blub

Bei Office-Makroviren sollten(!) die meisten User mittlerweile schon misstrauisch werden. Aber bei PDFs und Flash, weiß ichs nicht. 

ist die PDF auch verseucht?

... das Fachschulabgaenger, Bachelor und wie sie sonst noch alle heissen, obligatorisch abgelehnt wurden da sie meist nur "Fach***en" produzieren oder um es etwas milder auszudruecken, ...man kann sie nicht einfach hinsetzen und arbeiten lassen, ...zuwenig Erfahrung welches man vor allem am Endergebniss und der Geschwindigkeit merkt. Zudem hatten sie dann oft auch noch utopische Gehaltsvorstellungen.

... natuerlich, Ausnahmen bestaetigen die Regel

Vorurteile vereinfachen das Leben

Aus meiner Erfahrung kann ich jedenfalls jungen Menschen ein MINT-Studium als Basis für die (gehobene) IT uneingeschränkt empfehlen! Neben dem erlernten KnowHow ist die im Studium erworbene wissenschaftlich strukturierte, selbstständige Arbeitsweise unersetzlich.

Von der Schweizer MELANI:

https://www.melani.admin.ch/melani/de/home/dokumentation/newsletter/mobileauthentifizierungsmethoden.html

Ändert sich etwas, wenn Du diesen Wert anpasst? $view =

New-Object Microsoft.Exchange.WebServices.Data.ItemView(100000,0)

Einfach mal 99 reinschreiben, um zu sehen ob es daran liegt.

Im msdn-Beispiel wird sogar Itemview(6,0) gesetzt.

https://msdn.microsoft.com/en-us/library/office/dn592093(v=exchg.150).aspx

woher kommen die ItemView(100000,0)?

https://msdn.microsoft.com/en-us/library/microsoft.exchange.webservices.data.itemview_members(v=exchg.80).aspx

RC2 ist aber nicht ReleaseCandidate 2?

kannst du bitte mal in die lokale GPO schauen:

sind die lokalen Admins bzw. der bootende Account im userright "perform volume maintenace tasks" drinnen. Falls nicht, füge diese testweise hinzu. Bei großen  Datenbanken kann das Fehlen dieses Rights zu langen Bootzeiten führen.

https://msdn.microsoft.com/en-us/library/ms175935.aspx

Zumindest auf physikalischen Maschinen hat's bei mir geholfen.

Dieses Userright erlaubt tiefgreifende Manipulationen im Filesystem, daher ist es mit Bedacht zu setzen. Steht aber auch untem im Artikel bzw. in der Policy Description.

blub

Überleg mal, was passiert, wenn ein Domain Admin am Server auf eine Locky.exe ohne UAC klickt.

Abgesehen davon, ein DomainAdmin-Account soll sich bitte nur auf DCs lokal (bzw. mit RDP) anmelden, sonst nirgends. Ein DomainAdmin-Account kann alles, aber er soll außer zur eigentlichen Domänen-Administration am DC (z.B. Domain GPOs bearbeiten) zu nichts Anderem genutzt werden.

Da auch unsere Medien schon drüber berichten

http://www.tagesschau.de/inland/avalanche-zerschlagen-101.html

hier das zughörige SecTel des US-Certs

https://www.us-cert.gov/ncas/alerts/TA16-336A

Unter "Solution" stehen nützliche Links, um seinen Rechner zu prüfen

blub

dass du hier bereits Jahre lang auf diesem Level unter verschiedenen Accounts schreibst, finde ich nicht mehr lustig.

certutil -syncwithwu c:\temp\certs  (oder halt irgendeinen temporären Ordner)

-> authrootstl.cab

 ctl: certificate trust list

gegen diese Liste vergleicht der lokale Certificats Root Update Service seinen Rootstore und holt sich fehlende Rootzertifikate automatisch z.b. von Microsoft, wenn automatic Update installiert ist

blub

Es ist aber schon seltsam, dass dieses Problem bei mir nur bei Clients auftritt, die als Anniversary-Home installiert wurden und dann ein Versionsupgrade auf Pro erhalten haben.

Das ist jetzt doch Satire, oder? Du willst Peter toppen!

Auch bei allen Vorgängerversionen war dieses Vorgehen (Home -> Pro -> PC in Domäne -> Benutzer aus AD anmelden) problemlos möglich.

Warum macht man sowas? Fährt man da billiger?

er estimiert einen ambivalenten change des BS als suboptimale Integrationsstragie. Ist doch logisch

 

Aus drei Gründen  :D

 

1. Hatte es immer so verstanden (oder vermutet?) das auch der PC in der Domain sein muss. Auch aus Sicherheitsgründen. Hab ihn soeben dort komplett gelöscht. Der User kann sich immernoch anmelden.

