Windows Server 2025 / Sicherheit von Defender und Windows-Firewall prüfen

Prüfen Sie für den Schutz von Windows Server 2025 den Betriebsmodus und Aktualisierungsstand von Microsoft Defender Antivirus, die Ausschlüsse sowie die tatsächlich angewendeten Profile und Regeln der Windows-Firewall. Kontrollieren Sie anschließend die benötigten Serverdienste und beschränken Sie Ausnahmen auf einen konkreten Zweck. Diese Übung fragt den Zustand ab und legt eine einzelne Laborregel an, die danach wieder entfernt wird; die Schutzfunktionen bleiben aktiviert.

Rolle und Ausgangszustand dokumentieren

Domänencontroller, Datei- und Webserver benötigen unterschiedliche Verbindungen. Dokumentieren Sie installierte Rollen, Verwaltungszugänge, Sicherungen und Updates, bevor Sie gemeinsame Einstellungen ändern. Verwenden Sie eine autorisierte Sitzung und halten Sie Konsolenzugriff bereit: Eine fehlerhafte Netzwerkkonfiguration kann den Fernzugriff unterbrechen. Übertragen Sie eine für FS1 gedachte Ausnahme nicht ungeprüft auf DC1.

• Verwenden Sie getrennte Identitäten für Alltagsarbeit und Administration.
• Beschränken Sie die Fernverwaltung auf genehmigte Computer und Netze.
• Dokumentieren Sie erforderliche Dienste, Protokolle, Ports und Quellen jeder Rolle.
• Nehmen Sie Schutzupdates und Wiederherstellungstests in die Wartung auf.

Eine Sicherheitsbaseline ist eine Referenz für die Prüfung einzelner Einstellungen. Sie rechtfertigt kein ungeprüftes Paket von Registrierungsänderungen auf allen Servern. Klären Sie unterstützte Version, Auswirkungen auf Dienste und den Weg zum vorherigen Wert. Trennen Sie Abfragen von Änderungen: Zum Erfassen des Zustands müssen weder Antivirus noch Manipulationsschutz oder Firewall deaktiviert werden.

Defender-Modus und Aktualisierungen prüfen

Öffnen Sie auf dem untersuchten Server Windows PowerShell als Administrator und fragen Sie den Zustand ab. Vergleichen Sie ihn mit dem Antivirusprodukt, das den primären Schutz übernehmen soll, und mit den Betriebsmodi von Microsoft Defender Antivirus. Die folgenden Befehle ändern keine Einstellungen:

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

AMRunningMode Normal steht für den aktiven Modus. Soll Defender den primären Virenschutz übernehmen, vergleichen Sie auch AntivirusEnabled und RealTimeProtectionEnabled mit dem vorgesehenen Zustand; ein einzelnes Feld bestätigt keinen vollständigen Schutz. Passive ist kein gleichwertiger aktiver Primärschutz: Die Kompatibilität mit anderen Antivirusprodukten hängt von der Einbindung in Defender for Endpoint und dem eingesetzten Hauptprodukt ab. Auf Windows Server versetzt die Installation eines anderen Antivirus Defender nicht automatisch in den passiven Modus. EDR Block Mode beschreibt eine besondere Konfiguration für Endpoint Detection and Response (EDR), also Endpunkterkennung und -reaktion, und ist kein anderer Name für Normal. Vergleichen Sie mit dem genehmigten Schutzkonzept, ohne bei dieser Abfrage den Modus zu ändern.

