Windows 10 ? Das bietet das OS in Sachen Sicherheit

Ende Juli bringt Microsoft Windows 10, die nächste grössere Version des Betriebssystems, auf den Markt. Über Konzeptund Verbesserungenhaben wir bereits umfangreich berichtet. Doch wie steht es um die Sicherheit? Hier schneidet das OS aus Redmond im Vergleich zu den Vorgängern durchaus gut ab. Wir präsentieren in der Folge einige der Security-Spezialitäten in Windows 10.

Unter der Bezeichnung «Windows Hello» bringt Microsoft biometrische Erkennungsverfahren in Windows 10 – zumindest dann, wenn die Hardware mit entsprechenden Lesegeräten zur Erkennung von Fingerabdruck, Gesicht oder Iris vorhanden ist. Und hier dürfte der Knackpunkt liegen. Zwar unterstützt das Verfahren herkömmliche Fingerabdruck-Scanner. Für die Gesichtserkennung und für den Iris-Scan muss spezielle Hardware angeschafft werden – aus Sicherheitsgründen, wie Microsoft ausführt. Schliesslich könne sonst jemand ein Bild vor die Webcam halten und erhalte Zutritt zum System, so die Argumentation. Doch über die biometrische Schnittstelle in Windows 10 sollen Anwender nicht nur Zugang zum eigenen Rechner erhalten. Auch Applikationen und Webseiten sollen biometrisch zugänglich sein. Dreh- und Angelpunkt soll hierfür ein Programmiersystem sein, das unter der Bezeichnung «Passport» entwickelt wird. Der Clue: Ist man einmal identifiziert, erhält man als Anwender Zutritt zu diversen Anwendungen und Webseiten. Passport soll bei Windows-10-Start von Unternehmen genutzte «Active Directory»-Dienste auf der Cloud-Plattform Azure unterstützen. Zudem ist Microsoft die Fido-Allianz (Fast IDentity Online) beigetreten. Dadurch wird eine Mehrfaktoren-Athentifizierung fix eingebaut, die aber keine Extra-Hardware-Geräte wie Token und Smartcards mehr benötigt. Einmal dabei, wird das Gerät zu einem Teil der Zwei-Faktoren-Identifikation. Nächste Seite: DLP und BYOD-Management fix in Windows 10

Unternehmensdaten sollen unter Windows 10 besser geschützt werden, und zwar durch Datenleck-Prävention (DLP). Seit Windows Vista verschlüsselt BitLocker den Inhalt der Festplatte. Doch eine Lösung, die auch dann für die Sicherheit der Daten sorgt, wenn diese das Gerät verlassen, gibt es erst seit der Einführung der Cloud-Dienste Azure Rights Management und Information Rights Management in Microsoft Office. Doch diese Beruhen auf der Zustimmung des Anwenders (Opt-in). Unter Windows 10 sollen nun DLP-Massnahmen in einer kompletten IT-Infrastruktur durchgesetzt werden können.

Unter Windows 10 sollen auch ein paar BYOD-Kopfschmerzen eleminiert werden. Unter dem neuen Betriebssystem können Administratoren bestimmen, mit welchen Apps Anwender aufs Firmen-eigene VPN zugreifen dürfen – und noch wichtiger: mit welchen Diensten eben nicht. Zudem lässt sich der Zugang auch auf bestimmte IP-Adressen und Ports beschränken. Zudem können Admins die Endgeräte so konfigurieren, dass nur vertrauenswürdige Applikationen installiert werden können. Nächste Seite: Bye, bye Patch Tuesday?

In Windows 10 lassen sich System-Updates vollautomatisch einspielen, also auch komplett ohne ein Zutun des Endanwenders. Ob damit Microsoft weiterhin die Sicherheitslücken gebündelt einmal im Monat stopft oder je nach Bedarf, ist noch nicht ganz klar. Somit ist auch noch nicht sicher, ob der ominöse Patch Tuesday weiter existieren wird. In jedem Fall wird es laut Microsoft künftig verschiedene Update-Kreise geben. So werde man sich entscheiden können, dass Updates sofort eingespielt werden oder ob gewartet werden soll, bis jeweils ein Paket geschnürt ist.

Mit Windows 10 will Microsoft auch sogenannte Advanced Threat Analytics (ATA) einführen. Damit sollen Angreifer schon im Frühstadium einer Attacke ausser Gefecht gesetzt werden. Wie Idan Plotnik, der die ATA-Entwicklung bei Microsoft verantwortet, in einem Gastblogausführt, reichten Verfahren wie die Analyse von Logfiles nicht mehr aus, um aktuelle Einbruchsversuche früh zu erkennen. Meistens wisse man dadurch erst, dass man angegriffen worden sei, nachdem die Attacke bereits vorüber ist. ATA kombiniere daher die Logfile-Analyse mit der Inspektion von Netzwerk-Paketen (Deep Packet Inspection; DPI) und mit Informationen aus dem zentralen Verzeichnisdienst Active Directory. Das Ganze soll sodann durch KI-Algorithmen angereichert werden, also selbstlernende Eigenschaften haben. Nächste Seite: Besserer Virenschutz

Windows 10 bringt eine neue Schnittstelle, über die Datenströme oder URLs auf potenzielle Malware überwacht werden können. Die neue Schnittstelle AMSI (Antimalware Scan Interface) bietet Programmen von Drittanbietern die Möglichkeit, auf die installierte Virenschutz-Software zugreifen zu können. So ist es möglich, Datenströme und Dateien bereits während des Transfers auf schädliche Codes oder Codefragmente zu untersuchen. Im Gegensatz zu den mittlerweile weitverbreiteten Echtzeitfunktionen eines Virenscanners kann mittels dieser Schnittstelle Schadcode enttarnt werden, wenn er sich nicht in einer Datei auf der Festplatte befindet, sondern beispielsweise im Arbeitsspeicher zwischengespeichert wird. Ein anderer solcher Fall kann auch ein auf einer Skript-Sprache basierter Schadcode sein. Ein solcher kann von einem Virenscanner unter Umständen als harmlos taxiert werden, da die verschiedenen Codefragmente erst beim Ausführen Schaden anrichten können. Als Beispiele nennt Microsoft Chat-Programme, deren Nachrichten mit ANSI auf gefährliche URLs geprüft werden, oder Webgames, die zur Ausführung ein gewisses Plug-In benötigen. Die Schnittstelle soll zudem nicht nur mit dem Windows Defender funktionieren, sondern auch mit Virenscannern von Drittanbietern.