Software installation verbieten.

[Zentrax 10]

Moin Zusammen ...

 

kurz vorgeschichte: bin hier mal ins eiskalte wasser gestoßen worden, nachdem ich einige zertifi. für den Mcsa fertig habe. Habe eine Berufsschule übernommen wo schon vor mir jemand sich dran versucht hat.

 

So das leidige Thema Icq wollte ich weg haben. Hier ist überall Wächter Software installiert. Somit ein neustart und das installierte icq ist verschwunden. nun ja aber es soll nicht nutzbar sein. Bzw. garnicht erst installiert werden können.

 

Am Proxy sämtliche Seiten sperren wo man es runterladen kann will ich nicht wäre auch ne lebensaufgabe.

 

Also ich mich an meinen Server (windows2003 gesetzt). Dachte mir unter VERWALTUNG / SICHERHEIT F. DOMÄNE / gabs doch sowas wie SICHERHEITSEINSTELLUNG / RICHTLINEN FÜR SOFTWAREEINSCHRÄNKUNG. Ich kurzer hand auf ERZWINGEN drauf alles für alles und jeden gesperrt.

 

Dachte mir nun alles klar nur der Admin darf noch was Installieren. Den Schüler und auch Lehrer dürfen hier nix. Ich mich in den ersten Computerraum begeben. Siehe da ! Wunderbar! Gleich ne meldung keine Rechte für vorhanden es zu installieren.

 

Sieges sicher bin ich in einen weiteren Raum gegangen. Dort konnte es aber installiert werden vom standart benutzer genau wie in 2 weiteren räumen.

 

Da ich als reiner Theroretiker mich erst noch ein wenig einarbeiten muss. Und auch an dem übernommenden Server mich zu recht finden muss. Wäre ich über hilfe sehr dankbar.

 

Kurz und Knapp:

Server Windows 2003 / Clients Windows2000

Niemand ausser Admin soll was installieren dürfen.

 

War mein Ansatz etwas völlig falsch ?

 

Danke sehr für alle hilfreichen antworten !

[Sims 10]

Kann es einfach sein, dass dort die neue Richtlinie noch nicht übernommen wurde? Oder hast du das mehrfach in bestimmten abständen getestet?

[Zentrax 10]

*hmm* das könnte sein ! ich bin innerhalb von 5 - 10 minuten in den besagte 3 - 4 Räumen gewesen! In dem ersten Raum hat es sofort gegriffen! In den anderen Räumen leider nicht!

 

Also war der Ansatz aufjedenfall schonmal richtig ?!?!

[Christoph35 10]

Schon mal nicht ganz verkehrt ;)

 

Falls die GPOs auch jetzt noch nicht gezogen haben sollten, führe mal an den Clients das Kommando secedit /refreshpolicy machine_policy /enforce und secedit /refreshpolicy User_policy /enforce aus.

 

Christoph

[sysiphos 10]

Hallo,

das kannst du erzwingen in dem du auf der Workstation unter Start-> Ausführen folgendes eingibst

 

Nur für Windows 2000

secedit /refreshpolicy user_policy /enforce

secedit /refreshpolicy machine_policy /enforce

 

 

EDIT: Mist da war einer schneller :)

Gruß

[Zentrax 10]

Bin gerade mal los gelaufen und in einen der Räume gegangen wo es immernoch möglich war Software zu installieren. Leider war es immernoch möglich die Software zu installieren :suspect: .

 

@Christoph35 Hmm wenn ich das bei allen Clients eintippen muss. Wäre das nicht gerade ne gute Lösung! Das bedeutet das ich überall die WächterSoftware deaktivieren muss damit der befehlt auch dauerhaft wirkt! Und das sind ca. 200 - 300 Stk.

 

Ach ... an dem Client kam beim anmelden aber auch die Meldung "Sicherheitsrichtlinen werden übernommen" aber hat irgendwie nix bewirkt !

 

Was ich auch nicht verstehe warum es bei einem Raum greift und bei den anderen nicht :suspect:

 

Edit: Also scheine ich ja mit dem Ansatz gut gelegen zu haben. Es gibt auch keine Ausnahmen ausser der Admins oder ? Soweit ich das sehe sind hier alles Domänen-Benutzer (korregiert mich wenn ich nun falsches sage. sind so zu sagen hauptbenutzer die "eigentlich" installieren durfen?!)

