How-To: Wie man sein Windows sicherer machen kann - Vol. 2 & 3

[Sephiroth]

Einleitung

Einfach so, ungeschützt im Internet surfen geht schon lange nicht mehr. Wer das macht, der braucht sich auch nicht über Spyware (http://www.webopedia.com/TERM/S/spyware.html) und Malware (http://www.webopedia.com/TERM/M/malware.html) (Viren usw.) jeglicher Art wundern. Da dies keinem Freude bereitet, soll dieses How-To (oder wie auch immer ihr es nennen mögt) euch Ratschläge geben, wie man sein Windows sicherer machen kann und das Surfen im Internet einem wieder mehr Freude bereitet.


Schritt für Schritt - Die Tips

1.) Das oberste Gebot: Surft nicht als Administrator (bei WindowsNT, 2000, XP und 2003) und nutzt Brain1.0!

Warum? Nun ganz einfach. Ein jeder Virus, Trojaner oder was auch immer - nennen wir es böser Code - kann so sein volles Schadenspotential zeigen und auswirken. Er wird mit allen Rechten des Administrators ausgeführt und hat so Zugriff auf jedes Verzeichnis, jede Datei und die Registry und kann mit denen anstellen was er will bzw. wofür er gedacht ist. Ausgeführt im Kontext eines einfachen eingeschränkten Benutzers - ein solches eingeschränktes Benutzerkonto kann über die Systemsteuerung leicht angelegt werden - gelingt dies jedoch nur in einem vergleichsweise stark begrenzten Maße.
Voraussetzung dafür ist jedoch die Verwendung des NTFS Dateisystems und die richtige Setzung der Zugriffsrechte. Wenn "Jeder" vollzugriff auf wichtige Verzeichnisse hat, dann bringt das natürlich absolut nichts - genau wie bei'm FAT32 Dateisystem, denn dort gibt es keine solchen Zugriffsrechte (ACL - Access Control List).

Wer dennoch Programme als Admin starten möchte/muß, der brauch sich nicht extra Abmelden und als Admin neuanzumelden, statt dessen kann man den Befehl "runas (http://www.ss64.com/nt/runas.html)" nutzen (auch über das Kontextmenü einer Anwendung, Verknüpfung zu einer Anwendung oder für Systemsteuerungs-Options-Datein *.cpl verfügbar) nutzen und so die Anwendung im Kontext eines Admin-Kontos starten. Eine Anwendungsmöglichkeit für RunAs ist z.B. das erstellen einer Root-Shell, indem man die MS-DOS Eingabeaufforderung als Admin mittels RunAs startet und von dort aus die Programme öffnet, die Admin-Rechte bedürfen. In der aktuellen Ausgabe (18/2004, 23.08.2004) der c't ist dazu ein schöner Artikel zu finden. Auch den Explorer kann man als Admin mittels RunAs starten, dazu muß jedoch in der Ordneroptionen im Abschnitt "Ansicht" die Option "Ordnerfenster in einem eigenen Prozeß starten" aktiviert werden, da sonst die erneute, zusätzlich zum bisher gestarteten Explorer Prozeß, geöffnete Instanz gleich wieder autom. geschloßen wird. Bei WindowsNT gibt es diesen Befehl nicht.

Brain1.0? Euer Verstand! Klickt nicht auf jeden Dateianhang bei E-Mails, erst recht nicht von Absendern die ihr nicht kennt und paßt beim Runterladen und Bestätigen von irgendwelchen obskuren Dialogen auf.


2.) Windows auf dem aktuellen Stand der Dinge halten

Regelmäßige Besuche auf der WindowsUpdate Seite (windowsupdate.microsoft.com) sind geradezu ein Muß. Ebenso ratsam ist hin und wieder ein Besuch der Seite für Updates von Microsoft Office Anwendungen (http://www.microsoft.com/germany/ms/security/officesec.mspx) (natürlich nur, wenn man Microsoft Office nutzt ;)).

Auch wenn die Patchpolitik von Microsoft zu wünschen übrig läßt, so sind die Patches wichtig. Sie schließen Sicherheitslücken und/oder beheben Probleme (meistens jedenfalls X-(). Gerade Nutzer des InternetExplorers und/oder von OutlookExpress sollten sich die Patches runterladen und installieren.
Bestes Beispiel für die Wichtigkeit und den regelm. Besuches der Update Seite, sind die beiden Patches für den Remoteprozeduraufruf (RPC)-Dienst und seine gravierende Lücken die, vom Blaster Wurm ausgenutzt worden - oder die des Local Security Authority Subsystem (LSASS), genutzt durch den Wurm Sasser. Für beides waren Patches rechtzeitig verfügbar, doch installiert haben ihn viel zu Wenige und das Ausmaß des Befalls durch die beiden Würmer ist groß gewesen.

Ein Untersuchung des SANS Institutes (http://news.com.com/Study%3A+Unpatched+PCs+compromised+in+20+minutes/2100-7349_3-5313402.html?tag=nefd.top) (eng.) zeigt, daß ein ungepatchtes und ungeschütztes Windows nach ca. 20 Minuten mit Spyware, Adware und Würmern verseucht (kompromittiert) ist - vor einem Jahr (2003) waren es noch gute 40 Minuten.


3.) unbenötigte Dienste abschalten (bei WindowsNT, 2000, XP und 2003)

Eine große Angriffsstelle und Herd von Sicherheitslücken (und -probleme) sind die Vielzahl der Dienste von WindowsNT-Systemen und die dadurch offenen Ports. Richtig konfiguriert und für den Betrieb unnötige Dienste abgeschaltet reicht schon (fast) aus, um sich wieder vergnügt ins Internet zu begeben.

Ich möchte an dieser Stelle auf die Details, welche Dienste abgeschaltet werden können, nicht näher eingehen, sonder statt dessen auf die Seite von Torsten Mann verweisen: NT-Dienste sicher konfigurieren und abschalten für Windows 2000 und XP (http://www.ntsvcfg.de/). Volker Birk bietet auf seiner Seite Windows-Dienste abschalten (http://www.dingens.org/) ein Programm an, welches exakt das gleiche macht, jedoch eine graphische Oberfläche besitzt für eine leichtere Bedienung.


4.) Virenscanner

Virenscanner helfen im Falle des Falles den Schädling wieder loszuwerden - stets vorausgesetzt die verwendeten Virendefinitionen sind auf dem neuesten Stand - aber bieten nur einen begrenzten vorsorglichen Schutz. Neue Viren werden nicht gleich durch die Programme erkannt, da ist schnelles Handeln der Hersteller gefragt und das Aktualisieren der Virendefs. durch den Benutzer natürlich auch (Was nützt einem eine neue Defintion, wenn man sie nicht auch selbst verwendet?).

