3 Konfiguration von Windows - Vista Sicherheitseinstellungen
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Einführung
3 Konfiguration von Windows
Vista Sicherheitseinstellungen
Lernziele:
• Die UAC (User Account Control)
• Der Windows Defender
• Sicherheit im Internet Explorer 7
• Die Firewall
Prüfungsanforderungen von Microsoft:
• Configure and troubleshoot User Account Control
• Configure Windows Defender
• Configure Dynamic Security for Internet Explorer 7
• Configure security settings in Windows Firewall
Quelle: Microsoft
3.1 Einführung
Mit der UAC ist es möglich, Prozesse, die dem Computer schaden könnten, zu
vermeiden, und die Sicherheit des Systems zu erhöhen.
Malware und Attacken aus dem Internet sind mittlerweile häufig. Hier können Sie mit
dem Windows Defender und den Sicherheitseinstellungen des Internet Explorer
entgegenwirken. Genauso ist die Windows Firewall ein wichtiges Mittel, um Angriffe
auf den Rechner zu verhindern.
129Konfiguration von Windows Vista Sicherheitseinstellungen
3.2 Die Benutzerkontensteuerung (UAC, User
Account Control)
Ein großes Problem bei den bisherigen Betriebssystemen von Microsoft war die
Tatsache, dass die meisten Benutzer mit administrativen Rechten angemeldet waren,
und dadurch alle Vorgänge als Administrator, und damit mit vollen Rechten, steuern
konnten.
Alle Programme, die als Administrator ausgeführt werden, können an jede Stelle auf
dem Computer Daten schreiben, einschließlich den systemrelevanten Verzeichnissen
und der Registry.
Das bedeutete bisher leider auch, dass Schadprogramme, wie Viren oder Würmer,
sollten sie auf den Computer gelangen, ebenfalls vollen administrativen Zugriff auf das
System hatten.
Es gab zwar schon unter den vorherigen Systemen einige Möglichkeiten, diese
Problematik zu umgehen, aber leider wurden diese nicht in ausreichendem Maße
wahrgenommen.
Aus diesem Grund hat Microsoft mit Windows Vista eine völlig neue Regelung
entwickelt.
Egal, ob jemand als Administrator oder als Standardbenutzer angemeldet ist, alle
Programme werden immer nur mit eingeschränkten Rechten ausgeführt.
Sollten erhöhte Rechte benötigt werden, setzt die UAC ein, und bittet um Freigabe für
diesen Prozess, oder sogar um die Eingabe eines Kontos mit administrativen Rechten.
Dadurch wird die Zugriffsmöglichkeit auf sensible Systemteile erheblich erschwert.
3.2.1 Die Rechte der Benutzer
Damit die Benutzerkontensteuerung Sinn macht, muss man sich zunächst überlegen,
welche Rechte der Standardbenutzer benötigt.
In vorherigen Systemen gab es drei Gruppen, die für die lokale Maschine relevant sind:
• Benutzer
• Hauptbenutzer
• Administratoren
Hierbei hatten die Benutzer die wenigsten Rechte.
Hauptbenutzer waren eine Art von Zwischending zwischen den rechtelosen Benutzern
und den allmächtigen Administratoren.
130Die Benutzerkontensteuerung (UAC, User Account Control)
In Windows Vista wurde dies vereinfacht. Es gibt die Gruppe der Hauptbenutzer zwar
noch, aber nur noch aus Gründen der Abwärtskompatibilität.
Dies können Sie betrachten, wenn Sie folgenden Weg gehen:
• Rechte Maustaste auf „Computer“
• Verwalten
• Lokale Benutzer und Gruppen
• Gruppen
Hier können Sie die Gruppen sehen.
Abbildung 3.1: Gruppen
Wenn Sie mit der Maus über die Hauptbenutzer streichen, erhalten Sie den Hinweis,
dass diese Gruppe aus Gründen der Rückwärtskompatibilität eingeschlossen ist.
Schön und gut.
Aber welche Rechte hat der normale Benutzer eigentlich?
Diese Information erhalten wir, wenn wir die Sicherheitseinstellungen des Computers
betrachten.
Dafür erstellen wir eine so genannte Managementkonsole (mmc). Dazu klicken Sie auf
„Start“ und geben bei „Suche starten“ die Buchstabenkombination „mmc“ ein.