AntivirusSignatureLastUpdated zeigt den Zeitpunkt der letzten Aktualisierung der Sicherheitsinformationen, weder die Engineversion noch einen Nachweis für Schadsoftwarefreiheit. Vergleichen Sie den Zeitpunkt mit dem Wartungsplan und prüfen Sie zusätzlich Engine- und Plattformupdates. Isolierte Geräte benötigen einen genehmigten, kontrollierten Aktualisierungsweg. Schlägt eine Abfrage fehl, prüfen Sie Modul, Installation, Produktzustand und Berechtigungen, statt ausreichenden Schutz anzunehmen. Unterscheiden Sie ExclusionPath, ExclusionProcess und ExclusionExtension. Integrierte und automatische Ausschlüsse von Windows Server sind von benutzerdefinierten Ausschlüssen zu unterscheiden; eine leere sichtbare Liste ersetzt daher keine Prüfung der rollenspezifischen Ausnahmen. Begründen Sie jede Ausnahme mit der offiziellen Produktdokumentation und einem überprüften Bedarf. Schließen Sie nicht ganze Laufwerke oder sämtliche ausführbaren Dateien aus, um Leistungsprobleme zu umgehen.

Lokale Profile und effektive Regeln unterscheiden

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Get-NetConnectionProfile zeigt die Kategorie jeder Verbindung; prüfen Sie die von FS1 tatsächlich verwendete Schnittstelle. Das Profil Domain wird durch die Erkennung der Domäne und ihrer Controller bestimmt und lässt sich nicht einfach manuell als Etikett setzen. Erscheint am vorgesehenen Domänenanschluss Public oder Private, prüfen Sie DNS und Domänenverbindung wie in der Lektion zur Netzwerkdiagnose. Außerdem liest die zweite Zeile standardmäßig den lokalen PersistentStore: Dessen Werte entsprechen nicht zwingend dem Ergebnis der Gruppenrichtlinienobjekte (GPOs). Wiederholen Sie Get-NetFirewallProfile für den effektiven Profilzustand mit -PolicyStore ActiveStore; Einzelheiten erklärt die PowerShell-Referenz des Befehls. NotConfigured ist kein Beleg dafür, dass sämtlicher Verkehr erlaubt ist. Die dritte Zeile liest zwar ActiveStore, aber Enabled = True bedeutet nicht, dass jede aufgeführte Regel zu Profil, Richtung und Testverkehr passt.

Die Dokumentation der Windows-Firewall empfiehlt, den Schutz beizubehalten. Prüfen Sie bei einem Dienst getrennt, ob er lauscht und welches Protokoll, welcher Port, welche Quelladresse und welches Profil benötigt werden. Die vorangehende Ausgabe enthält weder Ports noch Adressen oder Programme: Öffnen Sie wf.msc und prüfen Sie Eigenschaften sowie Regeln unter Überwachung oder die entsprechenden Filterobjekte. Eine neue engere Zulassungsregel nimmt einer bestehenden breiteren Zulassung nicht ihre Wirkung. Eine passende explizite Blockierregel hat dagegen üblicherweise Vorrang vor einer widersprechenden Zulassung; beachten Sie die Vorrangregeln der Firewall. Die sichtbare Reihenfolge ist keine vom Administrator vergebene Rangfolge.

Eine begrenzte Laborregel erstellen und entfernen

Verwenden Sie nur die vertrauenswürdigen Laborgeräte FS1 und CLIENT1 im isolierten Domänennetz. Ermitteln und notieren Sie an der Konsole von CLIENT1 dessen aktuelle per DHCP vergebene IPv4-Adresse, statt eine frühere Adresse anzunehmen. Testen Sie vor der Änderung von CLIENT1 aus ping 172.24.50.20 und halten Sie das Ausgangsergebnis fest. Prüfen Sie auf FS1 in wf.msc oder mit Get-NetFirewallRule und dem genauen Namen, dass Lab-ICMPv4-From-Client noch nicht existiert und der Verbindungsweg das Profil Domain verwendet. Ist der Name belegt, halten Sie an und ändern die vorhandene Regel nicht. Öffnen Sie PowerShell auf FS1 als Administrator und geben Sie nur die verifizierte IPv4-Adresse von CLIENT1 ein. Führen Sie die zwei Zeilen einzeln aus: Schlägt die Umwandlung fehl oder handelt es sich um IPv6, führen Sie die Erstellung nicht aus. Internet Control Message Protocol Version 4 (ICMPv4) verwendet Typ 8 für Echoanforderungen; dabei wird kein TCP- oder UDP-Port geöffnet:

$clientAddress = [ipaddress](Read-Host 'Current CLIENT1 IPv4 address')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

