(1/1)

please be aware, I DO NOT own any copy right on any of the following product

Computer:

.NET 2.0 (1)
.NET Allgemein (16)
.NET Fu (5)
ADO.NET (11)
Aprilscherz (3)
ASP Grundlagen (44)
ASP Tricks (83)
ASP.NET (44)
ASPIntranet.de (5)
C# (28)
Datenbank (44)
Dokumentation (4)
IIS 6.0 (1)
Komponenten (29)
Optimierung (10)
Server (21)
Sicherheit (34)
Tee Off (6)
VB.NET (6)
WAP (8)
Web Services (11)
XML (9)
 

Electronic

Atmel (Microcontroller)

>

http://rcswww.urz.tu-dresden.de/

                                                          "  (COTS, Commercial off the Shelf) " <<

Language: german version (current) / english version «

http://www.chip.de/c1_forum/thread.html?bwthreadid=561773

http://grc.com/UnPnP/UnPnP.htm

http://www.xp-antispy.org/

http://www.dingens.org/

1. Windows-Update

Bevor man mit dem PC das erste Mal online geht, sollten alle aktuellen Updates bereits eingespielt sein. Man kann das mit einer Update CD machen, die man von Microsoft bekommt, oder sich hier: http://download.winboard.org/downloads.php?ordner_id=67 ein Update Pack besorgen, dass alle nötigen Updates auf einmal installiert.

• Link zum Windows-Update: http://v4.windowsupdate.microsoft.com/en/default.asp
http://v5.windowsupdate.microsoft.com/v5consumer/d [...] aspx?ln=de
(Link für WinXP SP2, neue Version des Win-Updates)

• Alle Updates installieren, die unter „Critical Updates and Service Packs“ stehen, der Rest ist nicht ganz so wichtig, sollte aber auch installiert werden.

• Microsoft veröffentlicht monatlich sowie bei akuten Bedrohungen neue Updates, also muss das Windows-Update regelmäßig durchgeführt werden.



2. Sichere Internetsoftware verwenden

• Keinen Internet Explorer und kein Outlook oder Outlook Express benutzen, diese Programme sind die größten Sicherheitslücken (ganz, ganz, ganz wichtig!!!).

• Falls ihr bestimmte Internetseiten besucht, die nur mit dem IE klappen (gibt es leider), dann ActiveX, Scripting und Java deaktivieren:

IE -> Extras -> Internetoptionen -> Sicherheit -> Stufe "Internet" anpassen

Folgendes auf „Deaktivieren“ stellen:
- Alle Punkte, in denen „ActiveX“ vorkommt
- Alle Punkte, in denen „Scripting“ oder „Script“ vorkommt
- Java-Einstellungen auf "Hohe Sicherheit"

Falls die darzustellende Seite dann nicht funktioniert, sollte man darüber nachdenken, ob sie es wert ist, angesehen zu werden!

Wichtig: Leider benötigt das Windows-Update (siehe Punkt 1) zwingend den Internet-Explorer mit aktiviertem ActiveX (Es sei denn, man möchte jedes Update einzeln manuell von Microsoft runterladen).

Wenn die oben genannten Änderungen vorgenommen wurden, ist die einfachste Lösung, das Windows-Update den „Vertrauenswürdigen Sites“ hinzuzufügen:

IE -> Extras -> Internetoptionen -> Sicherheit -> Vertrauenswürdige Sites -> Sites -> Link von Punkt 1 (http://v4.windowsupdate . . .) eintragen -> hinzufügen

• Alternativen:

- Mozilla http://www.mozilla.org/
- Opera http://www.opera.com/

Diese Browser sind dem Internet Explorer nicht nur in Sicherheitsfragen überlegen, sondern bietet auch besseren Komfort und erweiterte Funktionalität. Beide bringen auch direkt einen Mail-Client als Ersatz für Outlook mit.

• Mit Messengern (z.B. ICQ) kann auch viel Mist passieren, also wenn möglich darauf verzichten.

• Kein FileSharing betreiben (z.B. Kazaa, eDonkey). Über diese Programme herunter geladene Dateien sind oft verseucht und nicht das, was sie vorgeben zu sein. Filesharing ist eine riesige Schädlingsschleuder.
Außerdem werden durch die Freigabe von Tausch-Verzeichnissen Lücken aufgerissen. Viele User geben alle Laufwerke des PCs komplett frei. Macht euch mal den Spaß und sucht nach „Bewerbung“ oder „Lebenslauf“.