131Konfiguration von Windows Vista Sicherheitseinstellungen
ACHTUNG!
Das „Ausführen“, das von älteren Windows Versionen bekannt ist, gibt es in Windows
Vista nicht mehr. Sie können aber die Suche verwenden, wenn es sich um eine
ausführbare Datei handelt, wird diese geöffnet.
Es öffnet sich eine leere Managementkonsole.
Diese Konsolen haben den Vorteil, dass Sie eigene Verwaltungstasks hinzufügen
können, und sich somit eine maßgeschneiderte Konsole anfertigen können.
Die Verwaltungstasks werden „Snap-Ins“ genannt.
Also wählen Sie
• Datei
• Snap-In hinzufügen / entfernen…
Abbildung 3.2: Erstellen einer eigenen Verwaltungskonsole
Sie fügen jetzt die gewünschten Snap-Ins hinzu. In unserem Fall ist dies das
Gruppenrichtlinienobjekt „Lokaler Computer“.
In diesem Gruppenrichtlinienobjekt gibt es viele Einstellungen, von denen die meisten
mit Sicherheitseinstellungen zu tun haben.
132Die Benutzerkontensteuerung (UAC, User Account Control)
Wir müssen uns an folgende Stelle bewegen:
• Computerkonfiguration
• Windows-Einstellungen
• Sicherheitseinstellungen
• Lokale Richtlinie
• Zuweisen von Benutzerrechten
Abbildung 3.3: Benutzerrechte
Hier sind alle Rechte aufgeführt, und dargestellt, welche Gruppe das jeweilige Recht
hat.
Damit wird deutlich, dass viele Einstellungen nur von Administratoren durchgeführt
werden können, aber einige Einstellungen auch von normalen Standardbenutzern
gemacht werden können.
ACHTUNG!
Natürlich können an dieser Stelle auch Änderungen durchgeführt werden. Dies sollten
Sie aber nicht tun, denn damit könnten Sie Gruppen oder Personen Rechte zuweisen,
die diese Rechte nicht haben sollten.
3.2.2 Anwendungen ausführen, die erhöhte Rechte
benötigen
All das hat noch nicht direkt etwas mit der Benutzerkontensteuerung zu tun, es wurde
nur gezeigt, dass es Berechtigungsunterschiede zwischen Standardbenutzer und
133Konfiguration von Windows Vista Sicherheitseinstellungen
Administratoren gibt.
Leider funktionieren nicht alle Anwendungen mit den Rechten eines
Standardbenutzers.
Dies sind in den meisten Fällen Anwendungen, die schon älter sind, oder nicht für
Windows Vista geschrieben worden sind.
Abbildung 3.4: Programm als Administrator ausführen
Damit diese Anwendungen funktionieren, müssen sie unter einem administrativen
Konto ausgeführt werden.
Aber es kann natürlich nicht die Lösung sein, nun die Benutzer in die Gruppe der
Administratoren aufzunehmen.
Wenn Sie eine solche Anwendung haben, legen Sie eine Verknüpfung auf den
Desktop, öffnen die Eigenschaften und wechseln auf die Karteikarte „Kompatibilität“.
Sie sehen, hier können Sie einen Haken setzen, damit das Programm unter einem
administrativen Konto ausgeführt wird.
Wenn Sie diese Einstellung für alle Benutzer festlegen möchten, klicken Sie auf
134Die Benutzerkontensteuerung (UAC, User Account Control)
„Einstellungen für alle Benutzer anzeigen“. Dort können Sie dies auch für alle
Benutzer festlegen.
Abbildung 3.5: Einstellungen für alle Benutzer
3.2.3 Die Einstellungen der
Benutzerkontensteuerung
Die Benutzerkontensteuerung ist sowohl aktiv, wenn Sie mit einem normalen
Benutzerkonto angemeldet sind, als auch, wenn Sie als Administrator angemeldet sind.
Wenn Sie als normaler Benutzer angemeldet sind, und Sie möchten Tätigkeiten
ausführen, die mehr Rechte erfordern, als Ihnen zur Verfügung stehen, erscheint ein
Fenster, in dem Sie die Daten eines lokalen Administratorenkontos eingeben müssen.
