Betrieb eines Windows-Fileservers ohne Domainintegration nach IT-Grundschutz

Ziel der Schulung

Diese Schulung zeigt, wie ein Windows-Fileserver ohne Domainintegration gemäß den IT-Grundschutz-Richtlinien des BSI sicher aufgesetzt und betrieben wird. Das Ziel ist, eine sichere Dateiablage für eine kleine bis mittelgroße Organisation zu bieten, bei der eine Domainintegration nicht erforderlich oder nicht möglich ist.

Annahmen

Betriebssystem: Windows Server (z.B. Windows Server 2019)
Fileserver: Bereitstellung von freigegebenen Verzeichnissen für die interne Nutzung
Nutzung: Bereitstellung von Dateien und Dokumenten für autorisierte Benutzer
Sicherheitsanforderungen: Fokus auf Vertraulichkeit, Integrität und Verfügbarkeit der gespeicherten Daten.

Planung und Vorbereitung

Sicherheitsanforderungen definieren

Vertraulichkeit: Nur autorisierte Benutzer sollen Zugriff auf freigegebene Dateien haben.
Integrität: Die Dateien müssen gegen unbefugte Änderungen geschützt sein.
Verfügbarkeit: Der Fileserver muss zuverlässig verfügbar sein, allerdings ist keine 24/7-Verfügbarkeit erforderlich.

Rollen und Verantwortlichkeiten

Systemadministrator: Verantwortlich für die Installation, Konfiguration und Wartung des Fileservers.
Sicherheitsbeauftragter: Überprüfung der Sicherheitsmaßnahmen und regelmäßige Sicherheitsaudits.

IT-Grundschutz-Bausteine anwenden

IT-Systeme (SYS)

**SYS.1: Planung und Konzeption von IT-Systemen**
- Der Fileserver wird ohne Domainintegration betrieben, wodurch lokale Benutzerkonten verwaltet werden. Die Freigaben werden auf Basis dieser Benutzerkonten konfiguriert.
**SYS.2: Betrieb von IT-Systemen**
- Der Server wird regelmäßig aktualisiert und gesichert, um die Sicherheit und Stabilität zu gewährleisten.

Systemhärtung

Grundlegende Anforderungen an IT-Systeme (SYS.1.2.A1)

Unnötige Dienste deaktivieren:
- Beispiel: Deaktivieren von Diensten wie „Remote Desktop Services“, wenn sie nicht benötigt werden.
Regelmäßige Updates:
- Beispiel: Aktivieren von automatischen Updates über die Windows Update-Einstellungen.
- Grund: Um bekannte Sicherheitslücken schnell zu schließen und den Server auf dem aktuellen Stand zu halten.

Server-Härtung

Entfernen von unsicheren Protokollen:
- Deaktivieren von SMBv1, da dieses Protokoll unsicher ist:

 * Beispiel: Über PowerShell: 
   ```
   Set-SmbServerConfiguration -EnableSMB1Protocol $false
   ```

- Grund: Um die Sicherheit durch die Nutzung moderner, sicherer Protokolle (SMBv2 oder höher) zu erhöhen.
Sicherheitsmodule und Optionen:
- Aktivieren der Windows Defender Firewall:

 * Beispiel: Konfigurieren von eingehenden und ausgehenden Regeln, um nur den erforderlichen Netzwerkverkehr zuzulassen.

- Grund: Schutz vor unautorisiertem Netzwerkzugriff auf den Fileserver.

Sichere Konfiguration des Windows-Fileservers

Benutzerzugang beschränken

Nur autorisierte Benutzer:
- Lokale Benutzerkonten werden erstellt und Berechtigungen auf Freigaben genau definiert, um den Zugang nur auf notwendige Benutzer zu beschränken.
- Beispiel: Anlegen von Benutzerkonten über die Computerverwaltung und Zuweisen von Berechtigungen zu Freigaben.
- Grund: Reduzierung des Risikos unbefugten Zugriffs durch gezielte Benutzerverwaltung.

Passwort-Richtlinien umsetzen

Starke Passwörter erzwingen:
- Konfiguration lokaler Gruppenrichtlinien, um Komplexitätsanforderungen für Passwörter festzulegen.
- Beispiel: In den lokalen Sicherheitsrichtlinien (`secpol.msc`) unter „Kontorichtlinien“ -> „Kennwortrichtlinien“:

 * Mindestens 8 Zeichen, einschließlich Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.

