle
Benutzerkontenkontrolle (User Account
Control (UAC)) ist eine der wichtigsten
Sicherheitsfunktionen in Windows Vista. Ihr
1
sophos-vista-wpde.indd Sec1:1
08.12.2006 10:25:51
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
Ziel ist es, die Möglichkeit für Angriffe zu
minimieren und somit die Installation aktueller
Malware-Bedrohungen zu verhindern, wenn
Endbenutzer lokale Admin-Rechte haben.
Wie bei Windows XP erhalten Endbenutzer
standardmäßig Admin-Rechte. Anstatt jedoch
den Administratorstatus pauschal für alle
Anwendungen geltend zu machen, erzeugt
das Vista-Login zwei Sicherheitstoken:
StandardUser und Administrator.
Standardmäßig weist Vista Anwendungen das
StandardUser-Token zu, d.h. Anwendungen,
die keine Admin-Rechte erfordern, werden
ohne Eingreifen des Benutzers ausgeführt.
Viele Anwendungen erfordern jedoch
Admin-Rechte. In diesem Falle wird das
Administrator-Token angewandt und der
Benutzer aufgefordert, das Programm je nach
Bedarf abzubrechen oder zu erlauben, wie auf
dieser Seite dargestellt.
Eins steht fest: Microsoft muss sich damit
auseinandersetzen, dass bei UAC das Verhältnis
zwischen Leistung und Sicherheit nicht
annehmbar ist. Wenn die aktuelle Version so
bleibt wie sie ist, ist es sehr wahrscheinlich, dass
zu viele Anwender sie komplett ablehnen und
wenn das der Fall ist, verlieren alle.
Ed Bott’s Microsoft Report1
Vom Sicherheitsstandpunkt aus gesehen ist
UAC ein wichtiger Schritt nach vorn und das
Prinzip des am wenigsten benötigten Privilegs
ist theoretisch gut, da standardmäßig der Zugriff
auf die Registrierung und das Dateisystem
eingeschränkt ist. Das heißt, dass Malware daran
gehindert wird, sich automatisch in Speicherorte
wie den Windows-Systemordner zu kopieren
– zudem kann sie nicht in Registrierungsschlüssel
geschrieben werden, um automatisch beim Start
des Betriebssystems ausgeführt zu werden. Das
Vistas UAC: Sicherheit auf einer weiteren Ebene
Prinzip des StandardUser-Tokens verhindert
außerdem, dass schädliche Anwendungen in den
Speicherbereich anderer Prozesse schreiben, eine
Methode, die häufig von Malware verwendet wird,
um Personal oder Client Firewalls zu umgehen.
Leider ist UAC nicht nur sicher, sondern mit
seinen zahlreichen Alarmen, von denen viele
für Benutzer ohne technisches Know-how keine
Bedeutung haben, auch aufdringlich. Die Gefahr
liegt darin, dass diese Anwender automatisch auf
"Erlauben" klicken, wenn Sie dazu aufgefordert
werden, ohne genau in Betracht zu ziehen, ob dies
ratsam ist. Die andere Gefahr liegt darin, dass
UAC deaktiviert werden kann – viele Beta-Tester
haben diese Option tatsächlich gewählt – wodurch
die verbesserte Sicherheit entfernt wird.
Windows Defender
Windows Defender ist ein kostenloses AntiSpyware-Programm, das in Windows Vista
integriert ist und einige Adware, Spyware und
andere unerwünschte Programme erkennen
und entfernen kann. Die Software verwendet
automatische Updates von Microsoft-Analysten,
2
sophos-vista-wpde.indd Sec1:2
08.12.2006 10:25:51
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
um neue Bedrohungen zu erkennen und zu
entfernen, sobald sie identifiziert sind. Dieser
Schutz bietet keinen umfassenden Schutz vor
Malware, obwohl die Informationen im WSC
implizieren, dass dies der Fall ist.
Windows Defender unterstützt nur Windows XP mit
Service Pack 2 oder höher oder Windows Server
2003 mit Service Pack 1 oder höher. Andere
Betriebssysteme, darunter Windows 95/98/Me
und 2000, werden nicht unterstützt. Da Windows
Defender den Verbrauchermarkt zum Ziel hat,
stehen keine zentralen Administrationsfunktionen
zur Verfügung. Es bietet also zentral verwalteten
Unternehmensnetzwerken mit mehreren
Plattformen wenig an.
Kernel-Schutz
Es wurden zwei neue Mechanismen eingeführt,
um den Betriebssystem-Kernel zu schützen –
Kernel Patch Protection (KPP) oder PatchGuard,
und obligatorisches Signieren.
