Weingeist

In Hinblick der ganzen Ransomware und Hypervisor-Sicherheitslücken (Hostübernahme durch VM) der letzten Jahre, bin ich recht skeptisch geworden mit der Sicherung in eine Storage bzw. Backupserver VM rein. Hatte einige schlaflose Nächte deswegen, da ich oft genau solche Konzepte für die aktuellen Backups benutzt habe. Ein paar Gedanken zu Backups (Fokus KMU-Umfeld) Die Backups selbst sollten möglichst immutable, also nicht löschbar sein. Mindestens ein Ziel, besser zwei und unterschiedliche Technik (z.B. NAS und Server) über die LAN-Verbindung ins produktive Netz bzw. die Verwaltungsebene nur das erlauben was für Übertragung notwendig ist. Verwaltung wieder über eigene Anschlüsse. Agentless Sicherung und ohne Hypervisor-VM Kommunikation kann man z.B. bewerkstelligen indem Applikations-Daten auf eine separate Fesplatte der produktiven VM gesichert werden. Die sind dann immer Konsistent wenn der Backup eine Kopie zieht. Bei einem Restore ist halt ein zusätzlicher Schritt notwendig. Erst VM zurück, dann Applikations-DB. Backup in die Cloud ist je nach dem unglaublich Bandbreitenintensiv. Kommt drauf an wie viel gesichert werden muss und vor allem was. Nur Nutzdaten oder wirklich die ganze Umgebung. Externe Backups Inkrementell zu sichern finde ich auch immer etwas speziell. Restore-Geschwindigkeit ist heute erschwinglich geworden. Sowohl 10gbit als auch SSD's. Sprich das Primäre Backup kann auch HighSpeed sein oder sogar auf der gleichen Maschine wo man dann die Platten in den zweiten Server steckt wenn nötig. (Hardware-Ausfällen, Update-Ärger oder Aus-Versehen-Löschungen) Bei Ransomware oder Totalausfall wegen Brand etc. spielt die Zeit (in einem KMU) oft eh nur noch eine untergeordnete Rolle. Also ob das dann von der Cloud oder einem lahmeren Repo kommt ist dann grad auch egal weil der Rest sowieso schon viel Zeit in Anspruch nimmt Ich mag zum Beispiel Files und Datenbanken-Sicherheits-Kopien als Kopie auf einer unabhängigen eigenen Maschine für diesen Zweck. Also Server oder NAS nicht innerhalb der Domäne und über eigenes VLAN. Der Kopiervorgang direkt von Filesystem zu Filesystem. Grund: Wird die VM-Disc z.B. zwei Monate vorher verschlüsselt und erst dann die Keys gelöscht, hat man mit etwas Glück trotzdem aktuelle Nutz-Daten.

Moin, ok, falsch verstanden. Das bezog ich darauf. Also Kommunikation mit zentralem KDC und LocalKDC selber spielen. Der Punkt wo ich auf dem Schlauch stehe ist der, wo aus Sicht des Clients der Unterschied ist, ob er nun gegen einen zentralen oder einen lokalen KDC authentifziert. Der Ablauf müsste für Ihn ja identisch sein, da gleiche Technik aber andere Maschine. Daher auch meine Missinterpretation Deiner Aussage oben. Aber ja eine gewisse Illusion spielt da sicher mit, da gebe ich Dir vollkommen recht!

Kleine Anmerkung am Rande: An sich ein sehr cooles Gerät mit kleineren Schwächen. Habe selbst mal eines geordert. Die Herkunft ist zumindest "interessant". Es wird einem suggeriert, dass es ein europäisches Produkt ist, aber es kommt vollständig aus China. inkl. der Software und auch dem Cloud-Anbindung. Auch konkrete Anfragen ergeben mitunter interessante Antworten. Gesunde Skepsis dürfte nicht verkehrt sein.

