Problem bei Dienste beenden alias Ports schließen

[hajo48]

Liebe Freunde,
es gibt mehrere Tipp-Webseiten für die "Absicherung" des Comp.
Danach habe ich gehandelt und bin fast am Ziel - jedoch ohne Eure Hilfe werde ich es wohl nicht erreichen.
Habe win2k und einen "Web-Kabelanbieter" und (auch weiterhin) keine Firewall.
Die "NetBios-Ports" 137, 138, 139 jeweils UDP sind leider noch offen (siehe Check-Ergebnis im Anhang).

Frage 1 : Wie kann ich die mit w2k-Bordmitteln noch "schließen" ?

Beim Bearbeiten der Dienste fand ich folgende Dienste - in Klammern der derzeitige Status - die ich nicht kenne und deshalb nicht bearbeiten konnte :

ASP.NET-Zustandsdienst (manuell),
Dienst für Seriennummern (manuell),
Machine Debug Manager (manuell),
Microsoft Windows Spooler Service (automatisch),
Pml Driver HPZ12 (automatisch) - evtl. zu meinem HP Deskjet ??,
regstrmon (manuell) [= Registry Monitoring and Recreation of Modified files],
Still Image Service (automatisch),
wins(WINS) (automatisch) [= Winsock network detection layer]

Frage 2 : Von wehm sind diese Dienste, wofür werden diese benötigt und welchen Status muss ich diesen geben, damit sie die Comp.sicherheit nicht gefährden können.

Für Eure Antworten bedanke ich mich.

[Joerg]

Dann wollen wir mal:

ASP.NET-Zustandsdienst (manuell)
Dieser Dienst speichert die Sitzungszustände von ASP Websessions in einem Prozess. Solltest Du also keine Webanwendungen über den IIS bei laufen haben (möglicherweise hast Du ja auch den www Dienst schon deaktiviert), kannst Du den auf "manuell" lassen.

Dienst für Seriennummern (deaktiviert)
Damit werden Seriennummern von tragbaren Geräten (mp3-player) ausgelesen. Bildet die Grundlage für DRM geschützten Content

Machine Debug Manager (deaktiviert)
Kommt i.d.R. mit dem Office Paket und ist nichts anderes als ein Script Debugger. Könnte man also durchaus mal auf "Deaktiviert" setzen.
Infos: http://support.microsoft.com/default...b;en-us;321410

Microsoft Windows Spooler Service (automatisch)
Druckerwarteschlange -> sollte auf automatisch bleiben.

Pml Driver HPZ12 (automatisch)
PML ist der dazugehörige Dienst zum Printer Management Protocol bei HP Photosmart Druckern.

regstrmon (manuell)
Erlaubt anderen Benutzern remote die Registry zu bearbeiten. Dienst startet meines Wissens aber eh nicht. Es dürfte auch keinen anderen Dienst geben, der davon abhängig ist. Könnte deaktiviert werden, muss er aber nicht.

Still Image Service (automatisch)
Deine Device Treiber nutzen diesen Dienst (stisvc.exe), um mit Geräten wie Kameras, Scanner etc. zu kommunizieren. Kann ebenfalls auf automatisch stehen bleiben.

WINS (automatisch)
Deaktivieren. Wins wirst Du sicher nicht benötigen.

=======================================

Ist zwar alles, ich nenne es mal, nett, aber keiner dieser Dienste gefährdet Deinen Rechner wirklich. Die entscheidenden Services, welche dicht sein müssen, sind folgende:

epmap
isakmp
microsoft-ds
netbios-ssn
netbios-ns
netbios-dgm

netbios-ssn, netbios-ns & netbios-dgm
- Bei Deiner LAN-Verbindung auf Eigenschaften >> TCP/IP >> Erweiterte Eigenschaften
- beim Tab WINS 'Netbios über TCP/IP deaktivieren' anhacken

