Sicherheitsüberlegungen für UE-V (Windows 10)

Dieses Thema enthält eine kurze Übersicht über Konten und Gruppen, Protokolldateien und andere sicherheitsrelevante Überlegungen für User Experience Virtualization (UE-V). Für weitere Informationen folgen Sie den Links, die hier bereitgestellt werden.

Sicherheitsüberlegungen für die UE-V-Konfiguration

Da Einstellungspakete persönliche Informationen enthalten können, sollten Sie darauf achten, diese so gut wie möglich zu schützen. Führen Sie im Allgemeinen die folgenden Schritte aus:

• Beschränken Sie die Freigabe auf die Benutzer, die Zugriff benötigen. Erstellen Sie eine Sicherheitsgruppe für Benutzer, die Ordner auf einer bestimmten Freigabe umgeleitet haben, und beschränken Sie den Zugriff auf diese Benutzer.
• Wenn Sie die Freigabe erstellen, blenden Sie die Freigabe aus, indem Sie ein $ hinter den Freigabenamen setzen. Durch diesen Zusatz wird die Freigabe vor Gelegenheitsbrowsern ausgeblendet, und die Freigabe wird unter "My Network Places" nicht angezeigt.
• Geben Sie Benutzern nur die Mindestanzahl an Berechtigungen, die sie haben müssen. In den folgenden Tabellen sind die erforderlichen Berechtigungen aufgeführt.

1. Legen Sie die folgenden SMB-Berechtigungen auf Freigabeebene für die Einstellung des Speicherortordners fest.

   Benutzerkonto	Empfohlene Berechtigungen
   Jeder	Keine Berechtigungen
   Sicherheitsgruppe von UE-V	Vollzugriff

2. Legen Sie die folgenden NTFS-Dateisystemberechtigungen für den Ordner "Speicherort" der Einstellungen fest.

   Benutzerkonto	Empfohlene Berechtigungen	Ordner
   Ersteller/Besitzer	Keine Berechtigungen	Keine Berechtigungen
   Domänenadministratoren	Vollzugriff	Dieser Ordner, Unterordner und Dateien
   Sicherheitsgruppe von UE-V-Benutzern	Ordner auflisten/Daten lesen, Ordner erstellen/Daten anhängen	Nur dieser Ordner
   Jeder	Alle Berechtigungen entfernen	Keine Berechtigungen

3. Legen Sie die folgenden SMB-Berechtigungen auf Freigabeebene für den Vorlagenkatalogordner "Einstellungen" fest.

   Benutzerkonto	Empfohlene Berechtigungen
   Jeder	Keine Berechtigungen
   Domänencomputer	Stufen von Leseberechtigungen
   Administratoren	Stufen von Lese-/Schreibberechtigungen

4. Legen Sie die folgenden NTFS-Berechtigungen für den Katalogordner der Einstellungsvorlage fest.

   Benutzerkonto	Empfohlene Berechtigungen	Anwenden auf
   Ersteller/Besitzer	Vollzugriff	Dieser Ordner, Unterordner und Dateien
   Domänencomputer	Ordnerinhalt auflisten und Leseberechtigungen	Dieser Ordner, Unterordner und Dateien
   Jeder	Keine Berechtigungen	Keine Berechtigungen
   Administratoren	Vollzugriff	Dieser Ordner, Unterordner und Dateien

Verwenden Sie Windows Server ab Windows Server 2003, um umgeleitete Dateifreigaben zu hosten

Benutzereinstellungspaketdateien enthalten persönliche Informationen, die zwischen dem Clientcomputer und dem Server, auf dem die Einstellungspakete gespeichert sind, übertragen werden. Aufgrund dieses Prozesses sollten Sie sicherstellen, dass die Daten während der Übertragung über das Netzwerk geschützt sind.

Benutzereinstellungsdaten sind anfällig für diese potenziellen Bedrohungen: Abfangen der Daten bei der Übertragung des Netzwerks, Manipulation der Daten während der Übertragung über das Netzwerk und Spoofing des Server, der die Daten hostet.

