.: Michael Korp :.

Thema Sicherheit: Aktueller Internet Explorer Patch

Michael Korp — Sat, 23 Jan 2010 05:55:16 GMT

Keine Sorge, ich möchte jetzt nichts zu dem Patch oder der zugrunde liegenden Lücke ergänzen, da hier bestimmt schon genug gesagt wurde, aber ein paar Gedanken sind mir dann doch durch den Kopf gegangen, die mir wichtig genug sind, sie hier niederzuschreiben.

Ein wenig “verrückt” habe ich das Ganze schon erlebt, aber das kommt daher, dass ich dieses Ereignis wie auch die Katastrophe in Haiti irgendwie eher am Rande bemerkt habe, da ich zur Zeit noch auf Reisen bin und daher fast keine Nachrichten mitbekomme. Interessant fand ich aber, dass ich hier an der amerikanischen Westküste von “Leuten” auf die deutsche Reaktion dazu angesprochen wurde. Bemerkenswert, dass ein Software Problem aus Deutschland heraus solche Wellen schlägt.

Aber was sind jetzt meine Punkte, weswegen sich das Lesen lohnen sollte?

Zugegeben: Von IE6 bis IE8 war das Problem vorhanden. Ausgenutzt wurde es aber nur mit dem IE6. Warum? Weil die neueren Browser, speziell der IE8, hier weiterentwickelte Schutzmechanismen enthalten. Außerdem wirken hier noch spezielle Schutzmechanismen von Vista und Windows 7 hilfreich mit.

Trotz aller Updates darf man nicht vergessen, dass die Architektur vom IE6 mit Windows XP entstanden ist – und das war Anfang des Jahrtausend. Heute, knapp 10 Jahre später, habe sich die Methoden und Kenntnisse der Angreifer entsprechend weiterentwickelt.

Manch einen mag wundern, dass der IE8 trotz der Lücke “sicherer” ist. Aber das passt zu dem Thema, wie Sicherheit in allen Infrastrukturen implementiert werden sollte – als mehrstufiges geschachteltes System, manchmal auch mit “Defense in Depth” bezeichnet. Wird eine Barriere überwunden, steht die nächste da und hält den Eindringling (hoffentlich) auf. Interessant fand ich da eine (nicht zitierfähige ;) ) Quelle, deren Tests ergeben haben, dass unter Laborbedingungen auch die neueren Kombinationen (IE + OS) gelegentlich infiltriert werden konnten, es dafür aber mehrere hundert Versuche bis zu einem jeweiligen Erfolg bedurfte und jeder erfolgreiche Versuch dann von Microsoft Security Essentials bemerkt wurde. Ein guter aktueller Virenscanner ist also eine weitere Hürde, die sich dem Angreifer in den Weg stellt – es gibt hier sicherlich auch Alternativen zu Security Essentials, aber dieser wurde in dem Zusammenhang genannt. Eine Sicherheitsgarantie, im Sinne eines Freibrief, ist das aber auch nicht. Schon aber ein etwas beruhigendes Gefühl.

Wichtig bleibt aber auf jeden Fall eine Feststellung: Sicherheit ist kein Zustand, den man einmal erreicht hat, sondern bedarf einer regelmäßigen Weiterentwicklung. In Dingen Software heißt das Aktualisierungen, also zumindest Service Packs und regelmäßige Updates. Daher sträuben sich mir auch die Nackenhaare, wenn ich im Fernsehen (auf einem regionalen Kanal im Kabel gesehen) einen Experten höre, der allen Ernstes den Zuschauern empfiehlt Windows Update (neben anderen Dingen) abzuschalten, da es den Rechner unnötig belastet und man es eh nicht braucht. Das ist übrigens kein Jahr her, fällt also nicht in die Zeit, wo jeder hinter allen Dingen eine bösartige, oder zumindest Spionage trächtige, “phone home” Angelegenheit vermutet hat.

Die Administratoren haben jetzt leider etwas Arbeit, da sehr bald nach dem Bekanntwerden von uns der außerplanmäßige, da kritische, Patch veröffentlich wurde. Ich habe ihn dann gestern morgen (GMT-8) installiert, seit heute ist er bei uns dann verpflichtend. Akute Probleme bedürfen einer beschleunigten Behandlung…

Manche einer ist vielleicht dem Rat der Nachrichten gefolgt und hat direkt nach der Tagesschau einen anderen Browser installiert. Zumindest muss man das vermuten, da nach den hiesigen Nachrichten deren Download Zahlen deutlich nach oben gegangen sind. Aber: Erinnert sich noch jemand daran, dass vor noch nicht allzu langer Zeit der IE8 der einzige Browser war, der eine bestimmte (kritische) Sicherheitslücke nicht hatte? Mein Kollege Daniel Melanchthon hat damals dazu etwas geschrieben. Fazit: Jeder Browser hat Sicherheitslücken. Wichtig ist, dass man sich darüber im Klaren ist und dementsprechend verhält. Dazu gehört einmal das Aktualisieren der Software (s.o.) und vielleicht auch eine gewisse “Hygiene” im Umgang mit dem Internet. So erstaunt mich immer wieder, dass wohl viele Leute immer noch auf alles klicken, was sich irgendwie anklicken lässt. Sorry für diese plakative Formulierung. Aber in diese Kategorie passt auch eine andere “Erkenntnis”, die ich meinem hiesigen Aufenthalt verdanke: eine aktuelle Variante des “social engineering” für Angriffe auf Nutzerdaten und Kennwörter heißt: Facebook (oder die diversen anderen sozialen Netzwerke). Dort erfährt man anscheinend praktisch alles über die verschiedenen Personen, was man wissen muss, um Kennwörter oder die berühmten geheimen Fragen zu beantworten.