[Sims 10]

Was du noch machen kannst...

Das ganze gibts ja für Benutzer und für Computer ... bei beiden einstellen.

Zudem könntest du versuchen in den gruppenrichtlinien unter Administrative Vorlagen / System / Gruppenrichtlinien / Software.... <---- hab damit noch nicht gearbeitet, ist mir jetzt nur ins Auge gestochen.

[Christoph35 10]

Die Group-Policies werden auf den Clients automatisch nach einer gewissen Zeit angewendet, sofern die Maschine nicht gebootet wird (Computer Richtlinien), oder sich jemand ab und anmeldet (User-Policies). Ich meine, dass wären 90-120 Minuten. Von daher muss man manchmal einfach Geduld haben.

 

Christoph

[Zentrax 10]

Danke erstmal für die Hilfestellung ! Werde morgen früh gleich das nochmal ins Auge nehmen und hoffen das es gegriffen hat ansonsten halte ich euch auf den laufenden und werde weiter mit fragen euch löchern.

 

Zur not mache ich an jeder Maschine

secedit /refreshpolicy user_policy /enforce

secedit /refreshpolicy machine_policy /enforce

 

hoffe aber das kann ich mir ersparen !

 

Kriegen wir schon hin =)

 

danke nochmals ! bis morgen früh!

[XP-Fan 220]

Hallo Zentrax,

 

hast du nen gescheiten Virenscanner ?

Definiere dem einfach ein bestimmtes Programm als Virus mit Aktion sofort löschen :D

[Zentrax 10]

Guten Morgen !

 

Leider haben die Richtlinen immernoch nicht gegriffen!

 

Habe es darauf hin hiermit versucht.

 

secedit /refreshpolicy user_policy /enforce

secedit /refreshpolicy machine_policy /enforce

 

Klappte aber auch nicht !

 

VERWALTUNG / SICHERHEIT F. DOMÄNE / SICHERHEITSEINSTELLUNG / RICHTLINEN FÜR SOFTWAREEINSCHRÄNKUNG. ERZWINGEN Alles und jeden software installieren verbieten.

 

Müsste doch ein guter oder sogar der richtige Ansatz sein oder ? Wieso klappt das bloß bei mir nicht.

 

@XP-Fan Nein habe auf den Clients keinen Virenkiller! Die werden durch die WächterSoftware immer wieder in den Ur zustand nach nem Boot zurück gesetzt daher hat ein Virus keine Chance !

 

edit: Habe mir folgendes noch raus gesucht:

 

Sicherheitsrichtlinen f. Domain -> Sicherheitseinstellung -> Richtline f Softwareeinschränkung -> zusätzliche Regel -> Hash

 

Alles klar gleich mal angeschaut ! Nur leider blicke ich das irgendwie nicht. Muss ich nun Icq erstmal installieren um es dann durch das DURCHSUCHEN lokalisieren zu können und dadurch die zusatz Regeln ins Leben zu rufen? Will Icq natürlich nicht auf dem Server installieren ? Oder muss ich nur die Icq.exe angeben ?

 

Für Rat und Tat wäre ich wie immer sehr dankbar !

[Christoph35 10]

Hi,

 

starte doch bitte mal auf dem DC den RSOP Wizard (rsop.msc, falls du die GPMC nicht installiert hast) und lass Dir für eine der Maschinen, wo es nicht funktioniert, ein Log der angewandten Policies ausspucken. Daraus müsste hervorgehen, warum es nicht funktioniert.

 

Falls Du Fragen dazu hast: nur her damit ;)

 

Christoph

[Zentrax 10]

Morgen...

 

lass mich raten dazu kann ich quer durch Gebäude flitzen und den Rechner anmachen ? Musste ebend 5 min. warte muss ebend mal rum pingen wo ein Schüler gerade dran sitzt !

 

Grüße

[Zentrax 10]

Und gleich eine Fehlermeldung :

 

Der ausgewählte Computer unterstüzt keinen Richtlinenergebnissatz .....

 

Edit :: Das funzt nur bei System die neuer als W2000 sind schreibt der noch ! Meine Clients sind ausschließlich nur W2k

 

sowas kommt wohl wenn man Netze übernimmt !

[Christoph35 10]

Dann mach auf dem Client mal ein "gpresult" und poste den Output hier.

 

Christoph