Endpoint Security

Exchange und OCS stellen Dienste und Funktionen bereit, die nicht mehr nur aus dem internen "bekannten" Netzwerk erreicht werden können, sondern auch über unsichere Verbindungen wie das Internet oder von fremden Clients z.B. zuhause oder Internet Cafes genutzt werden. Damit ergibt sich ein ganz neues Gefahrenpotential, welches nicht unberücksichtigt bleiben darf.

Sicher können Sie auf und dem Weg zum Server verschiedene Schutzmechanismen einrichten (z.B. Firewall, HTTP-Inspection, Virenscanner auf dem Store und Transport, starke Authentifizierung mit Tokens oder Zertifikaten etc.). Aber dennoch ist es legitimen Benutzern damit möglich, auf ihr Postfach zuzugreifen und über den Weg Daten extrahieren oder einstellen oder dritte Personen Zugriff erlangen.

Frage der Endgeräte

Zuerst müssen wir zwischen den verschiedenen Endgeräten unterscheiden. Ich teile diese in vier Gruppen auf:

Diese Seite behandelt die "Managed PCs" und deren Möglichkeiten einer Absicherung, da diese im direkten Einflussbereich einer Firmen-IT sind und alle andere Geräte nicht einfach verwaltet werden können. Sicher können die ActiveSync-Policies für Mobilgeräte, die Einstellungen des Blackberry Enterprise Servers und verschiedene Einstellmöglichkeiten von VPN-Clients anderer Hersteller hier helfen aber diese sind nie so weitreichend wie die Einstellmöglichkeiten eines vollständig verwalteten Clients.

Für diese Clients gibt es mehrere Faktoren zu bedenken:

Der Begriff "Endpoint Security" ist daher schon etwas weiter gefasst, auch wenn unterschiedliche Anbieter dies immer so auslegen, wie die eigenen Produkte dies am besten abdecken können.

Schutz mit Microsoft Mitteln

Für nahezu jeden Anwendungsfall gibt es entsprechende Produkte von verschiedenen Herstellern. Neben den Kosten schreckt viele Administratoren aber die zusätzliche Verwaltung, Abhängigkeiten von Windows Versionen und manchmal eine nicht gerade "gewohnte" Oberfläche für Anwender und Administratoren ab. Da stellt sich doch die Frage, welche Bordmittel Windows schon mitbringt, die vielleicht sogar schon ausreichen.

Thema Bordmittel Bemerkungen
Festplattenverschlüsselung

Bitlocker
  • Erst ab Vista und höher
  • Nur in Ultimate/Enterprise/Server
    nicht für Home/Premium
Schnittstellen Devicelock mit Gruppenrichtlinien
  • Erst ab Vista und höher
  • Frühere Bastellösungen per RegEdit und ACLs auf Dienste und Devices.
Virenscan Windows Security Essentials
(Kostenfrei)
  • Nur Windows XP, Vista, Windows 7
  • Nicht für Windows Server, leider nicht mal Home Server
  • kein zentrales Management. (Pattern können per WSUS verteilt werden)
  • Forefront Client Security könnte hier hinzu kommen.
Anmeldung Windows Smartcard
  • Smartcard Leser + Karten mit CSP erforderlich
  • Zertifikatsstelle erforderlich
Verbindungen
  • 802.1x mit passendem Switch
  • Windows VPN
  • Optional mit NAP
  • Direct Access
Netzwerk
  • Desktopfirewall
  • IPSec Richtlinien
  • Windows Firewall ist erst ab Vista entsprechend leistungsfähig.

Schauen wir uns die einzelnen Komponenten einfach mal genauer an

Virenscanner

Seit 30 Sep 2009 verschenkt Microsoft einen kostenfreien Virenscanner, welcher laut Microsoft für all die Windows Anwender sein soll, die bislang keinen Virenscanner installiert hatten und auch kein Geld hierfür ausgeben wollten und damit indirekt Windows Clients als bevorzugte Ziele für Schadsoftware gemacht haben. Sicher gibt es auch von Avira, AVG und anderen Virenscanner, die für den Privatgebrauch kostenfrei sind, aber Oft nerven diese durch Popups, jährliche Neuregistrierung etc.