Erwartetes Ergebnis von New-NetFirewallRule ist eine aktivierte Regel auf FS1 mit Name Lab-ICMPv4-From-Client, Richtung Inbound, Aktion Allow, Profil Domain, Protokoll ICMPv4, Typ 8 und der überprüften CLIENT1-Adresse als Remoteadresse. Sie authentifiziert keinen Benutzer und beschränkt keine anderen Protokolle. Prüfen Sie diese Eigenschaften, bevor Sie Ping interpretieren. Ändert DHCP die Adresse von CLIENT1, bezeichnet die IP-Übereinstimmung nicht mehr zwingend dasselbe Gerät.

Führen Sie von CLIENT1 erneut ping 172.24.50.20 unter denselben Bedingungen aus. Fehlte zuvor nur diese Zulassung und gibt es weder eine passende Blockierung noch andere Netzwerkfehler, sind Antworten von FS1 zu erwarten. Gab es schon vorher Antworten, belegt das keinen Bedarf für die neue Regel. Bleibt der Test erfolglos, prüfen Sie eingegebene IPv4-Adresse, FS1-Profil, Netzwerkpfad, Blockierregeln und die Zulässigkeit lokaler Regelzusammenführung. Erweitern Sie nicht einfach auf Any und deaktivieren Sie nicht die Firewall, um das Ergebnis zu erzwingen. Die Firewallverwaltung über die Befehlszeile erläutert Abfragen und Filter. Erfolgreiches Ping bestätigt weder Dateifreigaben noch Domänenauthentifizierung.

Entfernen Sie anschließend nur die gerade auf FS1 erstellte Regel unter ihrem exakten Namen. Führen Sie die Löschung nicht aus, wenn die Regel vorher bereits existierte oder ihre Erstellung fehlgeschlagen ist:

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

Prüfen Sie, dass diese Regel im lokalen Speicher nicht mehr vorhanden ist, und kontrollieren Sie den effektiven Zustand. Wiederholen Sie dann denselben Ping-Test von CLIENT1 und vergleichen Sie mit dem Ausgangsergebnis. Antworten können weiterhin durch eine andere gültige Zulassung möglich sein. Löschen Sie keine weiteren ICMP- oder GPO-Regeln, nur um die Vorführung fehlschlagen zu lassen. Bleibt eine Regel wegen einer Richtlinie oder eines Löschfehlers bestehen, klären Sie zuerst ihre Herkunft, bevor Sie die Entfernung als abgeschlossen betrachten.

Schutz und Dienste nach der Änderung prüfen

Prüfen Sie nach Änderungen sowohl Schutz als auch die betroffene Aufgabe: den autorisierten Verwaltungszugang, Domänenauthentifizierung und DNS am Controller oder die konkrete Freigabe am Dateiserver. FS1 muss noch nicht alle späteren Kursrollen bereitstellen; ein Port ohne lauschenden Dienst belegt daher keinen Firewallfehler. Notieren Sie Zeitpunkt, Quelle und Ziel beim Abgleich von Verbindungsfehlern und Ereignissen. Falls Sie zur Diagnose verworfene Pakete protokollieren, prüfen Sie vorher Profil, Protokollpfad und Dateigröße und halten die Ausgangswerte fest. Gehen Sie nicht davon aus, dass bereits alle verworfenen Pakete protokolliert werden.

Vergleichen Sie für die Wiederherstellung mit dem dokumentierten Ausgangszustand und nehmen Sie nur die betroffene Ausnahme oder Richtlinie an ihrer Verwaltungsquelle zurück. Hier besteht die vorgesehene Rücknahme im Entfernen von Lab-ICMPv4-From-Client, nicht im Zurücksetzen der gesamten Firewall. Prüfen Sie danach den legitimen Zugang und die Schutzfunktionen erneut. Funktioniert ein Dienst nur ohne Schutz, klären Sie seine benötigte Kommunikation und entwerfen eine begründete Ausnahme; Konsolen- und Sicherungszugang müssen erhalten bleiben.