@cj_berlin Also jetzt stehe ich wirklich auf dem Schlauch bzw. verstehe nicht worauf Du hinaus willst. Wozu muss der Drucker ein LocalKDC haben? Er ist ja der "Client" und muss sich ein Ticket holen damit er etwas auf dem Fileserver ablegen kann. Andersum - also wenn ein Windows-Client etwas auf dem Drucker holen will - sieht das natürlich anders aus. Da sind es dann in der Regel Abteilungs-Pins die man eingeben muss. Sofern das überhaupt geht. Normal gibt man für ein Scan-Ziel einen User und einen Pfad pro Ziel an. Sprich man definiert worauf der Drucker zugreifen und mit welchem User/PW er sich anmelden soll. Das Ziel - der Fileserver - sagt ob das mit den User-Creds möglich ist. Wenn es zufällig der gleiche Computer ist, gut, wenn nicht, egal. Zumindest müste es ja so umgesetzt sein mit Kerberos. *hust* Schätze mit NTLM ist es wohl eher so, dass man auf die Ressource zugreifen möchte und die verlangt dann die User-Credentials. Den genauen Ablauf kenne ich nicht. Aber auch da kann man angeben ob es ein Lokales oder ein Domänen-Konto ist. Geht eigentlich immer beides egal ob der Filer in einer Domäne ist oder nicht. Einfach indem User@ComputerFQDN oder User@domäneFQDN angegeben wird. Aktuelle mache ich das so: Separater Scan-Fileserver der in der Domäne ist Lokales Dienst-Konto auf dem Fileserver welches im Drucker angegeben wird (ich mag für Dienskotos üblicherweise lieber lokale Konten, sofern möglich) NTLM für Domänenkonten AD-Weit gesperrt Ausnahme für NTLM auf diesem Fileserver Nur ein spezielles Admin-Konto das sonst nirgends verwendet wird, hat auf dem Filer Anmelderechte mit einem Domänenkonto, sonst niemand, also alle explizit verboten Heisst der Drucker greift mit einem Konto zu, dass nur auf dem Scan-Server existiert. Aktuell verwendet z.B. ein Canon Drucker NTLM um sich zu authentifizieren. Versucht sich jemand mit NTLM gegen ein Domänenkonto via dem Scan-Filer zu authentifzieren, schlägt es fehl obwohl der Filer selbst ein NTLM-Ausnahme hat. Verwendet er ein lokales Konto des Filers, ist es dagegen möglich. -->Schön wäre nun, wenn das ganze über den LocalKDC laufen würde und keine Ausnahme notwendig wäre. Inwiefern es tatsächlich ein Sicherheitsgewinn ist, keine Ahnung. Aber das NTLM nicht sicher ist, wurde bereits bewiesen. ;) Bei den Adresslisten die von einem Server gestellt werden, sieht das anders aus. Da geht oft Druckerweit nur eine Anmeldung an einem Verzeichnisdienst. Da können eigentlich auch alle Kerberos. Selbst Canon. Insofern wüssten die schon wie das geht.

@cj_berlin Sehe noch nicht ganz die Problematik. Entweder meldet man sich mit EINEM User an EIN Ziel und somit EINEN lokalen KDC an oder man verwendet EIN Domänenkonte wo die Authentifzierung gegen MEHRERE Ziele (DC's) möglich ist. In beiden Fällen liefert der DNS doch die entsprechenden IP's der bzw. des Anmeldeservers für einen externen Zugriff. Bedingt natürlich, dass der zugreifende User nicht einfach ein Username sondern eben der vollständige Anmeldename ist. Also "user@domänexy.xy" oder "user@computer.domäne.xy". Oder "User@computer.xy". Ist kein DNS vorhanden müsste man eben die IP händisch mit angeben. So wie auch für NTLM wo sie einfach via Broadcast oder auch mit DNS ermittelt wird. Mit der Ressource selbst hat das ja erstmal nichts zu tun, das ist ja immer eine separate Angabe. Oder stehe ich auf dem Schlauch? Wie die ganze Vortrauenssache aussieht damit überhaupt eine geschützte und sichere Authentifizierung vorgenommen werden kann, steht wieder auf einem anderen Blatt. Aber da wird ja MS schon eine Idee haben wenn sie das implementieren. Dazu habe ich mich noch zu wenig damit beschäftigt. Vielleicht weiss ja Du dazu mehr? Ansonsten bin ich mal gespannt wie lange es geht bis die Malware-Entwickler so kreativ werden und die integrierten KI-Funktionen gleich für den Angriff zu nutzen. Könnte "interessant" werden. Hat etwas von der Büchse der Pandora. Ich würde jedenfalls lieber die Lizenzgebühren für ein reines, stabiles, sicheres OS bezahlen. Vielleicht lässt es sich dann ja auch easy entfernen. MS hat ja mittlerweile eine sehr gute Kapselung der Komponenten.

