autorun.inf über Gruppenrichtlinien abschaltbar?

[Muelli 10]

Moin,

 

kann ich für alle meine Clients die autorun Funktion über den Domänen Gruppenrichtlinieneditor abschalten?

 

Windows Server 2003 R2 Domäne mit XP Rechnern und 1 Win 7 Rechner.

 

Das Problem ist, dass unsere Kollegen international tätig sind und in aller Welt Schiffe besuchen müssen. Erstellte Schriftstücke müssen an Bord per USB Stick mit dem Schiffsrechner ausgetauscht werden. (Sowohl Lese- als auch Schreibrechte auf USB erforderlich) Die Schiffsrechner von internationalen Besatzungen sind aber meistens verseucht. Sehr oft werden Schadprogramme und eine autorun.inf aufgespielt. Bisher hat unser Virenscanner zwar alles abgefangen - aber es gibt immer ein erstes Mal. Ich möchte jetzt am liebsten per GPO (um nicht jede einzelne Registry editieren zu müssen) die autorun Funktion bei allen abschalten, so dass das Schadprogramm zumindest nicht von Windows automatisch gestartet werden kann.

 

Die Autorun Geschichte ist zwar schon des öfteren hier behandelt worden. Habe aber keinen Beitrag bzgl. Lösung über Domänen GPO gefunden und selber auch nichts in den Richtlinien des DC.

 

Gruß

 

Jörg

[carlito 10]

Hast du heise online - Das ist das (teilweise) Ende von Windows-AutoRun schon gesehen? Dort ist auch der entsprechende MS KB Artikel verlinkt.

[Muelli 10]

Hört sich erst mal gut an.

Wenn ich die Sache richtig verstehe, wird durch den Patch aber nur verhindert, dass falsche/verwirrende Angaben im AutoPlay Fenster angeboten werden, durch die versehentlich das Schadprogramm durch den User gestartet werden kann.

 

Heißt das aber nun grundsätzlich, dass AutoRun Funktionen von USB Sticks niemals selbständig starten können, sondern IMMER erst das AutoPlay Fenster erscheint?

Dann müsste ich ja meinen Usern nur eintrichtern, dass sie das AutoPlay Fenster einfach immer nur wegklicken sollen - dann kann eigentlich auch nichts passieren.

 

Weißt Du, welcher MS Patch die AutoRun Funktion updated? Würde gern auf unseren Rechnern stichprobenartig checken, ob er eingespielt wurde.

 

Gruß

 

Jörg

[NorbertFe 2.066]

Ist es so schwer den Links im Heise Artikel mal zu folgen?

 

Bye

Norbert

 

PS: How to disable the Autorun functionality in Windows

[carlito 10]

Ist es so schwer den Links im Heise Artikel mal zu folgen?

 

Zumal ich oben schon geschrieben habe: "Dort ist auch der entsprechende MS KB Artikel verlinkt." :rolleyes:

[Muelli 10]

Ja, ja, ja, Asche auf mein Haupt. Aber im Heise Artikel waren Wörter wie "Rückportierung", "eingeflossenen" und "entfernt" als Link gekennzeichnet. Die klickt man nicht automatisch an, um weiterzukommen.

 

Am Ende habe ich die Patch Nummer gefunden. Für ein XP wäre dies die 967715, die auch über die Automatischen Updates bereits bei uns auf allen XPs und auf dem Server 2003 installiert sind.

Nun bin ich auf dem Server über gpedit.msc in die Gruppenrichtlinien reingegangen und habe dort unter:

Computer\Administrative Vorlagen\System\Autoplay deaktivieren auf "Aktiviert (für alle Laufwerke)" gestellt. Als Nächstes dann mal einen Clientrechner neu gestartet und irgendeine Installations CD eingeworfen - Die Installationsroutine wollte immer noch automatisch starten. Hab ich was übersehen?

 

Gruß

 

Jörg

[NorbertFe 2.066]

Aktivierst die Deaktivierung und wunderst dich hinterher, dass Autoplay automatisch startet? Versteh ich dich grad irgendwie falsch?

 

Bye

Norbert

[Muelli 10]

Ja, die "Deaktivierung von AutoPlay" ist jetzt auf "aktiviert" gesetzt. Nach meinem Verständnis ist Autoplay damit abgeschaltet (Wobei ich hoffe, dass damit auch AutoRun erschlagen wird.)

 

Was verstehst Du denn darunter?

 

Gruß

 

Jörg

[NorbertFe 2.066]

Hmm bin grad selbst durcheinander gekommen. ;) Sollte also korrekt sein. Bist du sicher, dass die Policy übernommen wurde?

 

Hast du im Artikel auch das hier gesehen?

 

Note For Windows Server 2003 and Windows XP, all changes of this update are controlled by the HonorAutorunSetting registry entry so that you can revert to the previous configuration if it is required. This entry is not valid for Windows 2000, Windows Vista, or Windows Server 2008 users.

 

When you install update 967715, the HonorAutorunSetting registry key is created only in the HKEY_LOCAL_MACHINE registry hive. The registry key has a default value of 0x1. This value enables the functionality that is present in the current update. Before you install the current update, this registry key is not present in the system. You can obtain prepackage installation Autorun behavior by manually setting the registry key to 0. To do this, type 0 instead of 1 in step 6 of the following procedures to manually set the registry key. HonorAutorunSetting is always read from the HKEY_LOCAL_MACHINE registry hive even if the HonorAutorunSetting entry is also configured in the HKEY_CURRENT_USER registry hive.

 

Bye

Norbert

[Muelli 10]

Ja, der HonorAutorunSetting Key ist angelegt und steht auf 1. Manuell möchte ich aber nicht an allen 20 Rechnern jetzt die Registry bearbeiten und den Key auf 0 setzen. Deshalb wollte ich ja über Gruppenrichtlinien der Domäne gehen.

 

Gruß

 

Jörg

[NorbertFe 2.066]

Dann machs doch per GPO ;)

 

Bye

Norbert

[Muelli 10]

Jetzt scheint's zu funktionieren. Hatte die GPO für die falsche OU erstellt. Wenn ich jetzt 'ne Installations CD reinschiebe passiert: NICHTS :)

 

 

Gruß

 

Jörg

[NorbertFe 2.066]

:) So einfach kanns sein.

 

Schönes WE

Norbert