Von den kostenlosen Virenscannern für Windows, sind Antivir Personal Edition (http://www.free-av.de/) und Bitdefender (http://www.bitdefender.com/bd/site/downloads.php?menu_id=21) ganz passabel, aber auch Avast! (http://www.avast.com/eng/free_antivirus_softw.html) sei da noch zu nennen. Sonst sind Kaspersky AntiVirus (http://www.kaspersky.com/de/) und McAfee Virusscan (http://de.mcafee.com/root/package.asp?pkgid=100) zu empfehlen.


5.) Der Browser und die richtigen Einstellungen

Der InternetExplorer (IE) von Microsoft ist der am meisten genutzte Browser (wie es wohl kommt? :rolleyes:) und zugleich derjenige, der mit die größte Angriffsfläche bietet (vom "Browser HiJacking" über Dialer bis zum Virus). Dies gilt insbesondere für ActiveX.
Wer trotz allem den IE nutzen möchter oder muß, der sollte ihn doch weitesgehends sicher einstellen. Dazu empfehle ich heise Security: c't Browsercheck - Einstellungen anpassen (http://www.heise.de/security/dienste/browsercheck/anpassen/) (auch für Opera und Netscape).

Gute alternative Browser sind Mozilla (http://www.mozilla.org/products/mozilla1.x/), FireFox (http://www.mozilla.org/products/firefox/) (mein Favorit) oder Opera (http://www.opera.com/). Auch sie haben ihre Sicherheitslücken, die werden aber wesentlich schneller behoben und es sind insgesamt weitaus weniger. Darüber hinaus halten sie sich an geltende Standards im Bereich HTML, CSS & Co. (der IE z.B. kann keine Transparens bei PNG darstellen, zumind. nur äußerst beschränkt und interpretiert HTML meist auf seine eigene Weise).

Für diese genannten Browser gibt es zudem nützliche Extensions wie z.B. AdBlock (http://adblock.mozdev.org/) bzw. AdBlock Plus (http://bene.sitesled.com/adblock.htm) und zahlreiche Themes. Es gibt sogar Extensions, mit denen kann man den Websiten vorgaukeln man würde den Internet Explorer benutzen. ;-) Auch externe Download Manager, wie die bekannten GetRight (http://www.getright.com) und FlashGet (http://www.amazesoft.com/), funktionieren mit den Browsern, entweder über extra Plugins des Herstellers oder über eine Extension wie DownloadWith (http://downloadwith.mozdev.org/) (eine zu Firefox 1.0 kompatible Version findet man im Mozilla-Bereich meiner Webseite (http://www.sephiroth-j.de/mozilla/)).
Des weiteren gibts für Mozilla und FireFox speziell für bestimmte Prozessoren optimierte Versionen (http://forums.mozillazine.org/viewforum.php?f=42) - ich nutzte die Version von Moox (http://www.moox.ws/).

Alles in allem steht dem Browserwechsel nix mehr im Wege. Lediglich einige Seiten von Microsoft (speziell die MSDN Library (http://msdn.microsoft.com/library/default.asp)) weigern sich standhaft bei der korrekten Darstellung durch andere Browser als dem InternetExplorer.


6.) E-Mail Clients und die richtigen Einstellungen

Outlook Express (OE) und Outlook sind gern gesehene E-Mail Programme für Viren und deren Schöpfer. In Verbindung mit Leuten die einfach jeden Dateianhang (aus welchen Motiven auch immer) anklicken, nimmt das Chaos seinen Lauf.
Die richtigen Einstellungen vorausgesetzt, kann man die Sicherheit jedoch wieder um einiges erhöhen - das Problem mit dem Öffnen von Anhängen läßt sich dadurch aber nicht generell lösen, es sei denn man verbietet grundsätzlich Anhänge.

Als erstes sollte man die Darstellung von E-Mails als HTML abschalten und zur reinen Textansicht wechseln. Bei OE geht das in den Optionen unter "Lesen" und dort "Alle Nachrichten als Nur-Text lesen" anwählen. Mit dem Servicepack 2 von Windows XP kann man bei OE unter "Sicherheit" die Option "Bilder und andere externe Inhalte in HTML-E-Mail blocken" auch noch aktivieren - bringt jedoch nur was bei der HTML Ansicht, die wir aber der Sicherheit zu liebe abgestellt haben. Im Abschnitt "Senden" stellt ihr unten bei "Nachricht Senden" "Nur-Text" ein.
Für die Einstellungen von Outlook schaut bitte auf heise Security: c't Emailcheck - Einstellungen anpassen (http://www.heise.de/security/dienste/emailcheck/anpassen/).

Alternativen für die beiden Mailprogramme sind Thunderbird (http://www.mozilla.org/products/thunderbird/) (Thunderbird auf deutsch (http://www.thunderbird-mail.de/)), Eudora (http://www.eudora.com/), Pegasus Mail (http://www.pmail.com/) oder The Bat (http://www.ritlabs.com/en/products/thebat/) (30 Tage Testversion, keine Freeware! 25€ oder 35€). Wer die Mozilla Suite oder Opera nutzt, der hat auch dort gleich ein E-Mail Programm dabei. Bei denen sollte natürlich auch die HTML Darstellung abgeschaltet und zur reinen Text Ansicht gewechselt werden, sowie JavaScript abgeschaltet werden (auch wenn es nur bei HTML Darstellung greift).


7.) Router (DSL, ISDN)

Bei mehreren PCs lohnt sich der Einsatz von Routern, wovon es nicht nur welche für DSL (mit oder ohne WLAN) gibt, sondern auch für ISDN. Alle PCs angeschloßen, kann jeder ins Internet und natürlich bleibt die normale Funktion eines Swichtes nicht aus, so daß das Netzwerk auch weiterhin funktioniert (ja ich weiß, das ist bekannt, wollte es nur mal gesagt haben).
Mit dem Einsatz von vernünftigen Routern braucht man sich im Grunde wenig bis keine Sorgen über mögliche, nach außen hin, offene Ports machen, denn Angriffe von außen über diese Ports werden durch die Router (insofern nicht anders eingestellt) blockiert. Dies geschieht bei den für den privaten Gebrauch üblichen SOHO (http://de.wikipedia.org/wiki/Small_Office%2C_Home_Office) Routern zwar nicht mittels integrierter Firewall (da diese schlichtweg keine haben), sondern einzig aus der Wirkung von NAT (Network Address Translation (http://www.bintec-support.de/nat/)) heraus. Eingehende Verbindungsversuche von außerhalb kommen zuerst beim Router an und werden eben dann nicht auf das dahinter liegende, maskierte Netzwerk weitergeleitet (geroutet zu neu-deutsch).
Eben dieses Feature macht Router eigentlich auch für einen einzelnen PC interessant - nicht wahr?