Ab Windows Server 2003 können mehrere Features des Betriebssystems Windows Server zum Schutz von Benutzerdaten beitragen:

• Kerberos - Kerberos ist standardmäßig auf allen Versionen von Microsoft Windows 2000 Server und Windows Server ab Windows Server 2001 installiert. Kerberos gewährleistet ein Höchstmaß an Sicherheit für Netzwerkressourcen. NTLM authentifiziert nur den Client. Kerberos authentifiziert den Server und den Client. Wenn NTLM verwendet wird, weiß der Client nicht, ob der Server gültig ist. Dieser Unterschied ist wichtig, wenn der Client persönliche Dateien mit dem Server austauscht, wie dies bei Roamingbenutzerprofilen der Fall ist. Kerberos bietet bessere Sicherheit als NTLM. Kerberos ist unter Microsoft Windows NT Server 4.0 und älteren Betriebssystemen nicht verfügbar.

• IPsec – Das IP-Sicherheitsprotokoll (IPsec) bietet Authentifizierung, Datenintegrität und Verschlüsselung auf Netzwerkebene. IPsec stellt Folgendes sicher:

  • Roamingdaten sind sicher vor Datenänderungen, während sich die Daten unterwegs befinden.
  • Roamingdaten sind sicher vor Abfangen, Anzeigen oder Kopieren.
  • Roamingdaten sind vor dem Zugriff durch nicht authentifizierte Parteien sicher.

• SMB-Signatur – Das SMB-Authentifizierungsprotokoll (Server Message Block) unterstützt die Nachrichtenauthentifizierung, wodurch aktive Nachrichten und "Man-in-the-Middle"-Angriffe verhindert werden. Die SMB-Signatur stellt diese Authentifizierung bereit, indem sie jedem SMB eine digitale Signatur hinzufügt. Die digitale Signatur wird dann sowohl vom Client als auch vom Server überprüft. Um die SMB-Signatur verwenden zu können, müssen Sie sie zuerst auf dem SMB-Client und dem SMB-Server aktivieren oder sowohl auf dem SMB-Server als auch erforderlich machen. Die SMB-Signierung führt zu Leistungseinbußen. Es verbraucht nicht mehr Netzwerkbandbreite, verwendet aber mehr CPU-Zyklen auf der Client- und Serverseite.

Verwenden Sie immer das NTFS-Dateisystem für Volumes, die Benutzerdaten enthalten

Konfigurieren Sie für die sicherste Konfiguration Server, auf denen die UE-V-Einstellungsdateien gehostet werden, auf die Verwendung des NTFS-Dateisystems. Im Gegensatz zum FAT-Dateisystem unterstützt NTFS DACLs (Discretionary Access Control Lists) und SACLs (System Access Control Lists). DACLs und SACLs steuern, wer Operationen für eine Datei ausführen kann und welche Ereignisse die Protokollierung von Aktionen auslösen, die für eine Datei ausgeführt werden.

Verlassen Sie sich nicht auf EFS, um Benutzerdateien zu verschlüsseln, wenn sie über das Netzwerk übertragen werden

Wenn Sie das Encrypting File System (EFS) verwenden, um Dateien auf einem Remoteserver zu verschlüsseln, werden die verschlüsselten Daten während der Übertragung über das Netzwerk nicht verschlüsselt. Sie werden nur verschlüsselt, wenn sie auf dem Datenträger gespeichert sind.

Dieser Verschlüsselungsprozess ist nicht anwendbar, wenn Ihr System Internet Protocol Security (IPsec) oder Web Distributed Authoring and Versioning (WebDAV) umfasst. IPsec verschlüsselt Daten während des Transports über ein TCP/IP-Netzwerk. Wenn die Datei verschlüsselt wird, bevor sie in einen WebDAV-Ordner auf einem Server kopiert oder verschoben wird, bleibt sie während der Übertragung und während der Speicherung auf dem Server verschlüsselt.

Lassen Sie den UE-V-Dienst Ordner für jeden Benutzer erstellen

Um sicherzustellen, dass UE-V optimal funktioniert, erstellen Sie nur die Stammfreigabe auf dem Server, und lassen Sie den UE-V-Dienst die Ordner für jeden Benutzer erstellen. UE-V erstellt diese Benutzerordner mit der entsprechenden Sicherheit.

Mit dieser Berechtigungskonfiguration können Benutzer Ordner zum Speichern von Einstellungen erstellen. Der UE-V-Dienst erstellt und sichert einen Einstellungspaketordner, während er im Kontext des Benutzers ausgeführt wird. Benutzer erhalten Vollzugriff auf ihren Einstellungspaketordner. Andere Benutzer erben nicht den Zugriff auf diesen Ordner. Sie müssen keine einzelnen Benutzerverzeichnisse erstellen und sichern. Der UE-V-Dienst, der im Kontext des Benutzers ausgeführt wird, führt dies automatisch aus.