Ich hoffe, der eine oder andere stimmt mir im Prinzip zu, ansonsten darf er gerne einen Kommentar verfassen.

Auf eine etwas sichere Zukunft…

Windows Virtual PC und Virtueller XP Modus – erweiterte Konfigurationsoptionen

Michael Korp — Wed, 06 Jan 2010 12:56:12 GMT

Mit dem Windows Virtual PC und dem virtuellen XP Modus in Windows 7 gibt es ja elegante Möglichkeiten bestimmte Kompatibilitätsprobleme zu lösen. Alte Anwendungen, die unter einem neuen Betriebssystem nicht vernünftig laufen sind mit die häufigsten Blocker für die Betriebssystemaktualisierung.

Wenn also unter Windows 7 der Internet Explorer 6 noch für einige Web Anwendungen benötigt wird – nur um ein beliebtes Beispiel zu nennen – ist der virtuelle XP Modus ein Lösungsansatz.

Der Vorteil ist hierbei, dass sich die virtualisierten Anwendungen nahtlos in das Startmenü integrieren und so einfach vom Anwender genutzt werden können.

Wer schon häufiger damit gearbeitet hat, dem ist aber bestimmt aufgefallen, dass dies auch ein paar Schönheitsfehler hat. Was den einen oder anderen Anwender stören könnte, zumindest, wenn er die Hintergründe nicht kennt, ist die relativ lange Startzeit beim ersten Aufruf. Klar, es muss ja im Hintergrund auch eine komplette virtualisierte OS Instanz initialisiert werden.

Schließt man die virtuelle Anwendung und öffnet sie kurz danach wieder, ist sie dagegen sofort verfügbar, genau wie andere lokal installierte Anwendungen. Nur – wenn man erst mehrere Minuten wartet, dauert es doch wieder länger… Hintergrund: Die virtuelle Maschine geht im Prinzip in den Ruhezustand um bei Inaktivität nicht unnötig Systemressourcen zu verbrauchen – immerhin ca. 512MB in der Standardkonfiguration.

Andere Personen (z.B. meiner einer) waren in der Vergangenheit gewohnt eher mit Virtual Server als mit Virtual PC zu arbeiten. Ein Vorteil war der “unauffällige” Betrieb von VMs im Hintergrund, während Virtual PC immer das Konsolenfenster angezeigt hat. Hat man dieses beendet, war auch die VM beendet. Beim Windows Virtual PC sind diese “headless” VMs möglich…

All diese “Probleme” lassen sich mit dem Windows Virtual PC adressieren, dummerweise nicht in den Standard Eigenschaftendialogen. So lassen sich weder der Headless Modus, noch Hibernation bzw. das Hibernation Timeout per GUI konfigurieren. Wie man dies mit einigen Skripten erreicht, kann man in Englisch auf dem Windows Virtual PC Blog nachlesen. Auch die Skripte selbst sind dort in eingebetteten Fenstern verfügbar.

Da heute die meisten neuen PCs eher mit drei oder vier Gigabyte RAM als mit einem ausgerüstet sind, lässt sich der permanente Hintergrundbetrieb vermutlich auch leichter verschmerzen.

Nicht vergessen sollte man aber, dass dadurch beim Start des Rechners bzw. der Anmeldung des Benutzers eine Menge Aktivitäten initiiert werden (der Start einer VM). Wer also immer erst darauf wartet, dass die Platte im Rechner Ruhe gibt, bevor er anfängt etwas zu tun, braucht ein wenig mehr Geduld. Da wir aber mit einem Multitasking Betriebssystem auf relativ aktuellen Multi-Core CPUs arbeiten, sollte man sich nicht zu sehr irritieren lassen. Was dann noch bleibt, ist der Flaschenhals Festplatte. Notebooks sind hier meist langsamer als Desktops, alte kleine Platten in der Regel merklich langsamer als neue große und – nicht zu vergessen – wenn Platten voll werden, fragmentieren sie automatisch stärker und werden dadurch langsamer.

Noch ein paar Anmerkungen, die nicht direkt in den Kontext gehören, aber hilfreich sein können:

Wer bisher Windows XP auf seinem Rechner hatte und jetzt Windows 7 installiert, sollte vorher im BIOS prüfen, ob der SATA Adapter im AHCI Modus betrieben wird. Windows XP brauchte hier noch den per Floppy zu installierenden Treiber, weshalb die meisten Rechner (auch heute noch) im kompatiblen aber weniger effizienten kompatiblen ATA Modus konfiguriert sind.

Wer sich trotz des Preises für eine SSD akzeptabler Grüße entscheidet, weil die eine höhere Geschwindigkeit versprechen, sollte diese (Geschwindigkeit) eigentlich erst dann beurteilen, wenn die SSD einmal soviel Daten gespeichert hat, wie ihrer Nennkapazität entspricht. Wie alle normalen Flash Speicher bevorzugt der Speicher Controller erst die noch freien Blöcke für Schreibvorgänge, da diese Schreibvorgänge dann schneller sind. Erst wenn alle freien Blöcke belegt sind, wird der langsamere Zwischenspeichern-Löschen-Schreiben Zyklus verwendet. Erst ein Formatieren des Speichers signalisiert dem Flash Speicher, dass alle Blöcke wieder gelöscht und damit frei sind. Abhilfe schafft hier erst die Unterstützung des ATA Trim Befehles, der von Windows 7 und (heute) einigen wenigen SSDs beherrscht wird.