 

2. In einem Lernvideo wurde auf "Computer zurücksetzten" geklickt und der Client zeigt dann beim Anmelden die Fehlermeldung mit der Vertrauensstellung. Gesagt wurde das man den Computer wieder in die Domain bringen muss.....   

 

3. Weil der Server beim deaktivieren des Computerkontos meldet "Wenn Sie dieses Computerkonto deaktivieren, können sich Benutzer auf dem Computer nicht mehr an dieser Domäne anmelden."

 

Ist das alles falsch?

 

gilt nur für eine Kerberosanmeldung. NTLMv2 braucht kein Konto

wenn du das Computerkonto sperrst, warum sollte sich der Benutzer nicht anmelden können? Geht halt dann mit NTLM und nicht Kerberos.

- Warum versuchst du es nicht einfach selbst? Du hast doch in deinem Script oben bereits mit der Integration von .Net angefangen. Mit dem Scripting von .Net Klassen erlangst eine Fähigkeit, die dir mindestens die nächsten 5 Jahre weiter hilft!

- "Functions" erleichtern Scripting übrigens erheblich.

- Auch dieser "kleine Teil" würde mich in Gänze mindestens zwei Stunden meiner Freizeit kosten. Da bitte ich dich um Verständnis.

Dann beschäftige dich ein bischen mit .Net Scripting in Powershell. Dann kannst du alle Properties und Methods der Klasse nutzen.

Ich habe jedenfalls keine Zeit dazu, dir dein Script fein zu tunen. Tipps natürlich jederzeit gerne!

ich denke, du hast ein Skript mit FSW?
btw: die Links beschreiben die FSW-Klasse in .Net.  .Net ist universal einsetzbar auch in PS.

Die Frage wurde schon gestellt, was du erreichen willst

- bessere Performance

- höhere Ausfallsicherheit

- besser Verwaltbarkeit

-etc.

Momentan lese ich nur, dass du den aktuellen Server "etwas entlasten" willst. Das wird den alten Server sicherlich erfreuen, nur ..  ob das alleine deinen Erwartungen bzw. den Erwartungen deines Sponsors entspricht, ist fraglich.

Mit einem 2.-ten modernen Server könntest du einige sinnvolle Dinge erreichen. z.B.

- ein zweiter AD-Controller

- AD von anderen Applikationen (SQL/ Exchange) trennen

- Virtualisierung

- ...

sollte möglich sein:

https://msdn.microsoft.com/en-us/library/system.io.filesystemwatcher(v=vs.100).aspx

Use FileSystemWatcher to watch for changes in a specified directory. You can watch for changes in files and subdirectories of the specified directory. You can create a component to watch files on a local computer, a network drive, or a remote computer.

FileSystemWatcher.IncludeSubdirectories Property

https://msdn.microsoft.com/en-us/library/system.io.filesystemwatcher.includesubdirectories(v=vs.100).aspx

ja, das ist mir schon soweit klar.

Nur wo genau ein 30s Timeout steckt, hätte mich interessiert

Die CRL-Datei wird von einem CDP vor deren Ablauf lokal heruntergeladen. Entweder funktioniert die CRL-Aktualisierung und das Certificate kann verwendet werden, oder eben nicht.

Bei einem DC Server-Zertifikat sollte die CRL-Lebensdauer außerdem recht lange sein.

Der To ist wohl schon weg: Von LDAPS hatte er aber nichts geschrieben, sondern nur von "ldapsearches gegen 389 und gegen 3268"

Hallo Marcel,

Kannst du deine Beiträge mal übersichtlicher schreiben.

In zehn Zeilen 20 Leerzeilen unterzubringen, macht deine Texte auch nicht intelligenter! 

blub

Mal ehrlich wenn jemand an der Windows FW vorbei möchte schafft er das mit Leichtigkeit. Sogar ich und ich hab jetzt noch nicht so viel Wissen.

Wauu, wenn du mir das zeigst, brich deine Ausbildung ab und ich biete dir einen sehr gut bezahlten Job an!

...zumal die Windows-FW sowieso ein offenes Scheunentor ist...

Dann noch ein persönlciher Tipp: Plapper nicht einfach das Geschwätz mancher "Experten" nach, sondern frag sie: Warum? was empfiehlst du? Aber bitte mit konkreten(!) Antworten!

Selbstverständlich ist die WindowsFirewall ein wichtiger, von vielen Bausteinen in einem Sicherheitskonzept für EndPoint-Security, auch in großen industriellen Umgebungen mit hohen und höchsten Securityanforderungen! Linux besitzt mit ipchains, iptables übrigens ähnliche Host-Based Firewall -Konzepte.