8.) Firewalls

Das Thema (Personal) Firewalls möchte ich nur recht kurz anschneiden. Zunächst sei einmal gesagt, daß eine ordentliche Firewall a) nicht auf dem/den Rechner/Rechnern läuft, die es zu schützen gilt (Router sind da ein gutes Beispiel) und b) eigentlich ein Sicherheitskonzept und kein Programm ist. Wieso das so ist und sein sollte, kann man sich recht einfach selbst beantworten (kleiner Hinweis: Was passiert, wenn die PFW auf dem Rechner auf einmal ausgeht?).

Personal "Firewalls" sind keine FWs im eigentlichen Sinne, sondern Paketfilter (was nur einen kleinen Teil der Funktionen einer Firewall ausmacht) mit der Funktion für best. Anwendungen getrennte Regeln zu definieren. Nichts desto Trotz muß ich zu geben, daß die Firewall von Windows XP mit Servicepack 2 ihre Aufgabe, nämlich die durch etwaige Dienste offenen Ports zu schließen/blockieren, in einem ausreichenden Maße erfüllt.

Wer von euch allerdings Kontrolle über die ausgehenden Verbindungen von Programmen ins Internet haben möchte, der muß zu einer Personal "Firewall" greifen. In diesem Falle ist die kostenlose (für private Nutzung) Variante der Sygate Personal Firewall (http://www.sygate.de/index.html) zu empfehlen. Eine weitere, für den privaten Bereich kostenlose PFW, ist die Kerio Personal Firewall (KPF) (http://www.kerio.com/kpf_home.html). Unter den kostenpflichtigen seien die Outpost Firewall Pro (http://www.agnitum.com/products/outpost/index.php) (39,95$) und Look 'n' Stop (http://www.looknstop.com/) (35€) genannt.



weiterführende Links
zu 1.)
How To Use "Run as" to Start an Application as an Administrator in Windows Server 2003 (http://support.microsoft.com/default.aspx?scid=kb;en-us;325362) (eng.)
How To Use the RUN AS Command to Start a Program as an Administrator in Windows 2000 (http://support.microsoft.com/default.aspx?scid=kb;DE;301634)
Secondary Logon (Run As): Starting Programs and Tools in Local Administrative Context (http://support.microsoft.com/default.aspx?scid=kb;de;225035)
Ausführen als / runas unter Windows 2000 (http://helpdesk.rus.uni-stuttgart.de/~rustomfi/Systeme/W2k/runas.html)
RunAs with Explorer (http://blogs.msdn.com/aaron_margosis/archive/2004/07/07/175488.aspx) (eng.)
Runasspc (http://robotronic.de/runasspc/) - Runas mit Passwortspeicherung und Verschlüsselung.


zu 2.)
aktuelle Updates/Servicepacks für
~ alle: Microsoft Security Home Page (eng.) (http://www.microsoft.com/security/default.mspx) (deutsch (http://www.microsoft.com/germany/technet/sicherheit/default.mspx)), Microsoft Security Bulletin Search (http://www.microsoft.com/technet/security/CurrentDL.aspx) (eng.), Microsoft Security Bulletins (http://www.microsoft.com/germany/technet/servicedesk/bulletin/default.mspx) (Patch Day 14.02.2005 (http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms06-feb.mspx)), Microsoft Security Advisories (eng.) (http://www.microsoft.com/technet/security/advisory/default.mspx) (deutsch (http://www.microsoft.com/germany/technet/sicherheit/empfehlungen/default.mspx))
~ Windows Server 2003: Servicepack 1 (http://www.microsoft.com/windowsserver2003/downloads/servicepacks/sp1) (eng.), PostService Pack 1 (http://www.winhelpline.info/daten/index.php?shownews=555) (15.02.2006), Updates Übersicht (http://www.winhelpline.info/daten/index.php?shownews=548)
~ Windows XP: Servicepack 2, PostService Pack 2 (http://www.winhelpline.info/daten/index.php?shownews=631) (15.02.2006), WinFuture Windows XP Update Pack (http://www.winfuture.de/UpdatePack) (15.02.2006)
~ Windows 2000: Servicepack 4 (http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/) (deutsche Downloadseite (http://www.microsoft.com/downloads/details.aspx?FamilyID=1001aaf1-749f-49f4-8010-297bd6ca33a0&DisplayLang=de)), Windows 2000 SP4 Update Rollup 1 (http://support.microsoft.com/?kbid=891861) (deutsche Downloadseite (http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=b54730cf-8850-4531-b52b-bf28b324c662)), PostService Pack 4 Update (http://www.winhelpline.info/daten/index.php?shownews=540) (15.02.2006)
~ Windows NT: Servicepack 6a (http://www.microsoft.com/downloads/details.aspx?FamilyID=e396d059-e402-46ef-b095-a74399e25737&DisplayLang=de) und Post-SP6a Security Rollup Package (SRP) (http://www.microsoft.com/downloads/details.aspx?FamilyID=55af6965-d953-43bb-9445-b9434366e99d&DisplayLang=de)
~ Windows 98 SE: PostService Pack 2.1b (http://www.creopard.de/win98sp) (deutsch)

Sauber! JPEG Buffer-Overflow! (Thread im Forum)
Microsoft JPEG-Bug (Thread im Forum)
Infos zu aktuellen Windows XP Patches (http://patch-info.de/WinXP/)
RPC-Lücke in Windows (http://www.heise.de/newsticker/meldung/66310) (17.11.2005)
Offizieller Patch (http://www.winfuture.de/news,23611.html) gegen die WMF-Lücke (http://www.microsoft.com/germany/technet/sicherheit/empfehlungen/912840.mspx) (05.01.2006)

