- Microsoft
Werbung
Internet Explorer® 8Sicherheitsleitfaden Security Compliance Management Toolkit Version 1.1 Veröffentlichung: Oktober 2009 Aktualisierung: April 2010 Die aktuellsten Informationen finden Sie unter microsoft.com/securitycompliance (engl.) © 2009 Microsoft Corporation. Alle Rechte vorbehalten. Die Benutzer sind verpflichtet, sich an alle anwendbaren Urheberrechtsgesetze zu halten. Durch die Nutzung dieses Dokumentes stimmen Sie den folgenden Lizenzvereinbarungen zu. Wenn Sie diese Dokumentation ausschließlich zu nichtkommerziellen Zwecken und intern in IHREM Unternehmen oder IHRER Organisation nutzen, dann gilt für diese Dokumentation die Creative Commons AttributionNonCommercial-Lizenz. Den Text der Lizenz finden Sie unter http://creativecommons.org/licenses/bync/3.0/de/. Alternativ können Sie ihn unter Creative Commons, 543 Howard Street, 5th Floor, San Francisco, California, 94105, USA anfordern. DIE INFORMATIONEN IN DIESEM DOKUMENT WERDEN WIE VORLIEGEND BEREITGESTELLT, UND ZWAR OHNE GARANTIEN JEGLICHER ART, OB AUSDRÜCKLICH ODER KONKLUDENT, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF KONKLUDENTE GARANTIEN DER HANDELSÜBLICHKEIT, DIE EIGNUNG FÜR EINEN BESTIMMTEN ZWECK UND DIE NICHTVERLETZUNG DER RECHTE DRITTER. Alle Risiken bezüglich der Richtigkeit und der Verwendung dieses Dokuments trägt der Benutzer. Es ist möglich, dass Microsoft Rechte an Patenten bzw. angemeldeten Patenten, an Marken, Urheberrechten oder sonstigem geistigen Eigentum besitzt, die sich auf die Fachgebiete dieses Dokuments beziehen. Die Nutzung dieses Dokuments verleiht Ihnen keinerlei Rechte an diesen Patenten, Marken, Urheberrechten oder sonstigem geistigen Eigentum. Ausnahmen hiervon bedürfen der schriftlichen Genehmigung der Microsoft Corporation. Die in diesem Dokument enthaltenen Informationen stellen die behandelten Themen aus der Sicht der Microsoft Corporation zum Zeitpunkt der Veröffentlichung dar. Da Microsoft auf sich ändernde Marktanforderungen reagieren muss, stellt dies keine Verpflichtung seitens Microsoft dar, und Microsoft kann die Richtigkeit der hier dargelegten Informationen nach dem Zeitpunkt der Veröffentlichung nicht garantieren. Microsoft, Access, Active Directory, ActiveX, Authenticode, Excel, InfoPath, Internet Explorer, Internet Explorer 8, JScript, MSDN, Outlook, PowerPoint, Visual Basic, Windows, Windows Server, Windows Server 2008, Windows Server 2003, Windows 7, Windows Vista und Windows XP sind eingetragene Marken oder Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Die in diesem Dokument aufgeführten Produkt- und Firmennamen können geschützte Marken ihrer jeweiligen Inhaber sein. Sie haben keinerlei Verpflichtung, Microsoft Vorschläge, Kommentare oder sonstiges Feedback („Feedback“) in Bezug auf die Dokumentation zu übermitteln. Wenn Sie Microsoft jedoch Feedback senden, erteilen Sie damit Microsoft kostenfrei das Recht zur Nutzung, Verteilung und Kommerzialisierung Ihres Feedbacks auf beliebige Weise und zu beliebigen Zwecken. Ferner räumen Sie Dritten kostenfrei alle Patentrechte ein, die diese benötigen, damit ihre Produkte, Technologien und Dienstleistungen bestimmte Teile einer Software oder einer Dienstleistung von Microsoft, in die das Feedback eingebunden ist, nutzen können oder über eine Schnittstelle mit dieser Software oder Dienstleistung verwendet werden können. Ferner räumen Sie Dritten kostenfrei alle Patentrechte ein, die diese benötigen, damit ihre Produkte, Technologien und Dienstleistungen bestimmte Teile einer Software oder einer Dienstleistung von Microsoft, in die das Feedback eingebunden ist, nutzen können oder über eine Schnittstelle mit dieser Software oder Dienstleistung verwendet werden können. Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) Inhaltsverzeichnis Überblick ..........................................................................................................................................1 Für wen ist dieser Leitfaden gedacht?...........................................................................................2 Kenntnisse und Voraussetzungen ............................................................................................... 2 Ziele und Umfang des Leitfadens ............................................................................................... 2 Übersicht der Kapitel .......................................................................................................................3 Kapitel 1: Implementieren der Internet Explorer 8-Sicherheitsbasis ...................................... 3 Kapitel 2: Sicherheitsempfehlungen .......................................................................................... 3 Kapitel 3: Empfehlungen zu Datenschutzeinstellungen ......................................................... 4 Anhang A: Sicherheitscheckliste ................................................................................................ 4 Stilvereinbarungen ..........................................................................................................................4 Zusätzliche Informationen...............................................................................................................4 Support und Feedback ...................................................................................................................5 Danksagung .....................................................................................................................................5 Entwicklungsteam ...........................................................................................................................5 Weitere Mitwirkende und Lektoren ............................................................................................ 6 Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis ........................................7 Einschränkung der Benutzerrechte ................................................................................................8 Umgebung „Unternehmensclient“ (EC) ........................................................................................8 Umgebung „Spezielle Sicherheit – eingeschränkte Funktionalität“ (SSLF) ................................8 Verwalten von Internet Explorer 8 ..................................................................................................9 Das Zonenmodell...........................................................................................................................10 Bearbeitung der Zoneneinstellungen ...................................................................................... 12 Zonenbestimmung ...................................................................................................................... 13 Jenseits des Zonenmodells: Allgemeine Sicherheitseinstellungen ...................................... 14 Sicherheitsdesign...........................................................................................................................14 OU-Design für Sicherheitsrichtlinien .......................................................................................... 14 Domänenstamm .................................................................................................................. 15 OU Domänencontroller ...................................................................................................... 15 OU Mitgliedsserver ............................................................................................................... 15 OUs für die Serverrollen ....................................................................................................... 15 OU Abteilung ........................................................................................................................ 16 OU Windows 7-Benutzer...................................................................................................... 16 OU Windows 7-Computer .................................................................................................. 16 GPO-Design für Sicherheitsrichtlinien ....................................................................................... 16 Empfohlene GPOs ............................................................................................................... 18 Einsatz eines mit dem Security Compliance Manager-Tool erstellten GPOs ...................................................................................................................................... 19 Sicherheits- und Datenschutzfunktionen in Internet Explorer 8.................................................21 SmartScreen-Filter ........................................................................................................................ 21 Phishing- und Malware-Schutz........................................................................................... 21 ClickJacking ......................................................................................................................... 22 XSS-Filter (Cross-Site Scripting)............................................................................................ 23 Domänenhervorhebung ............................................................................................................ 23 Geschützter Modus ..................................................................................................................... 23 ActiveX-Opt-in ............................................................................................................................. 24 InPrivate-Browsing ....................................................................................................................... 24 Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) ii Internet Explorer 8-Sicherheitsleitfaden InPrivate-Filterung ........................................................................................................................ 25 Zusätzliche Informationen.............................................................................................................25 Kapitel 2: Sicherheitsempfehlungen ............................................................................................27 Add-On-Verwaltung .....................................................................................................................27 Einschränken von ActiveX-Steuerelementen ......................................................................... 27 Websitebasierte ActiveX-Einstellungen ................................................................................... 28 Nutzung von ActiveX-Steuerelementen, Plug-ins und vorab definierten Freigabelisten ............................................................................................................................... 28 Deaktivieren von Active Scripting ...............................................................................................29 Skripting-Unterstützung ........................................................................................................ 30 Aktivierung von Sicherheitseinschränkungen für Skriptfenster ............................................ 31 Zonensicherheit .............................................................................................................................31 Schutz vor Zonenanhebung aktivieren ................................................................................... 31 Benutzern das Hinzufügen und das Entfernen von Sites zu Zonen verbieten ................... 32 Änderung der Zoneneinstellungen durch die Benutzer verhindern ................................... 33 Zertifikatsicherheit..........................................................................................................................34 Zugriff der Benutzer auf Websites mit Zertifikatfehler verhindern ........................................ 34 Reduzierte Anwendungsprivilegien .............................................................................................35 Aktivierung des geschützten Modus ........................................................................................ 35 DropMyRights unter Windows XP .............................................................................................. 37 Andere Sicherheitseinstellungen .................................................................................................37 Sicherheitsfunktion für MIME-Ermittlung ................................................................................... 37 Sicherheitseinschränkung für MK-Protokoll ............................................................................. 38 Verschlüsselte Seiten nicht auf der Festplatte speichern ..................................................... 39 Proxyeinstellung pro Computer vornehmen .......................................................................... 40 Systemabsturzermittlung deaktivieren ..................................................................................... 41 Dateidownload einschränken .................................................................................................. 42 Dateidownload für die Zone „Eingeschränkte Sites“ einschränken .................................. 43 Objektzwischenspeicherungsschutz ........................................................................................ 43 Java-Berechtigungen ......................................................................................................... 45 Zusätzliche Informationen.............................................................................................................46 Kapitel 3: Empfehlungen zu Datenschutzeinstellungen .............................................................47 Nutzung von InPrivate-Browsen ...................................................................................................47 Nutzung der InPrivate-Filterung ....................................................................................................48 Löschen des Browserverlaufs .......................................................................................................48 Konfigurieren der Datenschutzeinstellung auf Mittel oder höher .............................................49 Automatisches Leeren des Ordners Temporäre Internetdateien .............................................50 Deaktivierung der AutoVervollständigen-Optionen ..................................................................51 Konfiguration von Anmeldeoptionen für jede Sicherheitszone ................................................52 Aktivieren des SmartScreen-Filters ..............................................................................................54 Nutzung des XSS-Filters .................................................................................................................56 Zusätzliche Informationen.............................................................................................................57 Anhang A: Sicherheitscheckliste .................................................................................................59 Solution Accelerators microsoft.com/technet/SolutionAccelerators Überblick 1 Überblick Willkommen zum Internet Explorer 8-Sicherheitsleitfaden. Dieser Leitfaden enthält Anweisungen und Empfehlungen zur Verstärkung der Sicherheit von Desktop- und Notebookcomputern mit Windows® Internet Explorer® 8. Eine der größten Herausforderungen bei der Definition von StandardSicherheitseinstellungen für Webbrowser ist die richtige Balance aus benötigter Funktionalität und den durch diese Funktionalitäten entstehenden Risiken. Sind die Standardeinstellungen im Browser zu restriktiv, dann werden die Benutzer eingeschränkt, haben mit Kompatibilitätsproblemen zu kämpfen und ignorieren Warnungen und Alarme einfach. Wenn die Einstellungen jedoch nicht restriktiv genug sind, dann sind die Benutzer durch eine Vielzahl verschiedener Angriffe verwundbar. Eine ausgewogene Balance zwischen Funktionalität und Sicherheit ist daher für eine sichere und einfache Nutzung von entscheidender Bedeutung. Die Entwickler von Webbrowsern definieren normalerweise StandardSicherheitseinstellungen, die auf Basis eines kalkulierten Risikos die bestmögliche Nutzung gewährleisten. Sie wählen Werte für die Einstellungen, mit denen die Browser in einer Vielzahl von Umgebungen sauber arbeiten. Für die meisten privaten Benutzer sind die Standard-Sicherheitseinstellungen im Browser im Allgemeinen ausreichend – sie schützen die Benutzer vor den meisten Angriffen. Bei einigen Benutzern und Unternehmen ergeben sich jedoch speziellere Anforderungen – beispielsweise aufgrund von geschäftlichen oder gesetzlichen Vorgaben. Benutzer in großen Organisationen müssen beispielsweise im Zusammenhang mit der Speicherung von Personen- und Finanzdaten besondere rechtliche Vorgaben erfüllen. Die Sicherheits- und Datenschutzeinstellungen in Internet Explorer 8 wurden für eine große Bandbreite von Anforderungen entworfen. Wir respektieren die Privatsphäre der Benutzer und den Bedarf an einer Kontrolle über Daten in Organisationen und stellen Empfehlungen zur Ausbalancierung dieser gegensätzlichen Anforderungen bereit. Internet Explorer 8 sorgt im Vergleich mit den Vorgängerversionen für mehr Sicherheit und bietet neue Datenschutzfunktionen, mit denen die Benutzer ihre persönlichen Informationen verwalten und kontrollieren können. Weitere Informationen zu den entsprechenden Funktionen und Einstellungen finden Sie auf der Internet Explorer 8-Website. In diesem Leitfaden werden einige der Funktionen und Einstellungen besprochen, mit denen die Sicherheitskonfiguration an die Anforderungen einiger Benutzer und Organisationen angeglichen werden kann. Der Leitfaden befasst sich nicht mit allen Browsereinstellungen. Die Empfehlungen aus dem Leitfaden entsprechen nicht denen aus der verstärkten Sicherheitskonfiguration für Internet Explorer unter Windows Server® 2003 und Windows Server® 2008. Die besprochenen Einstellungen und Funktionen sorgen dafür, dass die Benutzer und Administratoren in Organisationen mit erweiterten Sicherheitsanforderungen möglichst umfassend geschützt sind. Der Leitfaden bespricht Einstellungsmöglichen für Internet Explorer® 8 unter Windows® 7, Windows Vista® und Windows® XP. IT-Experten können den Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) 2 Internet Explorer 8-Sicherheitsleitfaden Leitfaden dazu nutzen, die Sicherheitseinstellungen im Browser zu straffen und den Anforderungen der Organisation anzupassen. Anmerkung: In vielen Fällen können Administratoren das Internet Explorer Administration Kit (IEAK) zur Erstellung und Bereitstellung einer angepassten Version von Internet Explorer nutzen. Danach können die Einstellungen mithilfe von Gruppenrichtlinien durchgesetzt werden. Der Leitfaden befasst sich nicht detailliert mit dem IEAK. Sie können jedoch viele der in diesem Leitfaden besprochenen Einstellungen dazu nutzen, ein angepasstes Paket zu erstellen. Für wen ist dieser Leitfaden gedacht? Der Internet Explorer 8-Sicherheitsleitfaden ist primär für IT-Allrounder, Sicherheitsspezialisten, Netzwerkarchitekten und andere IT-Experten und Consultants gedacht, die mit der Planung der Anwendungs- oder Infrastrukturentwicklung und der Bereitstellung von Desktop- und Notebookcomputern unter Windows-Clientbetriebssystemen in unterschiedlichsten Organisationen beschäftigt sind. Kenntnisse und Voraussetzungen Dieser Leitfaden setzt die folgenden Kenntnisse und Fähigkeiten voraus: MCSE-Zertifizierung für Windows Server 2003 oder aktueller und zwei oder mehr Jahre Erfahrung im Sicherheitsbereich