3. Nicht benötigte Dienste beenden (und damit Ports dichtmachen)
(Nur für Windows 2000 und XP)

• Unter http://www.ntsvcfg.de/ gibt es eine Datei mit dem Namen svc2kxp.cmd zum Download, die macht fast alles automatisch. Bitte schaut euch vorher die Anleitung an.
Sollte der Rechner in einem Netzwerk laufen, dürfen nicht so viele Dienste beendet werden wie bei einem Einzelplatzrecher.
Das Script bietet dafür beim Start verschiedene Auswahlmöglichkeiten.

Unter http://www.dingens.org/ gibt es das ganze mit grafischer Benutzeroberfläche.

• Danach kann der Dienst "Designs" (wenn nötig) auf "Automatisch" gestellt werden, wenn WinXP wieder bunt sein soll:
(Systemsteuerung -> Verwaltung -> Dienste -> Rechtsklick auf „Designs“ -> Eigenschaften)

• UnPnP.exe macht ein anderes Loch zu (wenn nötig wird es angezeigt).
http://grc.com/UnPnP/UnPnP.htm

• Mit xpAntiSpy kann man den Nachrichtendienst und weitere überflüssige Funktionen unter WinXP deaktivieren.
http://www.xp-antispy.org/

• Hier gibt es eine Anleitung, wie man den Rest manuell vornimmt:

Windows XP:
http://www.computer-security.ch/ids/default.asp?TopicID=164
http://sunny.comlab.sigillium.de/HardeningWXP.pdf
Windows 2000:
http://www.computer-security.ch/ids/default.asp?TopicID=165
http://sunny.comlab.sigillium.de/HardeningW2k.pdf


Bei der Deaktivierung von Diensten kann es immer dazu kommen, dass durch die Abschaltung eines benötigten Dienstes bestimmte Dinge nicht mehr funktionieren. Eine allgemeingültige Beschreibung ist aufgrund der zu verschiedenen Rechner-Konfigurationen kaum möglich.
Die mit dieser Anleitung gemachten Änderungen sollten keine Probleme verursachen. Außerdem gibt es mit Sicherheit auf jedem Rechner noch weitere, nicht benötigte Dienste. In Zweifelsfällen immer nur eine Änderung vornehmen, neu starten und testen, ob alles noch läuft.

Hier: http://www.different-thinking.de/windows_2000_dienste.php gibt es eine Auflistung der Dienste sowie eine Erklärung deren Funktion.

Noch was: Mit einer Software-Firewall (ZoneAlarm, Norton IS usw.) werden keine offenen Ports geschlossen. Dies kann man nur erreichen, indem die Anwendung, die den Port öffnet, beendet wird.



4. Gute Schutzsoftware verwenden

• Mein Arsenal:

o AntiVirenKit 2004 als Virenscanner http://www.gdata.de
o Kaspersy-Antivirus http://www.kaspersky.com

o Ad-Aware: http://www.lavasoftusa.com/ und Spybot: http://www.safer-networking.org/ gegen Werbeprogramme (Spyware), außerdem Spyware Blaster http://www.javacoolsoftware.com/

Die eingesetzte Software muss regelmäßig, am besten täglich, aktualisiert werden.

Schutzsoftware sollte immer die letzte Verteidigungslinie darstellen, also niemals darauf verlassen und sich so in Sicherheit fühlen.
Wenn die Schutzsoftware Alarm schlägt, ist der Fehler bereits passiert!

Und: Kein Programm erkennt alle Schädlinge!



5. Prüfen, ob alles geklappt hat

• HijackThis zeigt an, ob der PC noch mit verschiedenen Schädlingen infiziert ist und ermöglicht u.a. das Entfernen von so genannten Browser-Hijackern (Symptome: Ungewollte und nicht änderbare Startseite und Favoriten, Pop-Ups, Blocken von bestimmtem Seiten). http://www.spywareinfo.com/~merijn/index.html

Ein gutes Tutorial gibt es hier: http://www.spywareinfo.com/~merijn/htlogtutorial.html

Auch eine automatische Prüfung des Logs gibt es:
http://www.hijackthis.de/index.php
Trotz guter Ansätze ersetzt diese automatische Auswertung aber bisher nicht die manuelle Auswertung.

• TCPView zeigt offene Ports an.
http://www.sysinternals.com/

Das Auswerten der von diesen Programmen gelieferten Daten erfordert allerdings etwas Sachkenntnis.



6. Spamfilter

• Sinnvoll ist die Installation eines Spamfilters, der verhindert, dass mit Schädlingen befallen Mails überhaupt auf den Rechner gelangen, da sie schon auf dem Mail-Server des Providers gelöscht werden können.