Microsoft Security Essentials ist für Privatpersonen auf jeden Fall eine interessant Option, da die Windows Firewalls durchaus ihre Funktion erfüllen und ein Update aus dem Internet über Windows Update keine Einschränkung darstellt.

Für Firmen hingegen zählen anderen Faktoren, die MSE nicht erfüllen kann:

Es ist allerdings absehbar, dass diese Funktion in "Forefront Client Security" gegen Ende 2010 als Produkt verfügbar sein wird. Dennoch wird es Firmen geben, denen all diese Zusatzfunktionen nicht wichtig sind und ein Download der Update von jedem Client aus dem Internet kein Problem darstellt. Schade nur, dass Essentials aktuell nicht für Windows Server (nicht einmal den Windows Home Server genutzt werden kann.

Netzwerk, NAP 802.1x, Direct Access

Windows 2008 ist der erste Server, der als VPN-Gegenstelle auf den Clients eine weitergehende Überprüfung der Konformität anfordern kann. Kompatible Clients sind Windows Vista und höher, welche einen entsprechenden Client schon mitbringen. Windows XP SP3 enthält ebenfalls einen NAP-Client, der aber einige Einschränkungen unterliegt (z.B. keine GUI, nur NetSh). Dritthersteller bieten entsprechende Clients sogar für Linux und MacOS an.

Diese Funktion ist an sich nicht neu, da viele andere Anbieter von VPNs neben dem Server auch immer eine passende Clientkomponente auf die PCs verteilen mussten, und diese entsprechende Richtlinien umsetzen konnten. Allerdings waren diese Produkte immer mit Mehrkosten verbunden. Je mehr Firmen im Rahmen ihrer Updates auf Windows 2008 oder höher wechseln, desto häufiger kann davon ausgegangen werden, dass die Funktion einfach "da" ist.

Die Nutzung eines kontrollierten Zugangs zum LAN nur für authentifizierte Clients ist per 802.1x relativ einfach und schnell möglich. Aus heutiger Sicht kann jeder halbwegs moderne Switch die Client pro Port authentifizieren, so dass es schon als fahrlässig bezeichnet werden kann, wenn frei zugängliche Netzwerkdosen, z.B.: in Besprechungsräumen etc. nicht abgesichert sind.

Der Weg zu einer NAP-Richtlinien, d.h. damit nur Clients sich verbinden dürfen, die auch einen gewissen Versionsstand z.B. bezüglich Firewall und Virenscanner erfüllen, ist für viele Firmen noch etwas länger.

Intel Active Management Technologie (AMT)

Und dann gibt es da eine Funktion, die den meisten Administratoren noch gar nicht aufgefallen ist. In bestimmten Chipsätzen von Intel, bevorzugt in der "Business Serie", ist die Möglichkeit einer Fernsteuerung und Konfiguration enthalten. Diese auch AMT genannte Funktion ist ein einigen PCs ausgeschaltet und muss erst eingeschaltet und mit Kennwort gesichert werden. Dann hingegen kann der PC aus der Ferne nicht nur eingeschaltet sondern komplett auch "Ferngesteuert" werden. Die Fernsteuerung betrifft nicht nur das BIOS während der Boot-Phase, sondern auch später das laufende System. Wer also Kenntnis über die AMT-Zugangsdaten hat, kann das System ohne weitere Kontrolle durch das Betriebssystem fernsteuern. Insofern ist AMT für standortfeste Desktopsysteme ein sehr interessantes Mittel zum Management. Wenn aber ein Notebook unterwegs erreichbar ist, sollte sich ein gutes Kennwort überlegen. Denn die AMT-Komponenten nehmen die Verbindung schon direkt auf der Netzwerkkarte auf. Die Firewall in Windows oder anderen Systemen kann diese Pakete nicht abblocken.

Insofern sind auch hier noch mal genauere Einstellungen erforderlich, nicht dass ein PC in einer Flughafenlounge von einem Nachbar über diese Funktion "ferngesteuert" wird. Die Aktivierung für statische "Desktop-PCs" ist sicher weniger kritisch, wobei natürlich auch hier eine starke Authentifizierung erforderlich sein muss

Weitere Links

Keywords: Endpoint Security CA 802.1x Virenscanner