oder vergleichbare Kenntnisse. Tiefgreifende Kenntnisse der Domänen- und Active DirectoryUmgebungen der Organisation. Erfahrung in der Arbeit mit der Gruppenrichtlinienverwaltungskonsole (Group Policy Management Console – GPMC). Erfahrung in der Administration von Gruppenrichtlinien mithilfe der GPMC. Erfahrung im Einsatz von Verwaltungstools wie beispielsweise MMC (Microsoft Management Console), Gpupdate und Gpresult. Erfahrung in der Bereitstellung von Anwendungen und Clientcomputern in Unternehmensumgebungen. Ziele und Umfang des Leitfadens Die primären Einsatzziele dieses Leitfadens sind: Hilfestellung bei der effizienten Erstellung und Anwendung einer getesteten Basissicherheitskonfiguration über Gruppenrichtlinien. Verständnis der Gründe und Auswirkungen für bestimmte Sicherheitsempfehlungen in der Basiskonfiguration. Ermittlung und Berücksichtigung häufiger Sicherheitsszenarien und die Nutzung bestimmter SicherheitsFunktionen in Internet Explorer 8 zu ihrer Verwaltung. Der Leitfaden wurde so entworfen, dass Sie in der Lage sind, nur die für Sie relevanten Teile zu nutzen. Den größtmöglichen Nutzen werden Sie jedoch dann aus dem Leitfaden ziehen, wenn Sie diesen vollständig lesen. Der Leitfaden konzentriert sich auf die Erstellung und Pflege einer sicheren Umgebung für Computer mit Internet Explorer 8. Er beschreibt die verschiedenen Stufen der Absicherung zweier unterschiedlicher Umgebungen. Des Weiteren stellt er Vorgaben und Sicherheitsempfehlungen bereit. Die Clientcomputer können unter Windows 7 oder Windows Vista SP1 oder einem aktuelleren Windows-Betriebssystem ausgeführt werden. Die zur Verwaltung der Clientcomputer eingesetzten Computer müssen jedoch Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) Überblick 3 Windows Server 2008, Windows Server 2003 R2 oder Windows Server 2003 SP2 ausführen. Die Einstellungen im Gruppenrichtlinieneditior und in den Internetoptionen von Internet Explorer unterscheiden sich voneinander. In den Gruppenrichtlinien gibt es beispielsweise viele Einstellungen, die in den Internetoptionen nicht zu finden sind (zum Beispiel alle Einstellungen unter Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\Internet Explorer\Internetsystemsteuerung\ Sicherheitsseite\Sperrung der Zone des Internets). Beachten Sie außerdem, dass sich viele Einstellungen aus dem Gruppenrichtlinienteil Administrative Vorlagen auf bestimmten Einstellungen aus den folgenden Registrierungspfaden auswirken: HKEY_LOCAL_MACHINE\Software\Policies HKey_CURRENT_USER\Software\Policies. Bei der Konfiguration dieser Einstellungen über die Internetoptionen werden diese Einstellungen in anderen Registrierungspfaden gespeichert (beispielsweise HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Inter net Settings\Lockdown_Zones\1). Diese Vorgehensweise vermeidet Probleme durch dauerhafte Einstellungen. Sie kann jedoch beim Vergleich der Ergebnisse bestimmter Einstellungen über die Gruppenrichtlinie und die Internetoption für Verwirrung sorgen. Anmerkung: Mit dauerhaft sind in diesem Fall Gruppenrichtlinieneinstellungen gemeint, die auch dann effektiv bleiben, wenn sich das Computer- oder Benutzerkonto nicht mehr im Einflussbereich der entsprechenden Gruppenrichtlinien befindet. Zu den entsprechenden Einstellungen gehören beispielsweise alle in domänenbasierten Gruppenrichtlinien unter dem Pfad Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen konfigurierten Einstellungen. Übersicht der Kapitel Der Internet Explorer 8-Sicherheitsleitfaden setzt sich aus den folgenden drei Kapiteln sowie einem Anhang zusammen: Kapitel 1: Implementieren der Internet Explorer 8Sicherheitsbasis Dieses Kapitel umfasst Verfahren zur Implementierung vorgegebener Sicherheitseinstellungen zur Verbesserung der Standardsicherheit von Internet Explorer 8 auf Clientcomputern. Das Kapitel befasst sich zudem mit der empfohlenen Bereitstellungskonfiguration für Gruppenrichtlinien und den Supportanforderungen für die zwei definierten Sicherheitsumgebungen. Kapitel 2: Sicherheitsempfehlungen Dieses Kapitel befasst sich näher mit den sicherheitsbezogenen Funktionen und Gruppenrichtlinieneinstellungen von Internet Explorer 8. Die Empfehlungen zu den Einstellungen und Funktionen sind in die folgenden sechs Kategorien eingeordnet: Add-on-Verwaltung Deaktivierung von Active Scripting Zonensicherheit Zertifikatsicherheit Reduzierung der Anwendungsrechte Solution Accelerators microsoft.com/technet/SolutionAccelerators 4 Internet Explorer 8-Sicherheitsleitfaden Andere Sicherheitseinstellungen Zu jeder Einstellung finden Sie eine Beschreibung zu ihrer Wirkungsweise, zum Standardverhalten im Browser und zur empfohlenen Einstellungskonfiguration für die einzelnen Sicherheitsumgebungen. Kapitel 3: Empfehlungen zu Datenschutzeinstellungen In diesem Kapitel finden Sie Informationen zu Funktionen und Gruppenrichtlinieneinstellungen für Internet Explorer 8 aus dem Bereich Datenschutz. Die Einstellungen und Empfehlungen in diesem Kapitel befassen sich hauptsächlich mit den Funktionen InPrivate-Browsing und SmartScreenFilter. Anhang A: Sicherheitscheckliste Im Anhang finden Sie eine Checkliste aller zur Sicherung der Clientcomputer mit Internet Explorer 8 empfohlenen Funktionen und Einstellungen. Stilvereinbarungen Dieser Leitfaden nutzt die folgenden Stilkonventionen: Element Bedeutung Fett Text, der exakt so wie gezeigt eingeben werden muss oder angezeigt wird. Beispielsweise Befehle, Schalter und Dateinamen. Auch die Elemente der Benutzeroberfläche werden fett angegeben. Kursiv Buchtitel und andere wichtige Publikationen. Neue Begriffe bei ihrer ersten Nennung. <Kursiv> Platzhalter für Variablen. Monospace Programmcode und Skripte. Anmerkung Warnhinweise mit ergänzenden Informationen. Wichtig Wichtiger Hinweis mit Informationen, die für die Durchführung einer Aufgabe von grundlegender Bedeutung sind. Warnung Warnungen mit grundlegenden ergänzenden Informationen, die wahrgenommen werden sollten. ‡ Änderungen oder Empfehlungen für spezielle Gruppenrichtlinieneinstellungen. § Gruppenrichtlinieneinstellungen, die unter Windows 7 neu eingeführt wurden. Zusätzliche Informationen In den folgenden Ressourcen finden Sie zusätzliche Informationen zur Sicherheit in Internet Explorer 8: Internet Explorer 8-Homepage. Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) Überblick 5 Support und Feedback Das SA-SC-Team (Solution Accelerators – Security and Compliance) freut sich auf Ihre Meinung zu diesem und anderen Solution-Accelerators. Bitte senden Sie Ihre Fragen und Anmerkungen zu diesem Leitfaden an die folgende Adresse: [email protected] (bitte in englischer Sprache). Wir freuen uns darauf, von Ihnen zu hören. Danksagung Das SA-SC-Team dankt dem Team, das den Internet Explorer 8Sicherheitsleitfaden erstellt hat. Die folgenden Personen waren entweder direkt an der Erstellung beteiligt oder haben einen wichtigen Beitrag geleistet. Entwicklungsteam Entwicklung der Inhalte Kurt Dillard – kurtdillard.com Richard Harrison – Content Master Ltd. Entwickler Barry Hartmann Gerald Herbaugh Haikun Zhang – Beijing ZZZGroup Co. Ltd Jeff Sigman Jim Riekse José Maldonado Michael Tan ZhiQiang Yuan – Beijing ZZZGroup Co. Ltd. Redakteure John Cobb – Wadeware LLC Steve Wacker – Wadeware LLC Produktmanager Michelle Arney Shruti Kala Stephanie Chacharon – Xtreme Consulting Group Inc. Programmmanager Tom Cloward Release-Manager Cheri Ahlbeck – Aquent LLC Karina Larson Solution Accelerators microsoft.com/technet/SolutionAccelerators 6 Internet Explorer 8-Sicherheitsleitfaden Testmanager Sumit Parikh Tester Jaideep Bahadur – Infosys Technologies Ltd. Mansi Sharma – Infosys Technologies Ltd. Raxit Gajjar – Infosys Technologies Ltd. Weitere Mitwirkende und Lektoren Aaron Margosis, Blake Frantz – Center for Internet Security, Dan Fox, Daniel Taylor, Defense Information System Agency (DISA), Derek Seaman – Lockheed Martin, Fidelis Ekezue, Greg Cottingham, Guy Hunt, Juan Antonio Díaz Muñoz, Kathy Lambert, Lori Kingery, Mandy Tidwell, Nate Morin, Pete LePage, Rick Munck, Roger Grimes, Roger Podwoski, Susan Bradley – www.sbsdiva.com, Susan Fosselman, Steven Rolnick, Tim Clark, TJ Onishile, Yung Chou Anmerkung: Auf Anfrage von Microsoft hat sich das National Security Agency Information Assurance Directorate am Review dieses Microsoft-Sicherheitsleitfadens beteiligt und Anmerkungen bereitgestellt, die in die endgültige Version des Leitfadens eingeflossen sind. Während der Entwicklung dieses Microsoft-Leitfadens und der entsprechenden SicherheitsBasiseinstellungen haben Mitglieder des Center for Internet Security gemeinsam mit Microsoft Anmerkungen bereitgestellt, die in die endgültige Version des Leitfadens eingeflossen sind. Solution Accelerators microsoft.com/technet/SolutionAccelerators (engl.) Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis Windows® Internet Explorer® 8 baut auf den Sicherheitsverbesserungen und -erweiterungen von Internet Explorer 7 auf. Es wurden verschiedene neue Sicherheitsfunktionen und -designs – beispielsweise der geschützte Modus und ActiveX® Opt-In – eingeführt. Sie sorgen für zusätzliche Sicherheitsebenen und so für einen tief greifenderen Sicherheitsansatz. Andere neue Funktionen wie beispielsweise der Phishing-Filter schützen die Benutzer vor Angriffen, die auf ihre persönlichen Informationen abzielen. Dieser Leitfaden bietet keine detaillierte Beschreibung der Sicherheitserweiterungen in älteren Versionen von Internet Explorer. Entsprechende Informationen erhalten Sie im Internet Explorer-TechCenter. Die Fortschritte in Internet Explorer 8 schützen die Benutzer vor vielen der aktuellsten Onlinebedrohungen. Sie schaffen außerdem eine klarere Benutzeroberfläche im Rahmen von Sicherheitsentscheidungen. Die Einstellungen in Internet Explorer 8 wurden so entworfen, dass sie für einen großen Teil der weltweiten Benutzer eine möglichst gute Balance zwischen Usability und Sicherheit bieten. Internet Explorer 8 führt des Weiteren ganz neue Möglichkeiten und Funktionen für den Datenschutz ein. Diese unterstützen die Benutzer darin, die Kontrolle über ihre Aktivitäten und Informationen im Internet zu behalten. Dieser Leitfaden konzentriert sich auf die Sicherheitseinstellungen in Internet Explorer 8. Zu einem Review der optimalen Sicherung einer Anwendung gehören jedoch auch Informationen zur Sicherheit auf Host-Level. Diese Informationen werden in den Sicherheitsleitfäden zu Windows® 7 und Windows Vista® besprochen. Um Sicherheitslücken im Browser, in den BrowserAdd-ins und im Betriebssystem zu vermeiden, müssen Sie diese Elemente zudem regelmäßig aktualisierten. Wir empfehlen die Installation aller Betriebssystemupdates mithilfe von Tools wie Windows Server® Update Services (WSUS), Systems Management Server (SMS) 2003, Microsoft ® System Center Configuration Manager 2007 R2 oder automatische Updates. Sie sollten sich außerdem beim Microsoft Security Notification Service für die technischen Sicherheitsbenachrichtigungen anmelden. Weitere Informationen finden Sie in Anhang A, „Sicherheitscheckliste". Sie können die standardmäßige Browserkonfiguration mithilfe von Gruppenrichtlinienobjekten (Group Policy objects – GPOs) absichern. Alle empfohlenen Gruppenrichtlinieneinstellungen sind in der zu diesem Leitfaden gehörenden Excel®-Arbeitsmappe Internet Explorer 8 Security Baseline Settings beschrieben. Zur Bereitstellung der in diesem Kapitel besprochenen Einstellungen benötigen sie die folgenden Elemente: Eine OU-Struktur (Organizational Unit – Organisationseinheit) für Ihre Umgebung. Den Security Compliance Manager aus diesem Leitfaden zur Erstellung der GPOs für Ihre Umgebung. Die Gruppenrichtlinienverwaltungskonsole (GPMC) zur Verknüpfung und Verwaltung der GPOs. Solution Accelerators microsoft.com/technet/SolutionAccelerators 8 Internet Explorer 8 Security Guide Warnung: Es ist von grundlegender Bedeutung, Ihr OU- und GPO-Design vor der Bereitstellung in der Produktivumgebung gründlich zu testen. Die Basis-GPOs aus diesem Leitfaden enthalten eine Kombination aus getesteten Einstellungen zur Verbesserung der Sicherheit der Clientcomputer unter Windows 7 in den folgenden zwei Sicherheitsumgebungen: Unternehmensclient (Enterprise Client; EC) Spezielle Sicherheit – eingeschränkte Funktionalität (Specialized Security – Limited Functionality; SSLF) Einschränkung der Benutzerrechte Eine der effektivsten Maßnahmen bei der Verbesserung der Sicherheit von Computern unter Windows® XP, Windows Vista und Windows 7 ist es, das Anmelden der Benutzer über Standardkonten sicherzustellen. Die Benutzer sollten Konten mit erweiterten Berechtigungen nur dann nutzen, wenn sie administrative Aufgaben durchführen müssen. Gleiches gilt auch für Webbrowser. Unter normalen Umständen sollten die Benutzer Internet Explorer mit Standardberechtigungen starten und so sicherstellen, dass der geschützte Modus das Risiko durch schädlichen Programmcode reduziert. So ist bei einer Kompromittierung durch Malware gewährleistet, dass sich der schädliche Code nur auf das Profil des Benutzers auswirkt – denn er ist auf die Berechtigungen des Benutzers beschränkt. Benutzer mit administrativen Berechtigungen können außerdem die in diesem Leitfaden besprochenen Einstellungen umkonfigurieren und so für ein höheres Kompromittierungsrisiko sorgen. Umgebung „Unternehmensclient“ (EC) Die EC-Umgebung setzt sich aus einer Domäne mit Active Directory® Domain Services (AD DS) mit Computern unter Windows Server® 2008, Windows Server® 2003 R2 oder Windows Server 2003 SP2 und durch Active Directory verwaltete Clientcomputer unter Windows 7, Windows Vista oder Windows XP Professional SP3 zusammen. Die Clientcomputer werden in dieser Umgebung über Gruppenrichtlinien verwaltet. Die Gruppenrichtlinien werden auf Standorte, Domänen und OUs angewandt. Gruppenrichtlinien sind eine zentralisierte Infrastruktur in Active Directory, mit der verzeichnisbasierte Änderungen und Konfigurationen für Benutzer- und Computereinstellungen implementiert werden können. Die EC-Sicherheitsbasis sorgt für eine erweiterte Sicherheit mit einer für den größten Teil aller Organisation ausreichenden Funktionalität für das Betriebssystem und die Anwendungen. Umgebung „Spezielle Sicherheit – eingeschränkte Funktionalität“ (SSLF) Die SSLF-Sicherheitsbasis in diesem Leitfaden ist für hochsichere Umgebungen mit Computern mit Internet Explorer 8 gedacht. In dieser Umgebung sind die Anforderungen an die Sicherheit so hoch, dass ein erheblicher Verlust an Funktionalität und Verwaltbarkeit akzeptabel ist. Warnung: Die SSLF-Sicherheitseinstellungen sind für die meisten Organisationen nicht geeignet. Sie wurden für Organisationen entwickelt, in denen Sicherheit wichtiger als die Funktionalität ist. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 9 Wenn Sie sich dazu entscheiden, die SSLF-Konfigurationseinstellungen für die Clientcomputer Ihrer Umgebung bereitzustellen, dann wird durch die eingeschränkte Funktionalität wahrscheinlich die Anzahl der Anrufe beim Helpdesk steigen. Die Konfiguration sorgt zwar für mehr Sicherheit für die Daten und das Netzwerk, sie sorgt jedoch auch dafür, dass einige möglicherweise erforderliche Komponenten nicht mehr ausgeführt werden (beispielsweise ist der Zugriff auf ActiveX®-Steuerelemente gesperrt – was den Zugriff auf spezielle Funktionen einiger Websites behindern kann). Die SSLF-Sicherheitsbasis ist nicht als Zusatz zur EC-Sicherheitsbasis gedacht. Die SSLF-Sicherheitsbasis sorgt für eine ganz andere Sicherheit. Versuchen Sie daher nicht, die SSL- und EC-Sicherheitsbasis auf denselben Computern anzuwenden. Im Rahmen dieses Leitfadens ist es daher notwendig, zuerst die für Ihre Umgebung erforderliche Sicherheitsstufe zu ermitteln und sich dann für die EC- oder die SSLF-Sicherheitsbasis zu entscheiden. Zum Vergleich der Einstellungen der EC- und SSLF-Sicherheitsbasis können Sie die ExcelArbeitsmappe Internet Explorer 8 Security Baseline Settings aus diesem Leitfaden nutzen. Wichtig: Wenn Sie die SSLF-Sicherheitsbasis einsetzen möchten, dann sind umfassende Tests der Computer Ihrer Umgebung nach der Anwendung der Sicherheitsbasis erforderlich. Nur so können Sie sicherstellen, dass keine erforderlichen Funktionalitäten von den neuen Einstellungen verhindert werden. Verwalten von Internet Explorer 8 Abhängig von der Größe und Komplexität Ihrer Organisationen gibt es zwei Optionen zur zentralisierten Administration der Einstellungen von Internet Explorer 8: das Internet Explorer Administration Kit (IEAK) 8 und Active Directory-GPOs. Es gibt einige Einstellungen, die Sie nur über das IEAK oder nur über GPOs konfigurieren können. Wo immer möglich stellt dieser Leitfaden Informationen zu beiden Varianten zur Verfügung. Um die optimale Lösung für Ihre Umgebung auswählen zu können, benötigen Sie ein Verständnis der beiden Lösungen. Grundsätzlich kann man sagen, dass das IEAK für Organisationen ohne Active Directory-Infrastruktur gedacht ist. Es ermöglicht außerdem eine Anpassung des Browsers (inklusive Einstellungen und Optionen). Das IEAK ermöglicht Administratoren die einfache Erstellung von Dateien für angepasste Konfigurationseinstellungen. Diese Dateien werden dann während der Installation angewandt. Mit dem IEAK können viele, aber nicht alle Internet Explorer 8-Einstellungen angepasst werden. Die IEAK-Anpassungen bleiben außerdem nur so lange erhalten, bis der Benutzer sie ändert. Bei der internen Bereitstellung können Sie die IEAK-Einstellungen in bestimmten Intervallen anwenden. So können Sie sicherstellen, dass die Einstellungen auch nach der Installation den Unternehmensstandards entsprechen. Die neue Option Internet Explorer-Einstellungen zurücksetzen sorgt dafür, dass die Installation auf die angepassten Einstellungen zurückgesetzt wird und setzt ActiveX Opt-In-Einstellungen auf ihre Standardwerte zurück und deaktiviert zudem alle auf dem Computer installierten Symbolleisten und Erweiterungen (sie werden jedoch nicht entfernt). Mit GPOs können Sie sauber definierte Installationskonfigurationen erstellen, die regelmäßig über die Gruppenrichtlinienmechanismen aktualisiert werden, und so Änderungen durch die Benutzer verhindern. Mit GPO-Einstellungen können Sie hunderte von Einstellungen und Optionen von Internet Explorer 8 steuern. Die Arbeit mit GPOs ist jedoch komplexer als die mit dem IEAK. Nach der Definition und Anwendung einer GPO-Vorlage folgen alle betroffenen Systeme der Konfiguration so lange, bis diese von einem Administrator Solution Accelerators microsoft.com/technet/SolutionAccelerators 10 Internet Explorer 8 Security Guide geändert wird. Die Veränderung der Einstellungen durch den Benutzer ist in vielen Fällen einfach nicht möglich oder wird ignoriert. In einigen Fällen ist es eventuell noch möglich, Änderungen vorzunehmen. Diese Änderungen werden jedoch bei der nächsten Richtlinienanwendung überschrieben und auf die Einstellungen zurückgesetzt. Wir empfehlen Unternehmenskunden den Einsatz von GPOs in einer Active Directory-Infrastruktur. Nur so können Sie sicherstellen, dass die Sicherheitseinstellungen durchgesetzt und nicht verändert werden. Das Zonenmodell Mit Internet Explorer steht Administratoren ein Sicherheitsfunktion zur Verfügung, das andere Browser nicht anbieten: Die Möglichkeit, Sicherheitseinstellungen für verschiedene Klassen von Websites festlegen zu können. Im Gegensatz zu den meisten anderen Browsern legt Internet Explorer die Sicherheitsstufe fest, indem die Webseite auf Basis ihrer Herkunft in eine URL-Sicherheitszone kategorisiert wird. Die fünf Sicherheitszonen sind Lokaler Computer (in der Benutzeroberfläche von Internet Explorer nicht sichtbar), Internet, Lokales Internet, Vertrauenswürdige Sites und Eingeschränkte Sites. Websites auf dem lokalen Computer werden in die Zone Lokaler Computer eingeordnet, Remoteserver befinden sich in der Zone Internet, und Websites im lokalen Netzwerk sind in der Zone Lokales Internet. Websites auf Servern, die vom Benutzer oder Administrator als möglicherweise schadhaft definiert wurden, werden in die Zone Eingeschränkte Sites kategorisiert. Websites auf Servern, die vom Benutzer oder Administrator als vertrauenswürdig eingestuft wurden, werden in die Zone Vertrauenswürdige Sites eingeordnet. Anmerkung: Auf Computern, die nicht Domänen angehören, ist die Zone Lokales Intranet deaktiviert, und die Sites, die normalerweise in dieser Zone eingeordnet werden, werden stattdessen in der Zone Internet eingeordnet. Die Zone Lokaler Computer ist über die Internet Explorer-Benutzeroberfläche nicht sichtbar. Jede der Zonen hat unterschiedliche Sicherheitseinstellungen. Internet Explorer nutzt hierzu URL-Sicherheitszonenvorlagen. Standardmäßig gibt es fünf Vorlagen: hoch, mittel, niedrig und sehr niedrig. Die Sicherheitszonen sind den jeweiligen URL-Vorlagen zugeordnet. Tabelle 1.1: Zuordnung der Sicherheitszonen Sicherheitszone Sicherheitsebene Beschreibung (standardmäßige URL-Sicherheitszone) Lokaler Computer Angepasst Alle Inhalte auf dem Computer des Benutzers (mit Ausnahme der Inhalte, die Internet Explorer auf dem lokalen System zwischenspeichert) sind sehr vertrauenswürdig. Diese Zone kann nicht in Internet Explorer konfiguriert werden. Internet Mittelhoch Die Zone Internet setzt sich aus allen Websites zusammen, die nicht in einer anderen Zone angeordnet werden. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 11 Sicherheitszone Sicherheitsebene Beschreibung (standardmäßige URL-Sicherheitszone) Lokales Internet Niedrig (nur auf Computern, die Domänenmitglieder sind) Alle Websites dieser Zone sollten sich hinter der Firewall befinden. Die Proxyserver sollten so konfiguriert werden, dass ein externer DNS-Name für diese Zone nicht ausgelöst werden kann. Vertrauenswürdige Sites Mittel Seiten in dieser Zone dürfen mehr Aktionen durchführen als andere Websites. Die Benutzer werden weniger oft dazu aufgefordert, Sicherheitsentscheidungen zu treffen. Externe Seiten sollten nur dann zu dieser Zone hinzugefügt werden, wenn Sie allen Inhalten der Site vertrauen und die Site niemals schädliche Aktionen durchführen wird. Eingeschränkte Sites Hoch Diese Zone enthält Sites, die als nicht vertrauenswürdig eingestuft wurden. Die Standardeinstellungen für diese Zone schränken Webfunktionen ein, blockieren den Zugriff auf die Sites jedoch nicht. Websites können vom Benutzer oder über Gruppenrichtlinien zu dieser Zone hinzugefügt werden. Zusätzlich zu diesen Zonen gibt es entsprechende gesperrte Zonen, die über die Benutzeroberfläche von Internet Explorer nicht angezeigt werden. Die Einstellungen für gesperrte Zonen für Lokaler Computer werden durch eine Funktion mit dem Namen „Sperrung der Zone des lokalen Computers“ (“Local Machine Zone Lockdown" – LMZL) aus Windows XP SP2 genutzt. Wenn eine Webseite in der Zone Lokaler Computer geöffnet wird, dann wird diese standardmäßig mit restriktiveren Berechtigungen in der gesperrten Zone ausgeführt. Versucht der Inhalt der Website, ein ActiveX-Element oder ein Skript auszuführen, dann wird dem Benutzer eine Informationsleiste angezeigt, über die er dies zulassen kann. Lässt der Benutzer den blockierten Inhalt zu, so nutzt Internet Explorer die weniger restriktiven normalen Einstellungen für die Zone Lokaler Computer – und zwar für die gesamte Lebensdauer der Browserregisterkarte in Internet Explorer 7 und Internet Explorer 8 oder des Browserfensters in Internet Explorer 6. Die anderen gesperrten Zonen werden für die in der Gruppenrichtlinie definierten Protokolle eingesetzt. Die Einstellungen werden in verschiedenen Pfaden in der Registrierung gespeichert (abhängig von der Konfiguration der Einstellung und davon, ob sie für Benutzer oder Computer gilt). In der folgenden Tabelle sind diese Pfade zusammengefasst. Solution Accelerators microsoft.com/technet/SolutionAccelerators 12 Internet Explorer 8 Security Guide Tabelle 1.2: Registrierungspfade für Zoneneinstellungen Benutzereinstellungen Computer- Über einstellun- Gruppengen richtlinien konfiguriert Lokal über Internetoptionen konfiguriert Pfad HKEY_CURRENT_USER\Softwar e\Microsoft\Windows\ CurrentVersion\Internet Settings\Zones HKEY_CURRENT_USER\Softwar e\Policies\Microsoft\Internet Explorer\Zones\ HKEY_CURRENT_USER\Softwar e\Policies\Microsoft\Internet Explorer\Lockdown_Zones\ HKEY_LOCAL_MACHINE\ Software\Microsoft\Windows \ CurrentVersion\Internet Settings\Zones\ HKEY_LOCAL_MACHINE\ Software\Policies\Microsoft\ Windows\CurrentVersion\ Internet Settings\Zones\ HKEY_LOCAL_MACHINE\ Software\Policies\Microsoft\ Windows\CurrentVersion\ Internet Settings\ LockdownZones\ Unter den genannten Pfaden gibt es Unterschlüssel für die einzelnen Sicherheitszonen. Diese Unterschlüssel sind: 0 = Zone Lokaler Computer 1 = Zone Lokales Intranet 2 = Zone Vertrauenswürdige Sites 3 = Zone Internet 4 = Zone Eingeschränkte Sites Die URL-Sicherheitszonenvorlagen legen fest, welche Aktionen Webseiten durchführen können. Die URL-Sicherheitszonenvorlage „Hoch“ definiert beispielsweise, dass ActiveX-Steuerelemente oder Skripte für die Webseite nicht erlaubt sind. Standardmäßig können Seiten aus der Zone Eingeschränkte Sites die entsprechenden Funktionalitäten daher nicht nutzen. Weitere Informationen zu URL-Sicherheitszonen und Vorlagen finden Sie im MSDN®Artikel Über URL-Sicherheitszonen (engl.). Bearbeitung der Zoneneinstellungen Es gibt für die Benutzer mehrere Möglichkeiten zur Änderung der Zoneneinstellungen im Dialogfenster Internetoptionen: Sie können den Regler für die Sicherheitszone unter der Registerkarte Sicherheit auf die gewünschte URL-Sicherheitszonenvorlage Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 13 (Sicherheitsstufe) festlegen. Ein Benutzer könnte beispielsweise für die Zone Internet die Sicherheitsstufe von Niedrig auf Mittel ändern. Sie können über den Schalter Stufe anpassen auf der Registerkarte Sicherheit spezielle Einstellungen für die jeweilige Zone eingeben. Sie können mit einem Klick auf den Schalter Sites auf der Registerkarte Sicherheit Websites zu einer Zone hinzufügen (für die Zone Internet steht diese Option nicht zur Verfügung – sie enthält per Definition alle Websites, die nicht in andere Zonen kategorisiert sind). Bei der Zone Lokales Intranet funktioniert der Sites-Schalter anders. Bei dieser Zone können Sie mit dem Schalter festlegen, ob das Internet-Netzwerk automatisch erkannt wird (Standardeinstellung), oder die für die Erkennung zu verwendenden Kriterien definieren. Sie können alle lokalen (Intranet) Websites, die sich nicht in anderen Zonen befinden, alle Sites, die nicht über den Proxy-Server abgerufen werden, und alle UNC-Netzwerkpfade (Universal Naming Convention) einschließen. Es ist über den Schalter Erweitert im Dialogfenster mit den Einstellungen weiterhin möglich, lokale Sites einzutragen. Wenn Sie einen vollqualifizierten Domänennamen (Fully Qualified Domain Names – FQDN) zur Erkennung von Intranet-Sites nutzen möchten, dann müssen Sie diese Sites manuell zur Zone Lokales Intranet hinzufügen. Dies liegt daran, dass Internet Explorer Hosts mit Punkten im FQDN zur Zone Internet zuweist. Administratoren möchten die Benutzer in der Bearbeitung der Zoneneinstellungen oft einschränken. Weitere Informationen dazu, wie Sie dies realisieren, finden Sie in Kapitel 2, „Sicherheitsempfehlungen“. Zonenbestimmung Das grundlegende Konzept der Zonen-Sicherheitsberechtigungen ist leicht zu verstehen. Um Computer effektiver verwalten zu können, ist es jedoch hilfreich, auch die eigentliche Logik hinter der Zonenbestimmung zu kennen. Kern des Bestimmungsprozesses ist die Eingabe in die Adressleiste – nicht der DNS-IP-Wert oder die Netzwerkmaske. Die erste grundlegende Regel lautet also: Die Zonenbestimmung basiert auf der Benutzereingabe in die Adressleiste. Standardmäßig werden die folgenden weiteren Regeln zur Zonenbestimmung genutzt: Alle Sites, die in der Zone Eingeschränkte Sites aufgeführt sind, werden in dieser Zone geöffnet. Alle Sites, die in der Zone Vertrauenswürdige Sites aufgeführt sind, werden in dieser Zone geöffnet. Alle Sites, die in der Zone Lokales Intranet aufgeführt sind, werden in dieser Zone geöffnet. Alle Sites auf der Proxy-Bypass-Liste werden in der Zone Lokale Intranet geöffnet. Eingaben ohne Punkt in der Adressleiste, die aufgelöst werden können, werden in der Zone Lokales Intranet geöffnet (zum Beispiel http://local). Andere Sites werden in der Zone Internet geöffnet. Anmerkung: Sites können nicht zu mehr als einer Zone hinzugefügt werden. Sie sollten sich bewusst machen, dass durch diese Regeln manchmal IntranetSites in der Zone Internet geöffnet werden. Dies passiert beispielsweise dann, wenn die Intranet-Site über eine IP-Adresse oder einen FQDN geöffnet wird (der Name enthält in diesem Fall Punkte). Solution Accelerators microsoft.com/technet/SolutionAccelerators 14 Internet Explorer 8 Security Guide Jenseits des Zonenmodells: Allgemeine Sicherheitseinstellungen Internet Explorer 8 umfasst des Weiteren Sicherheitseinstellungen, die nicht zonenspezifisch sind. Diese Einstellungen finden Sie unter den Registerkarten Datenschutz, Inhalte und Erweitert der Internetoptionen. Sie werden weiter unten in diesem Leitfaden genauer besprochen. Sicherheitsdesign Das in diesem Kapitel empfohlene Sicherheitsdesign bildet den Startpunkt für die in diesem Leitfaden genutzten Szenarien und die Abschwächungsvorschläge für die Szenarien. In den weiteren Abschnitten dieses Kapitels erfahren Sie mehr zur Sicherheits-Kernstruktur: OU-Design für Sicherheitsrichtlinien GPO-Design für Sicherheitsrichtlinien Microsoft empfiehlt dringend, dass Sie Ihre eigenen Tests in einer Laborumgebung durchführen, bevor Sie neue Sicherheitsrichtlinien für Computer in Produktivumgebungen nutzen. Die in diesem Leitfaden empfohlenen und in den Sicherheitsbasiskonfigurationen im SCM-Tool angegebenen Einstellungen wurden sorgfältig getestet. Wie in fast jedem Netzwerk gibt es jedoch wahrscheinlich auch in Ihrem Netzwerk Anwendungen, auf die einige dieser Einstellungen Auswirkungen haben. Es ist daher extrem wichtig, die Einstellungen vor der Implementierung in einer Produktivumgebung gründlich zu testen. OU-Design für Sicherheitsrichtlinien Die Microsoft-Sicherheitsleitfäden für Windows, Office und Internet Explorer nutzen OUs. Eine OU ist ein Container in einer Domäne mit AD DS. Eine OU kann Benutzer, Gruppen, Computer und andere OUs enthalten. Enthält eine OU andere OUs, dann wird sie als übergeordnete OU bezeichnet. Eine OU in einer übergeordneten OU ist hingegen eine untergeordnete OU. Sie können ein GPO mit einer OU verknüpfen. Die GPO-Einstellungen werden dann auf die Benutzer und Computer in der OU und in allen untergeordneten OUs angewandt. Zur einfacheren Administration können Sie die administrative Gewalt über jede einzelne OU delegieren. OUs sind eine effektive Möglichkeit, die administrativen Grenzen für Benutzer und Computer aufzuteilen. Da einige Einstellungen nur für Benutzer und einige nur für Computer gelten, empfiehlt Microsoft, die Benutzer und Computer unterschiedlichen OUs zuzuweisen. Mit dem Delegierungsassistenten können Sie im MMC-Snap-In Active Directory-Benutzer und -Computer die Kontrolle über eine Gruppe von OUs oder über einzelne OUs delegieren. Links zu weiteren Dokumenten zu diesem Thema finden Sie im Abschnitt „Zusätzliche Informationen“ am Ende dieses Kapitels. Eines der Hauptziele eines OU-Designs ist es, eine Basis für die nahtlose Implementierung von Gruppenrichtlinien für alle Computer im AD DS zu schaffen. Nur so kann sichergestellt werden, dass alle Computer den Sicherheitsstandards Ihrer Organisation entsprechen. Das OU-Design muss eine Struktur aufweisen, die zu den Anforderungen der unterschiedlichen Benutzer einer Organisation an die Sicherheitseinstellungen passt. Entwickler benötigen beispielsweise oft Zugriffsmöglichkeiten auf ihre Computer, die normale Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 15 Benutzer nicht brauchen. Auch Notebookbenutzer haben andere Anforderungen als der normale Durchschnittsbenutzer. In der folgenden Abbildung sehen Sie eine einfache OU-Struktur, die für die Diskussion rund um die Gruppenrichtlinien aus diesem Kapitel ausreicht. Diese OU-Struktur muss aber natürlich nicht zwingend den Anforderungen Ihrer Organisation entsprechen. Abbildung 1.1: Beispiel für eine OU-Struktur für Computer unter Windows 7 und Windows Server 2008 Domänenstamm Einige Sicherheitseinstellungen sollten für die gesamte Domäne angewandt werden. Sie legen fest, wie die Domäne insgesamt konfiguriert ist. Die entsprechenden Einstellungen können in ein GPO aufgenommen werden, das der Domäne selbst zugewiesen wird. In diesem Container befinden sich keine Benutzer und Computer. OU Domänencontroller Auf den Domänencontrollern sind einige der sensibelsten Daten in Ihrer Organisation gespeichert – beispielsweise Daten, die der Sicherheitskonfiguration selbst dienen. Hier angewandte GPOs konfigurieren und schützen die Domänencontroller. OU Mitgliedsserver Diese OU enthält die unten aufgeführten untergeordneten OUs. GPOs, die dieser OU zugewiesen werden, sollten Einstellungen enthalten, die auf alle Server, aber nicht auf die Arbeitsstationen angewandt werden sollen. OUs für die Serverrollen Microsoft empfiehlt, für jede in der Organisation eingesetzte Serverrolle eine OU anzulegen. Jede OU sollte nur die entsprechende Art Servercomputer enthalten. So haben Sie die Möglichkeit, GPO-Einstellungen speziell für die einzelnen Serverrollen zu definieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators 16 Internet Explorer 8 Security Guide Natürlich können Sie bestimmte Rollen auch auf einem Server kombinieren. Sie können beispielsweise Datei- und Druckdienste auf einem Server zusammenfassen. In diesem Fall erstellen Sie einfach eine OU für die kombinierten Serverrollen (zum Beispiel mit dem Namen „Datei- und Druckserver“) und verknüpfen dann alle entsprechenden rollenspezifischen GPOs mit der OU. Wichtig: Zur Kombination von Serverrollen auf einem Computer sind eine sorgfältige Planung und saubere Tests erforderlich. Nur so können Sie sicherstellen, dass sich keine negativen Effekte auf die Gesamtsicherheit der kombinierten Serverrollen ergeben. OU Abteilung Sicherheitsanforderungen sind innerhalb einer Organisation oft sehr unterschiedlich. Aus diesem Grund macht es Sinn, eine oder mehrere Abteilungs-OUs zu erstellen. So haben Sie die Möglichkeit, Sicherheitseinstellungen aus GPOs für Computer und Benutzer in bestimmten Abteilungen festzulegen. OU Windows 7-Benutzer Diese enthält die Benutzerkonten für das EC-Szenario. Die Einstellungen für diese OU werden in der zu diesem Leitfaden gehörenden Excel-Arbeitsmappe Windows 7 Security Baseline Settings beschrieben. OU Windows 7-Computer Diese OU enthält untergeordnete OUs für die einzelnen Clientcomputertypen unter Windows 7 aus dem EC-Szenario. Dieser Leitfaden konzentriert sich auf die Sicherheit von Desktop- und Notebookcomputern. Aus diesem Grund wurden die folgenden untergeordneten OUs erstellt: OU Desktops: Diese OU enthält die Desktopcomputer, die permanent mit dem Netzwerk verbunden sind. Die Einstellungen für diese OU werden in der zu diesem Leitfaden gehörenden Excel-Arbeitsmappe Windows 7 Security Baseline Settings beschrieben. OU Notebooks: Diese OU enthält die Notebookcomputer der mobilen Benutzer, die nicht permanent mit dem Netzwerk verbunden sind. Die Einstellungen für diese OU werden in der zu diesem Leitfaden gehörenden Excel-Arbeitsmappe Windows 7 Security Baseline Settings beschrieben. GPO-Design für Sicherheitsrichtlinien Ein GPO ist eine Sammlung von Gruppenrichtlinieneinstellungen, die grundsätzlich aus den mithilfe des Snap-Ins Gruppenrichtlinien erstellten Dateien besteht. Die Einstellungen werden auf Domänenebene gespeichert und wirken sich auf Benutzer und Computer in Standorten, Domänen und OUs aus. Sie können GPOs dazu nutzen, bestimmte Einstellungen, Benutzerrechte und Computereinstellungen auf alle Clientcomputer oder Benutzer einer OU anzuwenden. Durch die Nutzung von Gruppenrichtlinien statt einer manuellen Konfiguration wird es einfacher, Änderungen für viele Computer und Benutzer zu verwalten und durchzuführen. Da viele Mitarbeiter viele Computer vor Ort besuchen müssten, ist eine manuelle Konfiguration nicht nur ineffizient, sondern auch ineffektiv. Dies liegt primär daran, dass die Einstellungen in domänenbasierten GPOs die lokal definierten Einstellungen überschreiben. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 17 Abbildung 1.2: GPO-Prioritätsreihenfolge In der Abbildung oben sehen Sie die Reihenfolge, in der GPOs auf einem Computer in einer untergeordneten OU angewandt werden – von der geringsten Priorität (1) bis hin zur höchsten Priorität (5). Als Erstes werden die lokalen Sicherheitsrichtlinien jeder Arbeitsstation angewandt. Danach werden die GPOs auf Standortebene und dann die auf Domänenebene angewandt. Befinden sich Computer mit Windows Server 2008, Windows Server 2003 SP2 oder höher oder Windows Vista SP1 oder Windows XP Professional SP3 oder höher in untergeordneten OUs, so werden die GPOs von der übergeordneten OU bis hin zur untersten untergeordneten OU angewandt. Diese Reihenfolge der GPO-Verarbeitung ist von großer Bedeutung – denn Änderungen, die später im Prozess angewandt werden, überschreiben die vorher im Prozess angewandten Änderungen. Unterschiedliche Werte für eine Einstellung in unterschiedlichen GPOs werden nicht kombiniert. Dies gilt nicht nur für Computer-GPOs, sondern auch für Benutzer-GPOs. Beim Design von Gruppenrichtlinien müssen die folgenden Überlegungen berücksichtigt werden: Ein Administrator muss eine Reihenfolge für die Anwendungen mehrerer mit einer OU verknüpfter GPOs festlegen. Andernfalls werden die Gruppenrichtlinien in der Reihenfolge angewandt, in der sie mit der OU verknüpft wurden. Die Reihenfolge sehen Sie in der Liste Verknüpfungsreihenfolge der GPMC. Ist eine der Einstellungen in mehreren Richtlinien konfiguriert, so hat die aus der obersten Richtlinie in der Richtlinienliste Vorrang. Sie können ein GPO mit der Option Vorrang konfigurieren. Mit dieser Option können andere GPOs die Einstellungen aus diesem GPO jedoch nicht mehr überschreiben. Gruppenrichtlinieneinstellungen gelten für Benutzer und Computer (auf Basis des jeweiligen Speicherortes der Benutzer- und Computerobjekte in AD DS). In einigen Fällen sind möglicherweise Richtlinien für Benutzerobjekte auf Basis des Speicherortes des jeweiligen Computerobjekts statt des Benutzerobjekts erforderlich. Mit der LoopbackFunktion haben Sie die Möglichkeit, BenutzerGruppenrichtlinieneinstellungen auf Basis des Computers, an dem sich der Benutzer angemeldet hat, anzuwenden. Weitere Informationen zu diesem Thema finden Sie im Artikel Loopbackverarbeitung von Gruppenrichtlinien. Sie können Active Directory-Standorte, -Domänen und -OUs mit der Option Richtlinienvererbung blockieren konfigurieren. Diese Option blockiert GPO-Einstellungen aus GPOs, die sich weiter oben in der Active Solution Accelerators microsoft.com/technet/SolutionAccelerators 18 Internet Explorer 8 Security Guide Directory-Hierarchie befinden (es sei denn, bei diesen ist die Option Vorrang aktiviert). Die Option Vorrang hat also auch Vorrang vor der Option Richtlinienvererbung blockieren. Anmerkung: Die Optionen Vorrang und Richtlinienvererbung blockieren sollten mit größtmöglicher Vorsicht genutzt werden. Sie können dafür sorgen, dass die Fehlersuche bei GPOs schwierig und mühsam wird. Empfohlene GPOs Um das oben beschriebene OU-Design zu implementieren, sind mindestens die folgenden GPOs erforderlich: Eine Richtlinie für die Domäne. Eine Richtlinie mit einer Sicherheitsbasis für alle Domänencontroller. Eine Richtlinie mit einer Sicherheitsbasis für alle Mitgliedsserver. Eine Richtlinie für jede Serverrolle in Ihrer Organisation. Eine Richtlinie für die OU Windows 7-Benutzer. Eine Richtlinie für die OU Desktops. Eine Richtlinie für die OU Notebooks. Die folgende Abbildung erweitert die vorläufige OU-Struktur und zeigt die Verknüpfungen zwischen den GPOs und dem OU-Design. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 19 Abbildung 1.3: Beispiel zur OU-Struktur und GPO-Verknüpfungen für Computer unter Windows 7 und Windows Server 2008 Dieser Leitfaden deckt nur ein einziges Produkt von Microsoft ab. In der oben dargestellten Abbildung sind jedoch Empfehlungen aus verschiedenen Sicherheitsleitfäden aus der Security Compliance Management Toolkit-Serie eingeflossen: Windows Server 2008-Sicherheitsleitfaden Windows 7-Sicherheitsleitfaden 2007 Microsoft Office-Sicherheitsleitfaden Internet Explorer 8.0-Sicherheitsleitfaden Vermutlich werden in Ihrem Netzwerk verschiedene Versionen von Windows, Office und Internet Explorer ausgeführt. Das Beispiel aus der Abbildung oben ist nur ein fiktives Design. Sie müssen eine eigene OU-Hierarchie entwerfen, die an die in Ihrer Umgebung eingesetzten Versionen angepasst ist. Im oben gezeigten Beispiel sind die Notebookcomputer Mitglieder der OU Notebooks. Die erste Richtlinie, die auf die Notebooks angewandt wird, ist die lokale Sicherheitsrichtlinie. Da es in diesem Beispiel nur einen Standort gibt, wird kein GPO auf Standortebene angewandt. Daher ist das Domänen-GPO die nächste angewandte Richtlinie. Als Letztes wird das GPO der OU Notebooks angewandt. Sie sehen in der Abbildung außerdem, dass ein Dateiserver Mitglied der OU Dateiserver ist. Auch auf dem Dateiserver wird als Erstes die lokale Sicherheitsrichtlinie angewandt. Auf Servern werden jedoch normalerweise, wenn überhaupt, nur wenige Konfigurationen über die lokale Sicherheitsrichtlinie definiert. Stattdessen sollten sie immer über Gruppenrichtlinien durchgesetzt werden. Da es in diesem Beispiel nur einen Standort gibt, wird kein GPO auf Standortebene angewandt. Daher ist das Domänen-GPO die nächste auf die Server angewandte Richtlinie. Danach wird die Windows Server 2008 ECBasisrichtlinie der OU Mitgliedsserver angewandt. Und als Letztes werden die Richtlinien der OU Dateiserver angewandt. Betrachten wir als Beispiel für die Reihenfolge ein Szenario, in dem die Einstellung Anmeldung über Terminaldienste zulassen auf die folgenden OUs und Benutzergruppen angewandt ist: OU Mitgliedsserver – Gruppe Administratoren OU Dateiserver – Gruppen Remotedesktopbenutzer und Administratoren In einem solchen Szenario wäre die Anmeldemöglichkeit an Terminaldiensten für die Server in der OU Mitgliedsserver auf die Gruppe Administratoren beschränkt. Benutzer, deren Konto sich in der Gruppe Remotedesktopbenutzer befindet, können sich jedoch über die Terminaldienste an Dateiservern anmelden – denn die OU Dateiserver ist eine untergeordnete OU der OU Mitgliedsserver, und die Richtlinie hat daher eine höhere Priorität. Wenn Sie die Option Vorrang im GPO für die OU Mitgliedsserver aktivieren, dann können nur noch die Benutzer aus der Gruppe Administratoren über die Terminaldienste auf die Dateiserver zugreifen. Die Option Vorrang verhindert, dass die Richtlinie überschrieben wird. Einsatz eines mit dem Security Compliance Manager-Tool erstellten GPOs Die Empfehlungen zu den Einstellungen aus diesem Leitfaden stehen im SCMTool als vordefinierte Basiskonfiguration bereit. Sie können diese von Microsoft erstellten Basiskonfigurationen zwar so wie sie sind nutzen, in den meisten Solution Accelerators microsoft.com/technet/SolutionAccelerators 20 Internet Explorer 8 Security Guide Organisationen werden jedoch wahrscheinlich ein paar Anpassungen erforderlich sein. Erstellen Sie mit dem SCM-Tool eine Sicherung des jeweiligen GPOs (weitere Informationen zum SCM-Tool finden Sie in der Hilfe des Tools). Mit der GPMC können Sie die Einstellungen dann aus dem gesicherten GPO in Ihre AD DS-Domäne importieren. So importieren Sie Einstellungen aus einem gesicherten GPO in ein GPO: 1. Erweitern Sie in der GPMC-Konsolenansicht die Gesamtstruktur und die Domäne mit dem GPO, in das Sie die Einstellungen importieren möchten, und klicken sie dann auf den Ordner Gruppenrichtlinienobjekte. 2. Klicken Sie mit rechts auf das GPO, in das Sie die Einstellungen importieren möchten, und dann auf Einstellungen Importieren. 3. Folgen Sie den Anweisungen des Importeinstellungs-Assistenten. 4. Nachdem der Import abgeschlossen ist, wird Ihnen eine Zusammenfassung angezeigt, in der Sie sehen, ob der Import erfolgreich war. Nutzung von Migrationstabellen Da einige Daten in einem GPO domänenspezifisch sind und bei einem direkten Kopieren in eine andere Domäne nicht gültig sein können, stellt die GPMC Migrationstabellen bereit. Eine Migrationstabelle ist eine einfache Tabelle mit einer Zuordnung der Quellwerte zu Zielwerten. Eine Migrationstabelle konvertiert während eines Kopier- oder Importvorganges die Referenzen in einem GPO zu neuen, für die Zieldomäne passenden Referenzen. Sie können Migrationstabellen dazu nutzen, Sicherheitsprinzipale und UNC-Pfade während des Import- oder Kopiervorganges auf neue Werte zu aktualisieren. Migrationstabellen werden unter der Dateierweiterung .migrable gespeichert und sind eigentlich XMLDateien. Sie müssen für die Erstellung und Bearbeitung von Migrationstabellen jedoch nicht über XML-Kenntnisse verfügen. Die GPMC stellt den MCE zur Bearbeitung von Migrationstabellen bereit. Eine Migrationstabelle besteht aus einem oder mehreren Zuordnungseinträgen. Jeder Zuordnungseintrag setzt sich aus einem Quelltyp, einer Quellreferenz und einer Zielreferenz zusammen. Wenn Sie eine Migrationstabelle beim Import oder beim Kopieren angeben, dann wird beim Schreiben der Einstellungen in das Ziel-GPO jedes Vorkommen der Quellreferenz durch die Zielreferenz ersetzt. Bevor Sie eine Migrationstabelle nutzen, müssen Sie sicherstellen, dass die in der Tabelle angegeben Zielreferenz bereits existiert. Die folgenden Elemente können Sicherheitsprinzipale enthalten und mithilfe einer Migrationstabelle geändert werden: SicherheitsEinstellungen der folgenden Typen: Zuweisung von Benutzerrechten Eingeschränkte Gruppen Systemdienste Dateisystem Registrierung Richtlinien für die erweiterte Ordnerumleitung Die DACL (Discretionary Access Control List) von GPOs, wenn diese während einer Kopieraktion erhalten bleiben. Die DACL (Discretionary Access Control List) von Softwareinstallationsobjekten (bleiben nur erhalten, wenn die Option zum Kopieren der GPO-DACL aktiviert ist). Die folgenden Elemente können UNC-Pfade enthalten, die während des Imports oder Kopierens aktualisiert werden müssen: Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 21 Gruppenrichtlinieneinstellungen für die Ordnerumleitung Gruppenrichtlinieneinstellungen für die Softwareinstallation Referenzen auf Skripte wie beispielsweise Anmelde- oder Abmeldeskripte. Das Skript selbst wird beim Kopieren oder Importieren von GPOs nicht kopiert (es sei denn, es ist in dem Quell-GPO gespeichert). Weitere Informationen zum Import von Einstellungen mit der GPMC finden Sie im Planungs- und Bereitstellungshandbuch für Gruppenrichtlinien. Sicherheits- und Datenschutzfunktionen in Internet Explorer 8 Die Sicherheit der Benutzer, Wahlmöglichkeiten und mehr Kontrolle sind die Hauptelemente von Internet Explorer 8. Aus diesen Bereichen kommen viele Innovationen, die zu einer vertrauenswürdigeren Webumgebung beitragen. Dieser Abschnitt befasst sich mit einigen der Funktionen und Technologien aus den Bereichen Sicherheit und Datenschutz von Internet Explorer 8: SmartScreen-Filter Phishing- und Malware-Schutz ClickJacking Cross-Site Scripting-Filter (XSS) Domänenhervorhebung Geschützter Modus ActiveX-Opt-In InPrivate-Browsing InPrivate-Filterung SmartScreen-Filter Internet Explorer 8 stellt eine Funktion mit dem Namen SmartScreen-Filter bereit. Der SmartScreen-Filter besteht aus Technologien, mit denen Benutzer vor Internet-Angriffen und Social-Engineering-Angriffen geschützt werden. Er erweitert die Funktionalität der Phishing-Filter von Internet Explorer 7. Der SmartScreen-Filter schützt die Benutzer vor bekannten Phishing- und Malware-Websites, wenn diese die entsprechenden Seiten im Internet aufrufen. Des Weiteren schützt er vor ClickJacking. ClickJacking ist eine Technik, mit der Angreifer Tastendrücke abfangen, Anmeldeinformationen des Benutzers stehlen, Webseiten verändern oder andere Angriffe starten. Der SmartScreen-Filter umfasst außerdem den neuen XSS-Filter. Dieser schützt vor Type-1 Cross-Site-Scripting-Angriffen. Phishing- und Malware-Schutz Phishing ist eine Technik, mit der Angreifer Benutzer durch Manipulation dazu bringen, persönliche Informationen oder Finanzinformationen über eine E-Mail oder Website weiterzugeben. Phisher tarnen sich als Mitarbeiter eines seriösen Unternehmens oder direkt als Unternehmen und versuchen so, persönliche Informationen wie Kennwörter oder Kreditkartennummern von den Benutzern zu ergaunern. Der SmartScreen-Filter in Internet Explorer 8 informiert die Benutzer über verdächtige Websites und bekannte Phishing-Websites, so dass diese sicherer im Internet surfen können. Der Filter analysiert die Inhalte von Websites auf bekannte Phishing-Techniken und nutzt ein Netzwerk aus weltweiten Datenquellen zur Bewertung der Vertrauenswürdigkeit von Websites. Er sorgt zudem für einen dynamischen Schutz vor bösartiger Software und schützt den Benutzer so vor Websites, die bekanntermaßen Solution Accelerators microsoft.com/technet/SolutionAccelerators 22 Internet Explorer 8 Security Guide schädlichen Code oder schädliche Downloads enthalten oder diese verbreiten. Der SmartScreen-Filter nutzt verschiedenste Technologien und einen regelmäßig aktualisierten Onlinedienst dazu, die aktuellsten Informationen zu betrügerischen Websites zusammenzustellen. Mit diesen Informationen warnt und schützt er die Benutzer von Internet Explorer 8. Der SmartScreen-Filter kombiniert clientseitige Webseiten-Scans auf verdächtige Charakteristiken mit einem optionalen Onlinedienst. Der Filter wurde so entworfen, dass er die Benutzer auf drei verschiedene Arten vor Phishing-Angriffen und Malware-Sites schützen kann: Vergleich der vom Benutzer besuchten Websites mit den Adressen bekannter und vertrauenswürdiger Websites: Hierbei wird eine Liste von bekannten Websites mit hohen Zugriffszahlen auf dem Computer des Benutzers gespeichert. Wird die aufzurufende Website in dieser Liste gefunden, so werden keine weiteren Prüfungen durchgeführt. Analyse der Websites, die der Benutzer aufrufen möchte: Hierbei wird nach für Phishing-Sites charakteristischen Elementen gesucht. Senden der Website-Adresse, auf die der Benutzer zugreifen möchte, an einen von Microsoft betriebenen und gepflegten Onlinedienst: Der Onlinedienst prüft die Adresse direkt anhand einer regelmäßig aktualisierten Liste von Phishing- und Malware-Sites. Auf dieser Liste befinden sich Websites, die als betrügerisch oder schädlich ermittelt und an Microsoft gemeldet wurden. Anmerkung: Der Onlinedienst wird asynchron über eine SSL-Verbindung kontaktiert. So ist es möglich, dass Seiten geladen werden und die Arbeit des Benutzers nicht beeinträchtigt wird. Wenn der Dienst nicht kontaktiert werden kann, dann wird die Seite normal dargestellt. In diesem Fall zeigt eine Nachricht in der Statusleiste an, dass der Dienst nicht kontaktiert werden konnte. Anmerkung: Mit Internet Explorer können Sie jederzeit feststellen, ob eine Website möglicherweise eine Phishing-Site ist. Klicken Sie auf Extras, zeigen Sie auf SmartScreen-Filter, und klicken Sie dann auf Diese Website überprüfen. Der SmartScreen-Filter fragt beim Benutzer nach, ob die Funktion aktiviert oder deaktiviert werden soll – es gibt daher keine Standardeinstellung. Sie können diese Nachfrage unterbinden, indem Sie den Anpassungs-Assistenten für den ersten Start deaktivieren oder mit dem IEAK ein angepasstes Paket erstellen. Für einen korrekten Schutz durch den SmartScreen-Filter empfehlen wir, SmartScreen automatisch zu aktivieren und die Deaktivierung durch den Benutzer zu verhindern. Des Weiteren empfehlen wir, die Fortfahren-Option aus den SmartScreen-Warnhinweisen zu erkannten Phishing- und Malware-Sites zu deaktivieren. ClickJacking Beim ClickJacking versucht ein Angreifer, den Benutzer, ohne dass dieser es bemerkt, zu einem Klick auf eine präparierte Webseite zu verleiten, die Inhalte aus anderen Domänen (oder aus einem Sicherheitsfenster) enthält. ClickJacking sorgt dafür, dass die meisten CSRF-Maßnahmen (Cross-Site Request Forgery) wirkungslos bleiben. Der Angreifer kann mit ClickJacking bestimmte Browser-Add-Ons so konfigurieren, dass diese unsicher sind. Der SmartScreen-Filter umfasst ein neues Sicherheitsfunktion, das die Erkennung von ClickJacking verbessert und entsprechende Angriffe verhindert. Die entsprechende Funktion gehört zur Codebasis von Internet Explorer 8 – was bedeutet, dass es immer aktiv ist und nicht deaktiviert werden kann. Angreifer nutzen Verfahren, bei denen Schalter-Attrappen angezeigt werden. Dann wird eine transparente Ebene über diese Schalter gelegt. Der Benutzer denkt, dass er auf die Schalter klickt. Tatsächlich klickt er jedoch auf die Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 23 versteckte Seite. Diese versteckte Seite kann beispielsweise eine Authentifizierungsseite sein. Der Angreifer kann den Benutzer mit diesem Trick dazu bringen, Aktionen auszuführen, die er ansonsten niemals durchführen würde. Es gibt keine Möglichkeit, entsprechende Angriffe später nachzuvollziehen, denn der Benutzer authentifiziert sich ja korrekt auf der anderen Seite – er merkt es nur nicht. Um den zusätzlichen Schutz vor ClickJacking-Angriff nutzen zu können, müssen Websites ein X-FRAME-OPTIONS-Tag in den HTTP-Header oder den HTTP EQUIVMetatag aufnehmen. Weitere Informationen zu ClickJacking finden Sie im Blog IE8 Security Part VII: ClickJacking Defenses (engl.). XSS-Filter (Cross-Site Scripting) Der neue XSS-Filter aus dem SmartScreen-Filter schützt die Benutzer vor bestimmten Angriffen auf Sicherheitslücken in serverseitigen Anwendungen. Die entsprechenden Angriffe werden als Type 1 oder auch als Reflektionsangriffe (Reflected-Attacks) bezeichnet und gehören zu den am häufigsten vorkommenen XSS-Angriffen. Sie kommen zustande, wenn Code, normalerweise in Form eines Skriptes, an einen Webserver gesendet wird und dieser den Code an den Benutzer zurückgibt (reflektiert). Dies kann zum Beispiel dann geschehen, wenn Informationen, die durch den Webbrowser an den Server gesendet werden, von serverseitigen Skripten direkt dazu genutzt werden, eine neue Webseite für den Benutzer zu generieren. Der XSS-Filter schützt die Benutzer vor entsprechenden Angriffen. Er analysiert die an den Benutzer zurückgegebenen Daten. Durch die Analyse des Datenstroms kann Internet Explorer 8 verschiedene ungültige Aktionen erkennen und das Skript dann entsprechend anhalten und so den Benutzer schützen. Weitere Informationen zur Verwaltung der Einstellungen für den XSSFilter finden Sie in Kapitel 2, “Sicherheitsempfehlungen". Anmerkung: Der Schutz vor Clickjacking und XSS ist standardmäßig aktiviert. Der ClickJackingSchutz ist Teil des Defense-in-Depth-Designs des Browsers und kann daher nicht deaktiviert werden. Die Benutzer können jedoch den XSS-Filter deaktivieren. Domänenhervorhebung Die wohl auffälligste Änderung in der Adressleiste von Internet Explorer 8 ist die Domänenhervorhebung. Internet Explorer 8 hebt die Domäne der vom Benutzer angezeigten Seite automatisch hervor. Der Benutzer kann so erkennen, wo eine Seite herkommt, und bemerkt, wenn eine Website versucht, ihn zu täuschen. Die Domänenhervorhebung kann nicht deaktiviert werden und wird zusätzlich zu den Warnungen und -benachrichtigungen zu Phishing-Sites angezeigt. Geschützter Modus Der geschützte Modus steht mit Internet Explorer 7 oder Internet Explorer 8 auf Computern unter Windows 7 oder Windows Vista zur Verfügung. Er sorgt für zusätzlichen Schutz, indem er den Zugriff von Anwendungen auf einen bestimmten Teil des Dateisystems und der Registrierung beschränkt. Er schützt zudem davor, dass der Browser durch schädlichen Code übernommen wird und so Code mit den Rechten des Benutzers ausführt. Der geschützte Modus verhindert die stillschweigende Installation von schädlichem Code und schützt so vor Sicherheitslücken in Browsererweiterungen. Die entsprechende API (Application Programming Interface) ermöglicht es Softwareherstellen, Erweiterungen und Add-Ons für Internet Explorer zu entwickeln, die im geschützten Modus auf das Dateisystem und die Registrierung zugreifen können. Solution Accelerators microsoft.com/technet/SolutionAccelerators 24 Internet Explorer 8 Security Guide Im geschützten Modus wird Internet Explorer 8 mit reduzierten Rechten ausgeführt. So sorgt er dafür, dass keine Benutzer- oder Systemdateien oder Einstellungen ohne ausdrückliche Erlaubnis des Benutzers geändert werden. Gemeinsam mit dem neuen LCIE-Design (Loosely Coupled Internet Explorer) ist der geschützte Modus von Internet Explorer 8 des Weiteren benutzerfreundlicher als der von Internet Explorer 7. LCIE trennt die Prozesse für das Internet Explorer-Fenster und die Frames. So können Registerkarten im geschützten Modus Seite an Seite mit Seiten ohne den geschützten Modus angezeigt werden. Diese Erweiterung sorgt dafür, dass der in Internet Explorer 7 genutzte Verwaltungsprozess nicht mehr erforderlich ist. Der geschützte Modus ist für alle Benutzer mit Ausnahme des standardmäßigen Administratorkontos aktiviert (auch für alle anderen Konten mit administrativen Rechten ist der geschützte Modus aktiv). Sie können den geschützten Modus entweder über die Startoption oder über die Registrierung beziehungsweise über ein GPO deaktivieren. Damit der Benutzer Internet Explorer 8 auf einem Computer mit Windows 7 oder Windows Vista ohne den geschützten Modus starten kann, muss dieser mit rechts auf das Internet Explorer-Symbol und dann auf Als Administrator ausführen klicken. Er wird dann zur Eingabe der entsprechenden Anmeldeinformationen aufgefordert. In Internet Explorer 8 ist der geschützte Modus standardmäßig für die Sicherheitszonen Internet und Eingeschränkte Sites aktiv. ActiveX-Opt-in Internet Explorer 7 hat einen Opt-in-Mechanismus für ActiveX eingeführt. Dieser deaktiviert automatisch alle Steuerelemente, die nicht explizit durch den Benutzer zugelassen wurden. So reduziert er die Risiken durch einen möglichen Missbrauch vorinstallierter Steuerelemente. Internet Explorer 8 weitet den Schutz durch diese Funktion noch weiter aus und ermöglicht die Feinanpassung der entsprechenden Einstellungen auf Benutzer- und Domänenebene. Die Informationsleiste in Internet Explorer 8 benachrichtigt den Benutzer vor dem Zugriff auf ein bereits installiertes ActiveX-Steuerelement, das bis zu diesem Zeitpunkt noch nicht im Internet genutzt wurde. Mit diesem Benachrichtigungsmechanismus kann der Benutzer den Zugriff für jedes Steuerelemente und jede Website einzeln kontrollieren und so die Angriffsfläche zusätzlich verringern. Böswillige Benutzer sind so nicht mehr in der Lage, automatisierte Angriffe mit ActiveX-Steuerelementen über Websites zu starten. Durch die benutzerbasierte Steuerung werden die freigegebenen Steuerelemente auf die erwünschten Benutzer eingeschränkt. Andere Domänen können die Steuerelemente ohne explizite Einwilligung des Benutzers nicht verwenden. InPrivate-Browsing Mit InPrivate-Browsing können Sie steuern, ob Internet Explorer 8 den Verlauf, Cookies und andere Daten speichert oder nicht. Wenn Sie einen PC mit anderen Personen gemeinsam nutzen (beispielsweise ein geliehenes Notebook oder einen öffentlichen PC), dann möchten Sie sicherlich in einigen Situationen nicht, dass andere Personen sehen können, welche Seiten Sie aufgerufen haben. Mit dem InPrivate-Browsing in Internet Explorer 8 können Sie einen entsprechenden Datenschutz gewährleisten. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 1: Implementierung der Internet Explorer 8-Sicherheitsbasis 25 Folgendes passiert, solange InPrivate-Browsing aktiv ist: BHOs (Browser Helper Objects) und Leisten sind deaktiviert. Es werden keine neuen Cookies gespeichert. Wenn eine Website versucht, ein persistentes Cookie zu erstellen, dann wird dieses Cookie stattdessen als Sitzungs-Cookie erstellt und nach dem Schließen der Browsersitzung gelöscht. Bestehende persistente Cookies werden nicht gelesen oder gesendet. Die neue DOM-Storage-Funktion arbeitet auf die gleiche Art. Es werden keine neuen Einträge in den Verlauf aufgenommen. Nachdem das Private-Browsing-Fenster geschlossen wurde, werden neue temporäre Internetdateien gelöscht. Es werden keine Formulardaten gespeichert. Es werden keine Kennwörter gespeichert. Die in die Adressleiste eingegebenen Adressen werden nicht gespeichert. Die in das Suchfeld eingegebenen Abfragen werden nicht gespeichert. Des Weiteren sind alle Leisten und BHOs standardmäßig deaktiviert. Der Benutzer kann die entsprechenden Funktionalitäten über die Registerkarte Datenschutz im Dialogfenster Internetoptionen aktivieren. InPrivate-Filterung Die InPrivate-Filterung gibt den Benutzern mehr Kontrolle darüber, an welche Drittanbieter-Websites sie Informationen über ihre persönlichen Aktivitäten im Internet weitergeben möchten. Websites nutzen Informationen aus immer mehr Quellen dazu, den Benutzern große Mehrwerte anzubieten. Den Benutzern ist jedoch oft nicht klar, dass einige Inhalte, Bilder, Webeinhalte und Analysen durch Drittanbieter-Websites bereitgestellt werden oder dass diese Websites die Möglichkeit haben, das Verhalten der Benutzer über mehrere Websites hinweg nachzuvollziehen. Die InPrivate-Filterung ermöglicht den Benutzern eine Kontrolle darüber, welche Informationen zur möglichen Nachverfolgung von Aktivitäten an Drittanbieter-Websites weitergegeben werden. Anmerkung: Detaillierte Informationen zu dieser Funktion finden Sie im Internet Explorer 8Leitfaden zum Datenschutz und zur Benutzerüberwachung (engl.). Zusätzliche Informationen In den folgenden Ressourcen auf microsoft.com finden Sie zusätzliche Informationen zu sicherheitsbezogenen Themen zu Internet Explorer 8: URL-Sicherheitszonen (engl.) Sichern, Wiederherstellen, Kopieren und Importieren im Windows ServerTechCenter Blog IE8-Sicherheit Teil VII: Verteidigung gegen ClickJacking (engl.) Internet Explorer 8-Leitfaden zum Datenschutz und zur Benutzerüberwachung (engl.) Internet Explorer Administration Kit (IEAK) 8 Website Internet Explorer und der geschäftliche Mehrwert von Extended Validation SSL-Zertifikaten (engl.) Internet Explorer-TechCenter Artikel Loopbackverarbeitung von Gruppenrichtlinien Technische Sicherheitsbenachrichtigungen von Microsoft Remoteserver-Verwaltungstools für Windows 7 Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen Zur Verbesserung der Sicherheit in Windows® Internet Explorer® 8 gegenüber den Standardeinstellungen gehört mehr, als nur eine Einstellung zu ändern oder den Regler für eine Sicherheitszone auf Hoch zu stellen. Solche drastischen Änderungen sorgen meist nur dafür, dass die Benutzer nicht mehr richtig navigieren können und der Browser mehr oder weniger nutzlos wird. In diesem Abschnitt besprechen wir die verschiedenen Änderungen zur Browsersicherheit, die in Internet Explorer 8 ohne drastische Auswirkungen auf die Funktionalität durchgeführt werden können. Die Empfehlungen zu den Sicherheitseinstellungen und Funktionen in Internet Explorer 8 aus diesem Kapitel sind in sechs verschiedene Kategorien eingeordnet: Add-On-Verwaltung Deaktivierung von Active Scripting Zonensicherheit Zertifikatsicherheit Reduzierung der Anwendungsrechte Andere Sicherheitseinstellungen Eine Liste aller von uns empfohlenen Einstellungen finden Sie in Anhang A, „Sicherheitscheckliste", am Ende dieses Leitfadens. In diesem Kapitel werden die empfohlenen Einstellungen und Funktionen detaillierter besprochen. Anmerkung: Möglicherweise möchten Sie, zusätzlich zu den in diesem Kapitel besprochenen Einstellungen, Registerkarten aus dem Dialogfenster Internetoptionen entfernen (beispielsweise Verbindungen oder Erweitert). Da die Benutzer diese Einstellungen auch ohne die Registerkarten ändern können (zum Beispiel über die Registrierung), sollen Sie auch in diesem Fall die relevanten Einstellungen aus diesen Registerkarten durchsetzen. Add-On-Verwaltung Die ActiveX®-Plattform wurde eingeführt, um Webentwicklern die Möglichkeit zu geben, Anwendungen und Funktionalitäten über die Standardfunktionalitäten des Browsers hinaus zu erweitern. Mit der ActiveXPlattform wurden umfangreiche und interaktive Anwendungen entwickelt, die Daten aus nahezu jeder beliebigen Quelle integrieren können. Bereits bei der Entwicklung der ActiveX-Plattform wurde auf Sicherheit geachtet. Sie kann jedoch durch Funktionen wie Authenticode® noch weiter verbessert werden. Um die Sicherheit zu gewährleisten, ist es trotzdem von entscheidender Bedeutung, dass die Benutzer bestimmte Richtlinien einhalten. In Internet Explorer 8 können die Benutzer die entsprechenden Erweiterungen über die Option Add-Ons verwalten steuern. In diesem Abschnitt finden Sie passende Sicherheitsempfehlungen für ActiveX-Steuerelemente und andere aktive Inhalte. Einschränken von ActiveX-Steuerelementen Oft installieren die Benutzer Software wie ActiveX-Steuerelemente, die von den Sicherheitsrichtlinien ihrer Organisation nicht zugelassen werden. Diese Solution Accelerators microsoft.com/technet/SolutionAccelerators 28 Internet Explorer 8 Security Guide Software kann für erhebliche Sicherheits- und Datenschutzrisiken sorgen. Um die Benutzer an der Installation nicht autorisierter ActiveX-Steuerelemente zu hindern, empfehlen wir, die Anzeige von Installationsaufforderungen für ActiveX-Steuerelemente über Gruppenrichtlinien zu unterbinden. Sie sollten sich jedoch bewusst machen, dass diese Maßnahme auch die Installation legitimer ActiveX-Steuerelemente wie beispielsweise Windows Update verhindert. Wenn Sie die ActiveX-Installation unterdrücken, dann sollten Sie gleichzeitig sicherstellen, dass es einen Mechanismus wie beispielsweise Gruppenrichtlinien gibt, über den die erforderlichen ActiveX-Steuerelemente für die Desktops der Benutzer bereitgestellt werden. Weitere Informationen zu dieser Empfehlung finden Sie im nächsten Abschnitt. Wenn Sie Einschränkungen durchsetzen, dann benötigen Sie darüber hinaus eine alternative Möglichkeit zur Bereitstellung von Sicherheitsupdates (beispielsweise Windows Server® Update Services). In der folgenden Tabelle sehen Sie den Namen des Richtlinienobjekts und seinen Pfad in der Gruppenrichtlinie. Tabelle 2.1: Einstellung „ActiveX-Installation einschränkten“ Richtlinienobjekt Pfad Internet Explorer Processes (Restrict ActiveX Install) Computerkonfiguration\Administrative Vorlagen\ Windows-Komponenten\Internet Explorer\Sicherheitsfunktionen\ ActiveX-Installation einschränkten Websitebasierte ActiveX-Einstellungen Internet Explorer 8 gibt Administratoren die Möglichkeit, ActiveXSteuerelemente auf Basis von Websites zu verwalten. So können sie sicherstellen, dass die ActiveX-Steuerelemente nur von den freigegebenen Websites ausgeführt werden können. Mit Internet Explorer 8 können die zugelassenen Steuerelemente und die entsprechenden Domänen vorab definiert werden. Sie können die entsprechenden Einstellungen über Gruppenrichtlinien definieren und durchsetzen. Die zugelassenen Domänen und Steuerelemente werden unter dem folgenden Registrierungspfad gespeichert: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{CLSID}\iexplore\AllowedDomains\{Domänen oder *} {CLSID} ist die Klassen-ID des betreffenden Steuerelementes und {Domänen oder *} steht für die Domänen, die das entsprechende Steuerelement nutzen dürfen (der * steht für alle Domänen). Die folgenden Werte sind möglich: REG_DWORD Blocked REG_DWORD Count REG_DWORD Flags REG_DWORD Binary REG_DWORD Type Nutzung von ActiveX-Steuerelementen, Plug-ins und vorab definierten Freigabelisten Die im letzten Abschnitt genannte Einstellung sorgt dafür, dass keine ActiveXSteuerelemente auf dem Client ausgeführt werden, solange diese nicht vorab von der Organisation freigegeben wurden. Einige Organisationen empfinden diese Einstellung jedoch als zu restriktiv. Wenn dies auch bei Ihnen der Fall ist Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 29 und Sie die Einstellung so nicht nutzen möchten, so stellen Sie zumindest sicher, dass die Einstellung Ausführen von bisher nicht verwendeten ActiveXSteuerelementen ohne Eingabeaufforderung für die Zonen Internet und Eingeschränkte Sites deaktiviert ist (diese Einstellung entspricht auch der Standardkonfiguration des Browsers). Diese auch ActiveX-Opt-In genannte Einstellung sorgt dafür, dass sich die Steuerelemente wie gewünscht verhalten und die Systeme trotzdem nicht nur durch den einfachen Besuch einer Website angegriffen werden können. Mit der Opt-In-Funktion müssen die Benutzer als Preis für die höhere Sicherheit bei bekannten und erwiesenermaßen harmlosen Websites die Steuerelemente erst freigeben, bevor die Website wie vorgesehen funktioniert. Egal, wie genau Sie die ActiveX-Installation einschränken – es ist immer möglich, dass die Einschränkungen Auswirkungen auf wichtige geschäftliche Funktionalitäten haben. Wir empfehlen daher, dass Sie eine Liste von vorab freigegebenen Steuerelementen auf den Computern der Benutzer bereitstellen und die Liste mit einer Funktion wie der Gruppenrichtlinie verwalten. Über die Gruppenrichtlinie können Sie die Klassen-ID der Steuerelemente zum entsprechenden Registrierungspfad hinzufügen: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Ext\PreApproved Anmerkung: Tritt in einem ActiveX-Steuerelement eine Sicherheitslücke auf, die eine Bedrohung für die Benutzer darstellt, so ist es möglich, dass Microsoft das entsprechende Steuerelement mithilfe eines über Windows Update Windows Update, Microsoft Update oder Windows Server Update Services verteilten Sicherheitsupdates deaktiviert. In diesem ist das Steuerelement auch dann deaktiviert, wenn es in der beschriebenen Form über eine vorab definierte Liste explizit zugelassen wurde. Mit GUIDs (Globally Unique Identifier) können installierte Steuerelemente durch die Bearbeitung der entsprechenden Registrierungseinstellungen aktiviert oder deaktiviert werden. Wenn Sie noch nicht über einen passenden GUID-Katalog für Ihre Organisation verfügen, dann sollten Sie dringend einen solchen Katalog erstellen. Eine Möglichkeit zu Erstellung eines passenden GUIDKatalogs ist die Einrichtung eines neuen Computers. Auf diesem neuen Computer konfigurieren und aktivieren Sie dann die erforderlichen Geschäftsanwendungen und überprüfen danach die GUIDs im Internet Explorer-Registrierungspfad. Mit der so erstellten Liste wissen Sie dann, welche Steuerelemente mindestens für Ihre Umgebung erforderlich sind, und können die entsprechenden Steuerelemente in einer vorab definierten Liste aus freigegebenen Steuerelementen eintragen. Wir empfehlen die Nutzung von GPOs zur Verwaltung einer Liste von freigegebenen Steuerelementen. Weitere Informationen zur ActiveXSicherheit und Best-Practices zur Verwaltung von ActiveX-Steuerelementen finden Sie im Artikel ActiveX-Sicherheit: Verbesserungen und Best-Practices (engl.) im MSDN®. Deaktivieren von Active Scripting Mit der Einführung des Security Design Lifecycle (SDL) im Jahr 2002 sorgte Microsoft für die Verbesserung der Qualität der Softwaresicherheit und die Reduzierung der Auswirkungen durch Sicherheitslücken. Der SDL hat sich als sehr effektiv erwiesen, und die Anzahl der Sicherheitslücken und Exploits wurden erheblich verringert. Leider sind Software und Prozesse jedoch niemals perfekt. Die Funktionalitäten des Web 2.0 sorgen für zusätzliche Sicherheitsrisiken. Es ist nicht nur von grundlegender Bedeutung, sicheren Code zu entwickeln, sondern auch über einen Reaktionsplan im Fall einer Kompromittierung oder einer Sicherheitslücke zu verfügen. Es kommt Solution Accelerators microsoft.com/technet/SolutionAccelerators 30 Internet Explorer 8 Security Guide unvermeidbar vor, dass eine Sicherheitslücke ausgenützt wird, bevor sie den Verantwortlichen bekannt ist. Entsprechende Situationen werden als ZeroDay-Exploit bezeichnet. In anderen Fällen kann es vorkommen, dass eine Sicherheitslücke zwar den Verantwortlichen korrekt mitgeteilt wird, jedoch eine gewisse Zeit zur Entwicklung und für das Testen eines entsprechenden Updates benötigt wird. Sie können entsprechende Situationen nicht vermeiden. Empfehlen Sie den Benutzern daher, unbekannte Websites zu meiden und beim Klicken auf Links Vorsicht walten zu lassen. Des Weiteren haben Sie jedoch die Möglichkeit, die Benutzer durch die Einstellung Active Scripting zulassen vor noch nicht durch ein Update beseitigten oder aber bekannten Sicherheitslücken zu schützen. Um bekannte aktuelle Zero-Day-Exploits und andere kritische Skripting-Angriffe zu verhindern, empfehlen wir Ihnen, diese Einstellung temporär über eine Gruppenrichtlinie mit Deaktiviert zu konfigurieren. Um ein korrektes Funktionieren der Websites zu gewährleisten, sollte die Einstellung jedoch unter normalen Bedingungen mit Aktiviert konfiguriert werden. Sie finden die Einstellung Active Scripting zulassen im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitsseite\<Zone> In der folgenden Tabelle finden Sie Informationen zu dieser Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.2: Einstellung „Active Scripting zulassen“ Richtlinienobjekt Beschreibung Active Scripting zulassen Mit dieser Einstellung können Sie festlegen, ob Skriptcode in der entsprechenden Zone ausgeführt wird. Standardmäßig wird der Skriptcode automatisch ausgeführt. Skripting-Unterstützung Internet Explorer unterstützt clientseitiges Skripting. Clientseitige Skripte sind Programme aus dem Internet, die im Webbrowser des Benutzers ausgeführt werden. Typische clientseitige Skripte sind in einem HTML-Dokument eingebettete Skripte. Andere clientseitige Skripte sind die sogenannten externen Skripte. Diese Skripte sind separate Dateien, auf die in einem Dokument verwiesen wird. Internet Explorer 8 unterstützt von Haus aus verschiedenste Skriptsprachen wie beispielsweise VBScript, JScript ® und ECMAScript. Clientseitiges Skripting ist eine wichtige Funktionalität eines jeden Webbrowsers. Es ermöglicht Inhalte, die auf Basis verschiedenster Bedingungen (beispielsweise die Browserversion, die Tageszeit oder auch die Anmeldedaten des Benutzers) dynamisch geändert werden. Natürlich eröffnet eine solch leistungsfähige Funktionalität auch Risiken. Die Skripte befinden sich außerhalb Ihres Kontrollbereiches auf dem Webserver. Sie sollten entsprechende dynamische Inhalte daher nur dann für das lokale Ausführen zulassen, wenn der Webserver vertrauenswürdig ist. Empfehlungen zur Reduzierung der Risiken durch clientseitiges Skripting finden Sie weiter unten in diesem Leitfaden. Anmerkung: Dieser Abschnitt befasst sich mit clientseitigen Skripten. Verwechseln Sie diese nicht mit serverseitigen Skripten. Webserver-Software wie IIS (Internet Information Services) nutzt normalerweise serverseitige Skripte in Programmiersprachen wie VBScript, JScript und Perl. Die Ergebnisse dieser serverseitigen Skripte werden als normale HTML-Inhalte bereitgestellt. Die Skripte Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 31 sind für die Benutzer grundsätzlich unsichtbar und verursachen nicht die Risiken, die bei clientseitigen Skripten auftreten. Aktivierung von Sicherheitseinschränkungen für Skriptfenster Internet Explorer ermöglicht das programmgesteuerte Öffnen, Vergrößern/Verkleinern und Verschieben von verschiedenen Fenstertypen. Auf diese Art können Popup-Fenster angezeigt werden. Es ist so jedoch auch möglich, dass Skripte Fenster mit für den Benutzer unsichtbaren Titel- und Statusleisten anzeigen können oder die Titel- und Statusleisten anderer Fenster vor dem Benutzer verstecken. Wir empfehlen Ihnen, das Ausführen von Internet Explorer- und Windows Explorer-Prozessen durch Skripte über Gruppenrichtlinien zu verhindern. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Sicherheitsfunktionen\Sicherheitseinschränkungen für Skriptfenster In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.3: Einstellung „Sicherheitseinschränkungen für Skriptfenster“ Richtlinienobjekt Beschreibung Alle Prozesse Wenn Sie diese Einstellung aktivieren, dann werden über Skripte geöffnete Fenster für alle Prozesse eingeschränkt. Standardmäßig werden über Skripte geöffnete Fenster nicht eingeschränkt. Zonensicherheit Die meisten sicherheitsbezogenen Einstellungen in Internet Explorer 8 finden sich unter den Sicherheitszonen. Standardmäßig können die Benutzer diese Zonen bearbeiten und die jeweiligen Sicherheitsstufen verändern. Sie können eigene Einstellungen für die einzelnen Zonen festlegen und Websites zu den Zonen Lokales Intranet, Vertrauenswürdige Sites und Eingeschränkte Sites hinzufügen. Für die meisten Umgebungen in Organisationen empfehlen wir die Sperrung der Zonensicherheit über Gruppenrichtlinien. Die Sperrung verhindert das Verändern der meisten Einstellungen durch die Benutzer. In den folgenden Abschnitten erfahren Sie mehr zu den Einstellungen für die Zonensicherheit von Internet Explorer 8. Schutz vor Zonenanhebung aktivieren Internet Explorer setzt für jede geöffnete Website bestimmte Einschränkungen durch. Diese Einschränkungen hängen vom Speicherort der Webseite ab (Internet, Lokales Intranet oder Lokaler Computer). Für Webseiten auf dem lokalen Computer gelten die wenigsten Sicherheitseinschränkungen. Somit ist diese Zone das Hauptziel für Angreifer. Wenn Sie die Zonenanhebung mit der Option Internet Explorer-Prozesse konfigurieren, dann sind alle Zonen vor einer Zonenanhebung durch Internet Explorer-Prozesse geschützt. Dieser Ansatz verhindert, dass Inhalte aus einer Zone erweiterte Rechte aus einer anderen Zone erlangen. Wenn Sie die Solution Accelerators microsoft.com/technet/SolutionAccelerators 32 Internet Explorer 8 Security Guide Einstellung deaktivieren, dann ist der entsprechende Schutz für keine Zone aktiv. Aufgrund der schwerwiegenden Auswirkungen und der relativen Häufigkeit von entsprechenden Angriffen empfehlen wir die Einstellung Schutz vor Zonenanhebung für die Option Internet Explorer Processes mit Aktiviert zu konfigurieren. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Sicherheitsfunktionen\Schutz vor Zonenanhebung In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.4: Einstellung „Schutz vor Zonenanhebung“ Richtlinienobjekt Beschreibung Internet ExplorerProzesse Wenn Sie diese Einstellung aktivieren, kann jede Zone vor Zonenanhebung durch Internet Explorer-Prozesse geschützt werden. Wenn Sie diese Einstellung deaktivieren, erhält keine Zone einen derartigen Schutz für Internet ExplorerProzesse. Wenn Sie diese Einstellung nicht konfigurieren, kann jede Zone vor Zonenanhebung durch Internet ExplorerProzesse geschützt werden. Benutzern das Hinzufügen und das Entfernen von Sites zu Zonen verbieten Standardmäßig können die Benutzer für die Zonen Lokales Intranet, Vertrauenswürdige Sites und Eingeschränkte Sites Websites hinzufügen und löschen. Wenn eine Website zur Zone Vertrauenswürdige Sites hinzugefügt oder aus der Zone Eingeschränkte Sites entfernt wird, dann eröffnet dies die Möglichkeit zur Ausführung von schädlichem Programmcode auf dem Computer. Wir empfehlen, das Hinzufügen oder Löschen von Websites in Zonen durch die Benutzer über Gruppenrichtlinien zu verhindern. Die Einstellung Sicherheitszonen: Benutzer können Sites nicht hinzufügen oder entfernen verhindert außerdem, dass der Benutzer die Einstellungen für die Zone Lokales Intranet verändert. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.5: Einstellung „Sicherheitszonen: Benutzer können Sites nicht hinzufügen oder entfernen” Richtlinienobjekt Solution Accelerators Beschreibung microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 33 Richtlinienobjekt Beschreibung Sicherheitszonen: Benutzer können Sites nicht hinzufügen oder entfernen Deaktiviert das Hinzufügen und Entfernen von Sites in den Sicherheitszonen durch die Benutzer. Wenn Sie diese Richtlinie deaktivieren oder nicht konfigurieren, können die Benutzer Websites zu den Zonen Vertrauenswürde Sites und Eingeschränkte Sites hinzufügen oder sie von dort entfernen und die Einstellungen für die Zone Lokales Intranet ändern. Wir empfehlen die Aktivierung dieser Einstellung. Sie kann jedoch Auswirkungen auf die Produktivität der Benutzer haben (besonders in Kombination mit weiteren Einschränkungen für die Zone Internet). In einigen Fällen fügen die Benutzer Websites zu Zonen mit weniger Einschränkungen hinzu, wenn sie nicht in der Lage sind, in der Zone Internet auf die Websites zuzugreifen. Ist diese Funktion deaktiviert, dann sind die Benutzer möglicherweise nicht in der Lage, auf einige Websites zuzugreifen, bevor der Administrator diese Websites in eine Zone mit weniger Einschränkungen aufgenommen hat. Anmerkung: Wenn Sie die Einstellung Sicherheitsseite deaktivieren (unter dem Pfad Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Internet Explorer\ Internetsystemsteuerung) aktivieren, dann wird die Registerkarte Sicherheit nicht mehr länger angezeigt. Die Einstellung Deaktivieren hat Vorrang vor den jeweiligen Zoneneinstellungen. Änderung der Zoneneinstellungen durch die Benutzer verhindern Standardmäßig können die Benutzer diese Zonen bearbeiten und die jeweiligen Sicherheitsstufen verändern. Sie können eigene Einstellungen für die einzelnen Zonen festlegen. Dies eröffnet die Möglichkeit zur Ausführung von schädlichem Programmcode auf dem Computer. Wir empfehlen, die Änderung der Sicherheitsstufen von Zonen mithilfe von Gruppenrichtlinien und der Aktivierung der Einstellung Sicherheitszonen: Benutzer können keine Einstellungen ändern zu verhindern. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.6: Einstellung „Sicherheitszonen: Benutzer können keine Einstellungen ändern” Richtlinienobjekt Beschreibung Sicherheitszonen: Benutzer können keine Einstellungen ändern Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, können die Benutzer die Einstellungen für die Sicherheitszonen ändern. Anmerkung: Wenn Sie die Einstellung Sicherheitsseite deaktivieren (unter dem Pfad \Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Internet Explorer\Internetsystemsteuerung) aktivieren, dann wird die Registerkarte Sicherheit nicht mehr länger angezeigt. Die Einstellung Deaktivieren hat Vorrang vor der oben genannten Zoneneinstellung. Solution Accelerators microsoft.com/technet/SolutionAccelerators 34 Internet Explorer 8 Security Guide Zertifikatsicherheit Zur sicheren Kommunikation zwischen Browser und Server sind Zertifikate und SSL oder TSL (Transport Layer Security) erforderlich. Internet Explorer 8 unterstützt SSL und TLS. Der Browser versucht außerdem, auf Sicherheitsprobleme und Fehler – beispielsweise abgelaufene Zertifikate oder Namensfehler bei Zertifikaten – aufmerksam zu machen. Die Standardeinstellung von Internet Explorer 8 sorgt dafür, dass dem Benutzer eine Vollbildwarnung und ein roter Warnhinweis zum Zertifikatsfehler angezeigt werden. Der Benutzer kann sich jedoch dazu entscheiden, die Navigation weiterzuführen. Es gibt viele zulässige Gründe für Zertifikatfehler. Trotzdem sollten öffentlich zugängliche und sauber verwaltete Websites keine Zertifikate mit Fehlern nutzen. Mit dieser Funktion können Administratoren die Benutzer daher daran hindern, bei einer Zertifikatswarnung einfach auf „Weiter“ zu klicken. Die Funktion sorgt so dafür, dass mögliche Angriffe verhindert werden. Zugriff der Benutzer auf Websites mit Zertifikatfehler verhindern Zertifikate können irgendwann ablaufen oder zurückgezogen werden. Es kann außerdem vorkommen, dass ein falsches Zertifikat für eine Webseite genutzt wird oder die Adresse einer Website nicht mit der auf dem Zertifikat angegebenen Adresse übereinstimmt. Standardmäßig werden die Benutzer bei Zertifikatfehlern gewarnt, können jedoch die Navigation zur entsprechenden Webseite fortsetzen. Problematisch hieran ist, dass jeder ein selbst signiertes Zertifikat für eine legitime Website und eine gefälschte Kopie dieser Website erstellen kann. Internet Explorer zeigt eine Warnung an, wenn ein Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. Benutzer, die es gewohnt sind, Fehler- und Warnmeldungen ohne Rücksicht auf ihre Bedeutung einfach weg zu klicken, können so von einer schädlichen Website sehr leicht hintergangen und angegriffen werden. Zwar ist ein zurückgezogenes oder abgelaufenes Zertifikat für sich selbst genommen noch kein Sicherheitsproblem, es kann jedoch ein Hinweis dafür sein, dass der betreffenden Website möglicherweise nicht mehr länger vertraut werden sollte. Wir empfehlen daher, den Benutzern die Navigation zu Websites mit Zertifikatfehlern über die GruppenEinstellung Ignorieren von Zertifikatfehlern verhindern zu verbieten. Die Aktivierung dieser Einstellung führt zwar nicht zu Leistungsproblemen, kann jedoch zusätzliche Supportanfragen durch die Benutzer generieren. Da Websites aus der Zone Vertrauenswürdige Sites von der Einstellung nicht betroffen sind, können Sie geschäftskritische Websites mit Zertifikatfehlern als temporäre Lösung zu dieser Zone hinzufügen. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.7: Einstellung „Ignorieren von Zertifikatfehlern verhindern” Richtlinienobjekt Solution Accelerators Beschreibung microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 35 Richtlinienobjekt Beschreibung Ignorieren von Zertifikatfehlern verhindern Internet Explorer behandelt SSL/TLS-Zertifikatfehler (Secure Socket Layer/Transport Layer Security), die die Navigation unterbrechen (z. B. „Abgelaufen", „Gesperrt" oder „Name stimmt nicht überein" ), als schwerwiegend. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, kann der Benutzer Zertifikatfehler ignorieren und den Navigationsvorgang fortsetzen. Wir empfehlen die Aktivierung dieser Einstellung. Reduzierte Anwendungsprivilegien Eine Möglichkeit zur Sicherung der Clientcomputer ist die Reduzierung der Angriffsfläche. Sicherheitsexperten weisen immer wieder drauf hin, dass sich Benutzer mit den geringstmöglichen Privilegien anmelden sollten. Diese Privilegien sollten nur dann erweitert werden, wenn dies tatsächlich erforderlich ist. Mit dem geschützten Modus erlaubt es Internet Explorer® 8 für Windows® 7 und Windows Vista® den Benutzern, diesen Rat sehr einfach in die Tat umzusetzen. Internet Explorer 8® für Windows® XP sorgt mit der DropMyRights-Anwendung für entsprechende Möglichkeiten. Weitere Informationen zu diesem Thema finden Sie im Artikel Nutzung der geringstmöglichen Privilegien für Windows XP-Benutzerkonten (engl.). Die beiden Lösungen arbeiten zwar unterschiedlich, sie haben jedoch beide das gleiche Ziel: Sie sollen die möglichen Auswirkungen durch einen möglichen Angriff verringern. Die beiden Lösungen werden in den folgenden Abschnitten genauer besprochen. Aktivierung des geschützten Modus In Internet Explorer 8 für Windows Vista und Windows 7 ist der geschützte Modus für die Zonen Internet und Eingeschränkte Sites standardmäßig aktiviert. Er beschränkt die Zugriffsmöglichkeiten auf das Dateisystem und die Registrierung für Anwendungen. Der Internet Explorer-Prozess wird durch diese Einschränkungen isoliert, und schädliche Websites und andere Software haben so weniger Möglichkeiten, Benutzerinformationen zu missbrauchen oder das System zu beschädigen. Der Benutzer kann jedoch den geschützten Modus deaktivieren – was zur Verschlechterung der Gesamtsicherheit führt. Aus diesem Grund empfehlen wir, den geschützten Modus für die Zonen Internet und Eingeschränkte Sites mithilfe einer Gruppenrichtlinie zu aktivieren und so die Deaktivierung durch die Benutzer zu verhindern. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitsseite\<Zone> In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.8: Einstellung „Geschützter Modus aktivieren” Richtlinienobjekt Beschreibung Geschützter Modus aktivieren Der geschützte Modus ist standardmäßig aktiv. Der Benutzer kann ihn jedoch deaktivieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators 36 Internet Explorer 8 Security Guide Diese Einstellung findet nur auf Internet Explorer 8 für Windows 7 und Windows Vista Anwendung. Im Windows XP-Modus auf einem Computer unter Windows 7 ist sie ebenfalls nicht aktiv. Der geschützte Modus ist für die folgenden Zonen von Internet Explorer 8 verfügbar: Internetzone Intranetzone Zone des lokalen Computers Sperrung der Zone des Internets Sperrung der Zone des Intranets Sperrung der Zone des lokalen Computers Sperrung der Zone eingeschränkter Sites Sperrung der Zone vertrauenswürdiger Sites Zone eingeschränkte Sites Zone vertrauenswürdige Sites Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 37 Anmerkung: Wenn ein Problem mit dem geschützten Modus die Ausführung einer Anwendung verhindert, dann deaktivieren Sie die Option nicht einfach. Sie würden durch die Deaktivierung die Gesamtsicherheit des Browsers beeinträchtigen. Sprechen Sie stattdessen den Besitzer der Website an, und bitten Sie ihn, die Website für den geschützten Modus entsprechend zu aktualisieren. Als temporäre Lösung können Sie die Website zur Einstellung Zone vertrauenswürdige Sites hinzufügen. DropMyRights unter Windows XP DropMyRights ist eine einfache Anwendung, mit der Benutzer, die als Administrator angemeldet sein müssen, Anwendungen in einem deutlich sicheren Kontext ausführen können. Es ist deutlich sicherer, sich einfach mit einem Konto ohne administrative Rechte anzumelden. Wenn Ihnen jedoch keine Wahl bleibt, dann können Sie diese Anwendung auf Computern mit Internet Explorer 8 für Windows XP als Ersetz für den geschützten Modus nutzen. DropMyRights entfernt verschiedenste Privilegien und SIDs (Security Identifier) aus dem Token des Benutzers. Danach nutzt es das Token dazu, einen anderen Prozess zu starten. Weitere Informationen zu DropMyRights und eine Downloadmöglichkeit für den Quellcode finden Sie im MSDN-Artikel Sicheres Surfen im Web und Lesen von E-Mails als Administrator (engl.). Nach der Installation muss nur noch eine neue Verknüpfung für den Start von Internet Explorer über DropMyRights erstellt werden. Andere Sicherheitseinstellungen Zusätzlich zu den bereits besprochenen Sicherheitseinstellungen gibt es einige Optionen, mit denen Sie die Sicherheit weiter verbessern können. In diesem Abschnitt werden einige dieser Einstellungen besprochen. Sie erhalten Empfehlungen dazu, welche Werte Sie für die Einstellungen konfigurieren können. Sicherheitsfunktion für MIME-Ermittlung Mit dieser Einstellung können Sie die Veränderung des Dateityps einer Datei zu einem möglicherweise schädlichen Dateityp verhindern. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Sicherheitsfunktionen\Sicherheitsfunktion für MIMEErmittlung In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung. Tabelle 2.9: Einstellung „Sicherheitsfunktion für MIME-Ermittlung” Richtlinienobjekt Beschreibung Alle Prozesse Wenn Sie diese Einstellung aktivieren, wird die Sicherheitsfunktion der MIME-Ermittlung für alle Prozesse aktiviert. Solution Accelerators microsoft.com/technet/SolutionAccelerators 38 Internet Explorer 8 Security Guide Richtlinienobjekt Beschreibung Internet ExplorerProzesse Wenn Sie diese Einstellung deaktivieren, erlauben die Internet Explorer-Prozesse, dass bei der MIME-Ermittlung eine Datei zu einem gefährlicheren Dateityp heraufgestuft wird. Wenn Sie diese Einstellung nicht konfigurieren (Standardeinstellung), dann stuft die MIME-Ermittlung von Internet Explorer eine Datei niemals zu einem gefährlicheren Dateityp herauf.‡ Prozessliste Mit dieser Einstellung können Administratoren Anwendungen festlegen, die nicht zugelassen sind. Weitere Informationen zur Einstellung finden Sie im Gruppenrichtlinieneditor in der Beschreibung der Einstellung. Sicherheitseinschränkung für MK-Protokoll Die Einstellung Sicherheitseinschränkung für MK-Protokoll reduziert die Angriffsfläche, indem das MK-Protokoll blockiert wird. Ist die Einstellung aktiviert, dann kann auf Ressourcen, die über das MK-Protokoll gehostet werden, nicht mehr zugegriffen werden. Das MK-Protokoll ist ein technisch überholter Mechanismus zur Verknüpfung von Windows-Hilfedateien mit Webseiten. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Sicherheitsfunktionen\Sicherheitseinschränkung für MKProtokoll In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung. Tabelle 2.10: Einstellung „Sicherheitseinschränkung für MK-Protokoll” Richtlinienobjekt Beschreibung Alle Prozesse Die Einschränkung ist standardmäßig für alle Prozesse nicht aktiv. Wenn Sie diese Einstellung aktivieren, wird das MK-Protokoll für alle Prozesse deaktiviert. Jegliche Verwendung des MK-Protokolls wird so blockiert. Internet ExplorerProzesse Wenn Sie diese Einstellung deaktivieren, können Anwendungen die MK-Protokoll-API verwenden. Ressourcen, die über das MK-Protokoll gehostet werden, sind für Windows Explorer- und Internet Explorer-Prozesse voll funktionsfähig. Die Standardeinstellung verhindert das MK-Protokoll für Windows Explorer und Internet Explorer. Die entsprechenden Ressourcen sind blockiert. Prozessliste Mit dieser Einstellung können Administratoren Anwendungen festlegen, für die die Funktionalität gelten oder nicht gelten soll. Weitere Informationen zur Einstellung finden Sie im Gruppenrichtlinieneditor in der Beschreibung der Einstellung. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 39 Verschlüsselte Seiten nicht auf der Festplatte speichern Um das Browsen zu verbessern, kann Internet Explorer Inhalte lokal zwischenspeichern (Temporäre Internetdateien). Diese Seiten können danach direkt lokal abgerufen werden und stehen beim wiederholten Zugriff auf dieselbe Ressource so schneller bereit. Internet Explorer bietet die Möglichkeit zur Zwischenspeicherung von verschlüsselten und unverschlüsselten Inhalten. Standardmäßig werden beide Inhaltstypen zwischengespeichert. Das lokale Zwischenspeichern von verschlüsselten Daten verhindert Leistungsprobleme beim wiederholten Zugriff auf dieselben Inhalte (beispielsweise Bilder). Das Risiko für eine Entschlüsselung der lokal gespeicherten Daten ist normalerweise relativ gering. Es ist schwierig, die Daten zu entschlüsseln, und der Wert der entsprechenden Daten ist gering. Auch wenn ein Angreifer in der Lage wäre, verschlüsselte Daten zu entschlüsseln, wären Informationen wie Benutzernamen und Kennwörter normalerweise nicht sichtbar. Der Angreifer könnte nur die Seiteninhalte sehen. Es ist allerdings möglich, dass diese Seiteninhalte sensible Informationen (beispielsweise Kontostände oder Transaktionsinformationen) umfassen. Unternehmen, die die Sicherheit von Internet Explorer verbessern möchten, können die GruppenEinstellung Verschlüsselte Seiten nicht auf der Festplatte speichern aktivieren und so das Zwischenspeichern verhindern. Nach der Aktivierung dieser Option kann es möglicherweise zu Leistungsproblemen (Latenz, zusätzlicher Netzwerkverkehr) und zu mehr Anrufen beim Helpdesk kommen. Es ist möglich, dass Websites die Deaktivierung der Einstellung voraussetzen. Es sollten jedoch keine ernsthaften Anwendungsfehler auftreten. Die Aktivierung der Einstellung kann Probleme beim Zugriff auf „On-DemandInhalte“ wie beispielsweise Transaktionsinformationen zu Bankkonten verursachen. Solche Probleme können beispielsweise dann auftreten, wenn ein Benutzer entsprechende Informationen anzeigt, dann zu einer anderen Seite navigiert und danach den Zurück-Schalter nutzt, um zur ersten Seite zurückzukehren. In korrekt konfigurierten Serverumgebungen zeigt eine entsprechende Fehlermeldung dem Benutzer an, dass die Seite abgelaufen ist und er auf den Aktualisieren-Schalter klicken muss. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Seite „Erweitert“ In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.11: Einstellung „Verschlüsselte Seiten nicht auf der Festplatte speichern” Richtlinienobjekt Solution Accelerators Beschreibung microsoft.com/technet/SolutionAccelerators 40 Internet Explorer 8 Security Guide Richtlinienobjekt Beschreibung Verschlüsselte Seiten nicht auf der Festplatte speichern Mit dieser Einstellung können Sie festlegen, ob verschlüsselte Seiten mit sicheren (HTTPS-) Informationen wie Kennwörtern und Kreditkartennummern im Cache von Internet Explorer gespeichert werden sollen, da dieser Cache unsicher sein kann. Wenn Sie diese Einstellung aktivieren, speichert Internet Explorer keine verschlüsselten Seiten mit sicheren (HTTPS-) Informationen im Cache. Wenn Sie diese Einstellung deaktivieren, speichert Internet Explorer verschlüsselten Seiten mit sicheren (HTTPS-) Informationen im Cache. Wenn Sie diese Einstellung nicht konfigurieren, speichert Internet Explorer verschlüsselten Seiten mit sicheren (HTTPS-) Informationen im Cache. Wir empfehlen, die Einstellung nur dann zu aktivieren, wenn in Ihrer Umgebung sensible Daten in Webseiten vorhanden sind. Proxyeinstellung pro Computer vornehmen Wenn ein Benutzer Proxyeinstellungen ändert, dann ist er möglicherweise nicht mehr in der Lage, auf Websites zuzugreifen. Wenn der Benutzer jedoch unterwegs ist, dann ist er möglicherweise gezwungen, die Einstellungen zu ändern. Bei Desktops, die nicht zwischen verschiedenen Standorten wechseln, sollten Sie dafür sorgen, dass die Proxyeinstellungen pro Computer statt pro Benutzer gespeichert werden. Bei mobilen Notebooks sollten die Benutzer die Einstellungen ändern können, um unterwegs auf das Internet zugreifen zu können. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.12: Einstellung „Proxyeinstellung pro Computer vornehmen (anstelle von pro Benutzer)” Richtlinienobjekt Solution Accelerators Beschreibung microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 41 Richtlinienobjekt Beschreibung Proxyeinstellung pro Computer vornehmen (anstelle von pro Benutzer) Wendet Proxyeinstellungen für alle Benutzer desselben Computers an. Wenn Sie diese Richtlinie aktivieren, können die Benutzer benutzerspezifische Proxyeinstellungen festlegen. Dabei müssen sie die Zonen verwenden, die für alle Benutzer auf dem Computer erstellt wurden. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, können alle Benutzer eines Computers ihre eigenen Proxyeinstellungen einrichten. Mit dieser Richtlinie können Sie sicherstellen, dass die Proxyeinstellungen auf einem Computer einheitlich gelten und sich nicht von Benutzer zu Benutzer unterscheiden. Wir empfehlen, die Einstellung für Desktops mit festem Standort zu aktivieren und für mobile Notebooks zu deaktivieren. Systemabsturzermittlung deaktivieren Internet Explorer 8 umfasst eine Funktion zur Fehler- und Absturzerkennung, die Informationen zur Fehlerbehebung sammelt. In den entsprechenden Fehlerberichten können jedoch sensible Informationen aus dem Arbeitsspeicher des Computers enthalten sein. Für die meisten Organisationen empfehlen wir die Aktivierung der Einstellung. Wenn die Einstellung deaktiviert oder nicht konfiguriert ist, dann werden Informationen an Microsoft weitergeleitet. Microsoft nutzt diese Informationen jedoch ausschließlich zur Analyse der Fehlerdaten. Wenn Sie die Einstellung aktivieren, dann verhält sich ein Ausfall genauso wie bei Internet Explorer unter Windows XP Professional Service Pack 1 (SP1) oder früher: Die Windows-Fehlerberichterstattung wird zusammen mit allen entsprechenden Richtlinien genutzt. Wenn es regelmäßig zu Fehlern kommt und Sie zur Fehlerbehebung entsprechende Informationen benötigen, dann können Sie die Einstellung temporär für die betroffenen Computer deaktivieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators 42 Internet Explorer 8 Security Guide Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.13: Einstellung „Systemabsturzermittlung deaktivieren” Richtlinienobjekt Beschreibung Systemabsturzermittlung Mit dieser Einstellung können Sie die deaktivieren Absturzermittlungsfunktion der Add-On-Verwaltung verwalten. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, bleibt die Absturzermittlungsfunktion für die Add-On-Verwaltung in Funktion. Wir empfehlen die Aktivierung der Einstellung. Dateidownload einschränken Unter bestimmten Umständen können Websites ohne Interaktion durch den Benutzer Fenster für den Download von Dateien öffnen. Wenn der Benutzer den Download akzeptiert, dann können Websites mit dieser Technik nicht autorisierte Dateien auf dem Computer des Benutzers speichern. Wir empfehlen daher, die Einstellung Internet Explorer-Prozesse (Dateidownload einschränken) mit Aktiviert zu konfigurieren. So ist sichergestellt, dass nicht vom Benutzer initiierte Downloadfenster für Internet Explorer-Prozesse blockiert werden. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Sicherheitsfunktionen\Dateidownload einschränken In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.14: Einstellung „Dateidownload einschränken“ Richtlinienobjekt Beschreibung Internet ExplorerProzesse Diese Einstellung aktiviert die Blockierung von Aufforderungen für Dateidownloads, die nicht vom Benutzer veranlasst wurden. Wenn Sie diese Einstellung aktivieren, wird für Internet ExplorerProzesse die Aufforderung für Dateidownloads blockiert, die nicht vom Benutzer veranlasst wurden. Wenn Sie diese Einstellung deaktivieren, wird für Internet Explorer-Prozesse die Aufforderung für Dateidownloads, die nicht vom Benutzer veranlasst wurden, nicht blockiert. Wenn Sie diese Einstellung nicht konfigurieren, wird anhand der Benutzereinstellungen bestimmt, ob für Internet ExplorerProzesse bei Dateidownloads, die nicht vom Benutzer veranlasst wurden, eine Aufforderung angezeigt wird. Wir empfehlen, die Einstellung mit Aktiviert zu konfigurieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 43 Dateidownload für die Zone „Eingeschränkte Sites“ einschränken Für die Zone Eingeschränkte Sites sind Dateidownloads standardmäßig deaktiviert. Um sicherzustellen, dass dies auch so bleibt, empfehlen wir die Option Dateidownloads zulassen für die Zone Eingeschränkte Sites zu deaktivieren. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitsseite\Zone Eingeschränkte Sites In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 2.15: Einstellung „Dateidownloads zulassen” Richtlinienobjekt Beschreibung Dateidownloads zulassen Diese Einstellung ermöglicht Ihnen festzulegen, ob Dateidownloads aus der Zone Eingeschränkte Sites zugelassen sind. Für diese Option ist die Zone der Seite entscheidend, auf der sich der Link für den Download befindet, nicht die Zone, von der aus die Datei bereitgestellt wird. Wenn Sie diese Einstellung aktivieren, können die Benutzer Dateien von dieser Zone herunterladen. Wenn Sie diese Einstellung deaktivieren, können die Benutzer keine Dateien von dieser Zone herunterladen. Wenn Sie diese Einstellung nicht konfigurieren, können die Benutzer keine Dateien von dieser Zone herunterladen. Wir empfehlen, die Einstellung mit Deaktiviert zu konfigurieren. Objektzwischenspeicherungsschutz Der Objektzwischenspeicherungsschutz sorgt dafür, dass zwischengespeicherte Objekte nach dem Verlassen einer Website nicht missbraucht werden können. Über einen neuen Sicherheitskontext für alle Skriptobjekte wird der Zugriff auf alle gespeicherten Objekte blockiert. Der Zugriff wird außerdem blockiert, wenn der Benutzer Seiten in derselben Domäne aufruft. Hat sich durch die Navigation des Benutzers der Kontext geändert, so steht keine Referenz mehr für die entsprechenden Objekte zur Verfügung. Anwendungsentwickler sollten diese Sicherheitsmaßnahme berücksichtigen und keine Anwendungen erstellen, die Objekte von anderen Websites nutzen. Dieses Verfahren könnte zu einer fehlerhaften Darstellung führen. Die Einstellung ist standardmäßig für Internet Explorer-Prozesse aktiviert. Wir empfehlen, die entsprechende Einstellung über eine Gruppenrichtlinie durchzusetzen. Wenn die Einstellung aktiviert ist, so verringert dies die Risiken für domänenübergreifende Sicherheitsprobleme. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Solution Accelerators microsoft.com/technet/SolutionAccelerators 44 Internet Explorer 8 Security Guide Internet Explorer\Sicherheitsfunktionen\Objektzwischenspeicherungsschutz In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 2: Sicherheitsempfehlungen 45 Tabelle 2.16: Einstellung „Objektzwischenspeicherungsschutz” Richtlinienobjekt Beschreibung Internet ExplorerProzesse Diese Einstellung legt fest, ob bei der Navigation innerhalb einer Domäne oder zu einer neuen Domäne auf einen Objektverweis zugegriffen werden kann. Wenn Sie diese Einstellung aktivieren, kann bei der Navigation innerhalb der Domäne oder zu anderen Domänen für alle Prozesse nicht mehr auf den Objektverweis zugegriffen werden. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, bleibt der Objektverweis bei der Navigation innerhalb der Domäne zu anderen Domänen der Zone Eingeschränkte Sites erhalten. Wir empfehlen, die Einstellung mit Aktiviert zu konfigurieren. Java-Berechtigungen Zu den Java-Berechtigungen in Internet Explorer gab es in der Vergangenheit ein paar Unklarheiten. Viele Benutzer gingen davon aus, dass die Einstellung nur Auswirkungen auf die Microsoft Java Virtual Machine (MSJVM) hat. Microsoft geht tatsächlich auch davon aus, dass die Einstellung durch JVMs (Java Virtual Machines) anderer Hersteller ignoriert wird. Die Einstellung blockiert jedoch die Nutzung des <APPLET>-Elements in HTML. Dies bedeutet, dass die Einstellung unter bestimmten Umständen auch Inhalte blockiert, für die eine JVM erforderlich ist – und zwar auch dann, wenn eine JVM eines Drittanbieters installiert ist. Andere HTML-Elemente können die installierte JVM allerdings ganz normal nutzen. Ob das beschriebene Verhalten auftritt, kommt daher auf die Inhalte der jeweiligen Website an. Standardmäßig ist die Einstellung für die Zonen Internet und Eingeschränkte Sites mit Aktiviert konfiguriert. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitsseite\<Zone> In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Solution Accelerators microsoft.com/technet/SolutionAccelerators 46 Internet Explorer 8 Security Guide Tabelle 2.17: Einstellung „Java-Einstellungen” Richtlinienobjekt Beschreibung JavaEinstellungen Mit dieser Einstellung können Sie Berechtigungen für JavaApplets verwalten. Wenn Sie diese Einstellung aktivieren, können Sie Optionen aus dem Dropdownfeld auswählen. Mit der Auswahl Benutzerdefiniert können Sie Berechtigungseinstellungen einzeln steuern. Bei der Auswahl Niedrige Sicherheit können Applets alle Operationen ausführen. Bei der Auswahl Mittlere Sicherheit werden Applets in einer eigenen geschützten Umgebung ausgeführt (der so genannten „Sandbox", einem Speicherbereich, außerhalb dessen das Programm keine Aufrufe vornehmen kann). Bei der Auswahl Hohe Sicherheit werden Applets in ihrer Sandbox ausgeführt. Bei der Auswahl Java deaktivieren können keinerlei Applets ausgeführt werden. Wenn Sie diese Einstellung deaktivieren, können Java-Applets nicht ausgeführt werden. Wenn Sie diese Einstellung nicht konfigurieren, werden die Berechtigungen auf Hohe Sicherheit festgelegt. Zusätzliche Informationen Unter den folgenden Quellen finden Sie zusätzliche Informationen zu sicherheitsbezogenen Themen für Internet Explorer 8: ActiveX-Sicherheit: Verbesserungen und Best-Practices (engl.) Prinzip der geringstmöglichen Berechtigungen für Benutzerkonten unter Windows XP (engl.) Sicheres Surfen im Internet und Lesen von E-Mails als Administrator (engl.) Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen Sicherheitsleitfaden beschränken sich oft auf Einstellungen, die eine Manipulation des Systems verhindern. Eine umfassende Sicherheitsbetrachtung muss sich jedoch auch mit einer Analyse der „weichen“ Sicherheitseinstellungen, die sich auf den Datenschutz und die persönlichen Daten auswirken, befassen. Windows® Internet Explorer® 8 stellt verschiedenste Erweiterungen zur Absicherung der persönlichen Daten bereit. Zu diesen Erweiterungen gehört unter anderem der SmartScreen-Filter, der die Benutzer vor Phishing-Websites und Websites mit schädlicher Software warnt. Wenn Sie die Standardeinstellungen für die Datenschutzeinstellungen und für den Umgang mit Daten beim Verlassen des Browsers ändern, können Sie die Browsersicherheit verbessern. Das Löschen der temporären Internetdateien sorgt dafür, dass persönliche Daten regelmäßig beseitigt werden. Eine unbeabsichtigte Offenlegung solcher Daten wird so verhindert. Durch die so verhinderte Autovervollständigung bei Formularen und die Speicherung von Kennwörtern werden die Risiken für den Verlust von privaten Anmeldeinformationen weiter gesenkt. Die Empfehlungen zu den Internet Explorer 8-Datenschutzeinstellungen aus diesem Kapitel sind in die folgenden neun Kategorien gruppiert: Nutzung von InPrivate-Browsen Nutzung der InPrivate-Filterung Löschen des Browserverlaufs Konfigurieren der Datenschutzeinstellung auf Mittel oder höher Automatisches Leeren des Ordners Temporäre Internetdateien Deaktivierung der AutoVervollständigen-Optionen Konfiguration von Anmeldeoptionen für jede Sicherheitszone Aktivieren von SmartScreen-Filter Nutzung des XSS-Filters Einige Organisationen überprüfen die Aktivitäten der Benutzer in Internet Explorer. Diese Organisationen müssen zwischen der Speicherung der Browseraktivitäten und den Datenschutzanforderungen der Benutzer abwägen. Möglicherweise sollten sie einige der in diesem Kapitel empfohlenen Einstellungen anders konfigurieren. Nutzung von InPrivate-Browsen Manchmal sollen auf einem Computer keine Spuren der Aktivitäten im Internet zurückbleiben (beispielsweise, wenn man auf dem gemeinsamen Familien-PC Weihnachtsgeschenke einkauft). Mit InPrivate-Browsen in Internet Explorer 8 können Sie den Browser darin hindern, Browserverlauf, temporäre Internetdateien, Formulardaten, Cookies und Benutzernamen und Kennwörter zu speichern. Auf diese Art bleiben keine Belege für Ihre Aktivitäten zurück. Um das InPrivate-Browsen zu starten, klicken Sie in der Befehlsleiste auf Sicherheit und dann auf InPrivate-Browsen. Internet Explorer 8 startet dann eine neue Browsersitzung, in der keine Informationen gespeichert werden. Solution Accelerators microsoft.com/technet/SolutionAccelerators 48 Internet Explorer 8 Security Guide Wenn Sie die InPrivate-Sitzung beenden möchten, schließen Sie einfach das Browserfenster. Beim InPrivate-Browsen passiert Folgendes: BHOs (Browser Helper Objects) und Browserleisten sind deaktiviert. Neue Cookies werden zu „Sitzungscookies“ und werden beim Schließen des Browsers gelöscht. Die bestehenden Cookies können nicht gelesen werden. Die bestehende Funktionalität des neuen DOM-Storage-Funktionen kann nicht geändert werden. Es werden keine neuen Einträge in den Verlauf eingefügt. Neue temporäre Internetdateien werden nach dem Schließen des InPrivate-Browserfensters gelöscht. Es werden keine Formulardaten gespeichert. Es werden keine Kennwörter gespeichert. Die in die Adressleiste eingegebenen Adressen werden nicht gespeichert. Die in das Suchfeld eingegebenen Abfragen werden nicht gespeichert. Die besuchten Links werden nicht gespeichert. Abhängig von den geschäftlichen Anforderungen, Vorgaben und Gesetzen können einige oder alle dieser Eigenschaften genutzt werden. Mit der Kommandozeilenoption private können Sie InPrivate-Browsen zum Standardmodus des Browsers machen (Beispiel: "C:\Program Files\Internet Explorer\iexplore.exe" –private) Nutzung der InPrivate-Filterung Die InPrivate-Filterung wurde dazu entwickelt, nur die Inhalte anderer Organisationen zu blockieren, die auf den besuchten Websites sehr häufig auftauchen. Inhalte werden erst dann geblockt, wenn ein bestimmter Häufigkeitslevel erreicht ist. Inhalte, die direkt von der besuchten Website bereitgestellt werden, werden niemals geblockt. Wann die automatische Blockierung stattfindet, hängt von Ihren Aktivitäten im Browser und den von Ihnen besuchten Websites ab. Sowohl Administratoren als auch Benutzer können die Häufigkeitslevels für die Filterliste konfigurieren. Sie können auf Werte zwischen drei und 30 konfiguriert werden. Sie können außerdem eine Liste von blockierten (oder zugelassenen) Websites manuell importieren. Wir empfehlen die Aktivierung von InPrivate-Filterung – es sei denn, die Filterung sorgt bei für den Geschäftsbetrieb erforderlichen Websites für Probleme. Löschen des Browserverlaufs Die Möglichkeit, den Browserverlauf in Internet Explorer zu löschen, ist nicht neu. Sie wurde jedoch mit Internet Explorer 8 erweitert. Wenn Sie den Browserverlauf löschen, können Sie jetzt die Cookies und die temporären Internetdateien für die Websites in Ihren Favoriten erhalten. Mit dieser neuen Möglichkeit können Sie Ihre persönlichen Daten und Ihre Daten für vertrauenswürdige Websites schützen. Ihre Voreinstellungen und Cookies für die entsprechenden Websites bleiben erhalten. Mit den neuen Optionen können die Benutzer außerdem InPrivate-Filterdaten löschen. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen 49 Abbildung 3.1: Browserverlauf löschen Das neue Dialogfenster Browserverlauf löschen umfasst verschiedene Optionen, mit denen genauer gesteuert werden kann, was gelöscht werden soll und was nicht. Konfigurieren der Datenschutzeinstellung auf Mittel oder höher Einige Websites speichern Informationen in kleinen Textdateien auf ihrem Computer und versuchen so, das Internet für Sie zu personalisieren. Diese Textdateien werden Cookies genannt. Diese Cookies können dazu genutzt werden, die Onlineaktivitäten eines Benutzers übergreifend nachzuverfolgen. Microsoft empfiehlt dringend, Cookies zu nutzen. Unserer Meinung nach stellen Cookies kein Sicherheitsproblem dar. Internet Explorer 8 bietet jedoch einige Mechanismen für den Umgang mit Cookies, die den Benutzern mehr Kontrolle über ihre Daten ermöglichen. Es gibt zwei unterschiedliche Cookie-Typen. Das First-Party-Cookie stammt entweder von der aktuell angezeigten Website oder wird an diese gesendet. Ein solches Cookie wird normalerweise dazu genutzt, Informationen zur Website zu speichern (beispielsweise Einstellungen). Das Third-Party-Cookie stammt von einer anderen Website als der aktuell angezeigten oder wird an diese gesendet. Websites von Drittanbietern stellen oft einige Inhalte der aktuell angezeigten Website bereit (beispielsweise Werbung) und nutzen in diesem Rahmen entsprechende Third-Party-Cookie. Häufig werden diese Cookies dazu genutzt, Ihr Surfverhalten für Werbezwecke nachzuverfolgen. Sicherheitseinstellungen, die sich auf den Datenschutz auswirken, finden Sie unter der Registerkarte Datenschutz im Dialogfenster Internetoptionen. Auf der Registerkarte befindet sich ein Schieberegler, mit dem Sie eine von sechs vordefinierten Optionen auswählen können. Dieser Schieberegler gilt nur für die Zone Internet. Cookies aus den Zonen Lokales Intranet und Vertrauenswürdige Sites werden automatisch akzeptiert. Cookies aus der Zone Eingeschränkte Sites werden automatisch blockiert. Solution Accelerators microsoft.com/technet/SolutionAccelerators 50 Internet Explorer 8 Security Guide Jede Organisation muss ihre eigenen Richtlinien für Cookies definieren. Wir empfehlen, die Einstellung zumindest auf Mittel festzulegen. So erreichen Sie Folgendes: Cookies von Drittanbietern ohne Datenschutzrichtlinie werden blockiert. Cookies von Drittanbietern, die ohne ausdrückliche Einwilligung Informationen nutzen, die den Benutzer persönlich identifizierbar machen, werden blockiert. Cookies von Erstanbietern, die ohne ausdrückliche Einwilligung Informationen nutzen, die den Benutzer persönlich identifizierbar machen, werden eingeschränkt. Die Einstellung Hoch schränkt alle Cookies ein. Die anderen Einstellungen lassen Cookies jeweils unter bestimmten Bedingungen zu. Mit der Einstellung Alle Cookies annehmen sind alle Cookies erlaubt. Anmerkung: Standardmäßig hat der Benutzer die Möglichkeit, die Einstellung zu verändern. Sie können die Registerkarte Datenschutz jedoch über eine Gruppenrichtlinie deaktivieren. Sie können die Einstellungen für bestimmte Websites mit den Optionen Blockieren und Zulassen umgehen oder erzwingen. Mit einer Gruppenrichtlinie können Sie nicht nur die Cookieeinstellungen durchsetzen, sondern auch Websites zur Liste hinzufügen. Um einen maximalen Datenschutz zu erreichen und gleichzeitig die Vorteile von Cookies zu erhalten (beispielsweise die Speicherung von Anmeldeinformationen und Einstellungen), empfehlen wir, alle Cookies von Drittanbietern zu blockieren und alle Cookies von Erstanbietern zuzulassen. Automatisches Leeren des Ordners Temporäre Internetdateien Um das Laden der Seiten zu beschleunigen und die benötigte Bandbreite zu verringern, speichert Internet Explorer viele Objekte aus Webdokumenten (HTML, Videos, Bilder usw.) im Ordner Temporäre Internetdateien. Die hier gespeicherten Elemente stellen zwar kein Sicherheitsproblem dar, können aber für den Missbrauch von persönlichen Daten genutzt werden – beispielsweise dann, wenn andere Benutzer auf den Computer zugreifen. Die Dateien werden standardmäßig im Ordner %userprofile%\AppData\Local\Microsoft\Windows\Temporary Internet Files gespeichert. Mit dem Internet Explorer Administration Kit (IEAK) 8 oder einem GPO können Sie den Speicherort jedoch ändern. Wir empfehlen Ihnen, die Option Leeren des Ordners „Temporäre Internetdateien” beim Schließen des Browsers mit Aktiviert zu konfigurieren. So werden beim Schließen des Browser alle lokal gespeicherten Inhalte gelöscht. Die Einstellung hat keine Auswirkungen auf die Funktionalität. Sie kann sich jedoch auf die Anwendungsleistung auswirken und für mehr Anrufe beim Helpdesk sorgen. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Seite “Erweitert” In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen 51 Tabelle3.1: Einstellung „Leeren des Ordners ‚Temporäre Internetdateien‘” beim Schließen des Browsers” Richtlinienobjekt Beschreibung Leeren des Ordners „Temporäre Internetdateien” beim Schließen des Browsers Mit dieser Einstellung können Sie festlegen, ob Internet Explorer den Inhalt des Ordners „Temporäre Internetdateien" löscht, nachdem alle Browserfenster geschlossen wurden. Dadurch werden Sie davor geschützt, gefährliche Dateien oder sensible Dateien auf dem Computer zu speichern, die von anderen Benutzern eingesehen werden könnten. Außerdem wird dadurch die Nutzung des Festplattenplatzes verwaltet. Standardmäßig werden die Inhalte des Ordners nicht gelöscht. Wir empfehlen, die Einstellung zu aktivieren. Anmerkung: Organisationen, die gesetzliche Anforderungen in Bezug auf den Datenschutz erfüllen müssen, können mit dieser Einstellung dafür sorgen, dass die entsprechenden Informationen regelmäßig gelöscht werden. Die Einstellung verhindert jedoch nicht, dass die Daten mithilfe geeigneter Tools wiederhergestellt werden. Aus diesem sollten die entsprechenden Organisationen unbedingt prüfen, ob die Einstellung für ihre Compliance-Anforderungen ausreichend ist. Deaktivierung der AutoVervollständigen-Optionen Internet Explorer speichert Formulardaten, um diese später wiederverwenden und erneut übertragen zu können. Ein häufig in Formularen genutztes Feld ist beispielsweise das Feld „Straße“ (als Teil der Adresse). Mit AutoVervollständigen liest Internet Explorer Werte Formularfelder und trägt die entsprechenden Informationen automatisch ein. Der Benutzer muss sie so nicht immer wieder eingeben. Zwar stellt dieses Verfahren keine direkte Sicherheitsbedrohung dar, doch können die genutzten Informationen von Websites missbraucht werden. Noch wichtiger ist, dass die Funktion nicht zwischen sehr sensiblen Daten (beispielsweise Kreditkartennummern) und bereits öffentlich verfügbaren Daten (beispielsweise Telefonnummern) unterscheiden kann. Aus diesem Grund ist es daher möglich, dass persönliche Daten des Benutzers versehentlich in die Hände von Dritten gelangen. Wenn Sie auf Einstellungen auf der Registerkarte AutoVervollständigen im Dialogfenster Internetoptionen klicken, finden Sie die Einstellungen für die AutoVervollständigen-Funktion. Internet Explorer 8 kann zusätzlich zu anderen Daten auch Benutzernamen und Kennwörter aus Formularen speichern. Der Benutzer muss sich so nicht mehr selbst an die immer größer werdende Zahl von Kennwörtern und Benutzernamen erinnern. Ein paar grundlegende Sicherheitsmechanismen legen fest, welche Daten in einem Formular eingegeben werden müssen. Diese sorgen dafür, dass die falschen Anmeldeinformationen in ein Formular eingetragen werden. Trotz dieser Sicherheitsmaßnahmen ist es besonders trickreich entworfenen Websites eventuell möglich, die Benutzer zur Weitergabe von Anmeldeinformationen an Angreifer zu bewegen. Der Speicher für die Anmeldedaten ist gesichert. Sie werden lokal auf dem jeweiligen System gespeichert, und es ist nicht möglich, von außerhalb des Systems auf die Daten zuzugreifen. Wir empfehlen Ihnen, die AutoVervollständigen-Funktion zu deaktivieren. Die Deaktivierung hat keine Auswirkungen auf die Leistung. Es kann jedoch sein, dass sich die Benutzer über die fehlende Funktion beschweren und auf Solution Accelerators microsoft.com/technet/SolutionAccelerators 52 Internet Explorer 8 Security Guide kürzere/einfachere und somit leichter zu merkende, aber unsichere Kennwörter ausweichen. Sie sollten daher die entsprechenden Prozesse für die Kennwortanforderungen und -validierung überprüfen und so sicherstellen, dass die Benutzer keine unsicheren Kennwörter nutzen. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 3.2: Einstellungen für AutoVervollständigen Richtlinienobjekt Beschreibung AutoVervollständigen für Formulare deaktivieren AutoVervollständigen macht dem Benutzer beim Ausfüllen von Formularfeldern Eingabevorschläge. Wenn Sie die Einstellung aktivieren, dann werden keine Vorschläge gemacht. Die Benutzer können diese Einstellung nicht verändern. Wenn Sie die Einstellung deaktivieren, macht Internet Explorer Vorschlage. Die Benutzer können auch diese Einstellung nicht verändern. Standardmäßig können die Benutzer die AutoVervollständigen-Einstellungen verändern. Wir empfehlen, die Einstellung zu aktivieren. AutoVervollständigen für Benutzernamen und Kennwörter in Formularen aktivieren Diese Einstellung schlägt Kennwörter und Benutzernamen in Formularen vor. Wenn Sie die Einstellung aktivieren, dann werden Vorschläge gemacht. Die Benutzer können diese Einstellung nicht verändern. Daher müssen Sie festlegen, ob die Option Vor dem Speichern von Kennwörtern nachfragen aktiviert werden soll. Wenn Sie die Einstellung deaktivieren, trägt Internet Explorer keine Benutzernamen und Kennwörter ein. Die Benutzer können die entsprechenden Einstellungen nicht verändern. Wenn Sie die Einstellung nicht konfigurieren, dann können die Benutzer die Funktion aktivieren und die Einstellung selbst festlegen. Wir empfehlen, die Option zu deaktivieren. Anmerkung: Organisationen, die gesetzliche Vorgaben für den Datenschutz einhalten müssen, können mit dieser Funktion verhindern, dass Informationen gespeichert werden oder in die Hände von nicht autorisierten Benutzern gelangen. Konfiguration von Anmeldeoptionen für jede Sicherheitszone Mithilfe von Windows-Domänen können Unternehmen Informationen aus dem Intranet absichern und gleichzeitigt ohne die ständige Neueingabe von Anmeldeinformationen auf Netzwerkdokumente zugreifen. Internet Explorer kann die Authentifizierungsinformationen auf dem System dazu nutzen, den Benutzern NTML-Authentifizierungsinformationen für den Zugriff auf die Zone Intranet zur Verfügung stellen. Mit den Einstellungen für die Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen 53 Anmeldungsoptionen stehen Ihnen mehr Möglichkeiten als nur eine einfache Aktivierung oder Deaktivierung zur Verfügung. Standardmäßig ist für die Zonen Internet, Lokales Intranet und Vertrauenswürdige Sites die Option Automatisches Anmelden nur in der Intranetzone aktiv. Für die Zone Eingeschränkte Sites ist hingegen die Option Nach Benutzername und Kennwort fragen die Standardeinstellung. Dies führt dazu, dass die Anmeldung an Sites in der Zone Intranet, wann immer möglich, automatisch durchgeführt wird. In allen anderen Zonen wird der Benutzer nach Anmeldeinformationen gefragt. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Computerkonfiguration\Administrative Vorlagen\WindowsKomponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitsseite\<Zone> In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 3.3: Einstellung „Anmeldungsoptionen” Richtlinienobjekt Beschreibung Anmeldungsoptionen Mit dieser Einstellung können Sie Berechtigungen für Anmeldeoptionen verwalten. Wenn Sie diese Einstellung aktivieren, können Sie die folgenden Anmeldeoptionen auswählen. Mit Anonyme Anmeldung wird die HTTPAuthentifizierung deaktiviert und das Gastkonto nur für das CIFS-Protokoll (Common Internet File System) verwendet. Mit Nach Benutzername und Kennwort fragen werden die Benutzer nach ihren Benutzer-IDs und Kennwörtern gefragt. Nach der Abfrage beim Benutzer können diese Werte im weiteren Verlauf der Sitzung ohne weitere Nachfrage verwendet werden. Mit Automatisches Anmelden nur in der Intranetzone werden die Benutzer in anderen Zonen nach ihren Benutzer-IDs und Kennwörtern gefragt. Nach der Abfrage beim Benutzer können diese Werte im weiteren Verlauf der Sitzung ohne weitere Nachfrage verwendet werden. Mit Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort wird eine Anmeldung mithilfe der NTLM-Authentifizierung (Windows NT Challenge Response) versucht. Wenn der Server Windows NT Challenge Response unterstützt, werden der Netzwerkbenutzername des Benutzers und das dazugehörige Kennwort für die Anmeldung verwendet. Falls der Server Windows NT Challenge Response nicht unterstützt, wird der Benutzer aufgefordert, Benutzernamen und Kennwort anzugeben. (Internetzone) Wenn Sie diese Einstellung deaktivieren, wird die Anmeldeoption Automatisches Anmelden nur in der Intranetzone festgelegt. Wenn Sie die Einstellung nicht konfigurieren, wird die Anmeldeoption Automatisches Anmelden nur in der Intranetzone festgelegt. Wir empfehlen, die Option Nach Benutzername und Kennwort fragen zu konfigurieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators 54 Internet Explorer 8 Security Guide Richtlinienobjekt Beschreibung Anmeldungsoptionen Wir empfehlen, die Option Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort zu konfigurieren. (Intranetzone) Anmeldungsoptionen (Zone eingeschränkter Sites) Anmeldungsoptionen (Zone vertrauenswürdiger Sites) Wir empfehlen, die Option Anonyme Anmeldung zu konfigurieren. Wir empfehlen, die Option Automatisches Anmelden nur in der Intranetzone zu konfigurieren. Anmerkung: Organisationen, die gesetzliche Vorgaben für den Datenschutz einhalten müssen, können mit dieser Funktion verhindern, dass Informationen gespeichert werden oder in die Hände von nicht autorisierten Benutzern gelangen. Aktivieren des SmartScreen-Filters Die Benutzer sehen sich im Internet immer mehr Bedrohungen ausgesetzt. Schädliche Websites versuchen immer öfter, ihre Anmeldeinformationen zu stehlen. Eine der neuen Sicherheitsfunktionen aus Internet Explorer 8 ist der SmartScreen-Filter. Diese Funktion sorgt mit einer Kombination aus heuristischen Technologien und Onlinedienst dafür, dass die Benutzer besser vor Bedrohungen und schädlichen Websites geschützt sind. Beim ersten Start von Internet Explorer 8 wird der Benutzer gefragt, welche Einstellung für den SmartScreen-Filter eingerichtet werden soll – es gibt also keine standardmäßige Einstellung. Die Funktion kann nur aktiviert oder deaktiviert werden. Das heißt, entweder ist die automatische Prüfung aktiv oder inaktiv. Ist der SmartScreen-Filter deaktiviert, können die Benutzer ihn in Einzelfällen immer noch nutzen und eine manuelle Prüfung aktivieren. Administratoren sollte klar sein, wie Anwendungen in ihrer Umgebung ausgeführt werden. Internet Explorer und der SmartScreen-Filter bilden hier keine Ausnahme. Wenn Sie wissen, wie die Funktion arbeitet, dann können Sie diese besser nutzen und sich und Ihre Benutzer besser schützen. Der Schutz vor Malware und Phishing durch den SmartScreen-Filter basiert auf dem Microsoft-URL Reputation Service (URS). Dieser Dienst wird rund um die Uhr von Mitarbeitern betreut. Der SmartScreen-Filter prüft Websites anhand einer lokal gespeicherten Liste und führt über den URS eine Onlineprüfung der URL durch. Um Latenzprobleme zu verhindern, wird die URS-Prüfung asynchron durchgeführt. Die Navigation des Benutzers wird daher nicht beeinflusst. Um eine hohe Netzwerkauslastung zu vermeiden, werden auf dem Client in einer verschlüsselten Datei tausende der am häufigsten besuchten Websites gespeichert. Alle Websites in dieser Datei sind durch die Prüfung durch den SmartScreen-Filter ausgenommen. Der SmartScreen-Filter nutzt außerdem eine lokale Zwischenspeicherung für URLs, über die er prüft, ob die URL bereits vorher schon einmal genutzt wurde. Der URS erkennt mögliche Phishing-Sites unter anderem durch das Feedback der Benutzer. Um die immer komplexer werdenden Phishing-Versuche und Malware-Exploits besser zu erkennen und die Benutzer besser vor ihnen zu schützen, prüft der SmartScreen-Filter die gesamte URL. Da die URL entsprechende Informationen enthalten kann, ist es möglich, dass in diesem Zusammenhang auch Informationen an den URS übertragen werden, die eine eindeutige Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen 55 Identifikation des Benutzers ermöglichen. Microsoft hat umfassende Maßnahmen ergriffen, um diese Daten zu sichern und zu schützen. Sie werden nicht an Dritte weitergegeben. Nachdem sie auf Sicherheitsbedrohungen überprüft wurden, werden sie aus den Daten entfernt. Weitere Informationen zu diesem Thema finden Sie in den Datenschutzbestimmungen zu Windows Internet Explorer 8. Wie bereits erwähnt muss der SmartScreen-Filter explizit aktiviert oder deaktiviert werden – es gibt keine Standardeinstellung. Wenn er aktiviert wurde, dann werden alle Websites, die nicht in der lokalen Liste gespeichert sind, über den URS geprüft. Ist er deaktiviert, dann wird keine Prüfung durchgeführt. Zwar empfiehlt Microsoft dringend, die Funktion grundsätzlich immer zu nutzen, es kann jedoch Situationen geben, in denen die Administratoren die Einstellungen der Funktion ändern möchten. Anmerkung: Der Schutz vor ClickJacking XSS ist standardmäßig aktiviert. Der ClickJacking-Schutz ist Teil des Produktdesigns und kann nicht deaktiviert werden. Der Benutzer ist jedoch in der Lage, den XSS-Filter zu deaktivieren. Sie können den SmartScreen-Filter über Gruppenrichtlinien für jede Sicherheitszone aktivieren und deaktivieren. Damit dies möglich ist, muss die Funktion jedoch erst global aktiviert sein. Standardmäßig ist der SmartScreenFilter in GPOs für alle Zonen außer der Zone Intranet aktiviert. Wir empfehlen, den Filter aktiviert zu lassen. Wenn Sie eine Liste von Websites von der SmartScreen-Filterung ausnehmen möchten (beispielsweise eine Extranet-Website, mit der Ihr Unternehmen zusammenarbeitet), dann sollten Sie den Filter nicht global, sondern nur für die Zone Vertrauenswürdige Sites deaktivieren. Die entsprechende Website fügen Sie dann dieser Zone hinzu. Wir empfehlen, die Benutzer mithilfe einer Gruppenrichtlinie daran zu hindern, den SmartScreen-Filter zu deaktivieren. Konfigurieren Sie den Modus mit der Einstellung Automatisch. Sie sollten sich jedoch im Klaren darüber sein, dass mit dieser Einstellung automatisch Informationen an Microsoft gesendet werden – ohne dass der Benutzer darüber benachrichtigt wird. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitszone\<Zone> In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 3.4: Einstellung “SmartScreen-Filter verwenden” Richtlinienobjekt Beschreibung SmartScreen-Filter verwenden Mit dieser Einstellung können Sie steuern, ob der SmartScreen-Filter die Seiten in dieser Zone auf bösartige Inhalte überprüft. Wenn Sie diese Einstellung aktivieren, überprüft der SmartScreen-Filter die Seiten in dieser Zone auf bösartige Inhalte. Wenn Sie diese Einstellung deaktivieren, überprüft der SmartScreen-Filter die Seiten in dieser Zone nicht auf bösartige Inhalte. Standardmäßig kann der Benutzer die Einstellung für den SmartScreen-Filter selbst konfigurieren. Wir empfehlen, die Einstellung zu aktivieren. Solution Accelerators microsoft.com/technet/SolutionAccelerators 56 Internet Explorer 8 Security Guide Zusätzlich zu den Einstellungen für die einzelnen Zonen können Sie zwei globale Einstellungen durchführen. Sie finden die Einstellungen unter dem folgenden Pfad: Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\ Internet Explorer In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle 3.5: Einstellungen für den SmartScreen-Filter Richtlinienobjekt Beschreibung Verwalten von SmartScreen-Filter deaktivieren Mit dieser Einstellung können Benutzer einen SmartScreen-Filter aktivieren. Dieser Filter gibt eine Warnung beim Besuch von Websites aus, die bekanntermaßen versuchen, durch arglistige Täuschung persönliche Informationen zu erschleichen oder Malware enthalten. Wenn Sie die Funktion aktivieren, werden alle Websiteadressen, die nicht in der Liste der zugelassenen Sites des Filters enthalten sind, automatisch an Microsoft gesendet, ohne dass die Benutzer dazu aufgefordert werden. Wenn Sie die Funktion deaktivieren oder die Einstellung nicht konfigurieren, werden die Benutzer bei der ersten Ausführung aufgefordert, den Betriebsmodus für den SmartScreen-Filter auszuwählen. Wir empfehlen, diese Einstellung zu aktivieren. Umgehung der SmartScreenFilterwarnungen verhindern Der SmartScreen-Filter hindert Benutzer am Navigieren zu Websites sowie am Herunterladen von Inhalten, die für die Bereitstellung bösartiger Inhalte bekannt sind. Wenn Sie diese Einstellung aktivieren, darf der Benutzer nicht zu Sites navigieren, die vom SmartScreen-Filter als unsicher eingestuft werden. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, kann der Benutzer SmartScreenFilterwarnungen ignorieren und zu unsicheren Sites navigieren. Wir empfehlen, diese Einstellung zu aktivieren. Nutzung des XSS-Filters Der XSS-Filter schützt die Benutzer davor, ungewollte Informationen an Dritte weiterzugeben. Dies ist besonders in Organisationen, die gesetzliche oder regulative Vorschriften einhalten müssen, sehr wichtig. Wir empfehlen, die Funktion aktiviert zu lassen (was auch ihre Standardeinstellung ist). Wenn eine geschäftskritische Website vom XSS-Filter gestört wird, dann versuchen Sie als Erstes, das Problem über die Websites zu lösen. Als letzte Maßnahme können Sie den XSS-Filter deaktivieren. Er sollte jedoch so schnell wie möglich wieder aktiviert werden. Sie finden die Einstellung im Gruppenrichtlinieneditor unter dem folgenden Pfad: Solution Accelerators microsoft.com/technet/SolutionAccelerators Kapitel 3: Empfehlungen zu Datenschutzeinstellungen 57 Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\ Internet Explorer\Internetsystemsteuerung\Sicherheitszone\<Zone> In der folgenden Tabelle finden Sie Informationen zu der entsprechenden Sicherheitseinstellung in Internet Explorer 8. Tabelle3.6: Einstellung „XSS-Filter aktivieren” Richtlinienobjekt Beschreibung XSS-Filter aktivieren Mithilfe dieser Richtlinie können Sie steuern, ob mit dem XSS-Filter (Cross-Site Scripting, siteübergreifendes Skripting) die siteübergreifende Skripteinschleusung in Websites in dieser Zone erkannt und verhindert wird. Wenn Sie diese Einstellung aktivieren, wird der XSS-Filter für Sites in dieser Zone aktiviert, um die siteübergreifende Skripteinschleusung zu blockieren. Wenn Sie diese Einstellung deaktivieren, wird der XSSFilter für Sites in dieser Zone deaktiviert und Internet Explorer lässt die siteübergreifende Skripteinschleusung zu. Wir empfehlen, diese Einstellung zu aktivieren. Zusätzliche Informationen Unter den folgenden Quellen finden Sie weitere Informationen zu sicherheitsbezogenen Themen für Internet Explorer 8: Internet Explorer Administration Kit (IEAK) 8. Datenschutzbestimmungen zu Windows Internet Explorer 8 Solution Accelerators microsoft.com/technet/SolutionAccelerators Anhang A: Sicherheitscheckliste 59 Anhang A: Sicherheitscheckliste In der folgenden Checkliste finden Sie alle relevanten, im Rahmen dieses Leitfadens zur Absicherung von Clientcomputern mit Windows ® Internet Explorer® 8 besprochenen Funktionen und Einstellungen. Tabelle A.1: Internet Explorer 8-Sicherheitscheckliste Sicherheit von aktiven Inhalten Einschränken der Installation von ActiveX-Steuerelementen Websitebasierte ActiveX-Einstellungen Nutzung von ActiveX-Steuerelementen, Plug-ins und vorab definierten Freigabelisten Deaktivieren von Active Scripting als Reaktion auf bestimmte Bedrohungssituationen Aktivierung von Sicherheitseinschränkungen für Skriptfenster Zonensicherheit Schutz vor Zonenanhebung aktivieren Benutzern das Hinzufügen und das Entfernen von Sites zu Zonen verbieten Änderung der Zoneneinstellungen durch die Benutzer verhindern Zertifikatsicherheit Zugriff der Benutzer auf Websites mit Zertifikatfehlern verhindern Reduzierte Anwendungsprivilegien Aktivierung des geschützten Modus DropMyRights unter Windows XP Datenschutzeinstellungen Nutzung von InPrivate-Browsen Nutzung der InPrivate Filterung Löschen des Browserverlaufs Konfigurieren der Datenschutzeinstellung auf Mittel oder höher Automatisches Leeren des Ordners Temporäre Internetdateien Deaktivierung der AutoVervollständigen-Optionen Deaktivierung der Kennwortzwischenspeicherung Konfiguration von Anmeldeoptionen für jede Sicherheitszone Aktivieren des SmartScreen-Filters Nutzung des XSS-Filters Solution Accelerators microsoft.com/technet/SolutionAccelerators Internet Explorer 8-Sicherheitsleitfaden 60 Andere Sicherheitseinstellungen Proxyeinstellung pro Computer vornehmen Systemabsturzermittlung deaktivieren Dateidownload einschränken Dateidownload für die Zone „Eingeschränkte Sites“ einschränken Objektzwischenspeicherungsschutz Solution Accelerators microsoft.com/technet/SolutionAccelerators
