Kursus MCITP 2008

Um Versions Updates oder Upgrades durch zu führen, benötigt man immer eine höhere Version. Upgrades nach unten bzw. von 32 auf 64bit ist nicht möglich.

Aktualisierungen sind auf 2 Arten möglich:

mit einem Installationsmedium

Windows Anytime Upgrade (Aktualisierung über das Internet)

Aktualisieren von Windows Vista auf Windows 7 mit Windows 7 Upgrade Advisor

4.2.1. Migration von Benutzerprofilen

Migration auf einen anderen Computer (Side-by-Side)

Migration auf denselben Computer (Wipe-and-Load-Migration)

Die Auswahl der Variante ist abhängig von der Hardware des Quellcomputer.

Bei einer Side-by-Side Migration bleiben die Daten auf dem Quell-PC erhalten. Bei einer Wipe-and-Load-Migration müssen die Daten vorher gesichert werden, da das System gelöscht und durch Windows7 ersetzt wird.

Fragen

1) b - Windows 7 Ultimate (X86)

2) a,b,d

3) d - Windows Anytime Upgrade

4) a - Windows 7 Upgrade Advisor

5) a+c - Windows 7 Professional x86 + Windows 7 Ultimate x86

4.3. Kapitel 1 Lektion 3

4.3.1. Windows Easy Transfer

Ist ein Programm um Benutzerprofile auf einen neuen Computer zu übertragen.

Es gibt 3 Arten Daten zu migrieren:

Easy-Transfer-Kabel

Netzwerk

Externe Festplatte oder USB-Flashlaufwerk

4.3.2. User State Migration Tool

Ist ein Programm um Benutzerprofilmigration zu automatisieren. USMT ist ein Teil von WAIK und eignet sich zur Übertragung von vielen Benutzerprofilen.

Es werden nicht nur die Konten und Daten übertragen, sondern auch die ACL (Access Control List) wo die Berechtigungen hinterlegt sind.

4.3.2.1. Migrationsspeichertypen

Komprimiert => besteht aus einer einzigen Abbilddatei (verschlüsselt + komprimiert). Es kann nicht mit dem Explorer navigiert werden in der Datei.

Unkomprimiert => Es wird eine Kopie des Benutzerprofil erstellt. Zugriff mit Explorer möglich

Hard-link => werden nur bei Wipe-and-Load sprich auf demselben PC verwendet.

4.3.2.2. Offline-Migration

Der Quell-PC wird in eine Windows-PE-Umgebung gestartet damit ScanState ausführbar ist und in der UMTS Dateien zur Verfügung stehen.

Fragen

1) b-d => Win XP Prof, Win Vista, Win7

2) b+c => USMT, Windows Easy Transfer

3) b => Mig User.xml

4) c – WAIK

5) c – Hard-link

5.0. Kapitel 2 - Lektion 1Konfigurieren von Systemabbildern

Tools im WAIK:

Windows SIM: Öffnet Win Abbilder, erstellt Antwortdatei

ImageX: Dient zum erstellen und bearbeiten von Abbildern

DISM: Wendet Updates, Treiber und Language Pack auf Win-Abbildern an

Win-PE-Tools: Dient dazu Win-PE-Umgebungen aufzubauen

USMT: Zum Migrieren von Benutzerdaten von älteren Win-Versionen auf Win7

Oscdimg: Erstellt ISO-Abbilder

Fragen

1) d => Windows PE und benutzen Image X

2) a + e=> Windows SIM aus dem WAIK, Editor

3) a,c,f.g,h

4) c => generalize

5) a => oobeSystem

5.1. Kapitel 2 Lektion 2

http://technet.microsoft.com/en-us/library/dd349348(WS.10).aspx#BKMK_1

Fragen

1) b

2) c

3) d

4) a

Übungen mit Fallbeispiel

Fallbeispiel 1

1) Wim-Abbild-Datei erstellen. Dies passiert mit ImageX aus dem Waik.

2) ISO-Abbilddatei generieren. Dazu wird das Oscdimg aus dem Waik verwendet.

3) Mit USMT aus dem Waik können Benutzerdaten und Namen transferiert werden

Fallbeispiel 2

1) Nur Windows 7 Ultimate und Enterprise bieten die Möglichkeit gestartet zu werden, wenn Sie auf einer vhd installiert sind.

