Sicherheit und Einhalten von Vorgaben Andreas Schönberger | Produkt Marketing Manager | Windows Client | Microsoft Deutschland GmbH

Sicherheit und Einhalten von Vorgaben Weniger Bedrohungen und Sicherheitslücken Grundlagen Security Development Lifecycle Bedrohungsmodelle und Code-Reviews Absicherung von Windows-Diensten Internet Explorer – geschützter Modus Windows Defender Network Access Protection Sicherheit und Einhalten von Vorgaben Identitäts- und Zugriffskontrolle Schutz von Informationen Benutzerkontensteuerung Plug-and-Play-Smartcards Detailliertere Überwachung BitLocker™-Laufwerks- verschlüsselung EFS-Smartcards RMS-Client

Grundlagen Verbesserter Security Development Lifecycle-Prozess (SDL) für Windows Vista Regelmäßige verpflichtende Sicherheitsschulungen Sicherheitsberater für alle Komponenten Arbeit mit Bedrohungsmodellen während der Designphase Standardmäßige Sicherheitsreviews und -tests Sicherheitskriterien für die Produktteams Common Criteria-Zertifizierung (CC) 3

Absicherung der Dienste Tiefgreifender Schutz Dienste werden im Vergleich zu Windows XP mit weniger Privilegien ausgeführt. Windows-Diensten werden Aktionen zugeordnet, die für Netzwerk, Dateisystem und Registrierung zugelassen sind. Schädliche Software, die versucht über einen Windows-Dienst in einen Bereich des Netzwerkes, des Dateisystems oder der Registrierung zu schreiben, die nicht Teil des Dienstprofils sind, wird blockiert. Absicherung der Dienste Dateisystem Registrierung Aktiver Schutz Netzwerk

Weniger Bedrohungen und Sicherheitslücken Schutz vor Malware und Einbrüchen

Internet Explorer 7 Schutz vor “Social Engineering” Phishing-Filter und farbige Adressleiste Benachrichtigung bei gefährlichen Einstellungen Sichere Standardeinstellungen für IDN Schutz vor Exploits Unified URL Parsing Verbesserung der Codequalität (SDLC) ActiveX-Opt-in Geschützter Modus verhindert das Ausführen von schädlicher Software

ActiveX-Opt-in und geschützter Modus Schutz des Systems vor Angriffen ActiveX-Opt-in lässt dem Benutzer die Entscheidungsmöglichkeit Reduziert die Angriffsfläche Bisher ungenutzte Steuerelemente werden deaktiviert Alle Vorteile von ActiveX, mehr Sicherheit für den Benutzer Der geschützte Modus reduziert die Aus- wirkungen von Bedrohungen Verhindert die stillschweigende Installation von Maleware IE-Prozess ist ‘Sandboxed’ und schützt so das Betriebssystem Mit Blick auf Sicherheit und Kompatibilität entworfen Deaktivierte Steuer- elemente Benutzer- Aktion Aktivierte Steuerelemente Windows ActiveX-Opt-in Benutzer- Aktion Im ersten Satz klingt „lässt dem Benutzer Entscheidungsmöglichkeiten“ irgendwie besser,oder? Geringe Rechte Broker- Process IE- Cache (C:) Geschützter Modus

Windows Defender Verbesserte Erkennung und Beseitigung Benutzeroberfläche neu entworfen und vereinfacht Schutz für alle Benutzer

Windows Vista Firewall Firewall und IPsec-Verwaltung kombiniert Neue Verwaltungstools - Windows Firewall mit MMC-Snap-in “Erweiterte Sicherheit” Reduziert Konflikte und Koordinationsoverhead zwischen den Technologien Firewallregeln werden intelligenter Festlegen von Sicherheitsanforderungen, wie zum Beispiel Authentifizierung und Verschlüsselung Festlegen von Active Directory-Computer oder -Benutzergruppen Filtern von ausgehendem Netzwerkverkehr Ein Feature für Unternehmen – nicht für Endkunden Vereinfachte Richtlinien verringern den Verwaltungsaufwand

