Excel Zertifikat oder Trusted Location für Makros?

[mac-duff 10]

Guten Tag allesamt,

 

Durch die Ereignisse in jüngster Vergangenheit ist natürlich das Interesse am Thema Sicherheit bei Excel oder auch Word Dateien stark gestiegen und würden diese jetzt gerne eingrenzen. Im Unternehmen nutzen wir eine Excel-Anwendung die von allen Abteilungen genutzt wird und von drei Herrschaften gewartet und weiterentwickelt wird.

 

Die Idee war es nun, über die Zertifizierungsstelle ein Zertifikat zu erstellen und dieses an alle Clients auszurollen (GPO). Den drei Entwicklern muss dann natürlich der private Key zur Verfügung gestellt werden, und genau da bin ich mir unsicher. Da wir noch eine Windows 2008 Domain haben, kann eine Berechtigung anscheinend nicht über Sicherheitsgruppen erfolgen, sondern der private Key muss bei den dreien „händisch“ zuerst exportiert und dann eingerichtet werden?!? Oder gibt es eine Möglichkeit, dass über eine bestimmte Sicherheitsgruppe diese den privaten Schlüssel anfordern können?

 

Die andere Möglichkeit wäre natürlich die Trusted Location. Dieses funktioniert wunderbar und denke erfüllt auch zum größten Teil die Sicherheitsbedenken.

 

Muss gestehen, dass ich mir aber da unsicher bin, welche Möglichkeit die sinnigere Alternative ist.

Würde mich über eine Antwort freuen.

 

Grüße

md

[Dukel 455]

Mit der CA funktioniert das etwas anders. Jeder der Entwickler muss ein Signing Zertifikat anfordern.

Den Privaten Key der CA hält man unter Verschluss!

 

Ich würde die Trusted Locations wählen. Eine CA ist nicht trivial und sollte genauestens geplant und umgesetzt werden.

[mac-duff 10]

Danke für die Antwort.

Denke auch, dass ich mit der Trusted Location fortfahre, nachdem ich mal geguckt habe, wie viele Excel mit Macros wir im Einsatz haben....

[mac-duff 10]

So, nachdem ich mal unsere Netzwerk Shares durchlaufen habe nach Makrobehafteten-Excel-Dateien, komme ich leider zu der Erkenntnis, dass es irgendwie keinen Ordner zu existieren scheint, indem keine Excel-Dateien ohne Makros liegen.

 

Sprich, ich weiss nicht was ich jetzt genau machen soll. Makro-Sicherheit aus lassen, oder den kompletten File-Server als Trusted-Location definieren. Zweites würde ich denke ich ein wenig die Sicherheit erhöhen… aber ob es etwas bringt?

 

Es wäre schön, wenn es einfach eine weitere Makrounterteilung gäbe, eine in der Systemzugriff erlaubt ist, eine andere in der nur interne Funktionen verwendet werden könnten.

[Sunny61 807]

Es gibt ein paar Artikel in Bezug auf Locky, die man sich zu Gemüte führen kann und soll.

 

Neben dieser Variante https://www.frankysweb.de/windows-fileserver-vor-ransomware-crypto-locker-schuetzen/ kann und sollte man sich auch die Software Restriction Policies anschauen. Softwareeinschränkung hier genannt. https://www.frankysweb.de/clients-vor-infektion-mit-ransomware-schuetzen-locky-cryptolocker/

Die Software Restriction Policies sind recht schnell konfiguriert, am besten nimmst Du dir ein paar Poweruser und lässt sie das testen. Man übersieht recht schnell das ein oder andere Programm, das auf einer Netzwerkfreigabe läuft.