2) Sysprep /generalize ausführen

5.2. Wiederherstellen von wim.images

Virtuellen PC erstellen 20 GB, Windows PE ISO einhängen

Diskpart starten

- Partition erstellen (Systempartition 100MB, Rest Bootpartition Letter=C)

- Systempartition active

- Partitionen formatieren

- Diskpart verlassen

- Net use eine Verbindung zum Host-PC (Verzeichnis myimages)

Bsp. Net use \\sven15 y:

- Wechseln auf D: (wo Imagex liegt)

- D:\imagex /apply y:\myimages\install.wim 1 C:

Fertig!

Anschließend in der virtuellen Maschine CD entfernen

Virtuelle Maschine starten

Sollte ein Fehler auftauchen….

- Windows PE ISO einlegen

- Prüfen Partition C + D

- Wechseln auf D:

- Windows\system32\bcdboot.exe d:\Windows

5.3. Zusammenfassung

5.3.1. wim

dateibasierte Abbilder

SIS (Single Instance Storage = jede Datei in Abbildern ist nur einmal vorhanden)

5.3.2. ImageX

dient zum erstellen von Abbildern

Schalter: capture (erstellen), add (2.Abbild hinzufügen), apply (zurückzuschreiben)

5.3.3. Windows PE + Werkzeuge erzeugen

ein stark minimiertes Windowssystem

5.3.4. SID (Security ID)

eindeutig in Zeit und Raum

spielt nur im lokalen Netzwerk eine Rolle

5.3.5. Sysprep

sysprep /oobe /generalize => zurücksetzen der individuellen Merkmale

5.3.6. copype

erstellen von windowspe-iso

Referenzsystem erstellt

5.3.7. oscdimg

Erstellung einer Abbilddatei (ISO) eines WindowsPE

5.3.8. PXE (Preboot Execution Environment)

ein Verfahren um über das Netzwerk zu booten

6.0. Kapitel 6 – Netzwerkeinstellungen

6.1.1. Netzwerkgrundlagen

IPv4

- 32Bit

IPv6

-128Bit

6.1.2. DOD (Department of Defense)

Anwendungsschicht	http, smtp, fdp, dns
Transport	TCP UDP
Internet	ICMP IGNP ARP IP
Ethernet

6.1.3. MAC = Media Access Control

01-AF-EA | 12-7B-3A

Die ersten 3 Byte identifizieren den Hersteller. Die letzten 3 Byte die Ethernetadresse.

6.1.4. ARP (Address Resolution Protocol)

Befehl: arp –a => ruft ARP-Cache auf (zeigt an wer mich angepingt hat, bleibt 2 Minuten in der ARP-Tabelle).

Broadcast

Unicast

Multicast

6.2. IP-Addressierung

Literatur:

Chuck Semeria, Understanding TCP/IP

3COM (nicht mehr verfügbar)

Ihno Krumreich, dt. Übersetzung auf http://zeus.fh-brandenburg.de/~ihno/lehre/internet/index.html

1.2.3.4 Netz-ID Host-ID

Klasse A

0xxx xxxx

0000 0000 – 0111 1111

0 - 127

126. 14.4.3

Netz-ID Host-ID

Klasse B

10xx xxxx

1000 0000 - 1011 1111

128 - 191

173.34. 18.4

Netz-ID Host-ID

Klasse C

110x xxxx

1100 0000 – 1101 1111

192 - 223

212.34.18. 8

Netz-ID Host

Nicht alle Bits der Netz- oder Host-ID dürfen auf 0 oder 1 gesetzt sein.

Folgende Punkte müssen bei einer IP-Konfiguration angegeben werden:

IP-Adresse

Subnetmask

Default Gateway

6.2.1. IP-Adressierung

Private IP-Adressen werden nicht im Internet geroutet. Sie werden für private Netze hinter NAT verwendet.

Private Netze sind in RFC 1918 definiert.

10.0.0.0 /8

172.16.0.0 – 172.31.0.0 /16

192.168.0.0 – 192.168.255.0 /24

127.0.0.0 Loopback

169.254.0.0 APiPA

6.2.1.2. Übung

Klasse Privat Gültig?

a) 172.31.4.56 b ja ja

b) 192.166.255.4 c nein ja

c) 125.34.1.255 a nein ja

d) 191.255.0.254 b nein ja

e) 10.1.18.5 a ja ja

f) 223.255.12.254 c nein ja

g) 172.32.56.255 b nein ja

h) 200.200.255.0 c nein nein

i) 192.168.34.4 c ja ja

j) 169.254.6.89 b nein ja

6.2.2. Eigenschaften von LAN-Verbindung

Client für Microsoft Netzwerke (Arbeitsstationsdienst)

Datei und Druckerfreigabe für MS-Netzwerke (Serverdienst)

DHCP (Dynamic Host Configuration)

DNS (Dynamic Name System = Namen in IP-Adressen auflösen)

FQDN (Full Qualified Domain Name)

- arthur.cbm.local

- www.bahn.de

6.2.2.1. Übung

1) Korrekte Vergabe einer IP-Adresse aus einem beliebigen Netz.

