Terminalserver - Software Restriction Policies

[Leuchtkondom 17]

Hallo Leute,

 

also wir setzen bei uns mehrere Terminalserver ein wo alle "Außenstellen" der Firma darauf arbeiten (normal RDP, kein Citrix oä).

 

Jetzt haben wir festgestellt das manche User portable Apps "installiert" haben, zum Beispiel DropBox usw.

 

Also habe ich mir mal die Softwareeinschränkungen angeschaut und auch mal konfiguriert, derzeit auf "Alles erlauben bis auf Ausnahmen" und dort z.b. die Dropbox.exe als Hash hinterlegt.

Soweit funktioniert das auch ganz gut, jedoch ist ja der Nachteil das der Hash dann nur genau für die Version zählt und es ja soviele portable Apps gibt, das ist ja mit der derzeitigen Konfiguration eigentlich unmöglich das das alles gesperrt wird.

 

Also habe ich mir gedacht ich stelle um auf "Alles verbieten bis auf Ausnahmen" und habe erstmal ein wenig bei google gesucht, da ich diese Richtlinie noch nie vorher eingesetzt habe.

 

Bin dann auf folgende Seite gestossen:

SRP - Software Restriction Policies

 

Jetzt stellt sich mir die Frage, ob mit den 4 Standartausschlussregeln die da automatisch erstellt werden, Windowsmäßig erstmal alles abgedeckt ist? Also ich mein jetzt abgesehen von Office und Co und was sonst so installiert ist, geht erstmal alles weiterhin wie normal mit den 4 Regeln?

 

Was ich außerdem nicht verstehe... ich dachte diese Richtlinie ist dafür da, ausführbare Dateien bzw. Programme zu sperren ... Warum sind dann bei den Beispielen weiter unten auf der Seite folgendes angegeben:

 

Hier einige valide Pfadbeispiele:

 

C:\Programme\meineApplikation\*.doc

diese Pfadangabe wird alle DOC-Dateien im angegebenen Ordner treffen.

 

Warum .doc-Dateien? Das versteh ich nicht so recht...

 

Wäre super wenn Ihr mich etwas aufklären könnt

vielen Dank und noch einen schönen Sonntag

[werner008 10]

moin,

meiner meinung nach ist nur die "Alles verbieten bis auf Ausnahmen" sinnvoll.

 

aber obacht, wenn du nicht aufpasst gehen dann auch keine anmeldeskripts von den DCs mehr ;-)

 

ich arbeite hauptsächlich mit pfadregeln und gebe die sachen frei wo nur administratoren drinnen schreiben dürfen. ein paar wichtige ausnahmen sind eh von MS dabei und dann halt an deine bedürfnisse angepasst weitere einfügen.

 

hashregeln vermeide ich wenn möglich, weil man bei updates immer nacharbeiten muss.

 

dass man doc dateien sperren kann ist ja nur "valide" - ob es sinnvoll ist sei dahingestellt

 

beste grüße

werner

[Dr.Melzer 191]

@werner008:

 

Hast du gelesen und verstanden was ich dir hier geschrieben habe?: https://www.mcseboard.de/windows-server-forum-78/overhead-remotedesktopdienste-186570.html#post1151154