Zentralinstitut für Angewandte Mathematik
D-52425 Jülich, Tel.(02461) 61-6402
Informationszentrum, Tel. (02461) 61-6400

Technische Kurzinformation

 

FZJ-ZAM-TKI-0390
J.Meißburger
11.01.2006

Windows-XP - aber sicher !

Hinweise zur Einrichtung von Windows-XP/SP2

Kurzfassung:

Wer mit einem frisch installierten Windows-System ohne die wichtigsten Sicherheitspatches ins Internet geht - etwa, um sich die Sicherheit-Updates aus dem Netz zu laden - hat eine gute Chance, sich innerhalb weniger Minuten und vermutlich bereits vor Installation der Patches unbemerkt einen Virus oder  Trojaner einzufangen. Nur Russisch-Roulette ist spannender ....... ;-)

Deshalb vor Anschluß ans Netzwerk die wichtigsten Updates und Patches einspielen ! Hierzu dient die JuNet Security-CD, die beim ZAM-Dispach (Tel. 5642) kostenlos und tagesaktuell bestellt oder von  \\pcsrv\public\JuNetSecCD (für JuNet-Teilnehmer) heruntergeladen werden kann. Eine typische Installation sollte also etwa wie folgt aussehen:

Alle weiteren, besonders aber die für die Sicherheit wichtigen Microsoft-Patches und Informationen zur Sicherheit findet man unter

http://www.microsoft.com/germany/sicherheit/default.mspx

Anschließend System konfigurieren:

Bitte beachten: Alle sicherheitsrelevanten Software-Komponenten wie Windows, Office, Antiviren-Software, Firewall und AntiSpyware müssen mindestens einmal täglich auf Updates überprüft und diese unverzüglich - zweckmäßigerweise vor Arbeitsbeginn - installiert werden.

Inhaltsverzeichnis:

1.    Einleitung
2.    Partitionierung
3.    Systemkonfiguration

  1. Desktop anpassen

  2. Arbeitsplatz einrichten

  3. Eigene Dateien nach D: Verlagern

  4. Ordneroptionen auswählen

  5. Benutzerkonten einrichten

  6. Firewall aktivieren

  7. Internet Explorer einrichten

  8. Dienste einrichten

  9. Zeitserver einrichten

  10. Richtlinien anpassen

  11. Office einrichten

  12. Sicherheit überprüfen

  13. Datenträger bereinigen

  14. Datenträger prüfen

  15. Wiederherstellungspunkt erstellen

4.    Zusatzsoftware installieren

1. Einleitung

 Es gibt viele gute, wenn nicht zwingende Gründe, sich von Systemen wie Windows3.x, Windows 95/98/ME/NT zu verabschieden. Wie die Erfahrung der letzten Jahre zeigt, führt ein Umstieg auf Windows-XP auch mit älterer Software kaum zu Problemen, bringt aber viele wesentliche Vorteile im Hinblick auf Sicherheit und Komfort. Grundsätzlich sollte Windows-XP (wie auch NT und 2000) mit dem Dateisystem NTFS installiert werden!

Windows-XP, vor allem in der Version mit ServicePack 2 (SP2) bringt von Hause aus viele Verbesserungen mit, was die Sicherheit im Internet und die Gefährdung des Betriebssystems und der Nutzerdaten durch Viren und Hacker angeht. Allerdings sind auch bei XP noch nicht alle Default-Einstellungen optimal. Die folgenden Konfigurationsempfehlungen sollten daher nach einer Neuinstallation von Windows-XP im Sinne einer Prüfliste Punkt für Punkt durchgegangen und, soweit keine besonderen Gründe dies verhindern, angewendet werden. Hierin sind auch Hinweise enthalten, die nicht unbedingt sicherheits-relevant sind, die aber nach Ansicht des Autors die Arbeit erleichtern und Fehler vermeiden helfen. Die Hinweise beziehen sich vor allem auf Rechner im Internet (etwa im JuNet), die nicht in einer Windows-Domäne zentral verwaltet werden, und ihre Anwendung unterliegt in manchen Details dem jeweiligen Geschmack und Arbeitsprofil des Systemadministrators. Vor allem aber sind die Empfehlungen auch für Laptops und solche Systeme wichtig, die sowohl im JuNet als auch in fremden Netzen betrieben werden.