- Nicht 172.16.0.0

Soll mit netsh auf Konsole gemacht werden. Klappt die Kommuniktation?

Ergebnis: Funktioniert

Vorgehensweise

CMD

Netsh interface ipv4 set address name=“LAN-Verbindung“ static 10.1.1.2 255.0.0.0 GW (Optional)

Zurücksetzen

netsh int ipv4

show int

set add 11 dhcp

2) Vergebt eine doppelte IP-Adresse aus einem beliebigen Netz. Wie lautet die Fehlermeldung?

Ergebnis: IP-Adresskonflikt, eine APiPA wird vergeben

3) Wiederholung 1)

- Ping auf Adresse des selben Netzes die nicht vergeben ist.

Ergebnis: Zielhost nicht erreichbar

- Ping auf Adresse eines fremden Netzes:

Ergebnis: Schnell ohne Zeitverzögerung. Fehler bei der Übertragung. Allgemeiner Fehler

6.3. Befehl „ net use“

Net user peter x /add

- Ein Benutzer (Peter) mit Kennwort wird eingerichtet

Net Localgroup <Gruppe> <Benutzer> /add

- Einen Benutzer einer Gruppe hinzufügen

Net User

- Infos über Benutzer

Net shure

- Anzeige der Freigaben

- Administrative Freigaben

Admin$

Net use Z: \\172.16.4.9 c$

- Funktioniert nur mit Benutzer Administrator oder ausgeschalteter UAC

Net use z: \<IP>\<Freigabe> /user:<PC>\<Name>

6.4. NTFS-Freigaben / NTFS-Berechtigungen

Freigabe / Share

(Branch Cache) nur IPv6

SAM => Security Account Manager

Privilegien: Rechte die nicht vergeben oder entzogen warden können.

Rechte

Berechtigungen (Sicherheit)

Inplizierte Gruppen

- Authentifizierte Benutzer

- Jeder = Netzwerk + Interaktiv

- Netzwerke

- Interaktiv

ACL = Access Control List

ACE = Access Control Entry

6.4.1. EFS (Encrypting File System)

Symetrische Verschlüsselung

Schnell

Anfällig für Entschlüsselung

Asymetrische Verschlüsselung

PKI = Public Key Infrastructure

Langsam

Extrem Sicher

Besteht aus einem Schlüsselpaar.

Privater Schlüssel

Öffentlicher Schlüssel

FEK = File Encryption Key

6.4.2. Lektion 1

Fragen:

1) c

2) b,c,d

3) d

4) b

5) c,d

6.4.3. Lektion 2

Vorteile von IPv6:

größerer Adressraum

Automatische Adresskonfiguration

Sicherheit auf Netzwerkebene

Datenauslieferung in Echtzeit

Größe der Routingtabelle

Headergröße und Erweiterungsheader

kein Broadcastverkehr mehr

6.5. IPv6-Syntax

Die 128bit IPv6-Adresse wird jeweils in 16Bit Blöcke unterteilt. Getrennt werden Sie jeweils von einem „:“.

IPv6-Multicastadressen

Mit einer Multicastadresse kann ein IPv6-Paket an mehrere Hosts gesendet werden die die selbe Multicastadresse haben. Multicastadressen beginnen immer mit ff.

Globale IPv6-Unicastadresse

21cd:0053:0000:0000:03ad:003f:af37:8d62

IPv6-Anycastadressen

Anycast

Eine Anycastadresse ist mehreren Schnittstellen zugewiesen. Pakete die an eine Anycastadresse gehen. Sie werden jeweils an die nächsthöhere Schnittstelle weitergeleitet. Anycastadressen werden zur Zeit nur als Zieladressen für Router verwendet.

Unicast

Identifiziert eine einzelne Schnittstelle. Vorteil Lastverteilung.

Mutlicast

geht an mehrere Schnittstellen. Pakete die an eine Mutlicastadresse gerichtet sind werden an alle Schnittstellen geliefert.

Adressauflösung in IPv6

Das ND-Protocol löst IPv6 Adressen in MAC-Adressen auf.

