PowerServer I: Windows Server 2008 R2 & WDS Windows 7 PowerServer II: Server Security & Advanced Administration Group Policy Administration

Windows 7 Deployment

Public Key Infrastructure (PKI) Kerberos V5

Active Directory 2008 R2 Advanced ADS 2008 R2/2003

Failover Cluster 2008 R2

Remote Desktop Services
2008 R2

VMware vSphere 5.0

Configuration Manager 2012 Virtual Machine Manager 2012 Operations Manager 2012

Exchange Server 2010 Advanced Exchange HA (Exchange 2010) Exchange Disaster Recovery

Advanced Administration Windows Server 2008 R2
- Security . Firewall . WMI . DCOM . RPC. BitLocker . UAC . WMIC -

SCHULUNGSZIEL
Der Fokus dieses "Advanced" Intensivkurses ist die Sicherheit von Windows Server 2008 R2. Sicherheit ist schon immer eine hochkomplexe Angelegenheit, deren Zusammenhänge wir im Kurs weitgehend zu verstehen versuchen. Ein Zugriff auf eine Ressource verlangt i.d.R. immer eine Authentifizierung, ein Impersonation Level und letztendlich eine Autorisierung durch Berechtigungen. Die Ressourcen eines 2008 R2 Servers sind sehr vielfältig. Securable Objects werden durch Security Descriptor geschützt. WMI-Namespaces sind z.B. auch Ressourcen, die durch die Namespace Security Descriptoren geschützt werden. Der höchste Schutz ist jedoch nur durch Verschlüsselung möglich. Serverdatenpartitionen und insbesondere die Datenbank eines Domaincontrollers (ntds.dit) können mit dem Volumenschutzmechanismus "BitLocker" verschlüsselt werden. BitLocker ist in Kombination mit TPM die sicherste Methode einen unerlaubten "Cold Start" eines Servers bzw. Domaincontrollers zu verhindern. Neben dem Schwerpunkt Security kümmern wir uns auch um das nicht minder wichtige Thema Event Instrumentation und Event Tracing und somit auch um WMI (Windows Management Instrumentation). Informationen über Hardware und Betriebssystem können statisch (CIM-Datenbank) oder dynamisch durch WMI-Provider abgefragt werden. Events und Event Traces werden durch Zustandsänderungen von diversen Event-Providern erzeugt. Beispielsweise schreiben mehrere WMI-Provider die Sicherheitsereignisse in den Security-Log. Überwachungssysteme wie System Center Operation Manager (SCOM) nutzen u.a. WMI-Daten (Namespaces, Provider, Classes) und Events sowie Event Traces um die Funktionalität einer Systemkomponente oder des Gesamtsystems zu überwachen. Im ersten Block verschaffen wir uns einen Gesamtüberblick über die Authentifizierung und Autorisierung. Dazu gehören die Security Service Provider (SSP) wie Negotiate (SPNEGO) und Kerberos sowie Schannel und NTM. Jede Windows Maschine als Member einer Domäne unterhält einen sog. Secure Channel mit einem Domänencontroller, dessen Aufbau bei dem Domänenbeitritt wir im Kurs untersuchen. Detailliertes Wissen über den Secure Channel ist für jeden Serveradministrator ein MUSS, denn er hat sehr viel mit der Serversicherheit und NETLOGN zu tun. Zugriffe auf Ressourcen benötigen neben der Berechtigung (Autorisierung) auch das entsprechende Impersonate Level, damit ein Prozess-Thread evtl. im Namen des Zugreifers dessen Access Token (Impersonation Token) nutzen kann. Eine Hintertür bietet Windows für alle Anonymous Anmeldungen über die sog. NULL Session (Anonymous Logon Session), die wir auch verstehen müssen um die Serverressourcen (NullSessionShares, NullSessionPipes) gegen anonyme Zugriffe zu schützen. Im zweiten Block werden die Remote Zugriffe auf die Serverressourcen analysiert, die bei einem "geschützten" Windows 2008 R2 Server mehrere Hürden passieren müssen um auf die unterschiedlichen Ressourcen  gelangen zu können: --> Verbindungssicherheit (IPSec) --> Firewall -->  RPC -->  DCOM-Sicherheit --> WMI-Sicherheit & User Account Control (UAC) --> NTFS & Share Berechtigung.