Die Auswahl bei klassischen Festplatten ist auch nicht ganz einfach. Leise und schnell geht nicht immer gut zusammen. Geschwindigkeit hängt von Transferraten und Zugriffszeiten/Latenzen ab. Große (Durchmesser) und langsame (Drehzahl) Platten haben Nachteile bei der Latenz. Daher sind die 2,5” Serverplatten auch recht schnell, lassen sich aber in keiner Weise mit der Technik der 2,5” Notebookplatten vergleichen. Platten mit hoher Packungsdichte liefern dann wieder hohe Transferraten. Die Kapazität eines Laufwerkes ergibt sich dann aus der Kapazität einer Platte und der Anzahl Platten/Köpfe im Laufwerk. Wer den Platz nicht benötigt, ist also gut beraten, das kleinste Modell der Serie zu wählen, die die höchste Kapazität hat (und dabei noch schnell dreht)…

Man verzeihe mir, wenn ich hier nicht wirklich in die Einzelheiten gehe, aber ich wollte nur die Prinzipien verdeutlichen, hoffentlich so, dass sie möglichst viele noch verstehen. Wer sich wirklich für die einzelnen Details interessiert, findet auch im Internet ausreichend Artikel.

Randnotiz – Microsoft Office Word als Schreibroboter

Michael Korp — Wed, 09 Dec 2009 18:48:00 GMT

Klingt zwar komisch, ist aber gelegentlich ganz praktisch. Warum? Ganz einfach…

Irgendwann einmal war ich auf der Suche nach “Blindtext”, also strukturiertem Buchstabensalat. Ich vermute, jeder kennt das berühmte “Lorem ipsum…” So etwas halt. Aber wo? Meine Suche im Internet brachte nicht das, was ich wollte. OK – der eine oder andere vermutet wohl, ich hätte einfach die falsche Suchmaschine bemüht, aber egal. Was ich nicht wollte, war irgendeinen Text, z.B. aus dem Internet, zu kopieren. Wer weiß, nachher taucht der noch in irgendeiner Videoaufzeichnung auf und ich habe Stress mit dem Copyright.

Zum Glück gibt es ja Kollegen mit glorreichen Ideen bzw. einem umfassenden Wissen in ihrem Bereich – Danke an Michael Vietzke, unserem “IW” (Office und SharePoint) Spezialisten aus dem Vertrieb. Er meinte: Starte mal Word und gebe dort “=rand(99, 100)<Enter>” ein. “<Enter>” steht dabei für die Eingabetaste oder Zeilenschaltung, wie man zu Zeiten der alten Schreibmaschinen sagte. Und siehe da, es gab eine Menge an Text – deutlich mehr, als ich eigentlich brauchte.

Jetzt hab ich das einem Kollegen gezeigt und wir sind dem dann empirisch zu Leibe gerückt mit dem Ergebnis, dass “=rand(x, y)” X Absätze mit Y Sätzen generiert. Jetzt braucht es vermutlich noch einen Office Spezialisten der erklärt, wo der Text eigentlich herkommt… Oder reicht etwa der Blick in die Hilfe?

Für meinen Zweck hat es auf jeden Fall gereicht. Eigentlich wollte ich ja nur Fähigkeiten von Word 2010 zum Einbetten und Freistellen von Grafiken und “Schneiden” von Video Clips zeigen.

Aber wer weiß, es gibt ja das Gerücht, dass von umfangreichen Abhandlungen eh nur die ersten und letzten Seiten gelesen werden. Vielleicht erklärt das dann, warum manche “mal eben” Abhandlungen mit hunderten von Seiten Inhalt schreiben… ;-)

VHD Resize – wie passe ich die Größe einer VHD an?

Michael Korp — Tue, 08 Dec 2009 21:32:00 GMT

Heute kam wieder eine Anfrage an, die mich veranlasst hat, nicht direkt die Antwort zu schreiben, sondern erst kurz zu recherchieren und etwas zu testen…

Die Frage: Ich habe eine VHD variabler Grüße mit 100 GB erzeugt, die jetzt physisch auf 30 GB angewachsen. Nun wollte ich die VHD in eine VHD mit fester Grüße umwandeln. Leider wird diese dann aber 100 GB groß. Aus Gründen des Platzbedarf möchte ich sie aber nur maximal 70 GB groß haben. Wie geht das?

Der Charme von VHDs mit variabler Größe ist ja, dass sie nur den Platz für die enthaltenen Daten benötigen. Je nach Plattform haben VHDs mit fester Größe aber Vorteile bei der Performance. Unter Hyper-V mit dem Server 2008 R2 hat sich die Leistungsfähigkeit der dynamischen Platten aber derart verbessert, dass dies kein Grund mehr sein sollte.

Wichtig ist aber das Szenario VHD Boot – beim Start des Rechners aus der VHD wird die VHD immer auf die maximale Größe erweitert (Sparse Files). So ist sichergestellt, dass der physische Platz nicht ausgeht, was das OS nicht erwarten würde.

Was ist also zu tun?

Mit dem Hyper-V Manager kann man zwar VHDs erweitern, aber nicht verkleinern. Das bringt uns dann zu einem zwei Jahre alten Tools, dem VHD Resizer. Er wurde damals schon im Virtual PC Blog von Ben Armstrong erwähnt…

Zur Funktionsweise: Der VHD Resizer kopiert den Inhalt der VHD blockweise in eine neue VHD. Der Vorteil hierbei ist, dass die originale VHD erst einmal erhalten bleibt. Diese Methode ist auch die einzige, die ein Verkleinern erlaubt. Prinzipiell ließe sich dieser Vorgang auch mit anderen Werkzeugen bewerkstelligen, wichtig ist nur, dass man die Inhalte und Strukturen 1:1 kopiert. Man darf nicht vergessen, dass gerade bei VHDs mit modernen Betriebssystemen auch die “Volume ID” eines Volumes nicht verändert werden sollte. Deswegen ist die blockweise Kopie des “Container Inhalt” keine schlechte Idee.

