Daniel Melanchthon Security Evangelist Microsoft Deutschland GmbH

Präsentation zum Thema: "Daniel Melanchthon Security Evangelist Microsoft Deutschland GmbH"—  Präsentation transkript:

1 Daniel Melanchthon Security Evangelist Microsoft Deutschland GmbH http://blogs.technet.com/dmelanchthon

2 Effizientere Administration Größere Flexibilität Stärkerer Schutz  Serververwaltung  Windows PowerShell  Internet Information Services 7.0  Server-Härtung  Server-Core  Netzwerkzugriffsschutz (NAP)  Failover-Clustering  Einsatz in Zweigstellen  Windows Server-Virtualisierung  Terminaldienste mit neuen Potenzialen

3 …arbeiten als Administratoren? …und haben keine Ahnung von Sicherheit?...und wollen das auch gar nicht? …gehen Risiken ein, um Dinge zu erhalten? …fordern Ausnahmen für sich selbst? …versuchen aktiv, Sicherheit zu umgehen? …kennen Blaster, Sasser, Slammer & Co.?

4

5

6

7

8 Die Zeit bis zur Veröffentlichung von Windows Server 2008 kann jetzt für die Grundlagen von NAP genutzt werden. Welche Aufgaben gilt es dabei zu berücksichtigen? Definition des Gesundheitszustand Ausnahmeregeln Netzwerksegmentierung Netzwerksicherung IAS (RADIUS) Deployment Auswahl der Zonenabsicherung Rollout-Plan und Kontrolle des Änderungsprozesses Überprüfung und Überwachung des Erfolges

9 Nicht richtlinien- konform 1 Einge- schränktes Netzwerk Client bittet um Zugang zum Netzwerk und präsentiert seinen gegenwärtigen „Gesundheitszustand“ 1 4 Falls nicht richtlinien-konform, wird Client in ein eingeschränktes VLAN umgeleitet und erhält Zugriff auf Ressourcen wie Patches, Konfigurationen und Signaturen 2 DHCP, VPN oder Switch/Router leitet Gesundheitszustand an Microsoft Network Policy-Server (RADIUS-basierend) weiter 5 Bei Richtlinien-Konformität wird dem Client der vollständige Zugang zum Unternehmensnetz gewährt MSFT NPS 3 Policy Server z.B. Patch, AV Richtlinien- konform 3 Network Policy Server (NPS) validiert diesen mit der von der Unternehmens-IT definierten „Gesundheitsrichtlinie“ 2 Windows- Client DHCP, VPN, Switch/Router Fix-Up- Server z.B. Patch Unternehmensnetz 5 4

10 { demo title } Name Title Group

11 Enforcement“Gesunder” Client“Ungesunder” Client DHCP Zuteilung einer voll netzwerkfähigen IP-Adresse, voller Zugriff Begrenzte Routen VPN (Microsoft und 3 rd Party) Voller ZugriffBegrenztes VLAN 802.1XVoller ZugriffBegrenztes VLAN IPsec Kann mit jeder vertrauten Gegenstelle kommunizieren “Gesunder” Clients verwirft Verbindungsanfragen von “ungesunden” Clients Vervollständigt Schutz auf Layer 2 Arbeitet problemlos mit bestehenden Servern und existierender Infrastruktur Flexible Isolation in Netzwerksegmente

12 Abwägung des Risikos gegen Schwachstellen Policyupdate und Nachricht an Clients bei hohem Risiko Kriterien für Securityscan zum Ermitteln der Security Compliance Untersuchung des Netzwerks auf Compliance mit der Policy Erzwingen der Compliance nach einer Toleranzfrist Messen und Darstellen des Ergebnis der Compliance- überwachung

13 Network Access Protection (NAP) Gewährt nur Computern Zugang zum Netzwerk, die anhand von Richtlinien bestimmte Mindestkriterien erfüllen Beispiel: Automatische Updates eingeschaltet, installierte Sicherheitspatches, Virenscanner mit aktuellen Signaturen NAP setzt voraus Windows Server 2008 NAP-Client (in Windows Vista und Windows XP SP3 enthalten) Ermöglicht mehr Kontrolle über Sicherheitskonfiguration von Computern im Intranet sowie von Remote-PCs, die sich via Internet mit dem Unternehmensnetz verbinden Unsicher konfigurierte Computer können abgewiesen oder in eingeschränkten Bereich umgeleitet werden, der Updates bereithält

14 Step-by-Step Guide: Demonstrate NAP DHCP Enforcement http://www.microsoft.com/downloads/details.aspx?FamilyID=ac38e5bb-18ce-40cb-8e59- 188f7a198897&DisplayLang=en http://www.microsoft.com/downloads/details.aspx?FamilyID=ac38e5bb-18ce-40cb-8e59- 188f7a198897&DisplayLang=en Step-by-Step Guide: Demonstrate NAP IPsec Enforcement http://www.microsoft.com/downloads/details.aspx?FamilyID=298ff956-1e6c-4d97-a3ed- 7e7ffc4bed32&displaylang=en http://www.microsoft.com/downloads/details.aspx?FamilyID=298ff956-1e6c-4d97-a3ed- 7e7ffc4bed32&displaylang=en Step-by-Step Guide: Demonstrate NAP 802.1X Enforcement http://www.microsoft.com/downloads/details.aspx?FamilyID=8a0925ee-ee06-4dfb-bba2- 07605eff0608&DisplayLang=en http://www.microsoft.com/downloads/details.aspx?FamilyID=8a0925ee-ee06-4dfb-bba2- 07605eff0608&DisplayLang=en Step-by-Step Guide: Demonstrate NAP VPN Enforcement http://www.microsoft.com/downloads/details.aspx?FamilyID=729bba00-55ad-4199-b441- 378cc3d900a7&DisplayLang=en http://www.microsoft.com/downloads/details.aspx?FamilyID=729bba00-55ad-4199-b441- 378cc3d900a7&DisplayLang=en Windows Server 2008 TS Gateway Step-by-Step Guide: Configuring the TS Gateway NAP Scenario http://technet2.microsoft.com/WindowsServer2008/en/library/b3c07483-a9e1-4dc6-8465- 0a7900900a551033.mspx http://technet2.microsoft.com/WindowsServer2008/en/library/b3c07483-a9e1-4dc6-8465- 0a7900900a551033.mspx TechNet Virtual Lab: Network Access Protection with IPSec Enforcement http://go.microsoft.com/?linkid=7032267 http://go.microsoft.com/?linkid=7032267

15 FAQ & Whitepaper http://www.microsoft.com/nap http://www.microsoft.com/nap Blog http://blogs.technet.com/nap http://blogs.technet.com/nap NAP TechNet Forum http://forums.microsoft.com/technet/showfor um.aspx?forumid=576&siteid=17 http://forums.microsoft.com/technet/showfor um.aspx?forumid=576&siteid=17

16