Terminalserver Sicherheitslücke?

[puk 10]

Hi,

 

Mir ist folgendes aufgefallen.

 

1. Ich habe per GP das öffnen des Internet Explorers verboten.

Wenn man es also versucht, kommt eine Fehlermeldung. (...wurde Aufgrund von Einschränkungen...)

So weit so gut.

Wenn ich jetzt aber in Word oder Excel gehe und z.B. Google eingebe, dann öffnet sich der IE und man kann uneingeschränkt surfen.

 

2. Ich lasse per GP alle lokalen Laufwerke aus dem Arbeitsplatz ausblenden.

In Word oder Excel -> Speichern unter steht er automatisch auf Eigene Dateien (Die ich auch vom Desktop ausgeblendet habe).

Jetzt ein Klick auf Scroll-Down Menü und siehe da: C:\ ist auszuwählen und ich kann ungestört auf C:\ herumklicken.

 

Weiss da jemand Rat?

Habe ich etwas falsch gemacht oder ist das wirklich ein "Bug" von MS?

 

Danke im Vorraus!

[posterme 10]

ich vermute er macht sich auch auf, wenn ich auf hilfe geh, und hier drinnen auf die weblinks klicke oder? :)

[Stonecold2k 10]

interessant naja ich glaube das ist wirklich ein bug weil du verhinderst mit der GP ja eigentlich das aufrufen des Explorer nur aus einer anderen Anwendung heraus ist das wahrscheinlich was anderes!

Da veruscht dann wahrscheinlich Excel auf das Internet zuzugreifen!

[weg5st0 10]

Hier Lektüre zum Thema:

Download details: Locking Down Windows Server 2003 Terminal Server Sessions

 

Interessanter Auszug für dich bspw.:

 

• Prevent access to drives from My Computer

Recommended setting: Enabled – A, B, C, and D drives only

This policy prevents access to drives A through D with My Computer, Windows Explorer and the standard file dialog box. This policy does not prevent access from programs that do not use the common dialog boxes. The users can still start applications that reside on the restricted drives. It is recommended that you enable this policy to restrict file browsing of system partitions.

[puk 10]

ich vermute er macht sich auch auf, wenn ich auf hilfe geh, und hier drinnen auf die weblinks klicke oder?

 

ja!

 

interessant naja ich glaube das ist wirklich ein bug weil du verhinderst mit der GP ja eigentlich das aufrufen des Explorer nur aus einer anderen Anwendung heraus ist das wahrscheinlich was anderes!

Da veruscht dann wahrscheinlich Excel auf das Internet zuzugreifen!

 

nein, word und excel öffnen ja den internet explorer!

wenn die programme direkt verbinden würden, müsste ja die seite in dem Programm angezeigt werden.

 

Das macht mich wahnsinnig!

[puk 10]

Hier Lektüre zum Thema:

Download details: Locking Down Windows Server 2003 Terminal Server Sessions

 

Interessanter Auszug für dich bspw.:

 

Zitat:

• Prevent access to drives from My Computer

Recommended setting: Enabled – A, B, C, and D drives only

This policy prevents access to drives A through D with My Computer, Windows Explorer and the standard file dialog box. This policy does not prevent access from programs that do not use the common dialog boxes. The users can still start applications that reside on the restricted drives. It is recommended that you enable this policy to restrict file browsing of system partitions.

 

den Zugriff auf C: wollte ich auch schon sperren, geht aber leider nicht, weil ein Warenwirtschaftssystem (Speziell Programmiert für unseren Kuden), einen Temp Ordner auf C: hat und den zum arbeiten braucht!

[Stonecold2k 10]

Hmm das ist natürlich schon echt schlecht aber sperr doch einfach das Interent dann können die mit dem Bug nicht viel anfangen!

[weg5st0 10]

den Zugriff auf C: wollte ich auch schon sperren, geht aber leider nicht, weil ein Warenwirtschaftssystem (Speziell Programmiert für unseren Kuden), einen Temp Ordner auf C: hat und den zum arbeiten braucht!

 

Dann liegts aber nicht an Windows, sondern an derSoftware.

 

Hier gibts ein paar andere Wege, die dich vielleicht zum Ziel führen:

ThomasKoetzing.de - Security questions

[puk 10]

Hmm das ist natürlich schon echt schlecht aber sperr doch einfach das Interent dann können die mit dem Bug nicht viel anfangen!

 

geht nicht, manche User müssen serven. das sind aber auch meine kollegen.

 

Dann liegts aber nicht an Windows, sondern an derSoftware.

 

Hier gibts ein paar andere Wege, die dich vielleicht zum Ziel führen:

ThomasKoetzing.de - Security questions

 

stimmt!

Ich werde mir mal die Seite durchlesen.

Ich berichte denn was daraus geworden ist.

[zahni 550]

Du kannst z.B. einen Proxy einrichten. Via GPO vertielt Du die Proxy-Einstellung im IE. Die User die nicht surfen sollen, erhalten die Proxy-Einstellung nicht oder notfalls eine ungültige Adresse. Du solltest am Internetzugang dann die Internetzugriff nur demProxy-Server erlauben.

 

Kostenloser Server z.B. JanaServer 2 - THE ALL-IN-ONE SERVERTOOL

 

-Zahni

[puk 10]

Die User die nicht surfen sollen, erhalten die Proxy-Einstellung nicht oder notfalls eine ungültige Adresse.

 

Ja! Das hat geklappt! Habe ein Fake-Proxy eingetragen.

 

Danke für die Antworten!

[Wolke2k4 11]

Die Default File Location von Word + Excel kann man per GPO umbiegen. Dann gibts auch keine Probleme mit den Eigenen Dateien.

[puk 10]

Die Default File Location von Word + Excel kann man per GPO umbiegen. Dann gibts auch keine Probleme mit den Eigenen Dateien.

 

und wie?

[weg5st0 10]

Der Link - und unten dran die weiterführenden helfen dir dabei:

Administrators can use Office policy templates with the Group Policy settings of Windows

 

Auch die Seite Gruppenrichtlinien - Übersicht, FAQ und Tutorials ist hier immer eine gern genommene Anlaufstelle.

[puk 10]

Der Link - und unten dran die weiterführenden helfen dir dabei:

Administrators can use Office policy templates with the Group Policy settings of Windows

 

Auch die Seite Gruppenrichtlinien - Übersicht, FAQ und Tutorials ist hier immer eine gern genommene Anlaufstelle.

 

ich werde das mal ausprobieren und melde mich dann.

Danke für die Antworten