Rechte für User

[Greg 10]

Hallo miteinander

 

Ich möchte gerne Eure grundsätzliche Meinung zum

Thema "Administrative Rechte für Benutzer innerhalb

einer Firmenumgebung" hören.

 

Was spricht dafür, was dagegen, und sonstige Erfahrung

und Argumente...

 

Vielen Dank für Euer wertvolles Feed-Back

Gruss Greg

[phoenixcp 10]

Unter welchem Hintergrund stellst du diese Frage? Ich denke, mal das hier keiner nen Roman schreiben will, von daher schilder doch mal kurz den Hintergrund deiner Frage. Im allgemeinen: Nein, keine administrativen Rechte für den "normalen" Mitarbeiter.

[Greg 10]

Hallo phoenixcp

 

Hintergrund ist die Frage, wieviele Rechte der User

haben darf, ohne dass die Sicherheit der IT-Infrastruktur

kompromittiert wird.

 

Gruss Greg

[lefg 276]

Hallo Greg,

 

eine grundsätzliche Antwort eines Administrators könnte lauten: Keine administrativen Rechte für den normalen User!

Darunter befinden sich normale Menschen, aber unter denen verbergen sich auch die DAUs. Dabei sind auch die Typen mit der Computerbild neben der Butterstulle im Aktenkoffen, in der Früstückspause probieren die gerne die tollen Registryhacks und auch die Programme auf den CDs aus.

 

Wann, wofür braucht ein Feld-, Wald- und Wiesenbenutzer administrative Rechte? Worauf administrative Rechte, lokaler Rechner oder auch Domäne? Soll er die Domäne administrieren oder brauchen auf der WS einige Programme anscheinend die Rechte zum richtigen Funktionieren.

Es gibt einige Programme, die sind für Standalone`s mit dem User in der Gruppe der Hauptbenutzer gebaut. Beispiel ist Lexware Financial Office (nicht Pro).

 

Oder ist der User ein Fachmnn, Entwickler? Braucht er Rechte zum Installieren von Programmen auf einem Entwicklungs-, Testrechner?

 

Gruß

 

Edgar

[phoenixcp 10]

Na dann auf jeden Fall keine administrativen. Denn dann öffnest du allen Anwendern mit gefährlichem Halbwissen Tür und Tor.

 

Was auf jeden Fall gemacht werden sollte: Installation von Software verbieten und nach Möglichkeit die Schreibmöglichkeiten auf %SystemDrive% auf ProgramFiles, Temp und das eigne Profil beschränken. Alles andre kann richtig gefährlich werden. MMC's deaktivieren, mal abgesehen von der Einstellung der Maus und der Tastatur, vielleicht auch noch den Drucker. Alles andre wegblenden.

[TobiasNYSE 10]

So wenig wie möglich, soviel wie nötig.

 

Zusätzlich unterbinde/entferne ich auch via. GPO mindestens auch die Systemsteuerung, Ausführen, Netzwerkeinstellungen usw.

 

@lefg "Computerbild neben der Butterstulle. . . " :D