PowerServer I: Windows Server 2012 & WDS (mit WADK) PowerServer II: Server Security & Advanced Administration Group Policy Administration

Public Key Infrastructure (PKI) Kerberos V5

Active Directory 2012 Advanced ADS 2012 / 2008 R2

SQL Server 2012

Failover Cluster 2012

Remote Desktop Services
2008 R2

VMware vSphere 5.0

Configuration Manager 2012 Virtual Machine Manager 2012 Operations Manager 2012

Exchange Server 2013 Advanced Exchange HA (Exchange 2013) Advanced Exchange Disaster Recovery (Exchange 2010)

Advanced Administration Windows Server 2012 & 2008 R2 - Secure Channel - SMB Internals - Firewall - WMI - DCOM - RPC - BitLocker - UAC - WMIC -

SCHULUNGSZIEL
Der Fokus dieses "Advanced" Intensivkurses ist die Tiefe von Windows Server 2008 R2 und besonders Windows Server 2012 zu erforschen. Es geht dabei vorwiegend um die Serversicherheit und um wichtige Protokolle, die unter Windows bei fast allen Anwendungen eingesetzt werden. Der Kurs ist von erfahrenen Serveradministratoren für die Kollegen konzipiert, die einen Windows Servers näher verstehen möchten.
Dieser Intensivkurs ergänzt den PowerServer-I Kurs, setzt diesen jedoch nicht voraus, da viele Themen wie RPC, DCOM, WMIC und SMB-Internals etc.. erst in diesem Kurs behandelt werden. Mit Windows Server 2012 wurde die neue Version SMB 3.0 eingeführt, die die Serverlandschaft stark verändert. Daher haben wir beschlossen, SMB als neuer Schwerpunkt in diesen Kurs aufzunehmen. Im ersten Block beschäftigen wir uns mit dem Secure Channel, also auch mit dem Beitritt eines Windows Servers in die Domäne. Jede Windows Maschine als Member einer Domäne unterhält einen sog. Secure Channel mit einem Domänencontroller, dessen Aufbau bei dem Domänenbeitritt wir im Kurs untersuchen. Detailliertes Wissen über den Secure Channel ist für jeden Serveradministrator ein MUSS, denn er hat sehr viel mit der Serversicherheit und NETLOGON zu tun. Das Computerpassword spielt bei der Sicherheit eine sehr große Rolle, da diverse Verschlüsselungskeys daraus abgeleitet werden. Beispielsweise wird der sog. Master Key (Long-Term Key) für die RC4-HMAC Verschlüsselung der Kerberos Pre-Authentication Daten (Padata) aus dem Computerpassword abgeleitet. Auch der Session Key für den Aufbau des Secure Channels zwischen einem Client und seinem Anmelde-DC wird aus dem Computerpassword errechnet. Wir lernen das Computerpassword zu ändern um zu simulieren, wann ein Secure Channel "broken" ist und wie er repariert werden kann. Ein Serveradministrator sollte außerdem die lokale SAM Datenbank und Active Directory NTDS Datenbank kennen, um die verschlüsselt gespeicherten Password-Hash (LM und NTLM) zu lokalisieren. Im zweiten Block werden die Remote Zugriffe auf die Serverressourcen analysiert, die bei einem "geschützten" Windows 2012 Server mehrere Hürden passieren müssen, um auf die unterschiedlichen Ressourcen gelangen zu können: --> Verbindungssicherheit (IPSec) --> Firewall --> RPC --> DCOM-Sicherheit --> WMI-Sicherheit & User Account Control (UAC) --> NTFS & Share Berechtigung.
Die neue Windows Firewall with Advanced Security (WFAS) integriert die Firewall mit IPSec und AuthIP. WFAS kann somit Benutzer- bzw. Computer-Authentifizierung per Kerberos vor einem Zugriff durchführen. Wir nutzen diese sog. "Domain Isolierung" als äußerster Sicherheitsgrenze, um 2012 Server vor "fremden" Zugriffen zu schützen. Ein Zugriff auf eine Ressource verlangt i.d.R. immer eine Authentifizierung, ein Impersonation Level Privileg und letztendlich eine Autorisierung durch Berechtigungen. WMI-Namespaces werden durch Security Descriptoren geschützt, dass nicht jeder auf deren WMI-Objektklassen und somit Daten zugreifen können. Zu den zu schützenden Systemressourcen sind auch die DCOM-Objekten, die eigene Security Descriptoren besitzen und somit eine Autorisierung von RPC-Zugriff verlangen. RPC (Remote Procedure Call) ist in der Windows-Welt immer noch der mächtigste und meist eingesetzte Interprozess-Kommunikation Mechanismus. Der RPC-Client baut eine Verbindung mit einem RPC-Server auf, indem er einen RPC-Binding String (RPC-Protokoll, UUID der Anwendung...) dem RPC-Server übermittelt. Der RPC-Port Mapper (Port 135) sorgt dafür, dass der Client den Serverport des RPC-Interfaces (Serveranwendung) findet. Jenach Sicherheitsanforderung muss das geforderte RPC-Authentication Level vom Client erfüllt werden. Parallel zu RPC lernen wir, wie Remote Zugriffe mit WinRM/WinRS via HTTPS (WS-Management) und PowerShell (PS-Session) durch Firewall konfiguriert werden können. Im dritten Block geht es um den neuen Themenschwerpunkt SMB (Server Message Block). In Windows 8 und Windows Server 2012 ist die neue Version SMB 3.0 implementiert, mit der die Performance von Zugriff auf einen File Server erheblich gesteigert wird. Während im Kurs PowerServer-I das neue Feature SMB-Multichannel ausführlich behandelt wird, befassen wir uns in diesem Kurs mehr mit der SMB-Sicherheit, SMB-Internals und vor allem SMB-Performance. D.h. wie der Zugriff vom SMB-Client (LanmanWorkstation) auf einen Windows 2012 File Server (LanmanServer) mit oder ohne SMB-Multichannel optimiert werden kann.
Es ist aber dazu notwendig die verschiedenen SMB-Versionen und deren Zusammenarbeit kennenzulernen.