Wenn Sie dagegen als Administrator angemeldet sind, erscheint ein
Bestätigungsdialogfeld, in dem Sie bestätigen müssen, dass Sie diese Aktion
genehmigen. Diese Abfrage erscheint immer dann, wenn Sie systemnahe Einstellungen
ändern möchten.
135Konfiguration von Windows Vista Sicherheitseinstellungen
Leider ist es etwas störend, wenn während der Arbeit immer wieder Abfragen
erscheinen, die man bearbeiten muss.
Ich habe deswegen schon von vielen Vista-Benutzern gehört, dass sie die
Benutzerkontensteuerung ausgeschaltet haben.
Abbildung 3.6: Benutzerkontensteuerung ausschalten
Obwohl ich es natürlich verstehen kann, dass dieses Verhalten etwas störend ist, kann
ich es auf keinen Fall empfehlen, diese Funktion zu deaktivieren. Sie würden damit die
Sicherheit des Vista-Systems wieder auf die Stufe der vorherigen Betriebssysteme
herabsetzen, was wirklich schade wäre.
Sollten Sie die Benutzerkontensteuerung aber trotzdem ausschalten wollen, können Sie
dies relativ einfach tun, indem Sie in der Systemsteuerung die Kontenverwaltung
wählen, und dort die „Benutzerkontensteuerung ein- oder ausschalten“.
Besser wäre es, die Benutzerkontensteuerung anzupassen, und das Verhalten bei
verschiedenen Ereignissen zu konfigurieren.
Dazu müssen Sie erneut eine MMC erstellen, und das Gruppenrichtlinienobjekt des
lokalen Computers hinzufügen.
Diesmal gehen Sie folgenden Weg, um ans Ziel zu gelangen:
• Computerkonfiguration
• Windows-Einstellungen
• Sicherheitseinstellungen
• Lokale Richtlinie
• Sicherheitsoptionen
136Die Benutzerkontensteuerung (UAC, User Account Control)
Abbildung 3.7: Einstellungen der Benutzerkontensteuerung
Hier sind die verschiedenen Einstellungsmöglichkeiten, die Sie gut kennen sollten.
Benutzerkontoschutz: Administratorbestätigungsmodus für das integrierte
Administratorkonto
Hier wird das Verhalten des integrierten Administratorkontos festgelegt. Dieses Konto
ist standardmäßig deaktiviert, kann aber aktiviert werden.
Optionen:
Aktiviert:
Der integrierte Administrator wird im so genannten Administratorbestätigungsmodus
angemeldet. Dies ist der Modus, der bei jeder Aktion, die systemnah ist, bestätigt oder
abgelehnt werden muss.
Deaktiviert:
Wenn Sie deaktiviert wählen, gibt es für das Administratorkonto keine
Benutzerkontensteuerung, und der Administrator hat volle Rechte (dies ist der XP-
kompatible Modus).
Standardeinstellung:
Deaktiviert
137Konfiguration von Windows Vista Sicherheitseinstellungen
Benutzerkontensteuerung: Alle Benutzer (inkl. Administratoren) als
Standardbenutzer ausführen
Dies ist die Einstellung, die für das komplette System das Verhalten festlegt.
Optionen:
Aktiviert:
Nur wenn diese Option aktiviert ist, findet überhaupt eine Benutzerkontensteuerung
statt. Wenn Sie diese Einstellung ändern, muss das System neu gestartet werden.
Deaktiviert:
Es findet keine Benutzerkontensteuerung statt.
Standardeinstellung:
Aktiviert
Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte
Rechte anfordern
Hier legen Sie fest, wie das Verhalten des Systems ist, wenn Anwendungen installiert
werden sollen.
Optionen:
Aktiviert:
Wenn Anwendungen installiert werden sollen, erscheint automatisch die entsprechende
Abfrage.
Deaktiviert:
In einer Unternehmensumgebung wird oftmals nicht am Einzelplatz installiert, sondern
durch Tools, wie SMS oder auch Gruppenrichtlinien. Hier sollte die Option deaktiviert
sein.