Ja, sobald der geht, kannst im Grunde NTLM komplett in Rente schicken. Wie stark es tatsächlich ein Sicherheitsgewinn ist, kann ich nicht beurteilen, aber immerhin musst dann keine Ausnahmen mehr machen für NTLM. Zumindest solange andere Software-Hersteller zeitnah nachrüsten. Bis dahin kann bzw. sollte man es für Domänen-Konten deaktivieren und auf einzelnen Maschinen für lokale Konten zulassen.

Glatt überlesen: Nope, nochmals die Logik aktiviert: Die Binary vom halben OS austauschen geht nur, wenn Du in der Hälfte des Codes etwas nachrüstest und somit alle Files ersetzen musst. Denke so extrem viel neuer Code wirds wohl nicht sein aber ne Menge Datein denen was nachgerüstet wurde. Ich vermute es wird tendenziell nicht Local KDC sein, auch wenn das Cool wäre, könnte ich Canon mal wieder schreiben, dass es nun sogar mit "normalen" Computern geht... (die können immer noch kein Kerberos....)

mhua mhua.... in Grenzen mit 1.2 GB, der war gut. Das erste Update war schon grösser als alle Server 2022 bis Stand heute (May 2025: 392,6 MB)

Ich finde es nur irgendwie schräg, dass ein LTSC-Build solch grundlegenden Kram nachträglich eingebaut bekommt. 4GB Updates nach wenigen Monaten klingt eher nach short-release und insider build als Security Fix. Vielleicht schieben sie ja kurzfristig ein R2 nach. Als Vergleich: Bei Server 2022 war das im Mai 2022 um die "243,2 MB" ende Jahr dann "316,3 MB"

Nun, gemäss verschiedenen Blog-Quellen ist es aber wohl so, dass die ganzen AI-Funktionen im Mai-Update eingebaut wurden. Vielleicht plappern aber auch alle einander nach und ich bin drauf reingefallen. Logisch gedacht, was sonst soll bei einem Cumulative Update soviel Speicherplatz brauchen? Wäre in 20 Jahren das erste mal das über 3GB an zusätzlichen updates in einem Monat reinflattern. Sehr unrealistisch. Muss ja jetzt nicht heissen, dass die ganzene Fotoaufnahmen erstellt werden. Oder sonstige automatischen Übermittlungen an MS gleich mit aktiviert werden. Das passiert dann vermutlich wieder aus versehen.

Ja klar könnte man. VDI entpannt aber auch nur bedigt. Wird das Profil gelöscht, sind die Einstellungen auch weg. Gleiches gilt bei der Golden-Image erneuerung. Ist zudem halt wieder etwas zusätzliches das allenfals nach einem Update nicht mehr geht. FSLogix entspannt da zwar einiges gegenüber klassichen servergespeicherten Priflen, ist aber auch nicht zwingend ohne mit den Versions-Updates. Gab da auch schon Ärger. Und ist etwas zusätzliches. Sofern irgendwie machbar löse ich alles nur noch per Script und/oder GPO. Ist auf lange Sicht einfach schmerzfreier und weniger Arbeit. Ich mags wenn ich wenig Support-Arbeit habe. Und es durch weniger zusätzlichen externen Komponenten tendenziell auch sicherer ist.

