Erweiterte Einstellungen

Unter Erweiterte Einstellungen > Schutzfunktionen > Netzwerkzugriffsschutz > Netzwerkangriffsschutz > Erweiterte Einstellungen können Sie die Erkennung bestimmter Angriffstypen und Exploits, die Ihrem Computer schaden können, aktivieren bzw. deaktivieren.

Eindringversuche erkennen

Die Angriffsversuchserkennung überwacht die Gerätenetzwerkkommunikation auf bösartige Aktivitäten.

•-ProtokollSMB – Erkennt und blockiert verschiedene Sicherheitsprobleme im SMB-Protokoll:

•-ProtokollRPC - Erkennt und blockiert verschiedene CVEs im RPC-System, die für die Umgebung für verteilte Datenverarbeitung (DCE) entwickelt wurden.

•-ProtokollRDP – Erkennt und blockiert verschiedene CVEs im RDP-Protokoll (siehe oben).

•ARP Poisoning-Angriffe erkennen – Erkennung von ARP Poisoning-Angriffen in Form von Man-in-the-Middle-Angriffen oder Erkennung von Sniffing am Netzwerk-Switch. ARP (Address Resolution Protocol) wird von Netzwerkanwendungen und -geräten zur Bestimmung der Ethernet-Adresse verwendet.

•TCP/UDP Portscan-Angriffe erkennen – Erkennung von Angriffen durch Portscanning-Software – Diese Anwendungen suchen nach offenen Ports, indem sie Anfragen an eine Vielzahl von Port-Adressen schicken. Dabei wird nach aktiven Ports und ausnutzbaren Sicherheitslücken gesucht. Weitere Informationen zu diesem Angriffstyp finden Sie im Glossar. Nähere Informationen zu dieser Angriffsart finden Sie im Glossar.

•Unsichere Adresse nach erkanntem Angriff blockieren - Fügt IP-Adressen, die als Angriffsquellen identifiziert wurden, zur Negativliste hinzu, um die Verbindung für einen bestimmten Zeitraum zu unterbinden. Mit dem Aufbewahrungszeitraum für die Blacklist können Sie festlegen, wie lang die Adresse nach der Erkennung eines Angriffs blockiert werden soll.

•Bei Angriffserkennung benachrichtigen – Aktiviert Hinweise im Windows-Infobereich der Taskleiste rechts unten auf dem Bildschirm.

•Benachrichtigung auch bei eingehenden Angriffen auf Sicherheitslücken anzeigen - Zeigt eine Benachrichtigung an, wenn Angriffe auf Sicherheitslücken erkannt werden oder eine Bedrohung versucht, auf diese Weise in das System zu gelangen.

Paketprüfung

Eine Art Paketanalyse, mit der über das Netzwerk übertrage Daten gefiltert werden.

•Eingehende Verbindungen zu administrativen Freigaben per SMB-Protokoll zulassen – Administrative Freigaben (admin shares) sind Standard-Netzwerkfreigaben für Festplattenpartitionen (C$, D$, ...) im System zusammen mit dem Systemordner (ADMIN$). Die Deaktivierung von Verbindungen zu den administrativen Freigaben unterbindet zahlreiche Sicherheitsrisiken. Der Conficker-Wurm verwendet beispielsweise Wörterbuchangriffe, um sich mit administrativen Freigaben zu verbinden.

•Alte (nicht unterstützte) SMB-Dialekte blockieren – Verhindert SMB-Sitzungen mit alten SMB-Dialekten, die nicht von IDS unterstützt werden. Moderne Windows-Systeme unterstützen alte SMB-Dialekte aus Kompatibilitätsgründen mit alten Systemen wie z. B. Windows 95. Ein Angreifer kann einen alten Dialekt in einer SMB-Sitzung verwenden, um die Datenprüfung zu umgehen. Blockieren Sie alte SMB-Dialekte, wenn Ihr Computer keine Dateien mit alten Windows-Versionen teilen (oder SMB-Kommunikation allgemein verwenden) muss.

•SMB-Sitzungen ohne erweiterte Sicherheitsfunktionen blockieren – Erweiterte Sicherheit kann in SMB-Sitzungen verwendet werden, um einen sichereren Authentifizierungsmechanismus im Vergleich zur LAN Manager Challenge/Response (LM)-Methode zu erhalten. Die LM-Methode gilt als schwach und sollte daher nicht verwendet werden.

•Öffnen von ausführbaren Dateien auf Server außerhalb der vertrauenswürdigen Zone per SMB-Protokoll blockieren – Blockiert Verbindungen, wenn Sie versuchen, eine ausführbare Datei (.exe, .dll, usw.) aus einem freigegebenen Ordner auf einem Server auszuführen, der in der Firewall nicht der vertrauenswürdigen Zone zugeordnet ist. Beachten Sie, dass das Kopieren ausführbarer Dateien aus vertrauenswürdigen Quellen legitim sein kann. Das Kopieren ausführbarer Dateien aus vertrauenswürdigen Quellen kann zwar rechtmäßig sein, diese Prüfung soll jedoch vor Risiken schützen, die durch unerwünschtes Ausführen von Dateien auf infizierten Servern (beispielsweise durch Öffnen einer Datei mit Schadsoftware nach dem Klicken auf einen Hyperlink) entstehen.

•NTLM-Authentifizierung bei Server innerhalb/außerhalb der vertrauenswürdigen Zone per SMB-Protokoll blockieren – Protokolle mit NTLM-Authentifizierungsmechanismen (beide Versionen) können durch die Übertragung von Anmeldeinformationen angegriffen werden (bekannt als SMB Relay-Angriff im Fall des SMB-Protokolls). Durch das Blockieren von NTLM-Authentifizierung für Server außerhalb der vertrauenswürdigen Zone verhindern Sie, dass Anmeldeinformationen durch diese Server weitergeleitet werden. Die NTLM-Authentifizierung kann ebenfalls für Server innerhalb der vertrauenswürdigen Zone blockiert werden.

•Verbindungen zur Sicherheitskontenverwaltung (SAM) zulassen - Weitere Informationen zu diesem Dienst finden Sie unter [MS-SAMR].

•Verbindungen zur Local Security Authority (LSASS) zulassen - Weitere Informationen zu diesem Dienst finden Sie unter [MS-LSAD] und [MS-LSAT].

•Verbindungen zum Dienst „Remoteregistrierung“ zulassen - Weitere Informationen zu diesem Dienst finden Sie unter [MS-SAMR].

•Verbindungen zum Service Control Manager (SCM) zulassen - Weitere Informationen zu diesem Dienst finden Sie unter [MS-SAMR].

•Verbindungen zum Serverdienst zulassen - Weitere Informationen zu diesem Dienst finden Sie unter [MS-SAMR].

•Verbindungen zu anderen Diensten zulassen - Sonstige MSRPC-Dienste. MSRPC ist die Microsoft-Implementierung des DCE RPC-Mechanismus. MSRPC kann außerdem Named Pipes aus dem SMB-Protokoll für den Transport verwenden (ncacn_np transport). MSRPC-Services bieten Schnittstellen für den Fernzugriff und die Verwaltung von Windows-Systemen. Es wurden zahlreiche Schwachstellen im Microsoft MSRPC-System entdeckt und ausgenutzt (Beispiel: Conficker-Wurm, Sasser-Wurm usw). Deaktivieren Sie die Kommunikation mit nicht benötigten MSRPC-Diensten, um zahlreiche Sicherheitsrisiken auszuschließen (z. B. Remote Code Execution oder Service Failure-Angriffe).