- Grund: Erhöhung der Passwortsicherheit und Schutz gegen Brute-Force-Angriffe.

Zugriffskontrollen konfigurieren

Detaillierte Berechtigungen auf Freigaben:
- Beispiel: Im Fenster „Erweiterte Sicherheitseinstellungen“ der Freigabe Berechtigungen für Benutzer und Gruppen spezifisch festlegen.
- Grund: Schutz vor ungewolltem Zugriff oder Änderungen an den Dateien durch unautorisierte Benutzer.

Protokollierung und Überwachung

Aktivieren der Überwachung von Zugriffen:
- Beispiel: Über die lokalen Sicherheitsrichtlinien Überwachungsrichtlinien einstellen:

 * Aktivieren der Überwachung für „Objektzugriffe“ um Datei- und Ordnerzugriffe zu protokollieren.

- Grund: Nachvollziehbarkeit von Zugriffsereignissen und Unterstützung bei der Identifikation von Sicherheitsvorfällen.

Monitoring und Protokollierung

Log-Management

Überwachung der Windows-Logs:
- Beispiel: Nutzung der Windows-Ereignisanzeige, um sicherheitsrelevante Ereignisse zu überprüfen.
- Grund: Protokollierung und Überwachung von Sicherheitsvorfällen und administrativen Aktionen auf dem Fileserver.

Automatische Überwachung

Tools zur Überwachung:
- Beispiel: Verwenden von [Windows Defender ATP](https://www.microsoft.com/en-us/microsoft-365/windows/microsoft-defender-atp) oder Drittanbieter-Tools für die kontinuierliche Überwachung.
- Grund: Automatische Erkennung und Reaktion auf Bedrohungen, die den Fileserver gefährden könnten.

Regelmäßige Sicherheitsüberprüfungen und Patches

Schwachstellenmanagement

Beispiel: Regelmäßige Nutzung von Windows Update und WSUS (Windows Server Update Services) zur Bereitstellung und Installation von Sicherheitsupdates.
Grund: Erkennung und Behebung von Schwachstellen durch kontinuierliches Patching.

Penetrationstests und Audits

Regelmäßige Sicherheitstests durchführen:
- Beispiel: Durchführung interner Audits oder die Nutzung von Sicherheitsbewertungstools wie [Nessus](https://www.tenable.com/products/nessus).
- Grund: Sicherstellung, dass der Server keine neuen Schwachstellen aufweist und die Sicherheitsmaßnahmen wirksam sind.

Notfallmanagement

Incident Response Plan

Verfahren zur Reaktion auf Sicherheitsvorfälle entwickeln:
- Beispiel: Erstellung und regelmäßige Tests eines Incident-Response-Plans, der die Schritte zur Reaktion auf Sicherheitsvorfälle definiert.
Grund: Schnelle und effektive Reaktion bei Sicherheitsvorfällen.

Backups und Wiederherstellung

Regelmäßige Sicherungen einrichten:
- Beispiel: Nutzung von Windows Server Backup oder Drittanbieter-Lösungen, um regelmäßige Backups der Dateien und Systemkonfigurationen zu erstellen.
- Grund: Sicherstellung der Datenwiederherstellung im Falle eines Datenverlustes oder eines Systemausfalls.

Dokumentation

Alle Maßnahmen und Konfigurationen dokumentieren:
- Beispiel: Führen eines Betriebshandbuchs, das alle relevanten Konfigurationen und Sicherheitsprotokolle enthält.
Grund: Gewährleistung der Nachvollziehbarkeit und Unterstützung bei der Fehlersuche.

Quellen

[BSI IT-Grundschutz-Kompendium 2022](https://www.bsi.bund.de/IT-Grundschutz)
[Microsoft Docs: Windows Server 2019](https://docs.microsoft.com/en-us/windows-server/)
[Windows Defender ATP](https://www.microsoft.com/en-us/microsoft-365/windows/microsoft-defender-atp)
[Nessus](https://www.tenable.com/products/nessus)

Fazit

Durch die Anwendung dieser Schritte und Maßnahmen stellen wir sicher, dass der Windows-Fileserver ohne Domainintegration nach den Richtlinien des IT-Grundschutzes sicher betrieben wird. Die Einhaltung dieser Standards schützt den Server vor bekannten Bedrohungen und trägt zu einer stabilen und sicheren IT-Infrastruktur bei.