Sicherheitslücken (nach Secunia (http://secunia.com/), Stand: 22.02.2006):
Microsoft Windows Server 2003 Standard Edition (http://secunia.com/product/1173/) (eng.) - 82 (+7) insgesamt, 8 (+0) ungepacht
Microsoft Windows XP Professional (http://secunia.com/product/22/) (eng.) - 130 (+8) insgesamt, 28 (+1) ungepacht
Microsoft Windows XP Home Edition (http://secunia.com/product/16/) (eng.) - 114 (+6) insgesamt, 24 (+0) ungepacht
Microsoft Windows 2000 Professional (http://secunia.com/product/1/) (eng.) - 108 (+4) insgesamt, 19 (+0) ungepacht
Microsoft Windows ME (http://secunia.com/product/14/) (eng.) - 33 (+0) insgesamt, 3 (+0) ungepacht
Microsoft Windows NT 4.0 Workstation (http://secunia.com/product/15/) (eng.) - 38 (+0) insgesamt, 7 (+0) ungepacht
Microsoft Windows NT 4.0 Server (http://secunia.com/product/18/) (eng.) - 55 (+0) insgesamt, 7 (+0) ungepacht
Microsoft Windows 98 SE (http://secunia.com/product/13/) (eng.) - 30 (+0) insgesamt, 3 (+0) ungepacht
Microsoft Windows 98 (http://secunia.com/product/12/) (eng.) - 29 (+0) insgesamt, 3 (+0) ungepacht


zu 4.)
Linksammlung gegen Viren/Spyware/Dialer usw. (Thread im Forum)
AV-Test.org - Test von Anti-Viren Software (http://www.av-test.org/)
Chip Vergleichstest: Die besten Virenscanner (http://www.chip.de/artikel/c_artikel_11796074.html) (Mai 2004)
AV-Comparatives (http://www.av-comparatives.org/) (eng.) mit AntiViren Software Test vom Oktober 2005


zu 5.)
1. Exploit für Firefox 1.5 - Absturz durch Buffer Overflow (http://packetstormsecurity.org/filedesc/firefox-1.5-buffer-overflow.txt.html) (eng.)
Kritische Lücke bei Firefox bei der Installation von Extensions (http://www.heise.de/newsticker/meldung/59374) (fixed in aktuellen TRUNK Builds und in Firefox 1.0.4)
Exploit für Lücke in Firefox und Mozilla führt beliebige Programme aus (http://www.heise.de/newsticker/meldung/58679) (fixed in aktuellen TRUNK Builds und in Firefox 1.0.3)
Mozilla und Firefox: Zugriff auf RAM Inhalt über Javascript möglich (http://www.heise.de/security/news/meldung/58228) (fixed in aktuellen TRUNK Builds und in Firefox 1.0.3)
Multiple Browser Vulnerabilities (http://www.neowin.net/comments.php?id=25000&category=main) (eng.)
Denial of Service in Mozilla, Opera, and Others (http://board.iexbeta.com/index.php?s=&showtopic=48472) (eng.)
Critical Flaws Flagged in Mozilla, Thunderbird (http://www.internetnews.com/dev-news/article.php/3408301) (eng.)
IE Drag&Drop-Sicherheitslücke (http://www.heise.de/newsticker/meldung/50363)

CSS Browser kompatibilität (http://css4you.de/browsercomp.html)
optimierte Builds von Mozilla, Firefox und Thunderbird (http://forums.mozillazine.org/viewforum.php?f=42) (eng.)
Infos zu aktuellen IE-Patches (http://patch-info.de/IE/)

Sicherheitslücken (nach Secunia (http://secunia.com/), Stand: 22.02.2006):
Microsoft Internet Explorer 6 Sicherheitslücken (http://secunia.com/product/11/) (eng.) - 92 (+3) insgesamt, 22 (+1) ungepacht
Mozilla Firefox 1.x Sicherheitslücken (http://secunia.com/product/4227/) (eng.) - 27 (+2) insgesamt, 2 (+0) ungepacht
Mozilla 1.7.x Sicherheitslücken (http://secunia.com/product/3691/) (eng.) - 33 (+2) insgesamt, 5 (+2) ungepacht
Opera 8.x Sicherheitslücken (http://secunia.com/product/4932/) (eng.) - 13 (+2) insgesamt, 0 (-1) ungepacht
Mozilla Firefox 0.x Sicherheitslücken (http://secunia.com/product/3256/) (eng.) - 34 (+1) insgesamt, 2 (+0) ungepacht
Opera 7.x Sicherheitslücken (http://secunia.com/product/761/) (eng.) - 39 (+1) insgesamt, 0 (+0) ungepacht


zu 6.)
Infos zu aktuellen Outlook Express-Patches (http://patch-info.de/OE/)

Sicherheitslücken (nach Secunia (http://secunia.com/), Stand: 22.02.2006):
Microsoft Outlook Express 6 Sicherheitslücken (http://secunia.com/product/102/) (eng.) - 20 (+0) insgesamt, 6 (+0) ungepacht
Microsoft Outlook 2003 Sicherheitslücken (http://secunia.com/product/3292/) (eng.) - 8 (+1) insgesamt, 1 (+0) ungepacht
Mozilla Thunderbird 1.x Sicherheitslücken (http://secunia.com/product/4652/) (eng.) - 9 (+2) insgesamt, 2 (+1) ungepacht
Mozilla Thunderbird 0.x Sicherheitslücken (http://secunia.com/product/2637/) (eng.) - 18 (+1) insgesamt, 1 (+0) ungepacht


zu 7.)
Router Preisübersicht (http://www.geizhals.at/deutschland/?cat=router)
Network Address Translation (NAT/ PAT/ IP Masquerading) (http://home.t-online.de/home/TschiTschi/ip_masquerading.htm)
netplanet.org: Network Address Translation (NAT) (http://www.netplanet.org/aufbau/nat.shtml)
different-thinking.de: NAT - Network Address Translation (http://www.different-thinking.de/nat.php)



zu 8.)
Lutz Donnerhacke: Firewall FAQ (http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html)
Chaos Computer Club e.V. - FAQ Internet-Sicherheit (http://www.ccc.de/faq/security?language=de#internet)
Firewall Leak Tester (http://www.firewallleaktester.com/)
Kerio PF 2.15 (http://download.kerio.com/dwn/kpf/kerio-pf-2.1.5-en-win.exe) (direkt DL) ist schlanker als die aktuelle Version 4 und reicht für das angesprochene Anwendungsgebiet auch aus
How Secure is WindowsXP SP2 Firewall? (http://www.flexbeta.net/main/articles.php?action=show&id=76) (eng.)
WindTotal.de: Die Firewall von Windows XP Service Pack 2 (http://www.wintotal.de/Artikel/firewallxpsp2/firewallxpsp2.php)
XPSP2 macht PC unsicherer: Datei- & Druckerfreigabe auch für DFÜ-Verbindung aktiv (und SP2-FW scheint zu versagen) (Thread im Forum) - Wurde durch den Patch KB886185 (http://support.microsoft.com/default.aspx?scid=kb;de;886185) behoben


Nachwort

Ich hoffe, daß dieser Leitfaden euch hilft sicherer zu Surfen und ihr euch ein wenig über die Problematik gedanken macht.
Wer meint ich wäre zu oberflächlich geblieben, dem sei gesagt, das ich eben nicht zu sehr ins Detail gehen und dadurch dieses How-To unnötig in die Länge ziehen wollte. Um alles hier angesprochene zu erklären, das gilt insbesondere für Firewalls, Ports und das TCP/IP Protokoll, war dieser Thread in keinster Weise gedacht.