KPP wurde in 64-Bit Vista implementiert, um
eine bestimmte Art schädlicher Aktivitäten
zu verhindern, die den Betriebssystem-Kernel
manipuliert und zu schwerwiegenden Verletzungen
der Sicherheit führen und sich negativ auf die
Stabilität, Verlässlichkeit und Leistung des
Betriebssystems und von Benutzeranwendungen
auswirken kann. Diese Art von Malware wird
allgemein als "Rootkit" bezeichnet und wird oft
dazu verwendet, andere potentiell unerwünschte
Software, wie Bots und Spyware, zu tarnen. KPP
hindert Kernel-Mode-Treiber daran, erweitert zu
werden oder Betriebssystemdienste zu ersetzen
und sollte darum Rogue-Treiber daran hindern,
schädliche Änderungen am Kernel vorzunehmen.
KPP wurde nicht zur 32-Bit-Version von Vista
hinzugefügt, da viele Programme (einschließlich
Sicherheitssoftware) den Kernelbereich auf nicht
dokumentierte Weise verwenden und Microsoft
Bedenken bezüglich der Kompatibilität mit den
bestehenden Anwendungen hatte. Das bedeutet,
dass 32-Bit-Systeme weiterhin für Rootkit-Angriffe
anfällig sind. Der zweite Kernel-Mechanismus –
das obligatorische Signieren von Treibern – wurde
jedoch in 32-Bit und 64-Bit Vista implementiert
und kann so eingestellt werden, dass es verhindert,
nicht signierte Treiber zu laden.
Einige Hersteller von Sicherheitslösungen
haben sich beschwert, dass sie aus dem
Vista-Betriebssystem-Kernel durch KPP
"ausgeschlossen" wurden. Der Grund dafür
liegt darin, dass sie den Kernel von Microsoft
ändern müssen, um sicherzustellen, dass
ihre bestehenden Produkte 64-Bit-Versionen
unterstützen können.
Obwohl es zutrifft, dass nun eine gewisse
Abhängigkeit besteht, dass Microsoft KernelOberflächen anbietet, wodurch alle Hersteller von
Sicherheitslösungen gebremst werden könnten,
wird dies durch die zusätzliche Sicherheit, die ein
gesperrter Kernel bietet, mehr als aufgewogen.
Windows Vista mit KPP ist für Kunden ein
Schritt in die richtige Richtung – obwohl dies
Integritätslevel
Beschreibung
Niedrig
Nicht vertrauenswürdig
Mittel
Standard für die meisten
Standardbenutzerprozesse
System
Uneingeschränkter Zugriff auf
das System
Hoch
Administrativer Prozess kann
Dateien installieren
Vier Integritätslevel für obligatorische
Integritätskontrolle
3
sophos-vista-wpde.indd Sec1:3
08.12.2006 10:25:51
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
ein Software-Mechanismus ist und daher sehr
wahrscheinlich von Malware-Schreibern früher
oder später umgangen wird – und Hersteller von
Sicherheitslösungen sollten das Dienstprogramm
begrüßen und damit arbeiten anstatt sich dagegen
zu stellen.
Internet Explorer 7
Der integrierte Webbrowser von Windows
Vista, Internet Explorer 7 (IE7), enthält
Sicherheitsverbesserungen, die zum Schutz
von Computern vor Phishing- und SpoofingAttacken entwickelt wurden. Im geschützten
Modus hilft er zu verhindern, dass Daten und
Konfigurationseinstellungen von schädlichen
Websites oder Malware gelöscht oder geändert
werden.
Die Funktion wird dabei durch einen neuen
Mechanismus unterstützt, der sich Mandatory
Integrity Control nennt. Dabei wird jedem
Prozess ein Integritätslevel zugewiesen und jedes
Level schränkt den Zugriff auf Systemobjekte
(Registrierung, Dateisystem, andere Prozesse
usw.) ein.
Der neue IE7 geschützte Modus startet den IE mit
dem Integritätslevel "Niedrig" – dies ist niedriger
als der Standard für die meisten Benutzerprozesse.
Dies trifft für alle Sicherheitszonen außer der
vertrauenswürdigen Zone zu. Heruntergeladene
Checkliste zur Sicherung von Windows Vista
Planen Sie jetzt Ihr Upgrade zu Windows Vista, da dieses Betriebssystem wesentlich sicherer ist
als seine Vorgänger. Es ist jedoch empfehlenswert, Qualitäts- und Stabilitäts-Reports im Auge zu
behalten, bevor Sie einen Termin für Ihren Übergang festlegen.
1 Installieren Sie eine Sicherheitslösung wie Sophos Anti-Virus, um vor bekannter und
unbekannter Malware zu schützen.
2 Stellen Sie sicher, dass Windows Vista, wo möglich, automatisch gegen Schwachstellen
gepatcht ist, zumindest für kritische Sicherheitspatches.
