O'Reilly logo

Aktualisieren Ihrer MCSA/MCSE-Zertifizierung auf Windows Server 2008 MCTS - Original Microsoft Training für Examen 70-648 und 70-649 by Ian L. McLean, Orin Thomas

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

198 Kapitel 4: Netzwerkzugriffssicherheit
Lektion 3: Netzwerkzugriffsschutz
Netzwerkzugriffsschutz (Network Access Protection, NAP) ist eine neue Windows Server
2008-Technologie, mit der Sie den Zugang zum Netzwerk davon abhängig machen können,
ob ein Clientcomputer über aktuelle Antivirendefinitionen verfügt und die neusten Updates
installiert wurden. Als erfahrener Administrator ist Ihnen wahrscheinlich bewusst, dass die
meisten Viren und Würmer auf Schwachstellen im Betriebssystem und in den Anwendungen
angewiesen sind, die von den Herstellern bereits behoben wurden. NAP ermöglicht es Ihnen,
Computern, die nicht auf dem neusten Stand sind, den Zugang zu Ihrem Netzwerk zu ver-
weigern, indem Sie diesen Computern den VPN-Zugang verweigern, ihnen keine DHCP-
Leases geben oder Technologien wie VLANs oder IPSec verwenden. In dieser Lektion
erfahren Sie etwas über NAP und die Schritte, mit denen Sie diese Technologie in Ihrer
eigenen Umgebung bereitstellen und verwalten können.
Am Ende dieser Lektion werden Sie in der Lage sein, die folgenden Aufgaben auszuführen:
Beschreiben der Funktionsweise von NAP
Installieren und Konfigurieren der NAP-Infrastruktur
Konfigurieren der NAP-Erzwingungsmethoden
Veranschlagte Zeit für diese Lektion: 40 Minuten
Einführung in den Netzwerkzugriffsschutz
NAP ermöglicht Ihnen, den Zugang zum Netzwerk Ihrer Organisation davon abhängig zu
machen, ob ein Clientcomputer bestimmte Sicherheitsstandards erfüllt. Sie können den Zu-
gang zum LAN mit verschiedenen NAP-Methoden beschränken. Jede Methode hat Vor- und
Nachteile. Die einfachste Methode, die DHCP-Erzwingung, erfordert außer Windows Server
2008-DHCP-Servern keine spezielle Infrastruktur. Die 802.1X-Methode setzt Netzwerk-
hardware voraus, die die 802.1x-Authentifizierung unterstützt. Die IPSec-Methode kommt
zwar ohne spezielle Hardware aus, erfordert aber eine komplexe Konfiguration der Zertifi-
katdienste und der Gruppenrichtlinien. NAP kann auch den VPN-Zugriff und den Zugriff
auf Terminaldienste-Gatewayserver beschränken. Diese Lektion beginnt mit einer Beschrei-
bung der Kernkomponenten von NAP. Anschließend werden die verfügbaren Erzwingungs-
methoden vorgestellt.
Konfigurieren der Integritätsrichtlinien
Zu den ersten Schritten vor der Einführung von NAP in Ihrer Umgebung gehört es, die
Kriterien festzulegen, nach denen die Sicherheit oder Integrität von Hosts bewertet werden
soll. Zu diesem Zweck konfigurieren Sie Integritätsrichtlinien, mit denen Systemintegritäts-
Agenten und Systemintegritätsprüfungen gesteuert werden. Systemintegritäts-Agenten
(SHAs, System Health Agents) werden auf einem Clientcomputer installiert und ermitteln
den Integritätsstatus, der an den NAP-Integritätsrichtlinienserver weitergeleitet wird. Win-
dows Vista, Windows Server 2008 und Windows XP mit Service Pack 3 enthalten einen
Standard-SHA, der die Einstellungen des Windows-Sicherheitscenters überwacht. Das er-
möglicht die Erfassung und Weiterleitung von Daten an Integritätsrichtlinienserver. Zu den
Lektion 3: Netzwerkzugriffsschutz 199
Angaben gehört, ob die neusten Updates installiert wurden, ob Antivirus-Software und Anti-
spyware installiert wurde und ob diese auf dem neusten Stand ist. Andere Anbieter können
eigene Systemintegritäts-Agenten entwickeln, um auch andere Komponenten in die Bewer-
tung der Integrität eines Clients einzubeziehen.
Systemintegritätsprüfungen (System Health Validators, SHVs) sind konfigurierbare Krite-
rien, anhand derer der NPS-Server die Integritätsstatusmeldungen der Clients bewertet. Ab-
bildung 4.25 zeigt die Windows-Sicherheitsintegritätsprüfung für Windows Vista. Ein Ad-
ministrator kann mit den Optionen festlegen, wie streng die Integritätsstandards eingehalten
werden müssen. Mancher Administrator hält es vielleicht für ausreichend, wenn auf dem
Clientcomputer ein Antivirusprogramm aktiv ist, während andere nur dann Verbindungen
des Clients zulassen, wenn das Antivirusprogramm aktiv und auf dem neusten Stand ist.
Abbildung 4.25 Windows-Sicherheitsintegritätsprüfung
Windows Vista, Windows Server 2008 und Windows XP mit Service Pack 3 unterstützen
zwar NAP, aber der NAP-Client muss aktiviert werden und der NAP-Agent-Dienst muss so
konfiguriert werden, dass er automatisch gestartet wird. Die gebräuchlichste Methode,
Clientcomputer für NAP zu konfigurieren, führt über die Einstellungen im Knoten Com-
puterkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Network
Access Protection\NAP-Clientkonfiguration eines Gruppenrichtlinienobjekts. Von dort aus
können Sie die NAP-Benutzeroberfläche konfigurieren, Integritätsregistrierungseinstellun-
gen vornehmen und NAP-Erzwingungsmethoden aktivieren. In Abbildung 4.26 wurde der
DHCP-Quarantäneerzwingungsclient aktiviert.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required