Für Fragen, Anregungen und Kritik hierüber gibt es den dazugehörigen Diskussions-Thread. Für alles andere gilt: erst die Suchfunktion nutzen, dann Thread erstellen. ;)


The End

Sephiroth

[Sephiroth]

Wie man sein Windows sicherer machen kann - Vol. 3


Einleitung
Während der inzwischen fast zwei Jahre alte (wie die Zeit vergeht :O) erste Teil des How-To sich auf die grundlegenden Tipps beschränkte, möchte ich im zweiten Teil nochmal das Thema "Eingeschränktes Benutzerkonto und RunAs" aufgreifen und auf ein paar Details eingehen, ebenso die neueren Themen betreffs Rootkits, Alternate Data Streams bei NTFS, dem IP Filter von Windows 2000 und unserem alten Bekannten DCOM. Zum Schluss noch ein Ausblick, was uns in Windows Vista erwarten wird.


Eingeschränktes Benutzerkonto und RunAs
Warum man nicht ständig als Administrator unterwegs sein sollte, habe ich ja bereits in Teil eins erklärt. Leider geht dieses Bewußtsein nur sehr langsam in die Köpfe vieler Anwender. Die Bequemlichkeit und die Meinung dass man doch alles machen können sollte, ist in meinen Augen der Hauptgrund dafür. Ich behaupte ja gar nicht das einfach ist ein Windows erstmal entsprechend so einzurichten, daher möchte ich hier mal auf die häufigsten Probleme eingehen.

De-/Installation von Programmen nur als Admin
Programm funktioniert nicht korrekt, mangels nötige Dateizugriffsrechte oder der nötigen Rechte in der Windows-Registry
kein schneller Benutzerwechsel bei Verwendung der klassischen Anmeldung


Kommen wir gleich zu Punkt 3: das ist leider so und wird sich erst in Windows Vista ändern - RunAs ist also unabdingbar.
Punkt 1 ist hoffentlich für jedermann offensichtlich; ein eingeschränkter User sollte keine Anwendungen installieren dürfen! Hier hilft ganz klar RunAs oder aber man wechselt eben kurz zum Admin-Konto. Man darf davon ausgehen das nicht alle paar Minuten ein Programm installiert bzw. deinstalliert wird, sondern das meist nach der Installation von Windows geschieht und sonst recht selten. Kommen wir also nun zu Punkt 2, dem Kern dieses Abschnitts. Funktioniert ein Programm nach dem Wechsel auf ein eingeschränktes Benutzerkonto nicht mehr wie gewohnt, sollte man zunächst prüfen, ob es reicht demjenigen Benutzer Schreibzugriff auf den Programm-Ordner des Programm zu geben. Häufig wollen Programme innerhalb ihres Installations-Ordners Dateien während oder am Ende ihrer Laufzeit ändern/löschen (wie Speedfan), wofür dem eingeschränktem Benutzerkonto normalerweise die Rechte fehlen. Das Setzen dieser Rechte behbt das Problem in den meisten Fällen. Schwieriger wird es, wenn das Programm in Teilen der Registry schreiben will, auf die man als Nicht-Admin keine Schreibrechte hat. Hier hilft Sysinternals RegMon, um die Pfade herauszufinden. Hat man diese dann gefunden, öffnet man als Administrator den Registry-Editor (regedit), begibt sich zum entsprechenden Pfad und setzt dort die Schreibrechte für den betroffenen User. (Viele Benutzer wissen gar nicht, dass es auch in der Registry Zugriffsrechte wie bei NTFS gibt.)
Zu Punkt 1 kann man auch jene Anwendungen zählen, die Treiber installieren oder starten wollen, ebenso wie Dienste. Bekanntes Beispiel dürfte PeerGuardian sein. Aber wie immer gibt es auch solche Programme, bei denen scheint Hopfen und Malz verloren zu sein - PunkBuster will zum Beispiel nur als Admin korrekt funktionieren, sonst wird man vom Server gekickt (siehe diesen Thread und diesen bei Gaming Networks (http://forum.gaming-networks.net/thread.php?threadid=28704)).


Alternate Data Streams
Eine bereits seit Beginn von NTFS und Windows NT 3.51 vorhandene Funktion des Dateisystems könnte noch mehr ins Blickfeld der Viren-Schreiber rutschen und sollte es daher auch bei den Anti-Viren-Software-Herstellern.
Was sind Alternate Data Streams (ADS)? Einfach gesagt heißt das, dass man jeder Datei beliebig viele anderen Dateien zuweisen kann (das sind dann die Streams) und die man ohne extra Programme nicht sieht! Kopiert man ein Datei, die solche Streams besitzt, werden auch die Streams mit kopiert. Das Problem an ihnen ist nun, dass es ebenso ausführbare Dateien sein können und Anti-Viren-Programme diese nicht immer Scannen. Symantec z. B. sagte selbst, dass sie es bei Norton Antivirus 2004 grundsätzlich nicht machen. Bei manch anderen gibt/gab es extra Optionen dafür, woraufhin die ADS dann auch beim Zugriff auf die Datei gescannt werden, der die Streams anhaften.
Schädlinge, die ADS nutzen, gibt es bereits - der Wurm W32.Dumaru (http://securityresponse.symantec.com/avcenter/venc/data/w32.dumaru@mm.html) und der Virus W2K.Stream (http://securityresponse.symantec.com/avcenter/venc/data/w2k.stream.html).
Übrigens nutzt auch Windows XP solche Streams - für die Miniaturansicht von Bildern und für die Zonen-IDs, die das Service Pack 2 mit brachten (der IE markiert so Dateien, die aus dem Internet heruntergeladen wurden und weißt beim Ausführen dieser dann darauf hin).
Tools zum Aufzeigen von ADS wären z. B. ADS Locator (http://www.safer-networking.org/de/tools/tools_ads.html) und Sysinternals Streams (http://www.sysinternals.com/Utilities/Streams.html).
Um zu erfahren wie es derzeit bei den Virenscannern um die ADS-Fähigkeit bestellt ist, habe ich mit Hilfe einiger Member* die am meisten genutzten Virenscanner dahingehend getestet. Das Ergebnis viel erfreulich positiv aus: die überwiegende Mehrheit hat bis auf einen Test alle bestanden. Klarer Sieger ist G-DATAs Antivirenkit. Norton Anti-Virus 2004 war der klare Verlierer - wie sollte es nach obiger Aussage auch anders sein. Um so besser die Tatsache, dass Symantec mit Norton Anti-Virus 2005 nachzog aber nicht mit den vielen anderen gleichziehen konnte.
Die Ergebnisse im Detail als PDF. (http://www.sephiroth-j.de/downloads/ADS-Test%20-%20Ergebnisse.pdf)