Ein Problem muss aber getrennt, ja nach Operation auch vorher, gelöst werden: Das Anpassen der Inhalte der VHD, also der Partitionen bzw. Volumes. Die VHD ist nur der Container – die Partition/Volume ist der Inhalt. Der Container kann daher nie kleiner werden als der Inhalt!

Jetzt schlägt die Stunde der Liebhaber der Kommandozeile!

Voraussetzung ist, dass die VHD in einer anderen Betriebssysteminstanz verfügbar ist. Das geht per Hyper-V oder bei Windows 7 (oder dem Server) ebenfalls von der Kommandozeile mit diskpart:

diskpart

select vdisk file=<Pfad zur VHD Datei>
attach vdisk

Sinnvoll ist es die Partition defragmentiert zu haben, sonst wird vermutlich zuviel verteilter Platz belegt. Danach verkleinern wir das Volume:

select volume <Volume Nr>
shrink [desired=<Größe in MB>]

Ohne die Angabe der Megabytes um die verkleinert werden soll, wird maximal möglich verkleinert.

Jetzt müssen wir die VHD nur noch wieder freigeben, damit sie dann per VHD Resizer verkleinert werden kann:

select vdisk file=<Pfad zur VHD Datei>
detach vdisk

exit

Eine Eigenart ist mir beim VHD Resizer aufgefallen: Die Zielgröße muss immer etwas größer als die minimale Größe sein, damit er loslegen will.

Wer eine VHD vergrößern will, muss analog im Nachgang noch Partition/Volume vergrößern. Auch dafür liefert diskpart die benötigten Befehle:

expand vdisk	erweitert eine VHD
extend	erweitert eine Partition oder ein Volume

Viel Erfolg!

Launch Tour rund um Windows 7, Server 2008 R2, Exchange 2010, Forefront, etc. – Online Inhalte

Michael Korp — Mon, 23 Nov 2009 09:40:36 GMT

Auf unserer Launch Tour haben wir ja in drei parallelen Tracks viele verschiedene Vorträge gehalten – zu viel, um sich alles anzusehen. Daher gibt es die Inhalte des Launch auch als virtuellen Launch, in dem die Vorträge als Video mit PowerPoint verfügbar sind. Hier der Link zum virtuellen Launch.

Der Vorteil: Alle, die aus den verschiedensten Gründen nicht zu einem der Tour Termine konnten, können sich auf diese Weise zumindest die Vorträge ansehen…

Viel Spaß beim Verfolgen der verschiedenen Sessions!

Joint Launch 2009 – Ask the Expert (Frankfurt)

Michael Korp — Tue, 17 Nov 2009 00:06:24 GMT

Fragen an die Experten stellen können – klingt gut, oder? Damit Sie auf den Veranstaltungen der Launch Tour nicht nur Vorträge zu den einzelnen Themen und Produkten hören, sondern auch konkrete Fragen adressieren können, bieten wir in Zusammenarbeit mit diversen technischen Experten hierfür ein eigenes Forum an: Ask the Expert (ATE).

Wer sind die Experten und wie findet man sie? Das möchte ich Ihnen hier beantworten.

Erst einmal zu dem WIE – Die Experten tragen markante Westen und sind damit den ganzen Tag über gut zu erkennen. Aber sie haben auch einen eigenen Stand, an dem sie regelmäßig anzutreffen sind – in den größeren Pausen aufgrund des erwarteten Andranges vermutlich nur da.

Wer sind diese technischen Experten? Hier ein paar Informationen zu den Personen und dem, was sie alles machen. Im Fokus stehen natürlich primär die Produkte der Veranstaltung: Windows 7, Windows Server 2008 R2 und Exchange 2010.

Die Ansprechpartner an dem ATE-Stand sind Referenten, Microsoft Mitarbeiter und unabhängige Experten sowie Mitglieder der Microsoft Community Programme MVP (Most Valuable Professional) und CLIP (Community Leader/Insider Program). Weitere Informationen zu den Programmen und deren Mitglieder finden Sie im Microsoft Community Guide. Die Zeiten, zu welchen Ihnen die Experten auf dem Event zur Verfügung stehen, entnehmen Sie bitte der Agenda.

Am 23. November sind wir in Frankfurt zum vorletzten Termin der Launch Tour. Aufgrund des sehr hohen Interesses an der gesamten Launch Tour sind praktisch alle Termine frühzeitig ausgebucht gewesen – mit einer Ausnahme: Frankfurt. Wer also kurzentschlossen noch teilnehmen will, hat also genau eine Chance, er kommt nach Frankfurt. Daher zur Sicherheit hier der Link zur Anmeldung. Auch dort können Sie dann wieder Ihre Fragen u.a. an folgende ATEs aus den Microsoft Communities richten:

