lokale Sicherheitsrichtlinie - Speed vs. Sicherheit

[Mantikor 10]

Hallo zusammen,

 

ich hatte massive Probleme mit der Netzwerkgeschwindigkeit und habe unter Anderem hier (Netzwerktotal.de - Langsame Datenübertragung von Rechner zu Rechner im LAN) ein paar Hinweise gefunden, wie das zu beheben sein könnte. Auf dem Testsystem haben diese Schritte auch zum Erfolg geführt. Aber warum poste ich das im Bereich Sicherheit?

 

Naja, in dem Beitrag oben geht es um die Deaktivierung einiger Punkte in der lokalen Sicherheitsrichtlinie von Windows XP Prof. Namentlich sind das die Punkte:

 

Microsoft-Netzwerk (Client) : Kommunikation digital signieren (immer)

Microsoft-Netzwerk (Client) : Kommunikation digital signieren (wenn möglich)

Domänenmitglied : Daten des sicheren Kanals digital signieren (wenn möglich)

Domänenmitglied : Daten des sicheren Kanals digital verschlüsseln (wenn möglich)

Domänenmitglied : Daten des sicheren Kanals digital verschlüsseln oder signieren (immer)

Domänenmitglied : Starker Sitzungsschlüssel erforderlich (Windows 2000/XP oder höher)

 

Ich bin mir nicht sicher, welche Auswirkungen die Deaktivierung dieser Punkte auf die Sicherheit meines Systems hat. Kann mir das jemand erläutern?

 

Vielen Dank für eure Hilfe!

 

Mantikor

[IThome 10]

Schau mal hier unter "Aktivieren der SMB-Signierung auf Domänencontrollern"

http://www.microsoft.com/germany/technet/datenbank/articles/600379.mspx#ETWDI

Hier steht noch etwas mehr ...

Overview of Server Message Block signing

[nerd 28]

Hi,

 

wie hoch ist denn der Performance Gewinn durch das ausschalten der Signierung in deinem Fall? Normal sollte das nahe zu nicht spürbar sein wenn wir nicht gerade über eine Modem WAN Verbindung sprechen.

 

Wie sieht denn euer Netz im allgemeinen aus? Anzahl Rechner, Subnetze, geswitch oder gehubtes Netz etc.

 

Gruß

[IThome 10]

Ups, hab auch noch einen vergessen

Microsoft Corporation

SMB-Signierung soll laut Microsoft etwa 10%-15% zusätzlichen Overhead erzeugen. Dass das Netzwerk dadurch aber merklich langsamer oder gar unbenutzbar wird, habe ich persönlich noch nie gesehen. Durch das Abschalten der oben genannten Einstellungen nimmst Du Dir natürlich auch einen Teil der Sicherheit, die per Default eingerichtet ist. Ich würde erstmal das eigentlichen Problem suchen , ich denke nicht, dass es speziell an der SMB-Signierung liegt ...

[Mantikor 10]

Guten Morgen,

 

vielen Dank für die Antworten!

Wir haben hier etwa 30 Clients in einem Netzwerk mit 2 Windows Server 2003 - Maschinen. Alles ist mit Switchen verbunden.

 

Das Problem war, dass beim Öffnen von Netzwerkordnern (auch beim Speichern z.B. aus Office-Anwendungen) eine Verzögerung von 3-7 Sekunden aufgetreten ist, währenddessen das System nicht reagiert hat. Das war sehr zeitraubend und frustrierend, insbesondere wenn man viel auf den Netzlaufwerken arbeitet. Seit ich die obigen Einstellungen deaktiviert habe, läuft das Testsystem mit Verzögerungen von ca. 0,5 - 1 Sekunde, also wesentlich schneller.

 

Danke für die guten Links, jetzt bin ich schlauer :cool:

Allerdings habe ich noch nicht verstanden, ob das System wirklich gefährdet wäre, wenn die obigen Einstellungen nicht aktiviert sind. So wie ich das verstanden habe, wird der Datenstrom vom Client zum Server verschlüsselt, um einen Man-in-the-Middle-Angriff zu vermeiden. Da wir aber ein physisch abgetrenntes Netzwerk haben (ins Internet geht es über eine Hardware-Firewall und einen Router) halte ich die Gefahr für sehr gering. Wie seht ihr das?

 

Cheers

 

Mantikor

[nerd 28]

Hi,

 

also grundsätzlich hast du recht. Die Gefahr von Man in the Middle Angriffen ist in einem so kleinen Netz sehr gering und vermutlich sogar vernachlässigbar. Allerdings kann ich mir nicht vorstellen, dass das wirklich die Ursache deines Problems ist / war. Kannst du Netzwerkprobleme ausschließen?

 

Gruß

[Mantikor 10]

Im Bezug auf Sicherheit bin ich dann mal aufs Erste beruhigt.

 

Leider kann ich Netzwerkprobleme nicht ausschließen. Ich weiß allerdings auch nicht, wie ich das Nadelör finden kann. Gibt es Tools, die einem dabei helfen? Für Hinweise wäre ich dankbar, ich würde die Ursache gerne eliminieren. :)

[nerd 28]

Hi,

 

beschreibe mal etwas dein Netzwerk in Bezug auf Subnetze, aktive und passive netzwerkkomponenten...

 

Gruß

[Das Urmel 10]

Lasse den Rest bzgl. SMB mal auf default und drehe nur das

RemoteComputer/NameSpace/D6277990-4C6A-11CF-8D87-00AA0060F5BF"

 

ab ;)

 

Davon ab, sind diese Einstellungen konkurierend

Microsoft-Netzwerk (Client) : Kommunikation digital signieren (immer)

Microsoft-Netzwerk (Client) : Kommunikation digital signieren (wenn möglich)

 

Die Erste zieht ohne wenn und aber, die Zweite handelt aus und benötigt Zeit und unnötig wenn #1 aktiv ist - ergo sich für eine Regel entscheiden.

[Mantikor 10]

@Urmel: Ich habe den Schlüssel gelöscht und die Sicherheitsrichtlinie wiederhergestellt. Ich bin mal gespannt, ob sich in der Performance etwas ändert.

 

@Johannes: Das ist ein sehr simples Netzwerk, keine großartigen Besonderheiten. 2 Switches, 2 Server, 30 Clients, Gigabit-Ethernet-Kabel, ein paar einzelne Netzwerkdrucker, Keine Hubs von denen ich wüsste, hinter dem Server entsprechend noch Gateway und Firewall. Eigentlich alles simpel und für die Geschwindigkeit des Zugriffs auf die Fileserver (hoffentlich) unkritisch.

 

Ideen?

 

Cheers

 

Mantikor

[Mantikor 10]

@Urmel: Also heute ist das Netzwerk wieder langsam wie eh und jeh. Der Schlüssel scheint es also nicht gewesen zu sein. Trotzdem danke für den Hinweis!

[Das Urmel 10]

Sory - wohl zu knapp geantwortet?

 

Bin von GPO's ausgegangen - und Server {DC's} im Einsatz.