Wichtig ist, daß nach Installation des Betriebssystems zuallererst die für die Sicherheit wichtigen Service-Packs für Windows und Office installiert werden, daß das eingebaute Firewall aktiviert ist und daß ein aktualisierter Virenscanner läuft. Auch die aktive Real-Time-Protection von Microsoft-AnstiSpyware schützt vor unliebsamen Änderungen am System durch bösartige Software.

Die Service Packs und alle sicherheitsrelevanten Updates werden für Rechner im JuNet auch unter \\zelcds\public lokal angeboten (Siehe Hinweise unter \\zelcds\public\Windows Update\ ). 

 

Daran denken: Erst die wichtigsten Service Packs und Updates installieren, dann mit dem Rechner ans Netz !

2. Partitionierung

Um beim Restaurieren eines beschädigten Betriebssystems nicht auch alle seit dem letzten Backup erstellten Anwenderdaten (Dokumente, Persönliche Ordner, Software-Kits etc.)  zu verlieren, sollten diese Anwenderdaten  ebenso wie Backup-Images des Betriebssystems selbst auf einer separaten Partition, etwa auf dem logischen Laufwerk D: abgelegt werden. Der Windows-Ordner "Eigene Dateien" kann dann wie unten gezeigt auf das neue Verzeichnis auf der D-Partition umgelegt werden. Die Daten dieser Benutzerpartition sollten regelmäßig durch ein inkrementelles Backup gesichert werden (siehe beispielsweise ZAM-TKI-0261). Optimal ist eine Konfiguration, bei der die D-Partition auf einer zweiten  physikalischen Festplatte angelegt wird, so daß bei Verlust der C-Partition durch Soft- oder Hardwarefehler das Betriebssystem in kürzester Zeit von dort restauriert werden kann (siehe ZAM-TKI-0389). Auch ein modernes, externes USB-Laufwerk ist für die Daten- und Systemsicherung gut geeignet.

Will man außer von Windows auch von einem Linux-System aus schreibend auf Daten zugreifen, so empfiehlt sich die Einrichtung einer weiteren Partition E: als FAT32-Partition (eventuell auch auf einem USB-Stick), da Linux bisher auf NTFS-Partitionen nur lesend zugreifen kann. Hier können auch noch zusätzliche Sicherungskopien besonders wichtiger Daten der Benutzerpartition D: etwa als verschlüsseltes Archiv abgelegt werden. Mit einer 60 GB Festplatte für das System und einer getrennten > 60 GB Festplatte für die Daten würde sich dann etwa folgender Partitionslayout anbieten:

3. Systemkonfiguration

3.1    Desktop anpassen

Maus auf dem Desktop - RM (= rechte Maustaste) - Eigenschaften
(oder: Start - Systemsteuerung - Anzeige)

3.2    Arbeitsplatz einrichten

Arbeitsplatzsymbol - RM - Eigenschaften
(oder: Start - Systemsteuerung - System)

3.3    Eigene Dateien nach D: verlagern

Desktopsymbol "Eigene Dateien" - RM - Eigenschaften

3.4    Ordneroptionen auswählen

Arbeitsplatz öffnen - Extras - Ordneroptionen
(oder: Start - Systemsteuerung - Ordneroptionen)

3.5    Benutzerkonten einrichten

Start - Systemsteuerung - Benutzerkonten

3.6    Firewall aktivieren

Netzwerkumgebung - RM - Eigenschaften
(oder: Start - Systemsteuerung - Netzwerkverbindungen)

3.7    Internet Explorer einrichten

Internet-Explorer - RM - Eigenschaften
(oder: Start - Systemsteuerung - Internetoptionen)