Gibt noch einen Punkt. Copilot etc. wird wohl mit den Mai-Updates auf allen Maschinen ausgerollt. Unabhängig davon, dass ich das nicht möchte, heisst das auch, dass das kumulative Update für W11 24h2 und Server 2025 bereits ein paar Monate nach dem Release rund 4GB gross sind! Sprich es braucht enorm viel freien Speicherplatz für die Installation des Updates. Wahnsinnig toll für schmale VM's. Meine Fresse, Windows Server ist ein LTSC-Build, da gehört sich so ein enormes "Feature-Update" nicht. Gehört in einen neuen Release. Aber der Persilschein für die Techbranche von Trump zeigt wohl seine Wirkung und MS setzt sich über nationale Bedenken anderer Länder hinweg. *hmpf* Für mich macht es den anschein wie damals Server 2016. Noch nicht wirklich ausgereift.

Ein Lösungsansatz: Nimm einen User, lösche sein lokal zwischengespeichertes Profil (Neustart des Computers - damit sauber gelöscht werden kann -, anmelden mit anderem User, Profil des anderen Users über erweiterte System-Einstellungen löschen). Wenn er sich erneut anmeldet und dann alles gut ist, hast einen Lösungsweg. Wenn nicht, machst das gleiche mit einem User der kein servergespeichertes Profil hat. Klappts dann, weisst es liegt am servergespeicherten Profil und Deine zweite Aussage trifft nicht zu. Eben weil ihr Probleme habt. Auch wenn ihr bis anhin keine hattet. Das ist ein gängiges Szenario bei servergespeicherten Profilen, irgendwann krachts, weil MS mit jeder Build irgendwas an den Profilen schraubt und für sie servergespeicherte Profile eigentlich tot sind und somit nur stiefmütterlich testet. Der zweite Lösungsansatz ist wie von BOfH_666, Link auf Desktop. Warum Alt + F4 nicht gut sein soll, werde ich nie verstehen. Ist viel schneller und Programme werden sauber geschlossen. Auch wenn ich mich wiederhole: Plane die die Ablösung von servergespeicherten Profilen und ersetze es mit Scripts und GPO's. Falls Du das - aus Gründen - nicht willst, nimm wenigstens durchgängig den gleichen LTSC-Build von Windows auf allen Maschinen wo das Profil geshared werden soll und verhindere das servergespeicherte Profil auf anderen Maschinen. So hast getan was getan werden kann damits nicht kracht.

Seit Windows 8 (oder wars sogar 7?)tue ich mir servergespeicherte Profile nicht mehr an. Selbst Ordnerumleitung habe ich abgeschafft und durch simple Links auf Fileserver ersetzt. Wie das geht? User beeinflussen. Arbeitet mit dem Standard, rechnete jeden Tag mit einem neuen. Schieb die Schuld auf MS dass dies notwendig ist und jeder begreift es. Nicht vollständig fair, aber zweckmässig. Schau gleichzeitig, dass sich möglichst wenig ändert. Die User gewöhnten sich zu meinem erstaunen sehr schnell an diese arbeitsweise. Seither ist der Supportaufwand unglaublich tief geworden. Natürlich mache ich auch Anpassungen die müssen dann aber per Script oder GPO umsetzbar sein und sind so in der Regel auch Versionsresistent.

Dann ist es grässlich. Cloud und MS-Konten werden quasi erzwungen. Über den (günstigen) Preis geregelt. Was genau MS übermittelt, weiss niemand. Es wird nicht offengelegt. Selbst Windows analysiert extrem genau wie ein Computer von wem genutzt wird. Dazu dann noch Copilot, KI etc. in Windows und Office. Das ist eine herrliche Spielwiese. Von der US-Regierung haben sie quasi einen Freipass. Unsere werden soweit erpresst, dass wir die Gesetzte anpassen. Ist ja bereits im Gang. Aber ich gebe dir recht, nicht ganz der richtige Ort. Aber gehört halt trotzdem dazu. Ist immerhin unser Nachwuchs @lizenzdoc Gibt es super-günstig Programme auch für die lokale Installation im Bildungswesen? Kaum oder? =)