Meine Empfehlung: Mailwasher Pro http://www.firetrust.com/products/pro/



7. Weitere Infos

• Hier steht noch ganz viel drin (vor allem über die Sinnlosigkeit von Personal-Firewalls, wie z.B. ZoneAlarm oder Norton Internet Security):
http://www.chip.de/forum/thread.html?bwthreadid=659560



8. Das Wichtigste

• BRAIN 2.0 benutzen, d.h. Gehirn einschalten:
- Nicht auf alles klicken, was blinkt und sagt „Klick mich“
- Keine Dateien öffnen, deren Quelle ihr nicht 100%ig kennt
- Keine vertrauensunwürdigen Internetseiten besuchen (z.B. WareZ-, Cracks-, oder Porno-Seiten)

Der beste Schutz gegen Schädlinge jeder Art ist es, sie gar nicht erst zu installieren. Beachtet man alle o.g. Regeln, ist selbst ein im Hintergrund laufender Virenscanner sinnlos, da er nie aktiv werden muss.

 

##

read clear on:
http://www.ntsvcfg.de/

Windows-Dienste sicher(er) konfigurieren

Einführung

Windows 2000 und XP gehören, ebenso wie Windows NT4 und Windows 2003 Server, zur Windows NT Familie. NT ist die Abkürzung für "New Technology" und wurde von Microsoft 1993 zusammen mit dem neuentwickelten 32bit-(Server)-Betriebssystem Windows NT 3.1 eingeführt.
Jedoch beging Microsoft hierbei einen folgenschweren Fehler: (nichtbenötigte) Netzwerk-Dienste waren standardmäßig aktiviert, von außen erreichbar und somit auch angreifbar. Somit wurde eine wichtige Grundregel der Netzwerksicherheit mißachtet: "Biete keine Dienste an, die Du nicht brauchst". Dienste (engl.: services) sind Programme, die beim Laden des Betriebssystems mitgestartet werden, ohne dass ein Benutzer sich anmelden muss. Sie stellen Funktionen bereit, die von anderen Programmen genutzt werden können.
Ein Einzelplatzrechner benötigt beispielsweise keine Netzwerk-Dienste. Daher ist es wichtig, Rechnersysteme sicherer zu konfigurieren, um Angreifern nur geringe Möglichkeiten zu geben, Schäden an der IT-Infrastruktur im Unternehmen oder am Privat-PC anzurichten.

Um diese Sicherheit auch in der Praxis anwenden zu können, wurden unter kssysteme.de zwei Anleitungen veröffentlicht, die eine sicherere Konfiguration der Dienste (Services) unter Windows 2000 und Windows XP ermöglichen. Es wurde unter anderem die Umkonfiguration der NT-Dienste hinsichtlich Starttyp beschrieben, um nicht benötigte Dienste über das Netzwerkinterface nach außen erst gar nicht anzubieten und somit das Sicherheitsrisiko zu minimieren.

Da in den o.g. Artikeln fast alle Dienste aufgelistet sind, ist es bei mehreren NT-Systemen sehr mühsam, die immer wiederkehrenden Abläufe manuell durchzuführen. Oft fügen sich Flüchtigkeitsfehler bei der Umsetzung hinzu. Um dies komfortabler zu gestalten, und Konfigurationsfehler weitestgehend zu vermeiden, wird im nachfolgenden Abschnitt ein Script vorgestellt, welches

Wichtiger Hinweis: Es werden ausschließlich windowseigene Dienste konfiguriert, sodaß diese, in Abhängigkeit der gewählten Option 1 - 3, von außerhalb nicht mehr erreichbar sind. Jedoch entbindet die Ausführung des Scripts einen NICHT von der zeitnahen Einspielung sicherheitsrelevanter Updates und Patches.

Was die Aufgaben eines Dienstes sind, wird unter http://www.different-thinking.de/windows_2000_dienste.php erklärt. Desweiteren wird unter http://www.microsoft.com/germany/technet/datenbank/articles/900048.mspx ("Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen unter Windows Server 2003 und Windows XP") ein PDF-Dokument zum Download angeboten, in dessen Kapitel 7 genauere Informationen zu den jeweiligen Diensten nachzulesen sind.