Hinweis: Grundsätzlich solle im Internet mit diesen sicheren Einstellungen "gesurft" werden. Klappt mal die Anzeige einer Webseite überhaupt nicht, so kann man diese bei entsprechendem Vertrauen in die Zone "Lokales Intranet" eintragen:

Internet Explorer - Extras - Internetoptionen - Sicherheit - Lokales Intranet - Sites - Erweitert - Diese Website zur Zone hinzufügen

Gewünschte Internet-Domäne ( auch mit wildcard, etwa *.web.de ) eintragen - OK

3.8    Dienste einrichten

Start - Systemsteuerung - Verwaltung - Dienste

Hinweis: Starttyp "manuell" erlaubt im Gegensatz zu "deaktiviert" einer Anwendung immer noch, den Dienst falls nötig zu starten. Bereits gestartete Dienste müssen nach Umstellung des Starttyps beendet oder der Rechner muss neu gestartet werden. Die Angabe des Starttyps "(deaktiviert)" bedeutet, daß bei hohem Sicherheitsbedarf auf diesen Dienst je nach Arbeitsumgebung meist verzichtet und er deshalb völlig deaktiviert werden kann (ausprobieren!). Die folgende Liste enthält auch einige typische Dienste von Fremdanbietern wie etwa PowerQuest (Backup-Software) oder Symantec (Norton Personal Firewall).

 

Vor Änderungen an der Einstellung der Dienste sollte man immer einen Wiederherstellungspunkt erstellen. Zum einfachen und sicheren Testen verschiedener Konfigurationen (nur Windows 2000 und XP) kann auch das Skript "ServiceView" (ZAM-TKI-0391) benutzt werden. Es enthält u.a. ein Template für eine sichere Konfiguration mit Netzanschluss.

3.9    Zeitserver einrichten

Uhrzeit in Taskleiste - RM - Datum/Uhrzeit ändern
(oder: Start - Systemsteuerung - Datum und Uhrzeit)

3.10    Richtlinien anpassen

Start - Systemsteuerung - Verwaltung - Lokale Sicherheitsrichtlinie

3.11   Office einrichten

Start - Alle Programme - Microsoft Outlook

Start - Alle Programme - Microsoft Word, Excel

3.12    Sicherheit überprüfen

Systemsicherheit mit MBSA überprüfen

 

Zum Schluss empfiehlt sich noch eine Überprüfung des Systems mit Hilfe des Microsoft Baseline Security Analyzers MBSA (Siehe http://www.fz-juelich.de/zam/sicherheit/docs/win/notiz-mbsa/notiz-msba.htm ).
Dieses Sicherheitswerkzeug ist zu finden unter:
http://www.microsoft.com/technet/security/tools/mbsahome.mspx

 

Gegen Sicherheitsprobleme mit JPG-Bildern sollte noch GDISCAN.EXE ( http://images.dshield.org/images/gdiscan.exe )

ausgeführt,  verwundbare DLL's anderer Softwareanbieter umbenannt und durch sichere DLL's z.B. von Microsoft ersetzt werden. Anschließend testen, ob die zugehörige Applikation (meist ein Bildbearbeitungsprogramm) noch mit JPG-Bildern funktioniert (Umbenannte Original-DLL nicht löschen!).

3.13    Datenträger bereinigen

Start - Alle Programme - Zubehör - Systemprogramme - Datenträgerbereinigung

3.14    Datenträger prüfen

Arbeitsplatz öffnen - Systemplatte C:  - RM - Eigenschaften

3.15  Wiederherstellungspunkt erstellen

Start - Alle Programme - Zubehör - Systemprogramme - Systemwiederherstellung
(oder: Start - Hilfe und Support - Computeränderungen mit der Systemwiederherstellung rückgängig machen)

4.    Zusatzsoftware installieren

PDF-Version TKI0390

Forschungszentrum Jülich
D-52425 Jülich 		  Zentralinstitut für Angewandte Mathematik (ZAM)
 		 Information   11.01.2006
ZAM Dokumentation