Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Administrator
Der Zugang zu einem Windows NT System muß für jeden Benutzer durch ein Paßwort geschützt sein. Benutzerkonten ohne Paßwort dürfen nicht existieren, da sie eine Schwachstelle im System darstellen. Es ist wichtig, daß auch die Benutzer die Schutzfunktion der Paßwörter kennen, denn die Mitarbeit der Benutzer trägt selbstverständlich zur Sicherheit des gesamten Systems bei.
Die Einrichtung eines neuen Benutzers erfolgt mit Hilfe des Dienstprogramms Benutzermanager über das Kommando " Neuer Benutzer ". Dabei ist dazu in den Feldern "Kennwort" und "Kennwortbestätigung" ein Anfangspaßwort mit maximal 14 Zeichen einzugeben. Bei Paßwörtern unter Windows NT muß die Groß- und Kleinschreibung beachtet werden. Dabei sollte ein sinnvolles Anfangspaßwort vergeben werden, das dem Benutzer mitgeteilt wird. Die immer gleiche Wahl des Anfangspaßwortes oder das Setzen dieses Paßworts gleich dem Benutzernamen eröffnet eine Sicherheitslücke, die mit geringem Aufwand vermieden werden kann.
Die Option " Benutzer muß Kennwort bei der nächsten Anmeldung ändern " sollte bei allen neuen Konten gesetzt sein, damit das Anmeldepaßwort nicht beibehalten wird. Dagegen sollte die Option " Benutzer kann Kennwort nicht ändern " nur in Ausnahmefällen verwendet werden, etwa für vordefinierte Konten im Schulungsbetrieb. Die Option " Kennwort läuft nie ab " sollte nur für Benutzerkonten, denen mit Hilfe der Systemsteuerungsoption " Dienste " ein Dienst zugewiesen wird (zum Beispiel der Reproduktionsdienst) verwendet werden, da sie die Einstellung " Maximales Kennwortalter " in den Richtlinien für Konten außer Kraft setzt und verhindert, daß das Paßwort abläuft.
Über den Benutzermanager können Richtlinien für Benutzerkonten, Benutzerrechte und für die Systemüberwachung festgelegt werden. In den Richtlinien für Benutzerkonten sollte als minimale Paßwortlänge der Wert 6, bei höheren Sicherheitsanforderungen der Wert 8 eingetragen werden (siehe auch M 2.11 Regelung des Paßwortgebrauchs ).
Die Paßwort-Historie sollte grundsätzlich eingeschaltet sein und sollte wenigstens 6 Paßwörter umfassen. Die Gültigkeitsdauer des Paßwortes (" Maximales Kennwortalter ") sollte auf einem Zeitraum von maximal 6 Monaten begrenzt sein. Durch Festlegung eines Wertes für das " Minimale Kennwortalter " kann verhindert werden, daß Benutzer ihr Paßwort mehrfach hintereinander ändern, um so die Historienprüfung zu umgehen.Das "Minimale Kennwortalter" sollte jedoch nicht größer als 1 Tag gewählt werden, um dem Benutzer jederzeit eine Paßwortänderung zu ermöglichen.
Hinweis: Der Parameter " Sofortige Änderungen erlauben " darf unter der Version 3.51 von Windows NT nicht gewählt werden, da sonst die Prüfung der Paßwort-Historie abgeschaltet wird.
Benutzerkonten sollten nach wiederholten ungültigen Paßworteingaben gesperrt werden, um Versuche zu erschweren, die Paßwörter der Benutzer zu erraten. Die Option " Konto sperren " sollte auf jeden Fall aktiviert werden. Dazu sollte die Option " Sperren nach , die die Anzahl (1 bis 999) der ungültigen Anmeldeversuche festlegt, die zur Sperrung des Kontos führen, auf einen Wert zwischen 3 und 10 gesetzt werden. Die Option " Konto zurücksetzen nach ", die die maximale Anzahl von Minuten (1 bis 99999) zwischen zwei ungültigen Anmeldeversuchen angibt, sollte auf etwa eine halbe Stunde gesetzt werden. Wenn z. B. für " Sperren nach " der Wert 5 und für " Konto zurücksetzen nach " der Wert 30 angegeben ist, erfolgt eine Sperrung nach 5 ungültigen Anmeldungsversuchen, die innerhalb von 29 Minuten unternommen wurden.
In der Regel sollte durch Aktivieren der Option " Für immer " festgelegt werden, daß die Sperre so lange aktiv bleibt, bis ein Administrator sie aufhebt. Sofern hierdurch eine zu hohe Belastung der Administratoren verursacht wird, kann auch ein geeigneter Wert als " Dauer der Sperrung " angegeben werden, damit die Kontensperre nur für eine begrenzte Zeitdauer erhalten bleibt. Wenn beabsichtigt ist, den Ursachen der Kontensperrung direkt nachzugehen, sollte ein hinreichend langes Zeitintervall, z. B. 1440 Minuten (1 Tag) angegeben werden, andernfalls sollte ein Wert von etwa 30 Minuten gewählt werden.
Es ist zu beachten, daß das vordefinierte Administratorkonto von dieser automatischen Sperrung ausgenommen ist, um ein völliges Verriegeln des Systems zu vermeiden (siehe M 4.77 Schutz der Administratorkonten unter Windows NT ). Dagegen sollte von der Option "Benutzer muß sich anmelden, um Kennwort zu ändern" kein Gebrauch gemacht werden. Insbesondere mit der Einstellung "Benutzer muß Kennwort bei der nächsten Anmeldung ändern" führt diese Einstellung dazu, daß neue Benutzer keinen Zugang zum Rechner erhalten.
Die in der folgenden Abbildung dargestellten Werte für die Richtlinien geben einen für mittleren Sicherheitsbedarf ausreichenden Schutz:
Ergänzende Kontrollfragen:
© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000 .