- CIFS 1.0	Windows NT 4.0
- SMB 1.0	Windows 2000, XP, 2003
- SMB 2.002	Windows VISTA, Server 2008
- SMB 2.1	Windows 7, Server 2008-R2
- SMB 3.0	Windows 8, Server 2012 ⇒ SMB-Multichannel, SMB-Direct (RDMA), SMB-Encryption

Durch Sniffen mit dem Netzwerkmonitor werden wir den SMB-Datenverkehr zwischen diversen SMB-Client und Windows 2012 File Server analysieren, um folgende SMB-Themen zu studieren:

- SMB-Negotiation	⇒ Aushandlung zwischen Client und Server, um auf eine gemeinsame Konfiguration (SMB-Dialekt, Cache Buffer, etc..) zu einigen.
- SMB-Signing	⇒ Digital Signierung von SMB-Paket gegen Fälschung und Man-In-the-Middle Attack (Algorithmen MD5, HMAC SHA-256, AES-CMAC)
- SMB-Encryption	⇒ Verschüsselte SMB 3.0 Kommunikation zwischen Windows 8 und Windows 2012 File Server (Freigabe-Level oder Server-Level)
- SMB-Multichannel	⇒ Hochverfügbarkeit und Kanalbündelung für die Kommunikation zwischen Windows 8 und Windows 2012 File Server

Im vierten Block praktizieren wir mit BitLocker Domain Controller gegen "Cold Start" Angriff zu schützen. Im Zusammenspiel mit dem TPM-Chip des Rechners hilft BitLocker nicht nur die gesamte Betriebssystem-Partition C:\ verschlüsselt, sondern auch die gesamte Bootstrecke gegen Veränderung zu schützen. BitLocker Unlock und Recovery Methoden mit Hilfe von Active Directory sorgen dafür, dass BitLocker in einer Enterprise Umgebung zentral verwaltbar ist. Im fünften Block wird das Thema Event Instrumentation und Event Tracing und somit auch um WMI (Windows Management Instrumentation) behandelt. Informationen über Hardware und Betriebssystem können statisch (CIM-Datenbank) oder dynamisch durch WMI-Provider abgefragt werden. Events und Event Traces werden durch Zustandsänderungen von diversen Event-Providern erzeugt. Beispielsweise schreiben mehrere WMI-Provider die Sicherheitsereignisse in den Security-Log. Überwachungssysteme wie System Center Operation Manager (SCOM) nutzen u.a. WMI-Daten (Namespaces, Provider, Classes) und Events sowie Event Traces um die Funktionalität einer Systemkomponente oder des Gesamtsystems zu überwachen. Auditing und andere Events können mit sog. XPath Filter fein durchsucht und aufgelistet werden. Mit der neuen ETW (Event Tracing for Windows) Technologie können nicht nur Events (*.evtx), sondern auch Trace (*.evtl) von diversen Event-Providern wie. z.B. NT Kernel Logger erzeugt und analysiert werden. Auch die Sicherheit der Eventlogs kann modifiziert werden, sodass beispielsweise neben den Administratoren auch die Gruppe Security-Auditoren auf die Security Logs zugreifen können. Im sechsten Block kümmern wir uns um die Windows Server 2012 Services, dazu gehören Service Hardening, Triggered Services sowie die speziellen Service-Berechtigungen und wie diese in SDDL (Security Definition Description Language) konfiguriert werden können. Optional: Wenn die Zeit zulässt, möchten wir die Themen UAC (User Account Control) & Virtual Store sowie WIC (Windows Integrity Control) auffrischen, die zum Teil im Kurs PowerServer-I behandelt werden. Wir empfehlen als Ergänzung auch die Kurse PowerServer-I , KERBEROS und PKI2012 zu besuchen. Hinweis: Bitte bringen Sie zum Kurs Ihre Evaluation DVD oder ISO mit der gewünschten Sprachversion mit. Wir dürfen keine Volume License für Kurse nutzen!

Windows Start Up - Secure Channel

Windows Server Sicherheitszonen (Live im Kurs)

Server Massage Block - SMB 3.0