Sicherheitsfunktionen in Windows Server 2019

Zugedreht

von Marc Grote

Seit Herbst 2018 ist Windows Server 2019 allgemein verfügbar. Neben einigen Änderungen im Bereich Hyper-V, Failover Clustering und Storage hat Microsoft auch an diversen Sicherheitsfunktionen geschraubt, Funktionen erweitert und neue hinzugefügt. Wir erklären die wichtigsten sicherheitsrelevanten Neuerungen.

Aus IT-Administrator 05/2019

Besonders in kleineren Firmen ohne eigenes IT-Sicherheitsteam fällt es Administratoren schwer, mit zunehmend gehäuften und raffinierten Angriffen umzugehen. ... (mehr)

Auf der Liste der Änderungen in Windows Server 2019 findet sich ein echter Evergreen: Das Server Message Block Protokoll (SMB) weist gerade in älteren Versionen Sicherheitslücken auf. Aus diesem Grund hat sich Microsoft entschieden, SMB1 in Windows Server 2019 komplett zu deaktivieren. Ein etwas zeitgemäßeres Thema adressiert Microsoft damit, dass Windows Container in Server 2019 die integrierte Windows-Authentifizierung nun besser und zuverlässiger unterstützen sollen.

Shielded VMs mit Linux

Mit Windows Server 2016 hat Microsoft die Funktion der Shielded Virtual Machines für virtuelle Maschinen mit Windows als Betriebssystem eingeführt. Shielded VMs verhindern, dass Administratoren, die zum Beispiel für das Netzwerk, Backups oder Storage verantwortlich sind, Zugriff auf wichtige virtuelle Maschinen erhalten. Dadurch lässt sich ausschließen, dass ein Administrator seine Zugriffsrechte nutzt, um Schadcode auf die VM zu laden oder die VM auf einem USB-Stick zu speichern, um die Daten dann zu Hause in aller Ruhe auszulesen. Mit Windows Server 2019 führt Microsoft Shielded VMs nun auch für virtuelle Maschinen mit bestimmten Linux-Versionen (Ubuntu, Red Hat Enterprise Linux und SUSE Linux Enterprise Server) ein.

Shielded Virtual Machines unterstützen jetzt außerdem die Konfiguration einer Host Key Attestation. Im Gegensatz zur TPM Attestation wird dabei aber nicht die Hardware- oder Softwarekonfiguration validiert. Die Host Key Attestation arbeitet mit asymmetrischen Schlüsselpaaren und lässt sich im Gegensatz zur Active Directory Based Attestation auch ohne ein AD nutzen. Dies soll die Abhängigkeiten und Komplexität der Implementierung erheblich reduzieren.