Die neue Windows Firewall with Advanced Security (WFAS) integriert Firewall mit IPSec und AuthIP. WFAS kann somit Benutzer- bzw. Computer-Authentifizierung per Kerberos vor einem Zugriff durchführen. Wir nutzen diese sog. "Domain Isolierung" um 2008 R2 Server vor "fremden" zu schützen. Zu den zu schützenden Systemressourcen sind die DCOM-Objekten, die ihre eigene Security Descriptoren besitzen und somit eine Autorisierung von RPC-Zugriff verlangen. Der Zugriff auf WMI-Namespaces (Windows Management & Instrumentation) und -Provider sowie -Daten ist dank moderner Techniken wie PowerShell oder WinRM (over HTTP/HTTPS) viel einfacher geworden. Daher müssen Serveradministratoren auch mit diesen Themen vertraut sein. Dazu gehören u.a. die  UAC (User Account Control), die Virtual Store Technik und WIC (Windows Integrity Control). Auch hat sich die NTFS-Berechtigung durch UAC Split-Token geändert, sodass Serveradministratoren sich nicht ohne weiteres alles erlauben dürfen. Windows Server 2008 R2 Services werden von Haus aus durch die neuen Service Hardening Techniken gut geschützt, die wir ziemlich in Details kennenlernen werden. Im dritten Block sind wir als "Häcker" unterwegs, um diverse Sicherheitslücken zu entdecken. Wenn Smart Card nicht zum Einsatz kommt, ist das Password das "Tor zur Welt". Mit Man-In-The-Middle Attack Tools können u.a. schwache Passwörter schnell gecrackt werden. Die lokale SAM Datenbank und NTDS Active Directory Datenbank liefern aller Passwörter (Hash). Wir lernen auch, dass nicht jede Authentifizierung in einer Domäne mit Kerberos-Tickets arbeitet. Ein "Failback" von Kerberos zu NTLM birgt die Gefahr, dass der NT-Hash verraten wird. Das Computerpassword spielt bei der Sicherheit eine sehr große Rolle, da diverse Verschlüsselungskeys daraus abgeleitet werden. Beispielsweise wird der sog. Master Key (Long-Term Key) für die RC4-HMAC Verschlüsselung der Kerberos Pre-Authentication Daten (Padata) aus dem Computerpassword abgeleitet. Auch der Session Key für den Aufbau des Secure Channels zwischen dem Client (2008 R2 Server) und seinem Anmelde-DC wird aus dem Computerpassword errechnet. Wir lernen wie man das Computerpassword ändern und vor allem wie ein "broken" Secure Channel repariert werden kann. Im vierten Block werden die bewährten Tools wie Security Configuration & Analysis (SCA) eingesetzt, um die Sicherheit eines Windows Server 2008 und R2 zu analysieren, zu konfigurieren und Sicherheitsrichtlinien zu erzeugen. Mehrere Server können so durch die Sicherheitsrichtlinien gehärtet werden. Mit dem neuen Security Compliance Manager (SCM) können die Sicherheitsvorlagen *.cab zentral verwaltet und konfiguriert werden. Windows Server können mit WinRM/WinRS via HTTPS anstelle von RPC remote, ohne diverse Firewall-Ports öffnen zu müssen, verwaltet werden. BitLocker Drive Encryption und USB-Richtlinien tragen dazu bei, dass besonders Wechselmedien an einem Windows Server geschützt bzw. verschlüsselt werden. Gegen den "Cold Start" Angriff, besonders bei Domain Controller, setzen wir BitLocker im Zusammenspiel mit dem TPM-Chip des Rechners ein. So wird nicht nur die gesamte Betriebssystem-Partition C:\ verschlüsselt, sondern auch die gesamte Bootstrecke gegen Veränderung geschützt. BitLocker Unlock und Recovery Methoden mit Hilfe von Active Directory sorgen dafür, dass BitLocker in einer Enterprise Umgebung zentral verwaltbar ist. Im fünften Block wird das Auditing und deren Events im Detail behandelt. Neue feinere Audit-Subcategories von Windows Server 2008 R2 erlauben präzises Auditing gegenüber 2003. Nur relevante Sicherheitsereignisse werden erzeugt. Dennoch kann ein effektives Auditing in einer Enterprise Umgebung nur durch ein zusätzliches Überwachungstool wie z.B. SCOM 2007 (System Center Operationsmanager) betrieben werden. Mit PowerShell Get-WinEvent können die Auditing Events mit sog. XPath Filter fein durchsucht und aufgelistet werden. Mit der neuen ETW (Event Tracing for Windows) Technologie können nicht nur Events (*.evtx), sondern auch Trace (*.evtl) von diversen Event-Providern wie. z.B. NT Kernel Logger erzeugt und analysiert werden. Bemerkung: Wir wollen Ihnen mit diesem erweiterten Intensivkurs nicht nur einen Gesamtüberblick über die komplexe Serversicherheit geben, sondern in der kurzen Zeit auch einige moderne Methoden vermitteln, wie Sie Ihre Windows Server und Domain Controller noch sicherer machen können. Dieser neue Kurs PowerServer II (4 Tage) erweitert den Vorgänger SEC2008 (3 Tage) um weitere Sicherheitsthemen: Impersonation Level, WMI-, DCOM- und RPC-Security sowie Event Tracing for Windows (ETW). Dieser Kurs baut auf dem Kurs PowerServer I auf. Wir empfehlen als Ergänzung zum Schwerpunkt Security auch die Kurse KERBEROS und PKI2008-R2 zu besuchen.

Windows Start Up - Secure Channel