Netzlaufwerke per Skript, net use und IP-Adresse verbinden - Sicherheitslücke?

[Samoth 33]

Hallo an euch,

 

aus aktuellem Anlass (Patch KB3002657) stehen bei uns momentan folgende Aussagen im Raum:

 

1. Netzlaufwerke verbindet man schon seit 10 Jahren nicht mehr per Logon Skript und darin enthaltenen net use Befehlen. Das geht heute per Gruppenrichtlinie.

 

2. Netzlaufwerke werden auch nicht mehr per IP-Adresse verbunden, sondern wg. der Sicherheit per Servername.

 

Ich habe mal in meinen MS Press Windows 2008 R2 Schinken geschaut und werde daraus leider gerade nicht schlau. An den jeweiligen Stellen, an denen etwas über Freigaben, etc. zu lesen ist, heißt es aber immer, dass man eine IP oder den Servernamen benutzen kann.

 

Gut, ich habe gelesen, dass sich Netzlaufwerke auch Gruppenrichtlinien verbinden lassen (http://www.windowspro.de/wolfgang-sommergut/netzlaufwerke-verbinden-group-policy-preferences), aber ist ein Skript dann gleich antiquiert?

 

Zur Aussage 2 finde ich leider keine Aussagen. Wenn ich mal in meinem Bekanntenkreis herumstöbere, werden Laufwerke immer noch und auch per IP verbunden.

 

Wie ist es denn nun wirklich? Stellt es wirklich in irgendeiner Weise ein Sicherheitsrisiko dar, wenn ich statt des Servernamens eine IP-Adresse benutze?

 

Viele Grüße und schon mal ein Dankeschön :-)

 

Samoth

bearbeitet 16. März 2015 von Samoth

[NorbertFe 2.296]

Du kannst natürlich per IP verbinden, aber dann erfolgt eben immer ein Authentifizierungs-Fallback auf NTLM und keine Kerberosauth.

 

Bye

Norbert

 

PS: Was war jetzt deine Frage? ;) Achja, ja das ist ein Problem. Siehe oben und deine Probleme. :)

[Samoth 33]

Dank dir, Norbert!

 

Dann sollte man also lieber Umstellen und den MS-Patch wieder installieren?

bearbeitet 16. März 2015 von Samoth

[NorbertFe 2.296]

Ja, das wäre mein VOrschlag. :) Es sei denn es gibt Gründe, warum das bei euch nicht möglich ist. ;)

[daabm 1.435]

ym2c: Aussage 1 ist Unfug. Aussage 2 absolut korrekt (nicht nur wegen Kerberos, sondern auch wegen DHCP und DFS-N).

 

Warum Aussage 1 in meinen Augen Unfug ist?

• in größeren Umgebungen kann schnell die Transparenz verloren gehen, welcher Share nun letztlich aufgrund welcher Gruppenmitgliedschaft auf welchem Share liegt
• im Fehlerfall ist die Diagnose gerne aufwändiger als mit einem einfachen (oder guten) Skript
• User müssen sich bei geänderten Zuordnungen neu anmelden (oder - immerhin - ab 8.1 nur noch gpupdate ausführen) - bei einem Skript reicht ein simpler Shortcut irgendwo im Startmenü

[Samoth 33]

Herzlichen Dank noch mal! :-)