Im nachfolgenden Abschnitt werden Parameter/Voreinstellungen näher erläutert, welche durch das Script angeboten werden.

svc2kxp.cmd - Version 2.2

Seit Januar 2004 stand die bisherige Version 2.0 zum Download bereit, welche gegenüber der Vorgängerversion vor allem in den Punkten Übersichtlichkeit, Anpassung, Sicherheit sowie Umfang deutlich verbessert wurde.
Nach Version v2.1 liegt nun die aktuelle Fassung v2.2 vor und soll diese Maßstäbe weiter fortsetzen. Diese ist auf die Änderungen durch Service Pack 2 für Windows XP abgestimmt. So deckt die aktuelle Fassung des Scripts ein noch breiteres Einsatzspektrum ab. Nachfolgende Tabelle soll einen Überblick über die Möglichkeiten der neuen Version geben:

Beispiel:
svc2kxp.cmd /lan (für Rechner im LAN / Netzwerk. Achtung: Funktionen der Netzwerkumgebung (z.B. browsing) gehen hierbei verloren!)
svc2kxp.cmd /std (für Einzelplatzrechner ohne LAN / Netzwerkanbindung, z.B. ein PC, welcher nur über ADSL-/Kabelmodem mit dem Internet verbunden ist.)
 

Es ist ausreichend, das Script nach größeren Änderungen der Systemkonfiguration (z.B. nach Einspielen von Service Packs, Updates,...) auszuführen und nur eines der drei Profile (/lan, /std oder /all) auszuwählen und anzuwenden. Für die Ausführung des Scripts ist die Datei "SC.EXE" notwendig, welche in Windows XP, im W2k/XP-ResourceKit als auch in VisualStudio.NET bereits enthalten ist oder bei bestehender Internetverbindung auf Wunsch durch das Script selbst heruntergeladen und installiert wird. Desweiteren kann sie unter ftp://ftp.microsoft.com/reskit/win2000/sc.zip oder http://www.dynawell.com/reskit/microsoft/win2000/sc.zip bezogen werden. Entpacken Sie danach die Datei SC.EXE nach Winnt/System32/ bzw. Windows/System32/. Für Computer in Netzwerken (LANs) ist dieses Script NICHT geeignet!

Die Checkliste

Hiermit sei nochmals erwähnt, das das angebotene Script nur einen Teil der Maßnahmen von ntsvcfg.de und kssysteme umsetzen kann. Der andere Teil bleibt weiterhin Handarbeit. Was genau im Einzelnen noch vom Benutzer selbst zu ändern ist, und was bereits "automatisch" durch das Script erledigt wurde, ist in folgender Übersicht aufgeführt:

Legende:
   noch selbst abzuarbeiten bzw. zu überprüfen
   wurde durch das Script bereits geändert

Bekannte Probleme:

Überprüfen Sie nach einem Neustart, ob durch die o.g. Maßnahmen keine von außen erreichbaren Ports geöffnet wurden! Windows-Dienste können auch nachträglich über Systemsteuerung ->Verwaltung -> Dienste konfiguriert werden. Windows NT4 sowie Server-Versionen werden durch das Script nicht unterstützt! Für W2k3 sei als Leitfaden Windows Server 2003 Sicherheitshandbuch erwähnt.

"Alles OK?"

Zur Überprüfung, ob der Rechner noch unnötige Dienste zum Internet anbietet (Status: 'offen'): http://webscan.security-check.ch/ sowie http://www.linux-sec.net/Audit/nmap.test.gwif.html. (Hinweis: Diese Tests sind nicht über jeden Internet Provider möglich, da einige den Zugang über Proxies bereitstellen, und somit der eigene Rechner nicht überprüft werden kann.)

Sind noch offene Ports vorhanden? Hier eine Übersicht, was möglicherweise die Ursache sein könnte:

Weitere Konfigurationsmaßnahmen für Microsoft Windows

(1) Benutzerrechte verwenden (2K/XP/2K3)

Arbeiten Sie unter Windows 2000/XP immer mit Benutzerrechten und nie mit Administratorrechten. Voraussetzung dafür ist, daß NTFS als Dateisystem verwendet wird. Nur so können Sie weitesgehend verhindern, daß z.B. unerwünschte Software wie Dialer o.ä. auf ihr System gelangen kann und/oder Schäden am Systemverzeichnis entstehen.

