Sichern der Datenbanken

RMS (Rights Management Services oder Dienste für die Rechteverwaltung) erstellt und verwendet folgendermaßen drei Datenbanken mit unterschiedlichen Sicherheitsanforderungen:

• Verzeichnisdienste. Diese Datenbank erstellt einen Cache der Ergebnisse von Abfragen der Mitglieder der Active Directory-Gruppe. Da sie nur Active Directory-Informationen enthält, ist neben der automatisch während der Bereitstellung von RMS konfigurierten Sicherheit keine weitere Sicherheit erforderlich.
• Protokollierung. Die in dieser Datenbank enthaltenen Informationen sind vertraulicher als die Informationen in der Datenbank der Verzeichnisdienste, da durch ihre Veröffentlichung der Datenschutz der Benutzer beeinträchtigt werden könnte. Microsoft hat großen Wert darauf gelegt, sicherzustellen, dass keine persönlich identifizierbaren Informationen (Personally Identifiable Information oder PII) protokolliert werden und dass alle in dieser Datenbank protokollierten Informationen durch entsprechende Sicherheitsmaßnahmen geschützt werden. Weitere Sicherheitsänderungen an dieser Datenbank sind nicht nötig, sofern sie nicht zu einem anderen Computer mit SQL Server verschoben wird. Wird die Datenbank zu einem anderen Server verschoben, müssen Sie sicherstellen, dass die gleichen Schutzmechanismen auch in der neuen Umgebung angewendet werden.
• Konfiguration. Diese Datenbank ist neben den privaten Schlüsseln des Servers die wichtigste und wertvollste Ressource in einer RMS-Bereitstellung. Sie enthält vertrauliche und wichtige Informationen, die sorgfältig geschützt werden müssen. Dazu gehören alle Zertifikate und Schlüssel, der verschlüsselte private Schlüssel des Servers (sofern die empfohlene Hardwareverschlüsselung verwendet wurde) und der Kennworthash des privaten Schlüssels. Darüber hinaus enthält sie Konfigurationsinformationen.

Wenn RMS die Konfigurationsdatenbank erstellt, werden Berechtigungen festgelegt, die den Zugriff einschränken und die Sicherheit der Datenbank sicherstellen.

Erhöhen der Datenbanksicherheit

Mithilfe der folgenden Schritte können Sie insgesamt die Sicherheit dieser im Netzwerk und in der Serverumgebung enthaltenen Datenbanken erhöhen:

• Führen Sie den Datenbankserver auf einem Computer unter Windows Server 2003 aus. Dieses Betriebssystem ist standardmäßig sicherer als Windows 2000 Server. Sie können einen Windows 2000 Server-basierten Computer sperren. Dies ist jedoch ein zeitaufwändiger Vorgang, bei dem Ihnen möglicherweise Fehler unterlaufen, die böswilligen Benutzern Zugriff auf die Datenbank ermöglichen könnten.
• Schränken Sie den Zugriff auf den Datenbankserver physisch ein.
• Stellen Sie sicher, dass die Datenbankberechtigungen und freigegebenen Zugriffssteuerungslisten (Discretionary Access Control List = DACL) von Datenbankdateien den Zugriff auf autorisierte Benutzer beschränken. Die von RMS konfigurierten Standardberechtigungen und DACLs sind sicher. Nehmen Sie Änderungen von Standardeinstellungen nur mit Vorsicht vor.
• Führen Sie keine nicht erforderlichen Dienste auf dem Datenbankserver aus, z. B. Microsoft Internetinformationsdienste (Internet Information Services oder IIS), Message Queuing oder Terminaldienste.
• Führen Sie auf dem Datenbankserver außer RMS-Datenbanken keine weiteren Datenbanken aus.

Sichern Sie SQL Server-Datenbanken durch Konfigurieren von SSL (Secure Sockets Layer) oder Internetprotokollsicherheit (Internet Protocol Security oder IPsec) zum Bereitstellen verschlüsselter Kanäle. Durch Verschlüsseln der Datenbankkommunikation wird verhindert, dass unberechtigte Benutzer protokollierte Daten aufzeichnen oder ändern.

Weitere Informationen zum Konfigurieren von SSL für SQL Server finden Sie auf der MSDN-Website (https://go.microso).

Weitere Informationen zum Konfigurieren von IPsec für SQL Server 2000 finden Sie auf der MSDN-Website (https://go.microso).

Weitere Informationen zum Sichern der Microsoft Windows Server 2003 Betriebssystemfamilie finden Sie im „Windows Server 2003 Sicherheitshandbuch“ über das Microsoft Download Center (https://go.microsoft.com/fwlink/?LinkId=36719).