Netzwerkangriffe mit kostenlosen Microsoft-Tools erkennen und verhindern

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

RTI Real-Time Innovations

Netzwerke mit PowerShell-Skripten absichern

Solche Informationen sollten natürlich nicht in fremde Hände gelangen, sondern nur durch authentifizierte Personen zugreifbar sein. Mit Bordmitteln ist ein solcher Schutz leider nicht einfach umsetzbar. Daher stellt Microsoft das kostenlose PowerShell-Skript Net Cease zur Verfügung. Bei dem Tool handelt es sich aber nicht um ein offizielles, freigegebenes Tool von Microsoft, sondern ein Werkzeug aus der Microsoft TechNet Gallery.

Das PowerShell-Skript „Net Cease“ passt im Netzwerk die Berechtigungen für den Registrywert „SrvsvcSessionInfo“ an, sodass Anwender die SMB-Informationen nicht mehr so einfach auslesen können. Für die Verwendung von Freigaben ist das auch nicht notwendig.

Das Skript fügt außerdem Berechtigungen für interaktive Zugriffe, Dienstkonten und Batchzugriffe hinzu. Die Anpassungen sind also nicht sehr kompliziert, und lassen sich über Skripte, Anmeldeskripte oder Tools wie System Center Configuration Manager im Netzwerk verteilen. Die angepasste Konfiguration lässt sich mit dem bereits erwähnten Tool „NetSess“ testen. Nachdem Sie das PowerShell-Skript „Net Cease“ ausgeführt haben, erhalten authentifizierte Benutzer über das Netzwerk eine „Zugriff verweigert“-Meldung, wenn sie die Informationen auslesen wollen.

Skript zur Absicherung ausführen

Zunächst wird das Skript bei Microsoft heruntergeladen. Anschließend wird das Skript einfach auf den Arbeitsstationen und den Servern ausgeführt, zum Beispiel über die Syntax „.\NetCease.ps1“. Das Skript passt den erwähnten Registrywert an. Generell sollte das Skript auf allen Computern im Netzwerk durchgeführt werden, nicht nur auf Domänencontrollern und Dateiservern. Denn die SMB-Informationen lassen sich von allen Servern im Netzwerk auslesen.

Zusätzlich werden die Einstellungen des Wertes aber auch gesichert, sodass er jederzeit wieder rückgängig gemacht werden kann. Dazu legt das Skript einen neuen Wert mit der Bezeichnung „SrvsvcSessionInfoBackup“ an. In diesem werden die Daten und Rechte von „SrvsvcSessionInfo“ gespeichert, um später eine Wiederherstellung durchführen zu können. Eine solche Wiederherstellung ist ebenfalls über Net Cease möglich, sodass einer automatischen Verteilung der Rechte nichts im Wege steht. Der Befehl dazu lautet: .\NetCease.ps1 -revert.

Nach der Ausführung des Skriptes, muss der Systemdienst für den SMB-Zugriff neu gestartet werden, zum Beispiel mit restart-service server -force. Generell kann der Server auch mit restart-computer komplett neu gestartet werden. Besser ist aber ein Neustart des Servers.

Fazit

Administratoren, die eine besondere sichere Umgebung aufbauen und sicherstellen wollen, dass Benutzer im Netzwerk keinen unberechtigten Daten abgreifen können, sollten sich das Skript näher ansehen. Durch die einfache Ausführung, und die Möglichkeit die Einstellungen wieder rückgängig zu machen, ist die Ausführung nicht sehr kompliziert. Vor allem mit Tools wie System Center Configuration Manager, oder bei der Installation neuer Server und Arbeitsstationen ist die Umsetzung relativ einfach möglich. Damit erhalten Unternehmen zwar keine perfekt abgesicherte Umgebung, aber immerhin einen weiteren Schritt zu mehr Sicherheit im Netzwerk.

Der Beitrag ist ursprünglich auf unserem Schwesterportal Security Insider erschienen.

(ID:44779923)