(2) Betriebssystem ständig aktuell halten (95/98/ME/2K/XP/2K3)

Da fast täglich neue Sicherheitslücken in aktuellen Betriebssystemen entdeckt werden, ist es erforderlich, Windows 2000/XP immer auf dem aktuellen Stand zu halten. Dies geschieht am einfachsten mit Hilfe von Windows-Update . Neben der Behebung von Schwachstellen im Betriebssystem erhält man oft auch verbesserte Geräteunterstützung für aktuelle Hardware und/oder bessere Stabilität des Betriebssystems. Die alleinige Anwendung des Scripts reicht hierfür nicht aus, da dieses keine Dienste aktualisiert/patcht, sondern nur sicherer konfiguriert. Fehler in NT-Diensten und Programmen werden durch das Script NICHT behoben!

(3) Dienste sicherer konfigurieren (2K/XP), Datei- und Druckerfreigabe aufheben

Wie NT-Dienste so konfiguriert werden, daß sie keine potentiellen Angriffsflächen bieten, wurde im ersten Kapitel dieser Webseite beschrieben. Desweiteren wird ein Script angeboten, welches die Konfiguration der Dienste erleichtert.

(4) Internet Explorer/Outlook Express nicht nutzen! (95/98/ME/2K/XP/2K3)

Von der Benutzung der bei Windows 2000/XP mitgelieferten Programme "Internet Explorer" sowie "Outlook Express" muß abgeraten werden, da die konzeptionellen Schwächen (u.a. ActiveX, Nichteinhalten von Standards oder sog. "Browser-Hijacking") sowie sicherheitskritischen Fehler dieser Programme ein zu großes Risiko darstellen. Auch das Zonenmodell bietet keinen ausreichenden Schutz (siehe auch: -> heise.online).

(5) Aktivieren der WindowsXP-Firewall

WindowsXP bringt eine im TCP/IP stack integrierte Internet-Verbindungs-Firewall (ICF) mit. Da sie bis SP1 nicht global aktiviert werden kann, muß dies für jede Verbindung einzeln erfolgen. Empfohlen wird, die XP-Firewall vor der Verbindung zum Internet zu aktivieren. So verhindert sie, wie auch das Script, das Netzwerkdienste von außen erreichbar sind. Im Gegensatz zu Desktop-Firewalls zeichnet sie sich durch einfachere Konfiguration sowie ein geringeres Risiko bezüglich der Manipulierbarkeit (Regeln ändern, deaktivieren,...) aus. Sollte Service Pack 2 installiert sein, beachten Sie bitte auch folgenden wichtigen Hinweis!

(6) Backups anlegen (95/98/ME/2K/XP/2K3)

Kompromittierung, Datenverlust durch defekte Dateisysteme oder Festplattenausfälle können jederzeit eintreten. Eine regelmäßige Sicherung (Backup) aller wichtigen Daten (Dokumente, Bilder,...) mit der richtigen Strategie hilft, finanzielle Schäden sowie Ausfallzeiten zu minimieren. Im Privatbereich bieten sich beispielsweise DVD+/-RW oder DVD-RAM als preiswerte und relativ zuverlässige Speichermedien für Backups an (mehr >>).

(7) Weitere Informationen:

Andere Beiträge zum Thema Computersicherheit

Desktop/Personal Firewalls (PFW) - und warum man sie nicht braucht

Und hier noch einige Beispiele, auf die man besser verzichten sollte: Norton Internet Security und Norton Personal Firewall, BlackIce (Defender), ZoneAlarm, Sygate Personal Firewall, Lockdown2000, Outpost u.a....
(siehe auch -> http://www.udel.de/faq/, http://copton.net/vortraege/pfw/index.html)

Mehr zum Thema IT-Sicherheit: Das RUS-CERT

Um mehr zum Thema DV-Sicherheit zu erfahren, und/oder in diesen Angelegenheiten immer auf dem aktuellen Stand zu sein, sei folgende Seite der Universität Stuttgart empfohlen: http://cert.uni-stuttgart.de/

In eigener Sache: Presse & Medien

Danksagung

An dieser Stelle gehört der Dank all denjenigen, welche mit Initiative, konstruktiver Kritik, Anregungen und Verbesserungsvorschlägen nachhaltig sowohl an der Gestaltung des Scripts, als auch an dieser Seite, mitwirkten:

Bernd Eckenfels, Wolfgang Ewert, Stephan Grossklass, Chris Haaser, Sybille Kahl, Stefan Kanthak, Besim Karadeniz, Frank Kaune, Rüdiger Lahl, Daniel Leidert, Johannes Lichtenberger, Joachim Meyer, Harald Mühlböck, Michael Paul, Jürgen Port, Manuel Reimer, Rüdiger Rösler, Björn Schliessmann, Alexander Skwar, Ralf Storm, Jörg Ulbrich, Karin Weber, Ansgar Wiechers, Thomas Winter.