Network Access Protection Richtlinienserver z. B. MSFT Security Center, SMS, Antigen oder Drittanbieter 3 Entspricht nicht Richtlinien 1 2 Eingeschränk-tes Netzwerk 4 Fix Up- Server z. B. MSFT WSUS, SMS & Drittanbieter MSFT-Netzwerk Richtlinienserver Windows Vista-Client Entspricht Richtlinien DHCP, VPN Switch/Router 5 Unternehmensnetzwerk Verbesserte Sicherheit Die gesamte Kommunikation wird authentifiziert, autorisiert und auf Einhaltung der Richtlinien geprüft. Tiefgreifender Schutz nach Ihren Vorgaben für DHCP, VPN, IPsec, 802.1X. Richtlinienbasierter Zugriff, den IT-Experten einrichten und steuern können. Vorteile Verbesserter geschäftlicher Nutzen Die Benutzerproduktivität bleibt erhalten. Nutzt bestehende Investitionen in die Infrastruktur von Microsoft und von Drittanbietern. Große Menge an Partnern.

Identitäts- und Zugriffs- überwachung Ermöglicht einen sicheren Zugriff auf Informationen

Schwierigkeiten Benutzer arbeiten als Administrator = nicht verwaltete Desktops Viren und Spyware können das System bei zu umfangreichen Rechten schädigen. Benutzer mit zu umfangreichen Rechten können das Unternehmen kompromittieren. Benutzer können Änderungen vornehmen, durch die es notwendig wird, den Computer vollständig neu aufzusetzen. Branchenspezifische Anwendungen benötigen umfangreiche Rechte Damit branchenspezifische Anwendungen ausgeführt werden können, muss die Systemsicherheit herabgesetzt werden. IT-Administratoren müssen die branchenspezifischen Anwendungen aufgrund von inkonsistenten Konfigurationseinstellungen für jede neue Betriebssystemversion neu evaluieren. Für häufig auftretende Konfigurationsaufgaben im Bezug auf das Betriebssystem sind umfangreiche Rechte notwendig. Unternehmen können neue Anwendung nur schwer bereitstellen, ohne die Betriebssystemsicherheit zu kompromittieren. Einfache Szenarien, wie das Ändern der Zeitzone, sind nicht möglich. Benutzer sind nicht in der Lage, nicht sensible Konteninformationen zu verwalten.

Benutzerkontensteuerung Ziel: Unternehmen besser verwaltbare Desktops und Endkunden eine elterliche Freigabe zur Verfügung zu stellen. Das System soll für Standardbenutzer einsetzbar werden Benutzer sollen die Zeitzone ändern, die Energieeinstellungen bearbeiten, Drucker hinzufügen und sich mit WLANs verbinden. Hohe Anwendungskompatibilität Klare Hervorhebung, wenn administrative Rechte erforderlich sind und diese Rechte sofort und ohne Abmeldung einsetzen können. Hohe Anwendungskompatibilität mit Dateisystem- und Registrierungs- virtualisierung Administratoren nutzen umfas- sende Privilegien nur für administra- tive Aufgaben oder Anwendungen. Benutzer müssen der Nutzung umfang- reicherer Privilegien explizit zustimmen.

Verbesserte Überwachung Mehr Genauigkeit Unterstützt viele Unterkategorien: Anmeldung, Abmeldung, Dateisystemzugriff, Registrierungszugriff, Verwendung von administrativen Privilegien. Unter bisherigen Windows-Versionen wurden nur übergeordnete Kategorien, wie System, An-/Abmeldung und Objektzugriff unterstützt. Neue Protokollierungsinfrastruktur Unwichtige Informationen können einfacher gefiltert werden. Es ist einfacher, das gesuchte Ereignis zu finden. Aufgaben, die Ereignissen zugeordnet sind: Wenn ein Ereignis auftritt (z. B. die Verwendung von administrativen Privilegien), können automatisch Aufgaben, wie zum Beispiel das Versenden einer Email, ausgeführt werden.

Verbesserte Authentifizierung Plug and Play-Smartcards Treiber und Zertifizierungsanbieter (CSP - Certificate Service Provider) sind in Windows Vista enthalten. Anmeldung und Benutzerkontensteuerung unterstützen Smartcards. Neue Anmeldearchitektur GINA (das alte Windows-Anmeldemodell) gibt es nicht mehr. Drittanbieter können Biometriegeräte, Einmal-Kennwort-Token und andere Authentifizierungsverfahren ohne viel Aufwand zur Verfügung stellen.