Yusuf Dikmenoglu (MVP für Directory Services)
Yusuf Dikmenoglu arbeitet seit über 12 Jahren in der IT und ist zurzeit bei einem weltweiten Konzern als Teamleiter für "Server und Netzwerke" in Deutschland angestellt. Das Spezialgebiet von Yusuf sind neben Active Directory, Windows Netzwerke mit samt allen Infrastrukturdiensten wie z.B. DNS und Gruppenrichtlinien. Gerade das Troubleshooting rund um das Thema Active Directory weist ihn als einen Spezialisten in seinem Gebiet aus. Bereits in frühen Stadien beschäftigt er sich mit den nächsten Betriebssystemgenerationen und gibt so sein Feedback an die Produktgruppen weiter, damit der Kunde das bestmögliche Produkt erhält. Jede freie Minute die er hat verbringt er in diversen Foren im Internet oder in den Microsoft Newsgroups. Neben seinen Internet-Aktivitäten schreibt er auch regelmäßig auf seinem Blog technische Artikel, mit dem Hauptaugenmerk Active Directory. Durch seine Beiträge in der Community zeichnet ihn Microsoft seit 2006 stets als MVP für Directory Services aus.
Webseite: http://blog.dikmenoglu.de

Martin Geuß (MVP für Windows Desktop Experience und CLIP Mitglied)
Martin Geuß ist Webmaster der deutschen Windows-Community DrWindows.de, im März 2007 ursprünglich als DrVista gestartet. Darüber hinaus ist er als freier Mitarbeiter für verschiedene Computermagazine tätig. Schwerpunkt der Community ist die Unterstützung der Endanwender bei der Installation, Konfiguration und Bedienung von Windows 7 und Vista. Im April 2009 wurde Martin Geuß mit dem MVP-Award in der Kategorie "Windows Desktop Experience" ausgezeichnet.
Webseite: http://www.drwindows.de

Tobias Redelberger (MVP für Windows Essential Server Solutions)
Microsoft hat Tobias Redelberger am 01.01.2009 im vierten Jahr in Folge mit dem MVP Award in der Kategorie Windows® Server System - Small Business Server ausgezeichnet.
Er ist aktiver Autor bei der deutschsprachigen Community Website zum Small Business Server www.SBSfaq.de und dem internationalen Community Projekt zum Essential Business Server unter www.EBSfaq.de verpflichtet.
Tobias Redelberger wohnt zur Zeit in Berlin und ist als System Engineer und Technologieberater vor allem im Virtualiserungsumfeld bei gesamtheitlichen Konzeptlösungen für kleine, mittelständische Unternehmen auch im europäischen Ausland verantwortlich. Jede freie Minute verbringt er in den Microsoft Newsgroup um Anderen bei Ihren Problemstellungen zu unterstützen.

Ulf B. Simon-Weidner (MVP für Windows Server - Directory Services)
Ulf arbeitet als Senior Consultant für Computacenter, wo er seit über zehn Jahren verschiedenste Unternehmen im Bereich Windows Server-Infrastrukturen berät. Seine Lieblingsthemen liegen in den Bereichen Active Directory, DNS und Directory Services im Allgemeinen. Durch seine enge Bindung zu den Microsoft Produktgruppen beschäftigt er sich bereits frühzeitig mit den zukünftigen Betriebssystemen und unterstützt Unternehmen in der Strategieplanung, Migration sowie bei „außergewöhnlichen“ Anforderungen.

Nicki Wruck (CLIP Mitglied)
Meine Welt ist nicht Second Life, WOW & Co. Ich mag es lieber real, darum findet man mich als eine bekannte Größe in der Community Welt. Als führende Kopf der jährlichen ice-lingen - die ich mit viel Freude und Herzblut organisiere - sorge ich für echtes Networking. Neben der Durchführung von IT-Events bediene ich aber auch ein breites Spektrum an Technik. In den Bereichen rund um neue Microsoft Technologien, wie Windows 7 und Server 2008 fühle ich mich zuhause. Webseite: http://www.ice-lingen.de

Joint Launch 2009 – Ask the Expert (Karlsruhe)

Michael Korp — Mon, 16 Nov 2009 23:44:00 GMT

Wer sind die Experten und wie findet man sie? Das möchte ich Ihnen hier beantworten.

Am 25. November sind wir in Karlsruhe zum letzten Termin der Launch Tour. Dort können Sie dann zum letzten mal in diesem Rahmen Ihre Fragen u.a. an folgende ATEs aus den Microsoft Communities richten:

Florian Frommherz (MVP für Group Policy)
Florian ist ein 25jähriger Systemingenieur in einem Schweizer Ingenieurbüro für Automation im Dreiländereck. Sein Arbeitsschwerpunkt sind Windows-Infrastrukturen und Netzwerke mit Fokus auf Active Directory und Gruppenrichtlinien. Typische Tätigkeit: Troubleshooting.
Freie Minuten verbringt Florian in den (englischsprachigen) Microsoft Newsgroups und den TechNet Foren, wo er anderen Administratoren Frage und Antwort steht. Hin und wieder versucht er sich auch als Autor, was in Artikeln auf www.faq-o-matic.net, www.gruppenrichtlinien.de und http://blogs.technet.com/deds resultiert.
Webseite: http://www.frickelsoft.net/blog

Joint Launch 2009 – Ask the Expert (Hannover, Neuss)

Michael Korp — Fri, 13 Nov 2009 17:28:32 GMT

Wer sind die Experten und wie findet man sie? Das möchte ich Ihnen hier beantworten.

