Im Server-Manager steht der Best Practices Analyzer nach der Installation automatisch zur Verf\u00fcgung. Neben Informationen f\u00fcr eine schnellere und stabilere Konfiguration, zeigt der Server-Manager hier auch Sicherheitsinformationen an. Nach dem Start des Server-Managers ist der Best Practices Analyzer (BPA) \u00fcber \u201eLokaler Server\u201c und dem Kasten \u201eBest Practices Analyzer\u201c zu finden. \u00dcber einen Klicke auf \u201eAufgaben\\BPA-\u00dcberpr\u00fcfung starten\u201c scannt der Server den Computer auf Probleme und zeigt diese anschlie\u00dfend an. Der BPA gibt in diesem Zusammenhang auch Tipps zum Verbessern der Sicherheit. \u00dcber das Icon neben \u201eFilter\u201c k\u00f6nnen Sie festlegen, dass nur \u201eWarnungen oder Fehler\u201c angezeigt werden.<\/p>\n\n\n\n
Microsoft ver\u00f6ffentlicht regelm\u00e4\u00dfig Updates, auch f\u00fcr Windows Server 2019. Vor allem in 2020 wurde an nahezu jedem Patchday<\/a> ein neuer Rekord mit geschlossenen Sicherheitsl\u00fccken aufgestellt. Server sollten nach der Installation und in regelm\u00e4\u00dfigen Abst\u00e4nden aktualisiert werden. Die Updates werden in der Einstellungs-App \u00fcber \u201eUpdate und Sicherheit\u201c gesteuert. Werden keine Updates angezeigt, sollte mit einer erneuten Suche \u00fcberpr\u00fcft werden, ob neue Updates zur Verf\u00fcgung stehen.<\/p>\n\n\n\n Wenn im Netzwerk mit Gruppenrichtlinien<\/a> gearbeitet wird, um Updates auf Computern zu steuern, kann \u00fcber \u201eErweiterte Optionen\u201c und \u201eKonfigurierte Updaterichtlinien anzeigen\u201c \u00fcberpr\u00fcft werden, ob die Richtlinien auch angewendet werden. In der Befehlszeile kann mit \u201egpupdate \/force\u201c eine erneute \u00dcbertragung der Richtlinie erfolgen.<\/p>\n\n\n\n Grunds\u00e4tzlich sollte das lokale Administrator-Konto auf einem Server entweder umbenannt, oder gleich deaktiviert und gegen ein neues Konto ersetzt werden. Um den lokalen Administrator in \u201esuser\u201c umzubenennen, k\u00f6nnen Sie die lokale Benutzerverwaltung<\/a> aufrufen, oder die Befehlszeile verwenden. Die lokale Benutzerverwaltung rufen Sie mit \u201elusrmgr.msc\u201c auf. In der Befehlszeile f\u00fchren Sie die Umbenennung mit dem folgenden Befehl durch:<\/p>\n\n\n\n Neben der Umbenennung des lokalen Administrators, sollten auch die Mitglieder der lokalen Administrator-Gruppe \u00fcberpr\u00fcft werden. Auch das erfolgt mit der lokalen Benutzerverwaltung, die mit lusrmgr.msc aufgerufen werden kann. Hier sollten die Benutzerkonten entfernt werden, die unberechtigt Mitglied sind. Zus\u00e4tzlich sollte die Mitgliedschaft regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden.<\/p>\n\n\n\n Microsoft stellt Gruppenrichtlinienvorlagen f\u00fcr die Absicherung von Computer dar. In den Vorlagen werden von Microsoft empfohlene Einstellungen automatisch gesetzt. Wir haben im Beitrag \u201eSicherheitsempfehlungen f\u00fcr Windows 10 und Server 2019\u201c<\/a> die Vorgehensweise besprochen. Die notwendigen Tools<\/a> stellt Microsoft kostenlos zum Download zur Verf\u00fcgung.<\/p>\n\n\n\n Die Aktivierung oder Deaktivierung des Remotedesktops kann in der grafischen Oberfl\u00e4che gesteuert werden. Der entsprechende Bereich kann mit \u201esysdm.cpl\u201c gestartet werden. In der Registry kann der Wert im folgenden Pfad angepasst werden: HKLM\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server<\/em><\/p>\n\n\n\n Der Eintrag zum Aktivieren ist \u201efDenyTSConnection\u201d. Mit dem Wert \u201e0\u201c wird der Remote Desktop aktiviert. Der Wert \u201e1\u201c deaktiviert den Remote Desktop. Welche Benutzer verbunden sind, kann in der Befehlszeile mit dem folgenden Befehl angezeigt werden: Soll der Zugriff per RDP f\u00fcr bestimmte Benutzer gesteuert werden, k\u00f6nnen Gruppenrichtlinien verwendet werden. Der Pfad zu den Einstellungen ist: Computerkonfiguration\\Windows Einstellungen\\Sicherheitseinstellungen\\Lokale Richtlinien\\Zuweisen von Benutzerrechten<\/em><\/p>\n\n\n\n Wichtig sind die beiden Einstellungen:<\/p>\n\n\n\n F\u00fcr den Zugriff auf einen Server mit RDP wird meistens der Port 3389 verwendet. Dadurch kann ein Angreifer Verbindung zum Server aufnehmen. Es ist generell sinnvoll den Port zu \u00e4ndern. Das erfolgt \u00fcber den Schl\u00fcssel: HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp<\/em><\/p>\n\n\n\n Hier ist die Portnummer beim Wert \u201ePortnumber\u201c zu sehen und kann auch ge\u00e4ndert werden. Nach der \u00c4nderung m\u00fcssen nat\u00fcrlich in der Windows-Firewall<\/a> eingehende Regeln abge\u00e4ndert werden, damit diese den neuen Port zum Server zulassen. Nach der \u00c4nderung m\u00fcssen Sie den Server neu starten, damit der neue Port aktiv wird.<\/p>\n\n\n\n In Windows Server 2019 ist standardm\u00e4\u00dfig der Media Player mit seinen Funktionen aktiviert. Generell stellt jede unn\u00f6tig installierte Software eine Sicherheitsl\u00fccke<\/a> dar. In den meisten F\u00e4llen wird der Media Player auf einem Server nicht ben\u00f6tigt. Die Deinstallation kann in der PowerShell mit dem folgenden Befehl erfolgen:Tipp 3 – Administrator-Konto umbenennen<\/h3>\n\n\n\n
wmic useraccount where name=\"Administrator\" call rename name=\"suser\u201d<\/code><\/p>\n\n\n\nTipp 4 – Lokale Administratoren \u00fcberpr\u00fcfen<\/h3>\n\n\n\n
Tipp 5 – Richtlinien mit Microsoft Security Compliance Toolkit<\/h3>\n\n\n\n
Tipp 6 – Remotedesktopzugriff aktivieren und \u00fcberpr\u00fcfen<\/h3>\n\n\n\n
Qwinsta \/server:<Servername><\/code><\/p>\n\n\n\nTipp 7 – Remotedesktopzugriff f\u00fcr bestimmte Gruppen erlauben oder blockieren<\/h3>\n\n\n\n
Tipp 8 – RDP-Port \u00e4ndern<\/h3>\n\n\n\n
Tipp 9 – Media Player deinstallieren<\/h3>\n\n\n\n
Disable-WindowsOptionalFeature -Online -FeatureName WindowsMediaPlayer<\/code><\/p>\n\n\n\nTipp 10 – IIS mit der Freeware IIS Crypto absichern<\/h3>\n\n\n\n