Sicherheitskonzept für Citrix-ähnlichen Server, gestreamte Remote Sessions unter Windows Server 2008 R2 Standard

Guten Tag,

ich habe folgende Konfiguration vor:

Einen Windows Server 2008 R2 Standard als Root Server als Basis für gestreamte Desktops über Citrix-ähnliche Software (www.terminalserviceplus.de)

Das OS ist standardmäßig installiert worden, keine Rolle ist hinzugefügt worden, das einzige was konfiguriert worden ist:

RDP aktiviert
Firewall konfiguriert
Windows Updates + IE9 installiert
Firefox+Adblock installiert
Antivirus Software installiert
Div. Sicherheitsprotokollierungen eingeschaltet (RDP Zugriffsprotokollierung)
(+ User angelegt etc. Ich arbeite nicht mit Active Directory)
Software TerminalServiceplus (NICHT TS von Microsoft!)

Auf dem Server sollen über eine Citrix-ähnliche Software (www.terminalserviceplus.de)
Bis zu 5 User auf Ihrem gestreamten Desktop arbeiten. Die Software bietet einige zusätzliche Sicherheitsmaßnahmen.

Insgesamt sieht die Konfiguration und Absicherung des Servers also so aus:


- Windows Server 2008 R2 Standard Installation, ohne Rollen, RDP aktiviert
- Keine weiteren Rollen, Dienste etc. installiert. Alle Updates installiert. IE9 installiert.
- Antivirus installiert
- Firewall aktiviert, nur RDP eingehend erlaubt
- RDP Zugriff NUR über TSPlus erzeugten Client möglich (normale RDP Zugriffe über Microsoft Protokoll werden gesperrt und sind nicht möglich)
- Verbindung zusätzlich wie folgt abgesichert: - PC-Namensfilter, Nur RDP Benutzergruppe, Verbindung mit 1024 Bit SSL verschlüsselt, Nur eine Verbindung pro Session, Session wird nach 60 Sekunden getrennt wenn rausgeflogen, Über Sicherheitsrichtlinie muss der anmeldende PC sich authentifizieren, Sichere und lange Passwörter werden verwendet

Dazu sind die wichtigen Daten auf dem Server, die Daten mit denen gearbeitet wird, nicht das OS an sich, über McAfee File and Folder Encryption mit AES verschlüsselt und beim Connecten zum Server wird zusätzlich dieser Schlüssel abgefragt. Sollte das Fehlschlagen, kann ein User zwar connecten, aber nicht auf die Daten die er zum Arbeiten braucht, zugreifen.

Vor dem Server ist noch eine Hardware Firewall, entsprechend nur den RDP Port eingehend geöffnet.


Die Clients verbinden sich über eine von Terminalserviceplus generierte .exe Datei auf Ihre Remote Session, diese Datei ist gesperrt für andere als nur den zugewiesenen Client-PC + natürlich Passwortabfrage.

Auf die Absicherung der Clients gehe ich an diesem Punkt _nicht_ein, mir geht es erst einmal nur um den Server.


Meine Frage hier zu:

Wo besteht noch Gefahrenpotenzial? Die User sollen auf dem gestreamten Desktop arbeiten (Office, Internet, Access Datenbanken etc.). Dabei besteht natürlich die Gefahr des falschen Umgangs mit dem Internet/Emails. Das ganze ist durch eine Antiviren Software zumindest prinzipiell abgesichert. Die User haben vereinbarte Spielregeln an die sie sich halten müssen.

Was mir nicht ganz klar ist: Hat das OS im Kernel oder in den standardmäßig laufenden Diensten Schwachstellen die noch abgesichert werden müssen oder kann da jemand von außen NICHT dran ? Ich rede von den Systemprozessen, nicht Diensten wie FTP, ILS, RDP etc.

Sollte ich gewisse Dienste verhärten? Wo lauert noch Gefahrenpotenzial? Habe ich bei der Firewall Konfiguration alles richtig gemacht? Die Firewall ist

a) Eingeschaltet
b) RDP Eingehend erlaubt
c) Sonst _alle_ Regeln deaktiviert


Die Hardware FW ist auch entsprechend konfiguriert.

Ich freue mich über jeden sicherheitstechnischen Hinweis, vielleicht habe ich ja etwas völlig übersehen. Bitte haut mir auf die Finger! Danke 

Freundliche Grüße

Fummel