Nachtrag:
Eine aktuelle Gefahr stellt das Rootkit Mailbot.AZ dar, welches unter anderem Alternate Data Streams nutzt, um seine Dateien darin abzulegen!
Heise hat inzwischen auch ihren früheren Virenscanner-Test von 2004 mit den derzeit erhältlichen Virenscannern, in Zusammenarbeit mit AV-Test (http://www.av-test.de/), wiederholt. Das Ergebnis (http://www.heise.de/security/artikel/74641/) viel erwartungsgemäß positiv aus: bis auf zwei haben alle zumind. den On-Access-Test bestanden, jedoch acht versagten beim On-Demand-Scan. Der einzige Scanner, der in beiden Tests durchviel, ist F-Prot in der Version 3.16f. Mit Version 4 soll dies aber nicht mehr der Fall sein.

weitere Links:
Frank Heyne - FAQ: Alternate Data Streams in NTFS (http://www.heysoft.de/nt/ntfs-ads.htm)
heise Security - Gefahr aus der Schattenwelt: Teil 1 (http://www.heise.de/security/artikel/52139/), Teil 2 (http://www.heise.de/security/artikel/74641/)
F-Secure über Mailbot.AZ (http://www.f-secure.com/v-descs/mailbot_az.shtml)



Rootkits
Spätestens seit dem Sony Rootkit haben die meisten unter euch diesen Begriff schon einmal gehört. Aber was ist ein Rootkit?
Ein Rootkit ist ein Programm oder ein Paket von Programmen, das ein Einbrecher benutzt, um seine Anwesenheit auf einem Computer zu verbergen, und das ihm auch zukünftig Zugriff auf das System gewährt. Dazu ändert das Rootkit interne Abläufe des Betriebssystems oder es manipuliert Datenstrukturen, auf die sich das Betriebssystem beim Verwalten und Überprüfen verlässt.
Rootkits (auch mächtige) gibt es in der Linux-Welt schon länger aber für Windows waren sie bis vor wenigen Jahren eher simpel und noch leicht zu entdecken (NetBus, SubSeven und Back Orifice 2000). Inzwischen ist es aber alles anderes als leicht, da sie bekanntlich dafür Sorge tragen, dass die dazugehörigen Dateien nicht gesehen werden. Das Problem bei Virenscannern ist, dass sie kaum noch eine Chance bei Rootkits haben, da diese sogar vor den Scannern ihre Spuren in der Registry, dem Speicher oder auf der Festplatte verbergen können.
Im Rahmen einer (aktuellen) dreiteiligen Studie kam McAfee (http://download.nai.com/products/mcafee-avert/WhitePapers/AKapoor_Rootkits1.pdf) zu der Erkenntnis, dass sich die Nutzung der Rootkit-Technologien bei Schädlingsprogrammen in den vergangenen drei Jahren mehr als 7-mal so hoch ist wie zuvor. Schuld seien Webseiten wie rootkit.com und Open-Source-Rootkits.
Dies zeigt die Ernsthaftigkeit der Thematik und man fragt sich, wie man sich davor schützen kann. Die Antwort ist recht simpel: verhindern das keiner unrechtmäßig (administrativen) Zugriff auf den Rechner bekommt. Also Sicherheits-Updates installieren, Rechtevergabe nutzen, vernünftige Passwörter wählen, unnötige Dienste abschalten etc. pp. Denn ist ersteinmal ein Rootkit auf dem PC installiert, geht die Suche nach den Dateien los und besonders die Suche danach, wie der Eindringling überhaupt in das System eindringen konnte. Zur Suche der Dateien kann der abgesicherte Modus helfen, besser wäre aber ein Art Rettungs-CD (bzw. DVD), von der man bootet und das befallene System überprüft.

weitere Links:
heise - McAfee: Online-Foren und Quelloffenheit Schuld an Rootkit-Plage (http://www.heise.de/newsticker/meldung/72093/)
heise Security - Windows Rootkits 2005 (Teil 1/3) (http://www.heise.de/security/artikel/68243/)
heise Security - Heimliche Hintertüren (http://www.heise.de/security/artikel/38057/)



Distributed Component Object Model (DCOM)
DCOM ist eine Erweiterung des plattformunabhängigen Component Object Model (COM) und erlaubt die Kommunikation von Programmen auf verschiedenen Rechnern (oder auch auf dem selben) über ein Netzwerk (LAN, WAN, Internet) mittels TCP/IP.
Zukünftig soll stattdessen .NET Remoting Services verwendet werden und mit Windows Vista wird die Windows Communication Foundation (WCF; Codename Indigo) als Weiterentwicklung von DCOM zum Einsatz kommen (soll es übrigens dann auch für Window XP und Windows Server 2003 geben).
Was bringts?
Für den Heimanwender so gut wie nichts. Anwendungen, die DCOM wirklich benötigen, kommen meist nur in Firmen zum Einsatz. Ich schreibe bewußt wirklich benötigen, da Programme wie Adobe Acrobat Reader, Mozilla SeaMonkey, Corel PaintShop Pro und WinAmp COM-Objekte anlegen, diese aber lokal ausgeführt werden. Das führt uns gleich zu der Frage, worin nun das Problem bei DCOM liegt.
Ist DCOM "aktiviert", dann können (D)COM-Anwendungen von außerhalb (z. B. dem Internet) auf COM-Objekte zugreifen, die remote aktiviert werden können. Ein weiteres Problem ist die RPCSS-Schnittstelle von DCOM, die schon in der Vergangenheit mit Blaster zu zweifelhaftem Ruhm, aufgrund eines Pufferüberlaufs, gelangte.
Deaktiviert man nun DCOM, so können COM-Objekte immernoch lokal ausgeführt werden aber nicht mehr von außerhalb.
Dazu kann man entweder das Programm DCOMbobulator (http://grc.com/dcom/) nutzen, über die Registry DCOM selbst deaktivieren oder bei Windows XP über Verwaltung > Komponentendienste und dort unter Komponentendienste > Computer > Arbeitsplatz in den Eigenschaften von Arbeitsplatz auf Standardeigenschaften gehen und DCOM deaktivieren. Bei allen Methoden ist jedoch ein Neustart erforderlich. Man kann aber auch einfach den TCP-Port 135 für ankommende Verbindungen sperren. Dies würde sogar drei Fliegen mit einer Klappe schlagen. ;)
Der Vollständigkeit halber noch weitere Folgen des Deaktivierens von DCOM:

Das lokale COM+-Snap-In kann keine Verbindung zu Remoteservern herstellen, um den COM+-Katalog aufzulisten.
Die automatische Registrierung von Zertifikaten funktioniert möglicherweise nicht einwandfrei.
WMI-Abfragen (Windows Management Instrumentation) auf Remoteservern funktionieren möglicherweise nicht einwandfrei.