Am 18. November sind wir in Hannover. Am 20. November sind wir dann in Neuss bei Düsseldorf. Dort können Sie Ihre Fragen u.a. an folgende ATEs aus den Microsoft Communities richten:

Jürgen Beck (MVP für Microsoft Dynamics CRM und CLIP Mitglied)
Jürgen Beck ist Geschäftsführer der ComBeck IT Services & Business Solutions und damit in der Welt der betriebswirtschaftlichen Anwendungsentwicklung und Integration zu Hause. Vorzugsweise auf Basis von Microsoft Dynamics CRM bildet er regelmäßig erfolgreich für die unterschiedlichsten Branchen Unternehmensprozesse ab und wendet dabei seit langem die mittlerweile als XRM bekannt gewordenen Vorgehensweisen an. Dabei verwendet er selbstverständlich auch Technologien wie .NET, SQL Server, SharePoint Server und BizTalk Server, um gewünschte Integrationen mit anderen Anwendungen und ERP-Produkten zu gewährleisten.
Darüberhinaus ist er regelmäßig "Feuerlöscher" für entsprechende Entwicklungsprojekte, die sich in einer kritischen oder fehlgeschlagenen Phase befinden.
Seine Erfahrung und sein Wissen über Microsoft Dynamics CRM und damit zusammenhängenden Technologien stellt er gerne und regelmäßig über entsprechende Portale wie den MSDN Foren zur Verfügung. Sie erreichen Jürgen Beck unter Juergen.Beck@combeck.de oder http://social.msdn.microsoft.com/Forums/de-DE/crmgerman/threads

Oliver Sommer (MVP für Windows Essential Business Server
Microsoft hat Oliver Sommer zum 01.01.2009 im vierten Jahr in Folge mit dem MVP Award ausgezeichnet.
In den ersten drei Jahren wurde er in der Kategorie Windows® Server System - Small Business Server ernannt. Aktuell ist er MVP in der neuen Kategorie Windows® Server System - Essential Business Server.
Oliver Sommer betreibt zum Beispiel die deutschsprachige Community Website zum Small Business Server SBSfaq.de und das internationale Community Projekt zum Essential Business Server die EBSfaq.de.
Er schult und berät Microsoft Partner als Senior PreSales Consultant der Microsoft Deutschland GmbH in den Bereichen Server, Virtualisierung, Hyper-V R2 Clustering, Small Business Server, Essential Business Server, Exchange, Homeserver und Forefront Security.

System Center Essentials 2010 in Berlin (TechEd)

Michael Korp — Tue, 03 Nov 2009 16:51:09 GMT

Hallo an alle System Center Essentials interessierten!

Wer die TechEd in Berlin besucht, ist eingeladen, sich mit Vertretern der Produktgruppe zu treffen. Neben dem “Snr. Product Manager” sind auch “Engineering Manager” vor Ort anzutreffen.

Die Produktgruppe ist interessiert an Feedback zu System Center Essentials 2007 und erzählt gerne über alles, was in System Center Essentials 2010 kommen wird.

Anzutreffen sind die Kollegen im “Ask the Expert” Bereich, der aber dieses Jahr einen neuen Namen bekommt, oder es lassen sich bei Bedarf auch 1:1 Treffen vereinbaren. Anfragen dazu kann ich gerne weiterleiten…

CU in Berlin…

Informationen (Dokumente) sichern…

Michael Korp — Sat, 31 Oct 2009 10:45:05 GMT

Letztens gab es in München die Discuss & Discover auf der ich zu einer Podiumsdiskussion rund um Datensicherheit und Backup geladen war.

Im Vordergrund standen zwar Backuplösungen, die physische und virtuelle Server integriert behandeln, aber in der Diskussion kam dann die Frage nach dem Schutz von Dokumenten und Informationen auf. Konsens war, dass dies ein Thema ist, das umfassend betrachtet werden muss und nicht auf Backup/Restore verkürzt werden kann.

Themen sind auch der Schutz der Informationen – wer darf die Informationen lesen, aber auch was darf er dann damit machen – und die Langzeitverfügbarkeit.

Das erste Thema lässt sich nicht mit Backup/Restore angehen. Die Verwendung von Zugriffsrechten auf die Dokumente ist ein erster Schritt, aber wenn die Dokumente von dem Speicherort wegbewegt werden, ist der Schutz weg. Beispiel: Ich darf auf ein Dokument zugreifen und schicke es an einen Kollegen, der keine Zugriffsrechte hat. Oder ich kopiere es auf einen USB Stick, da ich das Dokument später brauche und der USB Stick geht verloren. Das USB Sticks üblicherweise kein NTFS Format haben, gibt es dort auch keine Zugriffsrechte.

Geht der Stick jetzt verloren, kann der Finder das sensitive Dokument beliebig verwenden. (Wir erinnern uns noch an die Fälle von Datenträgern in offenen Müllcontainern?) Wie gut, dass Windows 7 da wieder mit “Bitlocker To Go” hilft.

Richtig wäre es, die Informationen/Dokumente direkt zu schützen, so dass sie die Verwendungsberechtigung in sich tragen. Dazu dient im Microsoft Office seit einigen Jahren das “Information Rights Management”. Wer irgendwann einmal in diese Technologie einsteigen möchte, hat es einfach, die kommenden Dokumente zu schützen, aber was ist mit all den Dokumenten, die fertig auf irgendwelchen Server liegen?

Hier hilft seit kurzem das “Active Directory Rights Management Services Bulk Protection Tool”. Beim Windows Server 2008 R2 gibt es ja die “File Classification Infrastructure”, die hilft, die richtigen Dateien zu finden und zu schützen. Auf diese Weise lassen sich die sensitiven bestehenden Dokumente mit einem angegebenen Policy Template schützen.

Was dann noch bleibt, ist die Langzeitverfügbarkeit der Informationen. Hier muss man auch wieder zwei Themen auseinanderhalten: Backup und Archivierung. Backup ist kein Langzeitschutz! Backup dient der Wiederherstellung von Daten, wenn es einen “Unfall” oder Vorfall gibt, bei dem die Daten verloren gehen. Dazu gehören Defekte der Speichermedien (Platte) oder auch unabsichtliches Löschen, Verändern oder Überschreiben.