Teredo

Eine Teredo-Adresse generiert eine IPv4 zu einer IPv6-Adresse und andersrum. Eine Teredo-Adresse beginnt mit „2001“ und eine 6to4-Adresse mit „2002“.

ISATAP-Adressen

wird genutzt um eine Kommuniktation zwischen 2 Knoten über ein IPv4-Intranet herzustellen. Eine ISATAP-Adresse besteht aus einem 64bit Unicast, einem 32Bit ISATAP Kennung und die letzten 32Bit enthalten die IPv4-Adresse.

Konfigurieren von IPv6-Schnittstellen

IPv6-Schnittstellen werden per

DHCP

NETSH (netsh interface ipv6 set adress „LAN-Verbindung 2“ fec0:0:0:ffee:2)

Fragen Lektion 2

1) a

2) b

3) d

4) a

5) c

Zusammenfassung:

IPv6: erste 64Bit Netz-ID, die letzten 64 Bit Host-ID

2000:: /3 Global Unique (weltweit, eindeutig)

è Präfixnotation

001 | 0 0000 0000 0000 :

001 | 1 1111 1111 1111 :

3 F F F

Bereich von 2000:: /3 – 3FFF:: /3

fe80:: link local => Adresse ist nicht routbar

feco link site local => Standortübergreifende Adressen

NDP (Network Neighbor Discovery Protocol)

DUID DHCP Unique Identifier

deprecated (überholt, erledigt)

*Netbeui *TCP/IPv4 TCP/IPv6

(NW Link) Netbeui TCP/IPv4

TCP/iPv4 (NW Link) (Netbeui)

6.6. Bitlocker

TPM = Trusted Platform Modul

Kennwort

Bitlocker ohne TPM einsetzen, wird die Startumgebung (Bootpartition) nicht geschützt.

Um Bitlocker zu nutzen muß

gpedit.msc starten

- Computerkonfiguration\Administrative Vorlagen\Windowskomponenten\ Bitlocker-Laufwerksverschlüsselung\Zusätzliche Authentifizierung beim Start anfordern…..

Systemsteuerung

cmd als Admin ausführen. „ manage-bde“ lässt die Verwaltung von Bitlocker ausführen.

7.0. Kapitel 7 - Windows Firewall

WF = Windows Firewall

WFAS = Windows Firewall Advanced Security

DoS = Denial of Service

öffentliche Netze LAN

DMZ

Perimeternetzwerk

j0205582

Remote-Desktop Server RDP-Client

Max. 2 Verbindungen mstsc

Port: 3389

RDP Dienst aktivieren

Benutzerkonto muss Mitglied

der Gruppe „Remotedesktop-

benutzer“ sein.

User: helmutj

IP: 172.16.200.248

Abfrage der aktiven Verbindungen: netstat –an | more

8.0. Kapitel 9 – Authentifizierung und Benutzerkontensteuerung

Benutzerkontensteuerung (User Account Control = UAC)

- ist ein Tool das Hinweist wenn Administratorrechte erforderlich sind

8.1. Lektion 1

Es gibt verschiedene Konzepte der Benutzerkontensteuerung:

Anhebung der Rechte

Die Anhebung der Rechte eines Benutzer ist notwendig, wenn ein Programm installiert werden soll. Dann kann man dem Benutzer kurzfristig Administratorrechte erteilen.

Administratorbestätigungsmodus

Eine Erhöhung der Rechte kann passieren indem der Administrator seine Zustimmung erteilt oder seine Zugangsdaten eingibt.

Sicherer Desktop

Der PC wird so konfiguriert, das ein sicherer Desktop konfiguriert wird und man auf die Eingabeaufforderung reagieren muss, bevor der Desktop wieder zur Verfügung steht. Dies kann nur der Administrator.

Fragen

1) b

2) b

3) a,d

4) d

5) c

8.2. Lektion 2 Windows7-Authentifizierung und –authorisierung

Unter Windows 7 können Benutzer vordefinierten Gruppen zugewiesen werden wie z.B.:

Administratoren die uneingeschränkten Zugriff haben

Sicherungs-Operatoren können Zugangsbeschränkungen für Dateien und Ordner außer Kraft setzen, um sie zu sichern.

Kryptografie-Operatoren ist eine Richtlinie die eine spezielle Windows 7 Konfiguration voraussetzt.