IPSec
Seit Windows 2000 gibt es die Möglichkeit gezielt den Netzwerkverkehr einer bestimmten Protokoll/Port-Kombination zu filtern. Aber IPSec kann mehr als nur Ports blockieren. Die Eigentliche Aufgabe ist es die Daten im Netzwerk zu verschlüsseln und zu authentifizieren, wobei zwei "Betriebsmodi" unterschieden werden: der Tunnel- und der Transportmodus.
Im Tunnelmodus wird das ganze Paket verschlüsselt (und im IPSec-Paket gekapselt) und an das andere Ende des Tunnels gesendet, an dem dieser PC dann das gekapselt Paket an den eigentlichen Empfänger weiterschickt. Im Transportmodus wird nicht das gesamte Paket gekapselt, sondern nur die Nutzdaten verschlüsselt. Dieser Modus wird dann angewendet, wenn der Empfänger des IPSec-Pakets auch der Empfänger des IP-Pakets ist - also eine spezielle Variante des Tunnelmodus.
Wieso erwähne ich das jetzt hier? Viele werden sagen: "Mein XP hat doch eine Firewall!", was ja auch stimmt, aber Windows 2000 nicht. ;)
Was ist zu tun? Am einfachsten geht es, wenn ihr euch die DCOM Vulnerabilities IPSec Mitigation Tools (http://www.microsoft.com/downloads/details.aspx?familyid=D5D9B402-ED79-4AB4-8DB2-2D25E0B8D2EA&displaylang=en) runterladet. Entpackt mindestens die Datei Dcom.ipsec. Öffnet nun die lokalen Sicherheitsrichtlinien (Systemsteuerung > Verwaltung oder Start > Ausfühen: secpol.msc). Unter IP-Sicherheitsrichtlinien auf Lokaler Computer wählt ihr Aktion > Alle Task > Richtlinie importieren und wählt die Dcom.ipsec Datei aus. Nun braucht ihr nur noch eine der Regeln "Block DCOM" oder "BLOCK CIS and DCOM" zuweisen. Dafür einfach einen Rechtsklick auf die Regel und zuweisen auswählen.
Falls wer wissen will, ob er CIS installiert und aktiviert hat, der kann z.B. nach der Datei Rpcproxy.dll suchen oder aber unter Software > Windows-Komponenten hinzufügen/entfernen > Netzwerkdienste prüfen, ob COM-Internetdiensteproxy (Windows 2000) oder RPC-über-HTTP-Proxy (Windows Server 2003) installiert ist. Genauere Informationen darüber sind hier (http://support.microsoft.com/default.aspx?scid=kb;de;825819) nachzulesen.
Die vorhandene Regel kann nun auch leicht um andere Ports erweitert werden. Dabei ist zu beachten, dass wenn ein Paket durch mehrere Regeln abgedeckt wird, diejenigre greift, die am spezifischsten ist.
Zum Beispiel: Regel #1 die generell alle Ports in eingehender Richtung sperrt und Regel #2, die nur Port 80 erlaubt. Hier wird Regel #2 angewendet, wenn ein Paket für Port 80 ankommt, da sie eindeutiger ist als Regel #1. Hier gelten also keine Reihenfolgen wie es bei vielen Personal Firewalls üblich ist!

weitere Links:
Microsoft - Blockieren bestimmter Netzwerkprotokolle und Ports mithilfe von IPSec (http://support.microsoft.com/default.aspx?scid=kb;de;813878)
Microsoft - Konfigurieren von IPSec-Tunneln unter Windows 2000 (http://support.microsoft.com/default.aspx?scid=KB;de;252735)
Microsoft - Traffic That Can--and Cannot--Be Secured by IPSec (http://support.microsoft.com/default.aspx?scid=KB;en-us;253169)
SecurityFocus - Using IPSec in Windows 2000 and XP, Part 3 (http://www.securityfocus.com/infocus/1528)
Microsoft - Using IPSec to Lock Down a Server (http://www.microsoft.com/technet/itsolutions/network/security/ipsecld.mspx)
Microsoft - Best Practices for Mitigating RPC and DCOM Vulnerabilities (http://www.microsoft.com/technet/security/alerts/info/bpdcom.mspx)
Uni Stuttgart - Microsoft IPSec als Paketfilter einsetzen (http://cert.uni-stuttgart.de/os/ms/ipsec-paketfilter.php)



Ein Ausblick auf Windows Vista
Es gibt keine beschränkten Benutzerkonten mehr - es sind nur noch Bneutzerkonten, die aber stets beschränkt sind. (welch Wortspiel ;))
Der Standardaccount wird also kein Mitglied der Administrator-Gruppe mehr sein - sehr schön! Stattdessen geht man den Weg von Mac OS X. Benötigt man (bzw. das Programm was ausgeführt wird) für eine Tätigkeit administrative Rechte, wird einem vom System (Vista) die möglichkeit geboten hierfür Admin-Rechte zu erlangen. Das nennt Microsoft User Account Protection (UAP). Problem hierbei ist dann aber nachwievor der User: erlaubt er die Installation eines Programms und hat auf diese Weise dafür Admin-Rechte erlangt, so hat sie das Programm auch und kann wieder Unfug treiben. Sogar das tatsächliche Administrator-Konto benötigt für "high-level" Aufgaben.

Als weiteren Schutz sieht Microsoft vor, dass wenn ein Programm in geschützte Bereiche der Registry oder des Dateisystems (auch System-Ordner) schreiben will, werden diese in einen separaten Bereich, dem Virtual Store, geschrieben, den es für jeden Benutzer gibt. Dies ist ähnlich dem, was es bei einem Terminal Server bereits gibt. Dabei gibt es beispielsweise einen Ordner "Virtual Store\<Konto-SID>\Windows", dessen Inhalt mit im echten Windows-Ordner erscheint aber es in wirklichkeit nicht ist. So können Programme in Ruhe im "Windows"-Ordner schreiben, ohne dies im echten Windows-Ordner zu tun. Auch der Programme-Ordner gehört dazu und der Registry-Pfad HKEY_LOCAL_MACHINE.

Programme wie Virenscanner und einige Treiber arbeiten nicht mehr im Kernel-Mode, benötigen so keinen Neustart mehr und können bei Abstürzen nicht mehr das ganze System so einfach mit sich reißen.

