Viren und Würmern ein Schnippchen schlagen

Hallo,

sich mit Administratorrechten im Internet zu bewegen ist unsicher, ob unter Linux oder Windows...

Generell gesprochen ist es sicherer einen normalen Benutzeraccount zu nutzen und Adminrechte nur für dazu benötigte Aktionen punktuell zu vergeben mittels 'run as' bzw. dem Secondary Logon.

Man bedenke:

Alle aktuellen E-Mail-Würmer benötigen volle Zugriffsrechte, um sich auf dem System festzusetzen.

Hier nun der Link zu einem c't Artikel aus Heft 15/2004

http://www.heise.de/ct/04/15/106/default.shtml

Daniel Bachfeld

Sicher durch Verzicht

Administratorrechte unter Windows

Arbeitet man unnötigerweise als Administrator mit vollen Zugriffsrechten auf dem PC, ist nicht nur die Gefahr groß, ungewollt etwas kaputtzumachen. Auch Würmer, Trojaner und Hacker haben es beim Angriff auf den PC viel zu leicht. Mit weniger Rechten arbeitet es sich aber genauso bequem - und zudem erheblich sicherer.

Der Vollständige Artikel bzw. eine detaillierte Anleitung befindet sich im Heft.

Im Grunde genommen keine Hexerei, aber ein sehr wirksamer Schutz.

Ja OK ist ne Möglichkeit......

Aber es ist ja kein Zustand, daß ich mir für den Internetzugang einen eigenen Benutzer erstellen soll. Da gibts auch andere Möglichkeiten sich zu schützen.

Ne Firewall zum Beispiel. Ich habe mit der Firewall auch die "Blaster"- Welle überstanden. Natürlich hab ich meinen Pc dann gepatcht aber eigentlich darf es ja solche Sicherheitslücken überhaupt erst nicht geben.

Also eigentlich ist ein Witz, daß mir gesagt wird, daß ich einen Speziellen User anlegen soll, mit dem ich ins Netz gehe. Das sollte auch ein User mit Admin-Rechten machen können ohne sich gleich was "einzufangen".....

Hallo,

in Linux/Unix ist es selbstverständlich, dass Adim(root) und User getrennt sind und man nur unter root arbeitet, wenn man Arbeiten hat, die entsprechend die Notewendigkeit der Admin Rechte erfordern.

Ich befürworte das auch in Windows, jedoch ist der Wechsel in den Adminstrativen Kontex m.E. "noch" zu komplex. Abmelden und unter anderem Konto neu anmelden ist oft sehr umständlich. Zwar lassen sich schon eine ganze Reihe von Funktionen in Windows unter User Rechten im administrativen Kontex starten (Installationen, RunAs/Ausführen als), jedoch noch nicht alle. Für den Explorer geht das meines Wissens nicht und da hackt es dann. In Unix kann man jede Admin Aufgabe im Admin Kontex aus der User Anmeldung heraus aufrufen und da sollte es auch für Windows hingehen (Vielleicht kann uns grizzly sagen, ob es wirklich so kommen wird ;) ).

try_to_find

Wieso "nicht alles"?

CMD -> runas explorer.exe /user:hans.muster@domain.de

Wo liegt das Prob?

Gruss

Hallo Velius,

müsste der Befehl nicht so lauten:

runas /user:<Admin-Nutzer>@<Domain> explorer.exe

(Win XP)

Vielleicht mach ich was falsch, aber das geht bei mir weder aus der CMD noch aus dem Ausführen Dialog. Er fragt zwar brav nach dem PW und startet dann den explorer.exe als Prozess, jedoch bekomme ich kein Dialog Fenster, in dem ich dann das machen kann was ich dort gewohnt bin zu tun...

Wenn Du einen Weg kennst wäre ich begeistert, wenn Du mir helfen könntest, denn das ist das was mich der Bequemlichkeit wegen zu oft als Admin arbeiten lässt.

try_to_find

Du hattest 2. mal recht. Das auszuführende Programm muss natürlich am Schluss stehen.

Und leider gilt auch folgendes:

Some applications, such as Windows Explorer, the Printers folder, and desktop items, are launched indirectly by Windows 2000. These applications cannot be started with the runas command.

Aus folgendem Artikel:

http://www.microsoft.com/windows2000/en/professional/help/default.asp?url=/windows2000/en/professional/help/windows_security_runas_shortcut.htm

Vorstellbar wäre aber, dass du mit einem 3rd Party File Manager, und "runas/Ausführen als" trotzdem auf das Dateisystem kommst; ausprobiert habe ich's noch nicht, werde es aber gleich versuchen.

Hier noch ein Beispiel für einen File Manager:

http://www.pc-news4you.de/freeware/tools-utilities/explorer/main.htm

http://www.ghisler.com/download.htm (leider Shareware)

Gruss

Noch eine Möglichkeit.....

Anstatt "explorer.exe" nimmst du einfach "cmd.exe"....

Hallo Velius,

danke für Deine Recherche! Bei 3rd Party sehe ich kein Problem, jedoch wechsle ich ungern für alle den File Manager (oder bezahle da sogar noch etwas dafür), nur um ihn im Admin Kontext ausführen zu können.

cmd.exe geht - Allerdings hab ich die grafische Benutzeroberfläche lieb gewonnen. Erst recht wenn man die Sicherheitsoptionen ändern möchte. :D

Ich hoffe aber trotzdem darauf, das sich eines Tages bei Windows alle Funktionen im Admin Kontext aufrufen lassen. Dann würde es einem einfacher fallen immer nur als User angemeldet zu sein.

Bis es soweit ist helfe ich mir mit 2 Rechnern am Platz! In einem bin ich als Admin drin, im anderen als User. ;)

Dumm nur, wenn man unterwegs ist und nur ein Notebook mit hat. :D

try_to_find