Ein Langzeitschutz im Sinne von Aufbewahrungsrichtlinien muss per Archivierung adressiert werden. Hier gibt es auch Anbieter, die sich spezifisch diesem Thema widmen, daher möchte ich hier nicht näher auf Lösungen eingehen. Wichtig ist, dass man sich im Kontext der Archivierung auch über die Datenformate Gedanken machen muss, da man ein bestimmtes Dokument gegebenenfalls in 30 Jahren nochmal öffnen muss. Man muss also entweder Formate archivieren, die man später garantiert noch öffnen kann, oder aber eine Umgebung mit sichern, damit man später noch diese Dokumente mit passenden Anwendungen bereitstellen kann. Auf ca. 30 Jahre betrachtet ist das sicherlich nicht trivial und wird vermutlich immer mal wieder Arbeiten an den archivierten Daten bedeuten. Sicher ist das aber nicht, da es mir schwerfällt, die nächsten 30 Jahre vorherzusagen…

Windows 7 und “Windows XP Mode”

Michael Korp — Tue, 27 Oct 2009 22:06:31 GMT

Windows 7 bietet ja mit dem virtuellen “Windows XP Mode” ein Werkzeug, das helfen kann, die sogenannte letzte Meile der Kompatibilität bei Migrationen nach Windows 7 zu implementieren.

Zentralisierte Verwaltung virtueller Maschinen für Desktop Systeme in Unternehmen bedeutet sinnvollerweise MED-V, das Teil des Microsoft Desktop Optimization Pack ist – nur unterstützt die aktuelle Version noch nicht den virtuellen Windows XP Mode (XPM).

Daher lohnt es sich auf jeden Fall den Hinweisen von Ben Armstrong zu folgen. Er verweist auf ein Video und ein Whitepaper zur Anpassung und automatisierten Verteilung der XPM VMs.

Mach VHD aus WIM – für Hyper-V und native Boot

Michael Korp — Tue, 27 Oct 2009 21:38:54 GMT

Um Zeit und Aufwand zu sparen, generiere ich mir meine “Master VHDs” seit einiger Zeit direkt aus der “install.wim”. Alles, was man benötigt, ist frei verfügbar:

WIM2VHD.wsf - http://code.msdn.microsoft.com/wim2vhd
Windows AIK - Windows® AIK für Windows® 7

Streng genommen benötigt man gar nicht das volle AIK, aber nachdem man einmal angefangen hat, gibt es doch noch einige weitere Aufgaben, die sich danach anbieten, die Erstellung der Unattended Dateien mit dem Windows System Image Manager ist nur eine davon. Daher habe ich immer auf meinem “Administrationsrechner” das ganze AIK installiert.

Das schöne an diesen VHDs ist, dass sie direkt unter Hyper-V verwendet werden können, aber auch mit einer Windows 7 Startumgebung für den “native Boot” geeignet sind.

Eine Vorbedingung will ich aber noch erwähnen: Diese Verfahren funktionieren nur für Windows 7 und Windows Server 2008 R2 VHDs. Windows Vista und Windows Server 2008 mussten noch einmalig installiert werden, damit Setup einige Korrekturen vornehmen konnte. Dies war nötig, da die Installationsdateien nicht für die direkte Nutzung vorgesehen waren – eine weitere Verbesserung von Windows 7 und Server 2008 R2. Werkzeuge, die diese Korrekturen für die Konvertierung von WIM nach VHD offline durchführen, wurden nie veröffentlicht.

How To… Windows Server 2008 R2 Server Core

Michael Korp — Tue, 27 Oct 2009 20:58:51 GMT

Mit der Verfügbarkeit von Windows 7 und Windows Server 2008 R2 kam auch für mich die Zeit die allgemeine “Renovierung” des “Test Lab” anzugehen, das ich für Demos und Webcasts nutze.

Bisher waren praktisch alle virtuellen Server mit Windows Server 2003 installiert, während der Host unter Hyper-V mit Windows Server 2008 lief. Ziel der Aktualisierung ist die allgemeine Verwendung von Windows Server 2008 R2 und Windows 7 für die tragenden Funktionen.

Seit Windows Server 2008 gibt es zwei Installationsoptionen – die volle Installation und die Server Core Installation. Best Practice ist die Konzentration auf die zentralen Funktionen und alles überflüssige weg zu lassen. Bezogen auf Windows Server ist es also empfehlenswert, soweit machbar, die Server Core Installation zu verwenden, auch, wenn dies eine Herausforderung darstellt, wenn man noch dabei ist Erfahrungen zu sammeln.

Für Hyper-V Hosts ist auf jeden Fall die Server Core Installation vorzuziehen. Gerade in sehr kleinen Umgebungen besteht auch das Interesse den Hyper-V Server einzusetzen, wenn alle existierenden Serverinstanzen schon lizenziert sind.

Neben dem “Step by Step” Guide hilft beim Hyper-V Server das eingebaute Konfigurationstool und, je nach Umgebung, das Tool “HVRemote”. Neu in der Server Core Installation beim Windows Server 2008 R2 ist “sconfig”, das für die wichtigsten Funktionen der Erstkonfiguration den gleichen Komfort wie beim Hyper-V Server bietet. Nachdem die Remoteverwaltung aktiviert ist, kann man weitere Administrationsaufgaben mit dem Server-Manager von einem anderen Server oder Windows 7 mit installierten “Remote Server Administration Tools” (RSAT) vornehmen.