1. Fügen Sie den REG_DWORD Registrierungsschlüssel RepositoryOwnerCheckEnabled zu HKEY_LOCAL_MACHINE\Software\Microsoft\UEV\Agent\Configurationhinzu.
2. Legen Sie den Wert des Registrierungsschlüssels auf 1 fest.

Wenn diese Konfigurationseinstellung vorhanden ist, überprüft der UE-V-Dienst, ob die lokale Administratorgruppe oder der aktuelle Benutzer der Besitzer des Einstellungspaketordners ist. Andernfalls gewährt der UE-V-Dienst keinen Zugriff auf den Ordner.

Wenn Sie Ordner für die Benutzer erstellen müssen, stellen Sie sicher, dass Sie die richtigen Berechtigungen festgelegt haben.

Es wird dringend empfohlen, keine Ordner im Voraus zu erstellen. Lassen Sie stattdessen den UE-V-Dienst den Ordner für den Benutzer erstellen.

Stellen Sie die richtigen Berechtigungen zum Speichern von UE-V 2-Einstellungen in einem Basisverzeichnis oder einem benutzerdefinierten Verzeichnis sicher

Wenn Sie UE-V-Einstellungen in das Home-Verzeichnis eines Benutzers oder ein benutzerdefiniertes Active Directory (AD)-Verzeichnis umleiten, stellen Sie sicher, dass die Berechtigungen für das Verzeichnis entsprechend Ihrer Organization festgelegt sind.

Überprüfen Sie den Inhalt von Vorlagen für Einstellungsspeicherorte, und steuern Sie den Zugriff darauf nach Bedarf

Wenn eine Einstellungsvorlage erstellt wird, verwendet der UE-V-Generator eine LDAP-Abfrage (Lightweight Directory Access-Protokoll), um den Benutzernamen und die E-Mail-Adresse des aktuell angemeldeten Benutzers abzurufen. Diese Informationen werden in der Vorlage als Name des Vorlagenautors und E-Mail-Adresse des Vorlagenautors gespeichert. (Keine dieser Informationen wird an Microsoft gesendet.)

Wenn Sie Vorlagen für Einstellungsspeicherorte für Personen außerhalb Ihrer Organisation freigeben möchten, sollten Sie alle Speicherorte für Einstellungen überprüfen und sicherstellen, dass die Vorlagen für Einstellungsspeicherorte keine persönlichen oder Unternehmensinformationen enthalten. Sie können den Inhalt anzeigen, indem Sie die Vorlagendateien für den Einstellungsspeicherort mit einem beliebigen XML-Viewer öffnen. Auf folgende Weise können Sie persönliche Informationen oder Unternehmensinformationen aus den Vorlagendateien für den Einstellungsspeicherort anzeigen und entfernen, bevor Sie sie für Personen außerhalb Ihres Unternehmens freigeben:

• Name des Vorlagenautors: Geben Sie einen allgemeinen, nicht identifizierenden Namen für den Namen des Vorlagenautors an, oder schließen Sie diese Daten aus der Vorlage aus.
• Vorlagenautor-E-Mail: Geben Sie eine allgemeine, nicht identifizierende E-Mail-Adresse des Vorlagenautors an, oder schließen Sie diese Daten von der Vorlage aus.

Um den Namen des Vorlagenautors oder die E-Mail-Adresse des Vorlagenautors zu entfernen, können Sie die UE-V-Generatoranwendung verwenden. Wähle im Generator die Option "Einstellungsspeicherortvorlage bearbeiten" aus. Wählen Sie aus den zuletzt verwendeten Vorlagen die Vorlage für den Einstellungsspeicherort aus, die Sie bearbeiten möchten, oder navigieren Sie zur Vorlagendatei für die Einstellungen. Wählen Sie "Weiter " aus, um fortzufahren. Entfernen Sie auf der Seite Eigenschaften die Daten aus den Textfeldern Name des Vorlagenautors oder E-Mail des Vorlagenautors. Speichern Sie die Vorlage für den Speicherort der Einstellungen.

Verwandte Themen

Technische Referenz für UE-V