Die richtige Passwortstrategie

[xhutzelx 10]

Hallo Leute!

 

Passwortkonventionen sind soweit geläufig, das ist nicht der Punkt.

 

Was allerdings die Strategie angeht, so würde ich da doch gern mal wissen, welche Erfahrungen und Ideen ihr da gesammelt habt.

 

BIOS Passwörter > jedes einzelne BIOS auf jedem Rechner durch ein seperates Passwort schützen? (Mir ist klar, das man das aushebeln kann. Ist aber jetzt egal.)

 

Lokale Admin-Passwörter > auch auf jeder Maschine ein anderes?

 

Entscheidend bei der ganzen Sache ist wohl, dass Notebook-Benutzer manchmal was auf ihren Rechnern installieren können müssen, auch wenn sie nicht mit dem Netz verbunden sind. Evtl. müssen auch Einstellungen im BIOS vorgenommen werden, falls von CD-Rom aus gebooten werden muss (aus welchem Grund auch immer).

Bei seperaten Passwörtern für jedes einzelne BIOS ist die Sicherheit ja noch einigermaßen gewährleistet. Am Ende brauche ich nur dieses einzelne Passwort ändern, damit der Person nicht gleich der Zugriff auf alle BIOS-Systeme oder Rechner bekannt ist (Local Admin).

Jetzt muss ich aber auf 200 Rechnern Wake-On-LAN aktivieren oder irgendeine Einstellung im BIOS ändern. Eine Liste mit allen einzelnen Passwörtern (BIOS und Local Admin) zu pflegen ist ja schon recht mühseelig. Da bliebe ja nur noch, mit dieser Liste durch die Lande zu ziehen und die Arbeit zu erledigen.

 

Wie habt ihr das gelöst bzw. welche Ideen habt ihr für solche Situationen?

 

LG

[IT-Shrek 13]

Hallo,

 

also bei uns ist das eindeutig so geregelt:

Benutzer haben keinerlei Zugriff auf administrative Privilegien, hin und wieder ein Programm installieren, dafür gibt es Leute wie uns und am Bios haben Benutzer nun wirklich überhaupt nicht rumzufummeln.

 

Wenn du deinen Benutzern derartige Privilegien einräumst wirst du es schwer haben die Sicherheit deines Netzes zu gewährleisten.

 

Shrek

[Cerberus70 10]

Hier stimme ich ITShrek zu.

Diese Regelung ist bei uns ebenso in Kraft.

Bis auf die Geschäftsleitung hat niemand Sonderrechte innerhalb der Firma. Und die Hand die einen Füttert werde ich nicht beißen.

 

Dies war einmal anderst gehandhabt worden ( User mit lokalen Adminrechten ) und es wurde zu einem Rückläufer. Dies war Gott sei Dank vor meiner Zeit.

 

Es ist ein unzumutbares Sicherheitsrisiko und niemand kann so Gut sein das er ein NEtz wo jeder User mit Adminrechten bestückt ist auf dauer sauber hält.

 

Wenn jemand Software benötigt die nicht Grundsätzlich Installiert ist so soll und muss er Kontakt zum IT Support aufnehmen. Nur so kann eine Kontrolle gewahrt werden was Lizenzen und das tun der User angeht. Das BIOS der Systeme ist generell Tabu für die User.

 

 

Cerberus

[Cossack 10]

Bei uns ist es so geregelt dass Besitzer eines persönlichen Notebooks dort auch Administratorrechte haben.

 

Die lokalen Admin-Passwörter werden wöchentlich auf jedem PC per Skript geändert und sind auch für jeden PC unterschiedlich. Allerdings schreibt das Script die Passwörter dann in ein geschütztes netzlaufwerk auf das nur die PC-Admins Zugriff haben.

[micha42 29]

Hallo Cossack,

kannst Du das Script hier mal posten?

Danke Michael