Compliance prüfen mit ConfigMgr: Unerwünschte Dienste wie FTP aufspüren

Laut Sicherheitsrichtlinie darf auf keinem Server ein FTP-Dienst laufen. Mit einem Konfigurationselement und einer Baseline prüft Configuration Manager das regelmäßig – auf Wunsch inklusive Korrektur.

Eine typische Sicherheitsvorgabe: Auf Servern darf kein FTP-Dienst installiert sein – und wenn doch, soll er zumindest nicht laufen. Das soll regelmäßig geprüft und gemeldet werden. Genau dafür ist die Konformitätsverwaltung von Configuration Manager (früher Desired Configuration Management, DCM) gemacht.

Die Idee

Ein Konfigurationselement (CI) prüft, ob der Dienst existiert und läuft. Eine Konfigurationsbaseline fasst ein oder mehrere CIs zusammen und wird an eine Server-Sammlung bereitgestellt. Die Clients werten regelmäßig aus und melden konform oder nicht konform.

Variante 1: WMI-Abfrage

Ein Vorschlag aus der Community: Eine WMI-Abfrage auf Win32_Service – liefert sie keine Instanz, ist der Server konform:

SELECT Name FROM Win32_Service WHERE Name LIKE '%ftp%' AND State = 'Running'

Variante 2: PowerShell-Skript (flexibler)

Ein Ermittlungsskript gibt einen klaren Wert zurück, der in der Konformitätsregel geprüft wird:

$ftp = Get-Service -Name 'FTPSVC', 'MSFTPSVC' -ErrorAction SilentlyContinue |
       Where-Object Status -eq 'Running'
if ($ftp) { 'NonCompliant' } else { 'Compliant' }

Konformitätsregel: Der Wert muss gleich Compliant sein.

Auf Wunsch ergänzen Sie ein Wiederherstellungsskript, das den Dienst stoppt und deaktiviert, wenn die Regel verletzt ist:

Get-Service -Name 'FTPSVC', 'MSFTPSVC' -ErrorAction SilentlyContinue | ForEach-Object {
    Stop-Service -Name $_.Name -Force
    Set-Service  -Name $_.Name -StartupType Disabled
}

Einrichtung in Kürze

1. Konfigurationselement anlegen: Typ Windows-Desktops und -Server (benutzerdefiniert), Einstellung vom Typ Skript, Datentyp Zeichenfolge.
2. Konformitätsregel wie oben definieren, optional mit Wiederherstellung.
3. Baseline erstellen und das CI hinzufügen.
4. Baseline bereitstellen an die Server-Sammlung mit passendem Zeitplan, z. B. täglich.
5. Auswerten über Überwachung › Bereitstellungen oder die Konformitätsberichte.