Jump to content

Remote Desktop Gateway nur über Port 3391 und VPN


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

vor 9 Stunden schrieb Horstenberg:

Ich glaube, ich verstehe Dich nicht vollständig. Wir sind auf einen Softwareanbieter angewiesen, der die gesamte Infrastruktur für die Texterstellung usw. bereitstellt und uns so auch zu bestimmten Einstellungen im Office zwingt. Einer von zwei oder drei Softwareanbietern in unserem Berufszweig, das hat nichts mit Kosten zu tun. Die anderen Anbieter sind jedenfalls meiner Meinung nach schlechter.

Ich bezog mich auf "müßte gehen". Denn das ist ja eben das Problem mit den nicht VL Lizenzen seit O2013, dass wie oben geschrieben die Policies Zweige nicht ausgewertet werden und ein Import per Reg dann eben nicht zum Verbot führt, sondern zu einer Einstellung, die der Nutzer ggf. auch einfach wieder ändern kann. Der Rest bzgl. deiner Aussage und diversen Softwareherstellern ist mir auch schon begegnet und man fragt sich, ob die in den letzten 10-15 Jahren irgendwo unterm Stein gewohnt haben bzgl. Sicherheit und moderner Software.

Link zu diesem Kommentar
vor 22 Stunden schrieb NorbertFe:

Ich bezog mich auf "müßte gehen". Denn das ist ja eben das Problem mit den nicht VL Lizenzen seit O2013, dass wie oben geschrieben die Policies Zweige nicht ausgewertet werden und ein Import per Reg dann eben nicht zum Verbot führt, sondern zu einer Einstellung, die der Nutzer ggf. auch einfach wieder ändern kann. Der Rest bzgl. deiner Aussage und diversen Softwareherstellern ist mir auch schon begegnet und man fragt sich, ob die in den letzten 10-15 Jahren irgendwo unterm Stein gewohnt haben bzgl. Sicherheit und moderner Software.

Ok, dann habe ich es jetzt verstanden. Ich habe jetzt noch einmal mit dem Softwarehersteller Kontakt aufgenommen, dass er die Makro- und VBA-Sicherheit in Angriff nehmen soll. Mal sehen, ob es was bringt.  

 

Ich fasse mal zusammen, was ich aus dem Thread gelernt habe:

 

1. Es ist sinnvoll, das Remote Desktop Gateway hinter einer Firewall zu verstecken, insbesondere keine Portweiterleitung auf dieses zu machen. Die Nutzer müssen sich dann vorab per VPN einloggen, um an das Gateway zu gelangen.

 

2. Das VPN gehört eher auf die Firewall als das man es über eine Windows-Server-Maschine bereitstellt. Grund: Auch im Falle eines erfolgreichen Angriffs kann der Intruder dieses nur schwerer manipulieren, weil er die Firewall-Credentials nicht hat.

 

3. Bei Office im Unternehmensbereich empfehlen sich unbedingt Volumenlizenzen oder solche O365-Versionen, die über GPOs steuerbar sind. Dies kann im Einzelfall die Ausführung schädlichen Codes verhindern, wenn man über GPOs Makros und VBA entsprechend deaktiviert.

 

Oder ist was falsch daran?

Link zu diesem Kommentar
vor 30 Minuten schrieb Horstenberg:

Ok, dann habe ich es jetzt verstanden. Ich habe jetzt noch einmal mit dem Softwarehersteller Kontakt aufgenommen, dass er die Makro- und VBA-Sicherheit in Angriff nehmen soll. Mal sehen, ob es was bringt.  

 

Ich fasse mal zusammen, was ich aus dem Thread gelernt habe:

 

1. Es ist sinnvoll, das Remote Desktop Gateway hinter einer Firewall zu verstecken, insbesondere keine Portweiterleitung auf dieses zu machen. Die Nutzer müssen sich dann vorab per VPN einloggen, um an das Gateway zu gelangen.

 

2. Das VPN gehört eher auf die Firewall als das man es über eine Windows-Server-Maschine bereitstellt. Grund: Auch im Falle eines erfolgreichen Angriffs kann der Intruder dieses nur schwerer manipulieren, weil er die Firewall-Credentials nicht hat.

 

3. Bei Office im Unternehmensbereich empfehlen sich unbedingt Volumenlizenzen oder solche O365-Versionen, die über GPOs steuerbar sind. Dies kann im Einzelfall die Ausführung schädlichen Codes verhindern, wenn man über GPOs Makros und VBA entsprechend deaktiviert.

 

Oder ist was falsch daran?

Nope, genau so. :thumb1:

Link zu diesem Kommentar
vor 11 Stunden schrieb daabm:

Ich bin voll bei den beiden Norberts :-) Makros gehören deaktiviert (nur signierte zulassen), und Applocker sollte dringend aktiviert sein. Notfalls SRP - die c't stellt da was halbwegs brauchbares bereit...

Applocker ist ein attraktives Tool, das stimmt. Nach meinen Recherchen muss auf dem Client aber Windows 10 Enterprise installiert sein. Oder stimmt das nicht mehr?

Link zu diesem Kommentar
Am 12.6.2019 um 10:55 schrieb NorbertFe:

Nein eben nicht, weil diese Office Versionen eben die /policies Zweige nicht auswerten in denen ein User nicht schreiben darf. Also bleibt bei Office nur die registry im User hive und rate mal, wer da schreiben darf. Aber muss ja immer alles billig sein. ;)

 

Sind nicht die meisten Einstellungen für Office in der GPO unter Benutzerkonfiguration?

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...