3 Verwenden Sie 64-Bit Vista für kritische Rechner, da Kernel Patch Protection mehr Sicherheit
gewährleistet und es weniger wahrscheinlich ist, dass es erfolgreich zum Ziel von Malware
wird.
4 Stellen Sie sicher, dass Ihre Sicherheitslösungen die 64-Bit-Versionen von Vista unterstützen;
sorgen Sie insbesondere dafür, dass ihre HIPS (Host Intrusion Prevention System)-Funktion
mit 64-Bit kompatibel ist.
5 Schulen Sie Endbenutzer darin, wie Benutzerkontenkontrolle (UAC)-Alarme zu interpretieren
und welche Maßnahmen zu ergreifen sind, damit Sie sich die Vorteile von UAC zu Nutze
machen können.
6 Schalten Sie das Windows Security Center nicht aus, da Remote- und Heimnutzer davon
profitieren. Sollten Sie aber Management Tools haben, mit denen Sie den Status Ihres
Netzwerks zentral überwachen können, ziehen Sie in Betracht, die Endbenutzeralarme von
WSC zu deaktivieren.
7 Verwenden Sie eine zentral verwaltete Sicherheitslösung, wie z.B. Sophos Endpoint Security,
mit der Sie Vista-Computer von nur einer Stelle aus überwachen, Richtlinien erstellen und
durchsetzen und Probleme schnell identifizieren und beheben können.
4
sophos-vista-wpde.indd Sec1:4
08.12.2006 10:25:51
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
Programme übernehmen das niedrige
Integritätslevel, das schädliche Programme
und PUAs daran hindern sollte, das System zu
infizieren und sich in den Browser zu integrieren.
IE7 enthält außerdem einen Phishing-Filter, der
Anwendern ein sichereres Browsen ermöglicht,
indem sie benachrichtigt werden, wenn Websites
eventuell versuchen, ihre vertraulichen Daten
zu stehlen. Der Filter analysiert WebsiteInhalte, indem er nach bekannten Merkmalen
von Phishing-Methoden sucht und ein globales
Netzwerk von Datenquellen verwendet, um zu
entscheiden, ob die Website vertrauenswürdig ist.
Über die Einstellung von Microsoft zur
Privatsphäre der Benutzer gibt es viele
Diskussionen und viele Benutzer haben Bedenken,
dass Informationen an Microsoft gesendet werden.
Microsoft antwortet damit, dass die Phishing-Filter
keine persönlich identifizierbaren Informationen
sendet. Interessanterweise wird die IP- und
URL-Datenbank von MSN verwaltet – die gleiche
Stelle, die ihren Werbetreibenden "beispiellose,
umfassende Web-Statistiken" versprochen hat.2
Windows Firewall
Windows Vista enthält eine neue Firewall, die über
die Firewall von Windows XP mit Service Pack 2
hinausgeht. Filter für ausgehenden Netzwerkverkehr
auf Anwendungsbasis sowie standortbasierte
Profile wurden hinzugefügt, mit denen Benutzer
verschiedene Regeln je nach Netzwerkort einrichten
können.
Die Standardrichtlinie erlaubt jedoch immer
noch allen ausgehenden Datenfluss und die
Standardeinstellung bietet keinen zusätzlichen
Schutz zur Firewall in XP SP2.
Außerdem, obwohl eine gewisse Verwaltung
über Gruppenrichtlinien zur Verfügung steht,
bietet die zentrale Verwaltungsfunktion
Unternehmensadministratoren nicht die Übersicht,
Überwachung, Richtlinienkonfiguration und
schnelle Reaktion, die SicherheitsmanagementKonsolen auf Unternehmensebene zur Verfügung
stellen.
Andere Sicherheitsfunktionen
Windows Vista enthält außerdem eine verbesserte
Wi-Fi (Wireless Fidelity)-Sicherheit, MultiFactor-Authentifizierung, BitLocker-Datenschutz,
Netzwerkzugriffsschutz (Network Access
Protection)-Client und verbesserte Überwachung
zur Einhaltung von Richtlinien.
In Windows Vista sind kabellose Netzwerke
standardmäßig sicherer. Support für das neueste
und sicherste kabellose Netzwerkprotokoll, Wi-Fi
Protected Access 2 (WPA2), ist enthalten.
Windows Vista enthält eine API, um das
Hinzufügen von Smart Cards und anderen
Systemen, wie z.B. Biometrieverfahren, zur
Windows-Authentifizierung zu vereinfachen, damit
es Hackern erschwert wird, auf Computer und
Daten über das Knacken von Kennwörtern oder
Social Engineering-Methoden zuzugreifen.