Wenn Du sonst keine anderen Rechner im LAN hast und davon gehe ich bei der Nutzung eines Modems mal aus, dann wäre folgendes noch fällig:
- In den Eigenschaften der LAN-Verbindung bei 'Netzwerk' beide Haken bei 'Datei- und Druckerfreigabe für Microsoft-Netzwerke'
und 'Client für Microsoft-Netzwerke' rausnehmen

epmap, isakmp
Solltest Du den Dienst 'Distributed Transaction Coordinator' deaktiviert haben, dann auf manuell stellen und über START >> Auführen >> DCOMCNFG.EXE [ENTER]
- Hier dann, wie auf den Bildern gezeigt, verfahren:

zu Bild dcom01.jpg:
Bei 'Standardeigenschaften' den Haken bei 'DCOM (Distributed COM) auf diesem Computer aktivieren' rausnehmen.

zu Bild dcom02.jpg:
Bei 'Standardprotokolle' alle DCOM-Protokolle entfernen.

Prüfen, ob folgende Dienste deaktiviert sind:
- Indexdienst
- Routing und RAS
- Telnet

microsoft-ds
Zum Schluß noch das angehängte .zip File entpacken und die SMBDeviceEnabled.reg in die Reg importieren (Einfach Doppelklicken).

Rechner neu starten und mit dem Tool TCP View die Ports checken.

Wichtig sind:
TCP/UDP 135
UDP 500
TCP/UDP 445
TCP 139
UDP 137
UDP 138

Wenn Du die Kiste noch weiter härten willst, dann kannst Du noch TCP/IP Filter nutzen.

[hajo48]

Hi Joerg,

vielen herzlichen Dank für Deine wirklich umfangreiche Hilfe.

Einiges hatte ich schon erledigt, wie z.B. Net-Bios-Entbindung und Dienste bearbeiten. Habe alles nochmals kontrolliert, den Rest wie von Dir beschrieben !und sogar bebildert! erledigt und die Reg. vervollständigt - und System neu gestartet.
Übrigens nutze ich kein Modem, sondern über LAN meinen Kabel-Anbieter, über den ich auch TV und Tel. beziehe.

Aaaaaber leider - die schweizer Security-Checker zeigen mir schon wieder das gleiche Ergebnis, wie schon in meinem oben angehängten Screenshot. ===> 137, 138, 139 jeweils UDP ist offen.
Ich möchte weiterhin keine Firewall benutzen, obwohl die ihre Hände vielleicht vor diese Löcher halten könnte. Und ich will mein w2k auch nicht rotglühend abschrecken, also härten. Aber ich wäre einfach zufriedener, wenn diese Ports von außen nicht erkennbar wären.
Ich hatte selbst den Tipp (von irgendwo her) befolgt, im Gerätemanager die ausgeblendeten Nicht-PnP-Treiber anzuzeigen und dann den "NetBios über TCP/IP" zu deaktiviern. Jedoch war dies nicht der beste Tipp, denn ich hatte danach überhaupt keine Web-Verbindung mehr. Also setzte ich den von ehemals autom. auf "Bedarf".
Aber leider - 137, 138, 139 jeweils UDP sind offen.

Während ich dies schreibe, habe ich die 2 Screenshots im Anhang gemacht - nach denen sieht es wohl ganz gut aus, aber es will ja im Moment niemand von außen durch die 3 Löcher in meine Blechbüchse kriechen.
Hast Du evtl. zur Problemlösung noch einen Tipp ?

Darf ich noch eine (hier sonst nicht hergehörige) Frage stellen ?
In meinem neuen Notebook mit winXP-Pro möchte ich den Bildschirmschoner mit Passwort versehen - ist ja kein Problem. Aber ich möchte (unabhängig von der Wartezeit) auf dem Desktop eine Verknüpfung oder ein "Ding" haben, das bei Draufklick den Schoner sofort einschaltet. Hast Du hierfür eine funktionierende Idee ?
Vielen Dank erst'mal.

[jubo14]

wie Du deine Ports "dicht" bekommst, kann ich Dir nun leider auch nicht sagen, aber mit folgendem String wäre Dein Rechner sofort gesperrt:

%windir%\System32\rundll32.exe user32.dll,LockWorkStation

Zwar auch nicht ganz das wonach Du gefragt hast, aber immerhin hast Du damit die Möglichkeit auf Knopfdruck den Laptop zu blockieren.