Der Internet Explorer 7 wird immer im sog. Protected Mode (geschützen Modus; UAP für den IE sozusagen) arbeiten - auch beim Admin-Konto. Dieser verhindert, dass der IE Systemdateien und Systemeinstellungen ändern kann. Die bisher übliche und gut bekannte Integration des Browser in Windows wird so quasi unterbrochen, da alle Kommunikation nun über eine Vermittlungstelle muß, die erst prüft ob der Browser das darf. Damit soll die Hauptangriffsfläche der IE-Sicherheitslecks - die Hohe Integrations ins System - entschärft werden. Plug-Ins wie der Flashplayer müssen nach der Installation auch erst aktiviert werden, denn bisher sind sie nach Installation immer aktiviert, und es gibt einen "No Add-ons" Modus (vergleichabr mit dem safe-mode von Firefox), bei dem alle Add-ons deaktiviert werden. Dann gibt es da noch den Phishing-Filter. Wann immer man eine Seite betritt, die bei Microsoft als Phishing-Seite aufgeführt ist, wird man gewarnt und man kann auf eigene Gefahr hin die Seite besuchen oder eben nicht. Auch wird jedes IE-Fenster die Adressleiste anzeigen - ausblenden via JavaScript bei Pop-Ups is nicht mehr. Dadurch soll es nicht mehr so leicht sein jemanden auf eine falsche Webseite zu locken; wenn dort dieba.de statt diba.de steht, dann fällt einem das auf.
Der Proteced Mode wird leider nur bei Vista zur Verfügung stehen, wobei etwas ähnliches auch bei XP machbar ist. ASP.NET Anwendungen laufen standardmäßig beim IIS unter einem extra Benutzerkonto namens ASPNET und auch Emule bietet eine solche Option, bei der Emule unter einem Emule-Konto läuft und alle aus Emule heraus gestartet Anwendungen ebenfalls.
Achja, wieso das ASPNET Benutzerkonto auch bei XP Home eingerichtet wird, wenn man das .NET Framework installiert und bei XP Home kein IIS dabei ist? Man kann doch aber immernoch ASP.NET Anwendungen entwickeln (z.B. mit ASP.NET Web Matrix, was einen Webserver mitliefert).

Die Firewall wird erstmals auch ausgehenden Verkehr filtern können, wobei dies standardmäßig abgeschaltet sein wird und sie wird durch Network-Access-Protection (NAP) berreichert. NAP ist eine Sammlung von Programmen und Richtlinien, die festlegen unter welche Bedingungen ein Client in das Netzwerk darf. So können Regeln festgelegt werden, die es beispielsweise nur Systemem gestatten zugriff auf das Netzwerk zu erlangen, die einen Virenscanner und die aktuellsten Sicherheitsupdates installiert haben. NAP ist dem aus Windows Server 2003 bekannten Network Access Quarantine Control (NAQC) ähnlich aber doch verschieden. NAQC greift nur bei VPN und dial-up Verbindungen (remote access) und bei NAQC ist ein Script auf Client-Seite nötig, bei NAP nicht. Die Server-Komponente von NAP läuft logischerweise auf Longhorn Server. ;)

EFS wird durch BitLocker™ (http://www.microsoft.com/technet/windowsvista/library/help/b7931dd8-3152-4d3a-a9b5-84621660c5f5.mspx?mfr=true) verbessert. Anders als bisher bei EFS, wird mit BitLocker, welches AES mit 128 bit oder 256 bit verwendet, der Schlüssel nicht mehr auf der Festplatte gespeichert, sondern bevorzugt im Trusted Platform Module (TPM) oder auf einem USB-Stick (oder einer SMART-Card). Dabei muß man jedoch beachten, dass BitLocker nur für die Partition mit dem Betriebssystem (Vista) drauf, verwendet werden kann. Da die Schlüssel für EFS jedoch auf dieser Partition liegen, werden sie zusätzlich durch BitLocker geschützt. Wermutstropfen: BitLocker wird nur in Vista Ultimate, Vista Enterprise und Vista Server "Longhorn" zur Verfügung stehen und nicht in dem XP Home äquivalent Vista Home Basic - auch EFS wird den Home Editionen wieder vergönnt bleiben.
Und dann gab es noch Pläne über "selbstheilende Software". Das Betriebssystem und das Prorgamm selbst besitzt eine Liste von Hashes von Dateien und kann, basierend darauf, veränderte oder verloren gegangene Datei wiederherstellen. Ob das tatsächlich auch zum Einsatz kommt, kann ich jedoch noch nicht sagen. (ist eher zu bezweifeln)


Vista wird sicherer werden! Aber die Sicherheit hört da auf, wo das System nichts mehr machen kann - beim Benutzer. Für die Mauer zwischen IE und Vista wird es früher oder später Möglichkeiten geben diese zu durchbrechen oder zu umgehen und UAP? Bei UAP besteht die gefahr, dass es zuviele Sicherheitswarnungen gibt und diese schnell nervig werden und irgendwann nur noch blind weggeklickt werden deswegen oder weil man die Meldung einfach nicht richtig versteht. Wenn man als Admin (über UAP) ein Programm installiert, welches eine Verknüpfung auf den Desktop aller User ablegt und man dann als solcher User diese wieder entfernen will und mit Meldungen "zugebombt" wird, man habe keine Rechte, dann wird das Szenario schneller eintreten als einem lieb ist - man klickt sie weg oder schaltet UAP wieder ab, da man ja auch als Admin diesen Einschränkungen unterliegt.

weitere Links:
Microsoft - BitLocker Drive Encryption: Frequently Asked Questions (http://www.microsoft.com/technet/windowsvista/security/bitfaq.mspx)
Microsoft - BitLocker Drive Encryption: Technical Overview (http://www.microsoft.com/technet/windowsvista/security/bittech.mspx)
Microsoft - Windows Vista Beta 2 BitLocker™ Drive Encryption: Step-by-Step Guide (http://www.microsoft.com/technet/windowsvista/library/c61f2a12-8ae6-4957-b031-97b4d762cf31.mspx)
Microsoft - Protected Mode in Vista IE7 (http://blogs.msdn.com/ie/archive/2006/02/09/528963.aspx)
Microsoft - Comparing NAP with Network Access Quarantine Control (http://www.microsoft.com/technet/community/columns/cableguy/cg0705.mspx#EMG)


Nachwort

Für Fragen, Anregungen und Kritik hierüber gibt es den dazugehörigen Diskussions-Thread. Für alles andere gilt: erst die Suchfunktion nutzen, dann Thread erstellen. ;)
Danken möchte ich an dieser Stelle noch den folgenden Personen für ihre Hilfe beim Virenscanner-Test: banshee18, BessereHälfte, captainsangria, Chris B. Yond, Energizer, flatbrain, Schrotti, Snoopy69 und warper.


Sephiroth
Copyright ©2006