IT-GSHB 2000 - Einrichtung einer sicheren Peer-to-Peer-Umgebung

M 4.45 Einrichtung einer sicheren Peer-to-Peer-Umgebung

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator

Für jeden Rechner im Peer-to-Peer-Netz unter WfW sollte der Administrator die Peer-to-Peer-Funktionalitäten einzeln zulassen oder sperren und damit die WfW-Umgebung benutzerspezifisch einschränken. Dafür benötigt er das Administrationswerkzeug ADMINCFG.EXE.

Nach dem Aufruf von ADMINCFG.EXE muß zunächst die Sicherheitskonfigurationsdatei WFWSYS.CFG geöffnet werden, in der die Sicherheitseinstellungen des jeweiligen WfW-Rechners gespeichert sind. ADMINCFG.EXE kann dabei nicht nach verschiedenen Benutzern auf einem WfW-Rechner unterscheiden.

Selbst wenn die Umgebung nicht eingeschränkt werden soll, ist die Sicherheitskonfigurationsdatei WFWSYS.CFG mit einem Paßwortschutz zu versehen. Wird das Administrationswerkzeug ADMINCFG.EXE dazu lokal installiert, ist es anschließend wieder zu entfernen.

Mit Hilfe des Administrationswerkzeugs ADMINCFG.EXE können unter Sicherheitsgesichtspunkten folgende Konfigurationen für den Rechner vorgenommen werden:

Die Freigabeoptionen sind festzulegen:

Wenn der Rechner nicht für die Freigabe von Verzeichnissen vorgesehen ist, ist die Option "Dateifreigabe deaktivieren" einzustellen. Die entsprechenden Funktionen stehen dann im Dateimanager nicht mehr zur Verfügung, es ist aber weiter möglich, sich mit Verzeichnissen anderer Rechner zu verbinden.
Wenn der Rechner nicht für die Freigabe von Druckern vorgesehen ist, ist die Option "Druckerfreigabe deaktivieren" einzustellen.
Wenn der Rechner nicht für Netz-DDE-Freigabe (z. B. Telefonieren unter WfW, Datenaustausch über die Ablagemappe) vorgesehen ist, ist die Option "Netz-DDE-Freigabe deaktivieren" einzustellen.

Die Kennwortoptionen sind festzulegen:

Bei aktiviertem Kennwort-Caching werden in einer Datei alle WfW-Netzverbindungen mit zugehörigen Paßwörtern gespeichert, wenn dies vom Benutzer beim jeweiligen Verbindungsaufbau gewünscht wird. Wiederholte Paßworteingaben sind dann später nicht mehr erforderlich. Die Option "Kennwort-Caching deaktivieren" sollte eingestellt werden, zumindest immer dann, wenn der WfW-Rechner nicht über einen ausreichenden Zugangsschutz (z. B. BIOS-Paßwort) verfügt.
"Kennworte in Freigabe-Dialogfeldern lesbar anzeigen" darf nicht aktiviert sein, da sonst bei der Paßwort-Eingabe dieses im Klartext auf dem Bildschirm erscheint.
"Ablauf des Anmeldekennwortes" sollte auf den in der Sicherheitsstrategie vorgegebenen Zeitraum eingestellt werden.
"Minimale Kennwortlänge" muß auf mindestens 6 eingestellt werden.
"Alphanumerische Kennworte erzwingen" sollte eingestellt werden. Buchstaben-Zahlen-Kombinationen werden damit obligatorisch.
Die Optionen "Bestätigte Anmeldung an Windows NT- oder LAN Manager-Domäne verlangen" und "Caching von Anwenderkennwörtern zulassen" werden an dieser Stelle nicht betrachtet, da das Zusammenwirken von WfW mit Windows NT bzw. LAN Manager nicht untersucht wurde.

Die Administrator-Einstellungen sind festzulegen:

Der Administrator muß ein Paßwort für die erstellte Konfigurationsdatei WFWSYS.CFG festlegen, das nur ihm und seinem Stellvertreter bekannt sein darf. Dieses Paßwort ist sicher zu hinterlegen (vgl. M 2.22 Hinterlegen des Paßwortes ).
Über "Optionen aktualisieren" können voreingestellte Sicherheitsprofile von einem Server übernommen werden. Darüber hinaus kann auch eingestellt werden, daß beim Start eines Clients die Sicherheitskonfigurationsdatei des Servers überprüft und bei Änderungen die lokale aktualisiert wird. Dies erleichtert dem Administrator die zentrale Administration des WfW-Netzes, das einfache Hinzufügen weiterer WfW-Rechner und das Wechseln des Paßwortes für die Konfigurationsdatei.

Der Administrator muß darüber hinaus beim Einrichtung eines WfW-Rechners auch die weiteren Punkte beachten:

Die Voreinstellung "Beim Start wieder freigeben" ist in den Freigabeoberflächen (Datei- und Druckmanager) zu deaktivieren.
Die Voreinstellung "Kennwort in der Kennwortliste speichern" ist in den Verbindungsoberflächen (Datei- und Druckmanager) zu deaktivieren.
In der Programmgruppe SYSTEMSTEUERUNG unter Netzwerk sollte gemäß der Namenskonvention der Computername, der Name der Arbeitsgruppe und der Standard-Anmeldename voreingestellt werden.
Das WfW-Protokoll ist zu aktivieren (in der Programmgruppe SYSTEMSTEUERUNG unter Netzwerk ). Dabei sollten sämtliche Ereignisse aufgezeichnet und die Protokolldatei ausreichend groß (z. B. 32 KByte) angelegt werden.
In der Programmgruppe SYSTEMSTEUERUNG unter Netzwerk sollte über die Schaltfläche Start voreingestellt werden, ob eigene Anwendungen des Rechners oder Zugriffe anderer mit Priorität bedient werden. Ist der Zugriff anderer nachrangig, sollte die Priorität zugunsten schnellerer Ausführung gewählt werden.
Beim Einsatz von Schedule+ ist darauf zu achten, daß das standardmäßig vergebene Recht, offene oder besetzte Zeitblöcke einzusehen, für alle nicht berechtigten WfW-Benutzer deaktiviert wird. Jeder Teilnehmer am selben Post-Office ist sonst in der Lage, das zeitliche Arrangement der individuellen Termine einzusehen.

Wird ein Post-Office eingerichtet, daß von mehreren Benutzern zur Kommunikation oder zur gemeinsamen Terminplanung genutzt werden soll, ist in Erwägung zu ziehen, von diesem eine Datensicherung in angemessenen Zeiträumen anzulegen. Dies ist notwendig, um einem versehentlichen oder absichtlichen Löschen des Post-Office entgegenzuwirken, da dies unter WfW nicht sicher verhindert wird.

Ergänzende Kontrollfragen:

Werden die vorgenommenen Einstellungen in geeigneter Form dokumentiert?
Wurde in Erwägung gezogen, die Sicherheitseinstellungen über das Netz zu administrieren? Dazu bietet WfW die Möglichkeit, Sicherheitsprofile auf einem Server zu hinterlegen, die die einzelnen Clients im WfW-Netz zur Aktualisierung abrufen.