Idee gesucht: Software installieren ohne permantente Adminrechte

[mriess 10]

Hallo zusammen,

als Sicherheitsbeauftragter bin ich gerade zunehmend in einer Zwickmühle:

 

In der Firma gibt es eine zunehmende Anzahl von Elektronikentwicklern, die CAN-Geräte (USB-Blaster, RS232-Konverter u.a.) an die USB-SS anschließen müssen und dazu auch Software installieren müssen. Das geht normalerweise ja nur mit Adminrechten.

 

Auf der anderen Seite sehe ich die Adminrechte natürlich als hohe Gefahrenquelle, da sich die Leute dadurch auch Software installieren können, wie z.B.

- Cracker für die Adminpassworte

- Netzwerkscanner

und was sonst noch alles Spaß macht.

 

>>> Wer hat Anregungen und Ideen, wie unser Supportteam z.B. nur kurzfristig solche Adminrechte erteilen könnte oder ganz andere Ideen, die Sicherheit und Arbeitsfähigkeit abwägen?

 

Unsere Umgebung:

Win XP

ADS 2003

[xcode-tobi 10]

müsste doch über GPO's realisierbar sein?!

[nobex 10]

Hallo,

 

wenn die Software-Installation über den Windows-Installer läuft, dann schau Dir doch mal die GPO-Einstellung unter

Computer-Konfig. -> Admin. Vorlagen -> Windows-Komponenten -> Windows Installer -> Immer mit erhöhten Rechten installieren

an.

 

Gruß Robert

[Cerberus70 10]

Ein einfaches Befehlsskript kann Dir hier weiterhelfen.

 

Dieses Befehlsskript ausführen, es öffnet sich ein Fenster, solange das Fenster geöffnet bleibt bist Du als Admin mit den entsprechenden Rechten gemeldet , so wie Du das Fenster schließt bist Du wieder der normale Benutzer der nichts installieren darf.

 

Es ist in der Englischen Version im Netz zu finden , wobei Du dort allerdings die Bezeichnungen angleichen muss

Deutsch Hauptbenutzer = Englisch PowerUser usw.

 

Du solltest hier mal nach Make me Admin Googlen, denke das dürfte Dir weiterhelfen.

Die ZIP Datei enthält dann das Skript für Admin , Admin mit SmartCard nutzung und Hauptbenutzer.

[onewayticket 10]

Hallo,

 

mein vorschlag wäre:

Die Abteilung in eine Ou verschieben dann den leuten bescheid sagen das sie sich mit der Administration in verbindung setzen sollen wenn etwas installiert werde soll dann kurzfristig Adminrechte erteilen und nach ca einer halben stunde oder so ähnlich wieder entziehen, gleichzeitig würde ich mit der Geschäftsleitung oder deinem Vorgesetzen abklären das dass Ereignisprotokoll nicht gelöscht werden darf, sonst Abmahnung.

Dann kannst Du nachvollziehen was Installiert wurede und denjenigen die installieren ist klar das sie Überwacht werden.

Alternativ könntest Du auch eine Entsprechende Nutzungsordnung unterschreiben lassen.

 

MfG

Onewayticket