Domain Controller und Netzwerkzugangsschutz

Windows Server 2008: Mehr Sicherheit mit RDOC und NAP

Microsoft will die Sicherheit von Windows Server 2008 mit zwei Verfahren erhöhen. Allerdings bringen der Read Only Domain Controller (RODC) und die Network Access Protection (NAP) neben erhöhter Sicherheit auch mehr Komplexität in das System von Windows Server 2008.

Die wohl interessanteste Neuerung für das Active Directory ist der Read Only Domain Controller (RODC). Dabei handelt es sich um einen neuen Typ Domänen-Controller (DC), der lediglich eine Kopie der Verzeichnisdienst-Datenbank enthält. Er selber kann aber keine Änderungen zu anderen DCs im Active Directory replizieren.

Wollen Anwendungen schreibend auf das Active Directory zugreifen, verweist der RODC die Anfragen an einen Domänen-Controller, der über Schreibberechtigung verfügt. Lesende Zugriffe auf den Verzeichnisdienst kann der RODC in den meisten Fällen selbst bearbeiten.

Das Konzept des RODC eignet sich besonders für Standorte, wo man den physischen Zugriff auf den Server durch unautorisierte Personen nicht ohne Weiteres verhindern kann. Nicht umsonst sagt man „wenn der Angreifer das Keyboard hat, hat er auch den Rechner“. Derart exponierte Server sind besonders gefährdet, weil es ein Leichtes ist, die Sicherheitsmechanismen von Windows auszuhebeln, wenn man von einem externen Medium ein anderes Betriebssystem startet, um auf die Systempartition zuzugreifen. Sollte es einem Angreifer gelingen, die Verzeichnisdatenbank auf einen physisch kompromittierten Server zu manipulieren, ist beim Einsatz eines RODC ausgeschlossen, dass die Änderungen systemweit in das Verzeichnis übernommen werden.