Eine verbesserte Verschlüsselung ermöglicht
Unternehmen, sich vor Diebstahl oder dem Verlust
geistigen Eigentums zu schützen. Windows Vista
hat den Support für Datenschutz auf Dokument-,
Datei-, Verzeichnis- und Rechnerebene verbessert,
u.a. kann definiert werden, welche Mitarbeiter
auf bestimmte Daten zugreifen können.
Kodierungsschlüssel können nun auf Smart Cards
gespeichert werden. Das BitLocker-DiskettenKodierungssystem gibt einen gewissen Schutz
vor Hacker-Angriffen, die über das Booten von
Wechseldatenträgern erfolgen.
Der Network Access Protection (NAP)-Client
kann dazu verwendet werden, Rogue- oder
ungeschützte Computer daran zu hindern,
vollen Zugriff auf ein Netzwerk zu erlangen,
er ist allerdings erst wirklich implementierbar,
5
sophos-vista-wpde.indd Sec1:5
08.12.2006 10:25:51
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
wenn die notwendigen Server-Komponenten
mit der nächsten Version von Windows Server
veröffentlicht werden, Codename Longhorn,
voraussichtliche Veröffentlichung Ende des Jahres
2007.
Um die Einhaltung von Richtlinien zu unterstützen,
überwacht und protokolliert Windows Vista
den Zugriff auf eingeschränkte Ressourcen,
damit Unternehmen beispielsweise unbefugte
Benutzer identifizieren können, die versuchen, auf
vertrauliche Daten zuzugreifen.
Schlussfolgerung
Microsoft hat viel Zeit und Ressourcen in den
Sicherheitsaspekt der neuen Version von Windows
investiert. Windows Vista enthält mehrere
Verbesserungen, die bedeuten, dass Heimnutzer
sicherer sind. Windows Vista ist jedoch keines
Wegs ein sicheres Betriebssystem und obwohl
es mehr Sicherheit vor Malware bietet, stoppt es
sie nicht. Es gibt keinen Zweifel, dass Malware
für Vista schon bald nach der Veröffentlichung
des Betriebssystems erscheinen wird. Um die
Anforderungen von Unternehmen zu erfüllen,
muss Microsoft seine Malware-Expertise, seinen
Support und die zentralen Verwaltungsfunktionen
wesentlich verbessern. ‹
Die Sophos-Lösung
Sophos Anti-Virus für Windows 2000/XP/2003/
Vista unterstützt sowohl 32-Bit- als auch 64-BitVersionen von Vista und enthält unsere HIPSTechnologie Behavioral Genotype Protection.
Weitere Infos und Test-Software für Sophos
Lösungen unter www.sophos.de
6
sophos-vista-wpde.indd Sec1:6
08.12.2006 10:25:52
Sophos White Paper
Windows Vista: Ist das Betriebssystem für Unternehmen sicher genug?
Quellen
1 blogs.zdnet.com/Bott/
2 "Vista von Microsoft wird den Sekundärmarkt für Windows-Sicherheit nicht stoppen".Yankee Group
Research, Inc.
Mai 2006
Über Sophos
Sophos ist einer der weltweit führenden Hersteller von Integrated Threat Management-Lösungen speziell für Unternehmen,
das Bildungswesen und Behörden. Durch über 20 Jahre Erfahrung und vereintes internes Antiviren-, Antispyware- und
Antispam-Fachwissen schützen die SophosLabs selbst komplexe Netzwerke vor bekannten und unbekannten Bedrohungen.
Unsere zuverlässigen, einfach zu bedienenden Produkte schützen über 35 Millionen Benutzer in mehr als 150 Ländern
vor Viren, Spyware, Hackern, unerwünschten Anwendungen, Phishing, Spam und dem Missbrauch von E-Mail-Richtlinien.
Unsere ständige Wachsamkeit ist Grundlage für unser internationales Wachstum, unsere wachsende Benutzerbasis und
steigenden Gewinne. Unsere sofortige Reaktion auf neue Bedrohungen wird durch unseren unternehmensorientierten,
technischen 24/7-Support ergänzt, wodurch wir das höchste Niveau an Kundenzufriedenheit in der Branche erreichen.
Boston, USA • Mainz, Deutschland • Mailand, Italien • Oxford, UK • Paris, Frankreich
Singapur • Sydney, Australien • Vancouver, Kanada • Yokohama, Japan
© Copyright 2006. Sophos Plc.
All registered trademarks and copyrights are understood and recognized by Sophos.
Kein Teil dieser Publikation darf ohne schriftliche Genehmigung des Copyright-Inhabers in jeglicher
Form vervielfältigt, gespeichert oder übertragen werden.
sophos-vista-wpde.indd Sec1:7
08.12.2006 10:25:52