Standardeinstellung:
• Aktiviert (privat)
• Deaktiviert (Unternehmen)
Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen, die
an sicheren Orten installiert sind
Diese Einstellung sorgt dafür, dass sich Anwendungen, die eine Ausführung mit einer
UIAccess-Integritätsebene anfordern (über das Kennzeichnen von UIAccess=true in
ihrem Anwendungsmanifest) an bestimmten Stellen im Dateisystem befinden müssen.
Tun sie das nicht, werden ihnen keine erhöhten Rechte gewährt.
138Die Benutzerkontensteuerung (UAC, User Account Control)
Folgendes sind diese bestimmten Stellen:
• …\Programme\, einschließlich Unterverzeichnissen
• …\Windows\system32\r
• …\Programme (x86)\, einschließlich Unterverzeichnissen für 64-Bit-
Versionen von Windows
Optionen:
Aktiviert:
Nur Anwendungen, die sich an den richtigen Speicherorten befinden, werden mit
UIAccess-Integrität gestartet.
Deaktiviert:
Auch Anwendungen, die sich nicht an den richtigen Speicherorten befinden, werden
mit UIAccess-Integrität gestartet.
Standardeinstellung:
Aktiviert
Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten
Rechten für Standardbenutzer
Hier legen Sie fest, was bei Anforderungen eines Standardbenutzers passiert.
Optionen:
Aufforderung zur Eingabe der Anmeldeinformationen:
Der Benutzer muss einen Benutzernamen und ein Kennwort eines Kontos mit
administrativen Rechten angeben, damit der Vorgang fortgesetzt werden kann.
Anhebungsaufforderung automatisch abweisen:
Hier wird ein Versuch, eine Aktion auszuführen, die höhere Rechte benötigt, sofort
abgewiesen.
Standardeinstellung:
• Aufforderung zur Eingabe der Anmeldeinformationen (privat)
• Anhebungsaufforderung automatisch abweisen (Unternehmen)
Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten
Rechten für Administratoren im Administratorbestätigungsmodus
Der Administratorenbestätigungsmodus ist der Modus, in dem ein Administrator eine
Aktion, die systemnah ist, bestätigen oder ablehnen kann (Standardeinstellung).
139Konfiguration von Windows Vista Sicherheitseinstellungen
Optionen:
Aufforderung zur Eingabe der Zustimmung:
Der Administrator muss zustimmen oder kann ablehnen.
Aufforderung zur Eingabe der Anmeldeinformationen:
Hier reicht Zustimmen nicht, sondern es müssen die Kontodaten mit administrativen
Rechten eingegeben werden.
Keine Aufforderung:
In diesem Fall wird keine Abfrage gemacht, dies ist eine nicht sichere Einstellung.
Standardeinstellung:
Aufforderung zur Eingabe der Zustimmung
3.3 Der Windows Defender
Der Windows Defender ist eine Antispywaresoftware, das von Microsoft mitgeliefert
wird. Spyware und andere möglicherweise unerwünschte Software kann sich jederzeit
auf Ihrem Computer „einnisten“, wenn Sie eine Verbindung mit dem Internet
herstellen, oder wenn Sie Programme von einer CD, DVD oder anderen
Wechselmedien installieren.
Spyware kann zunächst nur im Hintergrund installiert werden, und Sie merken nichts
davon. Erst nach einiger Zeit wird sie aktiv, und sendet Informationen über Ihr System
oder über Ihre privaten Daten.
Manchmal bleibt Spyware auf dem Computer aber nicht ohne Hinweise für Sie.
Folgende Symptome sind ein Zeichen, dass Ihr Rechner möglicherweise mit Spyware
infiziert ist:
• Der Webbrowser hat sein Aussehen verändert. Er hat neue Links,
Symbolleisten oder Favoriten, die Sie nicht hinzugefügt haben
• Der Webbrowser hat eine neue Startseite, die Sie nicht eingestellt haben
• Sie werden im Webbrowser immer auf eine bestimmte Seite umgeleitet
• Sie sehen im Browser Werbung, auch wenn Sie nicht mit dem Internet
verbunden sind
• Der Computer läuft plötzlich langsamer als normalerweise
Leider ist dies keine komplette Liste. Deswegen sollten Sie ein Tool verwenden, das
Spyware und andere bösartige Programme erkennt, und zuverlässig beseitigt.
140Sie können auch lesen