Schutz von Informationen Schutz des geistigen Eigentums des Unternehmens und der Kundendaten

Der Verlust von Informationen ist einer der wichtigsten Punkte für Entscheidungsträger in Unternehmen Viren 20% 22% 35% 36% 63% Unerwünschtes Weiterleiten von Emails Verlust mobiler Geräte Kompromittierung von Kennwörtern Email-Piracy Verlust digitaler Werte, wiederhergestellt 0% 10% 20% 30% 40% 50% 60% 70% “Nach einem Virenangriff stellen Unternehmen fest, dass häufiger als bei jedem anderen Sicherheitsvorfall Emails unverlangt weitergeleitet werden und mobile Geräte verloren gehen.” Jupiter Research Report, 2004

BitLocker™ Laufwerksverschlüsselung Verhindert, dass ein Dieb ein anderes Betriebssystem bootet oder ein Tool nutzt, um in das Windows-Dateisystem oder das System einzubrechen. Schützt die Daten auf Ihren Windows-Clientsystemen auch dann, wenn sich das System in unautorisierten Händen befindet oder ein anderes Betriebssystem ausgeführt wird. Nutzt einen v1.2 TPM-Chip oder USB-Flashlaufwerk zur Speicherung der Schlüssel. BitLocker

Umfang des Schutzes BitLocker ermöglicht es Kunden, eine einfache Nutzung und den Schutz vor Bedrohungen nach Ihren Bedürfnissen aus- zubalancieren. Nur TPM Schutz vor: Softwarebasierten Angriffen Verwundbar durch: Hardwarebasierte Angriffe (auch potentiell „simple“ Angriffe) ******* Nur Dongle Schutz vor: Allen hardwarebasierten Angriffen Verwundbar durch: Verlust des Dongles, Nutzung anderer Betriebssysteme Einfache Nutzung TPM+PIN Schutz vor: Vielen hardwarebasierten Angriffen Verwundbar durch: Angriffe auf TPM TPM+Dongle Schutz vor: Vielen hardwarebasierten Angriffen Verwundbar durch: Hardwarebasierte Angriffe Sicherheit

Windows Vista – Schutz von Informationen Vor wem schützen Sie sich? Andere Benutzer oder Administratoren des selben Computers? EFS Nicht autorisierte Benutzer mit physischem Zugriff? BitLocker™ Szenarien BitLocker EFS RMS Notebooks Server in Zweigstellen Schutz lokaler Dateien und Ordner bei einem Benutzer Schutz lokaler Dateien und Ordner bei mehreren Benutzern Schutz von Remotedateien und -ordnern Nicht vertrauenswürdige Netzwerkadministratoren Durchsetzung von Remoterichtlinien In einigen Fällen kann es zu Überschneidungen kommen (zum Beispiel Notebooks mit mehreren Benutzern, über die ein Remotezugriff stattfindet)

Wiederherstellungsoptionen BitLocker™-Setup hinterlegt die Schlüssel und Kennworte automatisch in Active Directory Zentrale Speicherung/Verwaltung von Schlüsseln (EA SKU) Setup kann außerdem versuchen, Schlüssel und Kennwörter auf einem USB-Dongle oder in einer Datei zu sichern. Standardverfahren für Benutzer ohne Domäne Suchmöglichkeiten für das Hinterlegen von Schlüsseln über Webdienste Wiederherstellungskennwort ist dem Benutzer/Administrator bekannt Wiederherstellung kann direkt erfolgen Der Betrieb von Windows wird normal fortgeführt

Windows Vista-Sicherheit Zusammenfassung Weniger Bedrohungen und Sicherheitslücken Identitäts- und Zugriffskontrolle IE – geschützter Modus/Anti-Phishing Windows Defender Bidirektionale Firewall Verbesserungen für IPSEC Network Access Protection (NAP) Benutzerkontensteuerung Plug-and-Play-Smartcards Vereinfachte Anmelde- architektur Bitlocker RMS-Client Grundlagen SDL Absichern von Diensten Code-Scanning Standardkonfiguration Codeintegrität