Was nicht geht, ist die Rollen und Funktionen remote per Server-Manager zu installieren. Hier greift man zu den “üblichen” Werkzeugen wie OCList, OCSetup, DISM oder PowerShell. Persönlich würde ich inzwischen die Variante PowerShell vorziehen, aber DISM geht mindestens genauso gut. DISM ist seit R2/7 immer mit dabei, PowerShell muss beim Server Core erst aktiviert werden. Sobald aber die Remoteadministration aktiviert ist, ist auch PowerShell aktiviert.

Neu bei Windows Server 2008 R2 Server Core ist die Rolle der “Active Directory Zertifikatsdienste”. Diese lassen sich ziemlich einfach installieren, aber das war es dann… Administration geht nicht, da die CA noch gar nicht “existiert”. In der ganzen Dokumentation zum Windows Server 2008 (R2) und Server Core gibt es immer den Hinweis zur Installation der CA per Server-Manager, aber kein Wort zur Installation per Kommandozeile… Nur – der Server-Manager kann keine Rollen und Funktionen remote installieren.

Wie so häufig naht Rettung in Form von Blogs. Ein Kollege nannte mir dann den richtigen Ort, den PKI Blog. Dort findet man den relevanten Artikel mit einem Installations Skript (SetupCA.vbs), das die auf MSDN dokumentierte Setup API nutzt. Bei aller Begeisterung für den Server Core darf man dann aber nicht vergessen, dass manche Funktionen einfach nicht unterstützt werden – bei einer CA ist dies das Web Enrollment.

Am Ende laufen jetzt DC, DNS, DHCP, Root CA und auch der SQL Server 2008 (SP1 mit CU4) auf Server Core Maschinen…

Administriert wird von einer Windows 7 Maschine mit den RSAT Tools und auch den sonstigen Administrationskonsolen (z.B. SQL Server Management Studio).

System Center Configuration Manager 2007 SP2

Michael Korp — Tue, 27 Oct 2009 19:46:31 GMT

Pünktlich zur allgemeinen Verfügbarkeit von Windows 7 und Windows Server 2008 R2 ist das Service Pack 2 (engl.) für den System Center Configuration Manager 2007 verfügbar geworden. Hier der Link für das Update Paket.

Die Neuerungen, die ich zu der Beta vorgestellt habe, gelten weiterhin:

Unterstützung neuer Betriebssysteme:

Windows 7
Windows Server 2008 R2
Windows Server 2008 SP2
Windows Vista Sp2

Erweiterte Fähigkeiten bei der Integration der Intel Active Management Technologie (AMT):

Unterstützung für WLAN von mobilen Geräten (bis zu 8 Profile)
802.1x Unterstützung für WLAN Endpunkte
Audit Log
Unterstützung verschiedener “Power States”

Dazu wird die Verwendung der Asset Intelligence Funktionen wird einfacher, da das bisher benötigte Zertifikat nicht mehr benötigt wird.

In Richtung 64-Bit Unterstützung gibt es Erweiterungen für die Remote Control für 64-Bit XP und Server 2003, sowie die Unterstützung der Betriebsüberwachung auf 64-Bit OS. ConfigMgr publiziert jetzt auch 64-Bit Perfmon Counter…

Neue Fähigkeiten von Windows 7 und Windows Server 2008 R2, namentlich Branch Cache, werden auch unterstützt.

Für internationale Installationen heißt es vermutlich noch etwas warten – die lokalisierte Versionen, wie auch die ICPs, sind noch nicht verfügbar, sondern benötigen noch ein wenig Zeit bis zur Fertigstellung.

Windows 7 Buch - als eBook kostenlos bis 31.10.2009

Michael Korp — Tue, 27 Oct 2009 11:35:00 GMT

Zur Kick-Off Veranstaltung der IT-Pro Launch Tour am 7.10.2009 konnten wir den Teilnehmern ein topaktuelles MS Press Buch zu Windows 7 anbieten, bevor es im Handel verfügbar war. Wissen rund um Windows 7 hat Konjunktur - es gilt informiert und vorbereitet zu sein.

Da kommt ja ein weiteres Angebot passend, das bis 31.10.2009 gilt: Mit einer einfachen Registrierung erhält man das MS Press Buch "Windows 7 - Auf einen Blick" kostenlos als eBook im Download. Hier der Link: http://register.microsoft-press.de/?apid=60455.

Das Buch adressiert typische Aufgaben und zeigt auf, wie sie mit Windows 7 erledigt werden. Dabei sind die Schritte übersichtlich mit den einzelnen Schritten dargestellt.

Zu den Themen:

Programme und Mini-Anwendungen ausführen

E-Mails senden, Termine planen, im Web surfen

Fotos, Musik und Videos organisieren, Spiele spielen

CDs und DVDs brennen und eigene Filme erstellen

Drucker einrichten und ein Heimnetzwerk erstellen

Sicherheit verbessern und Windows 7 optimal einrichten

Wer die etwa 350 Seiten lieber offline liest, bekommt das Buch natürlich auch in gesdruckter Form zu einem günstigen Preis im Buchhandel.

Wen adressiert das Buch? Das ist jetzt natürlich eine persönliche Meinung, aber ich würde es allen empfehlen, die sich fragen, ob sie sich mit den Änderungen im Windows zurechtfinden. Der IT-Pro, der Netzwerke verantwortet und verwaltet, liest es vielleicht mit Interesse, wird vermutlich in weiten Bereichen nicht die technischen Hintergründe finden, die ihn interessieren. Dafür liest er vieles, was seinen Anwender interessiert und wie dieser effizient mit dem neuen Windows arbeiten kann. Aber auch IT Pros können profitieren - sie lesen über Anwenderthemen und wie man effizient mit WIndows umgeht. Erstaunlicherweise bevorzugen viele "Administratoren" noch die ältesten Einstellungen bevorzugen... Time for a change!