Distributed COM-Benutzer können Distributed COM-Objekte bearbeiten

Ereignisprotokollleser können die Ereignisprotokolle lesen

Netzwerkkonfigurations-Operatoren können die TCP/IP Einstellungen ändern

Leistungsprotokollbenutzer kann die Protokollierung der Ereignisüberwachungsdaten steuern

Leistungsüberwachungsbenutzer kann Leistungsindikatoren remote und lokal verwenden

Hauptbenutzer

Remotedesktopbenutzer können sich über Remotedesktop remote anmelden

Replikations-Operator können Aufgaben im Bereich Dateireplikation und Domänenumgebung vornehmen

Smartcards speichern digitale Zertifikate. Sie ermöglichen eine „mehrstufige Authentifizierung“ an Windows 7 Computern.

Verwalten von Zertifikaten

Sichern von EFS-Zertifikaten in kennwortgeschützte PFX-Dateien

Zertifikate-Konsole (Certmgr.msc)

Dateiverschlüsselungszertifikate verwalten

cipher.exe

Fragen

1) b

2) c,d

3) b

4) d

5) b,c,d

9.0. Kapitel 12 – Windows Update und Internet Explorer

9.1. Lektion 1 – Aktualisieren von Windows 7

Updates werden in 3 Gruppen aufgeteilt:

Wichtige Updates beheben häufig kritische Sicherheitsprobleme

Empfohlene Updates beheben oft Funktionsprobleme

Optionale Updates sind oft Treiberupdates und Sprachpakete

Microsoft Updates können direkt, manuell oder über einen WSUS-Server bezogen werden.

Windows7-Clients können eine Proxy auf 2Arten konfigurieren:

Web Proxy Auto Detected (WPAD) einen verfügbaren Proxy durch die Abfrage einer DHCP-Option oder DNS-Datensatz zu finden

netsh.exe Befehl: netsh winhtttp import proxy source=ie

Manuelle Updates mit einem Skript einspielen mit dem Tool „Wusa.exe“. Am Ende der Befehlszeile sollte „norestart“ stehen, welches erst beim letzten Updatepunkt entfernt wird.

Überprüfen ob alle Updates per WSUS installiert wurden. Dies passiert mit dem Tool Microsoft Baseline Security Analyzer (MBSA).

Fragen

1) b

2) c,b

3) c

4) d

5) d

9.2. Lektion 2 – Konfigurieren von Internet Explorer

Zusammenfassung:

Sicherheitseinstellungen werden in erster Linie konfiguriert, indem man Sites an Zonen zuweist. Seiten die höhere Privilegien benötigen sollten der Zone „Vertrauenswürdige Sites“ zugewiesen werden.

Add-Ons erweitern den Umfang des IE. Benutzer mit Standardberechtigung können sie hinzufügen, entfernen oder deaktivieren.

InPrivate-Browsen verhindert das der Internet Explorer Daten über eine Browsersitzung speichert. Die InPrivate-Filterung hindert fremde Webseiten Daten über sie zu sammeln.

Der IE zeigt Benachrichtigungen wenn das Zertifikat einer Webseite abgelaufen, beschädigt oder nicht übereinstimmt welches er dem Client übergibt.

Fragen

1) d

2) a,b

3) a,c

4) d

5) b

Übung Subnetting

1) Das Netz 192.117.12.0/24 soll in 6 Subnetze aufgeteilt werden. Wie lauten die Netz-IDs, die Subnetmask, erster und letzter Host in jedem der Subnetze?

Netz-ID: #0 192.117.12.0 Host: 1/30

#1 192.117.12.32 Host: 33/62

#2 192.117.12.64 Host: 65/94

#3 192.117.12.96 Host: 97/126

#4 192.117.12.128 Host: 129/158

#5 192.117.12.160 Host: 161/190

#6 192.117.12.192 Host: 193/222

#7 192.117.12.224 Host: 225/254

2) Welcher der folgenden Hosts befindet sich mit dem Host 172.16.29.18/20 in einem Netz?

172.16.14.18 172.16.31.254*

172.16.16.255* 172.16.33.12

172.16.64.18 172.16.17.17*

Magic: 16

Netz: 172.16.16.0 – 172.16.31.254

10.0. Kapitel 13 – Überwachung und Leistung

Auslagerungsdatei = pagefile.sys

Ruhezustandsdatei = hiberfil.sys

vmm (Virtual Memory Manager) = Speicherseiten a´ 4 KiB

Ressourcenmonitor = resmon

Leistungsmonitor = perfmon

Betrachter für Ereignisse = eventvwr