Systemrichtlinien verwalten und einsetzen
Werbung
Prof. Dr. W. Voigt Systemsicherheit bei Win98 1/10 1 Überblick Systemsicherheit ist ein Ausdruck der Verwaltung der Rechte von Benutzern und der Beschränkung von Möglichkeiten, sich illegal Rechte zu verschaffen. Wir können nur einen Ausschnitt der Sicherheitsverwaltung untersuchen. Für vollständige Implementierung ist ein NT-Server oder ein Novell-Server erforderlich. Im wesentlichen weder für Sicherheitseinstellungen drei Hilfsmittel benutzt: TweakUI: Einstellungen systemweit oder für einzelne Nutzer. Für Nutzereinstellungen muss der Nutzer eingeloggt sein, für den die Einstellung wirksam werden soll. Das Programm steht auf der Win98-CD zur Verfügung. Verbindliche Benutzerprofile: Definierte Nutzereinstellungen für Menü, Desktop usw., die vom Nutzer akzeptiert werden (müssen). Systemrichtlinien-Editor: Damit werden Richtlinien für das eigene System, für anderen Computer, für Nutzer und neue Nutzer definiert. Dieser Editor ist der zentrale Teil der Sicherheitsvorkehrungen, da er den Zugriff auf die Registry nutzerbezogen erlauben oder verbieten kann. Steht auf verschiedenen CDs zur Verfügung. Eine Systemsicherheit über das Dateisystem kann nicht geliefert werden. Falls also Dateizugriffe gesteuert werden sollen, ist das nur in Zusammenarbeit mit einem „kompetenten“ Server möglich. Die Systemzugriffssicherheit kann insofern eingestellt werden, als vor dem Systemzugriff eine Authentification Prüfung an einem Server erfolgen kann, ob der Nutzer dort existiert. Falls nicht, erhält er keinen Zugang zu Win98. Außerdem sind Kennwortbeschränkungen möglich. 2 TweakUI 2.1 Einführung Feineinstellungen für das User Interface von Win98 (UI, zwicken). InstallationsCD Win98. \tools\reskit\powertoy. Nach Installation ist es eine Ikone der Systemsteuerung. Rücksetzen aller Einstellungen: Restore Factory Settings auf verschiedenen Seiten. Bei den einzelnen Einstellungen unterscheidet man: Per-User setting1: Die Einstellung gilt nur für den User, der sie vornimmt System-wide setting2: Die Einstellung gilt für das Betriebssystem unabhängig davon, welcher Nutzer eingeloggt ist. Wenn man Nutzerrechte ernsthaft beschränken möchte, muss man dem Nutzer nach den Einstellungen den Zugang zu TweakUI und den anderen Editoren für die Registrierdatenbank verwehren3. 1 Nutzereinstellung Systemeinstellung 3 Policy Editor installieren, als Vorlage Admin.adm Abschnitt user’s police System\Restrictions „Disable Registry editing tools“. 2 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 2/10 Das ist einigermaßen wirkungsvoll nur mit dem Systemrichtlinieneditor möglich. Wenn man allerdings beim Nutzer keine sehr hohe Professionalität im Umgang mit win98 voraussetzen kann, ist TweakUI ausreichend für die Beschränkung von Rechten. Man sollte unter TweakUI nicht in erster Linie ein Verwaltungsinstrument für Rechte sehen, sondern eher ein Hilfsmittel, mit dem die Oberfläche für einige Nutzer von nicht benötigtem „Ballast“ befreit werden soll. Die Benutzerprofile sollten aktiviert sein (SystemsteuerungKennwörter). Überblick über die Haupteinstellungen Maus Nutzereinstellung. Geschwindigkeit, Empfindlichkeit. General Animationen und Effekte Special Folders Programmdateien, Desktop, Installationspfad, Letzte Dokumente und viele mehr. Die Pfade können geändert werden. Wichtig z.B. dann, wenn auf der Systempartition nicht mehr genug Platz ist, und Neuinstallation auf einer anderen Partition angelegt werden sollen (Program Files). Explorer Einstellungen beim Anlegen von Ikonen, beim Starten und Schließen IE4 Desktop Ikonen auf dem Desktop. Sie können auch als Datei in einen Ordner geschrieben werden. My Computer Sichtbare und unsichtbare Laufwerke Control Panel Sichtbare und unsichtbare Ikonen entsprechend den Dateien für die Systemsteuerung Network Automatisches Login: Passwort wird uncodiert geschrieben New Liste der möglichen neuen Dokumente im Kontextmenü von Ordnern Add/Remove Softwareliste der Systemsteuerung. Die hier entfernten Einträge werden nicht deinstalliert, sondern nur in der Liste nicht mehr dargestellt Boot Bootumschaltung möglich Grafik automatisch Scandisk beim Start oder nicht Bootmenü anzeigen oder nicht. Repair Ikonen, Bestimmte Programme oder Dateien Paranoia Nutzerlisten zum Logon erhalten oder nicht Audio- und DatenCDs automatisch starten (autorun.inf) 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 3/10 2.2 Übung Zwei Nutzer mit unterschiedlichen Zugriffsrechten. 2.2.1 Nutzer „Edi“, gleichnamiges Passwort In Systemsteuerung wird nicht gezeigt: Drucker, Hardware, Netzwerk, Software, System, TweakUI, Anzeige Startmenü aus dem eigenen Verzeichnis, nicht aus dem Windows-Verzeichnis. Keine Favoriten Keine Dokumentenhistory, keine Runhistory, keine NetworkConnection History Kein Diskettenlaufwerk Letzter Nutzer wird nicht angezeigt In der Liste neuer Dokumente steht nur Textdatei und Worddatei Automatisches Login soll erfolgen. Explorer-Einstellungen beim Beenden nicht speichern. 2.2.2 Nutzer „Karla“, gleichnamiges Passwort Systemsteuerung zeigt nicht an: Telefonie, Tastatur, Internet, Gamecontroller, Datum/Uhrzeit, Maus, Kennwörter, Benutzer, Energieverwaltung. TweakUI und MS Office-Teile nicht in der Softwareliste Keine Recent-Dokumentenliste Kein Laufwerk D:, kein CD-ROM Auf dem Desktop nur „Arbeitsplatz“ und „Papierkorb“ 2.3 Dateien der Systemsteuerung und ihre Bedeutung Appwiz.cpl Software Desk.cpl Anzeige Findfast.cpl Indexerstellung Inetcpl.cpl Benutzer, Internet Intl.cpl Ländereinstellungen Joy.cpl Gamecontroller Main.cpl Drucker, Maus, Schriftarten, Tastatur Mmsys.cpl Akustische Signale, Multimedia Modem.cpl Modems mswebcpl.cpl Web-Server netcpl.cpl Netzwerk odbccp32.cpl 32-Bit-ODBC password.cpl Kennwörter powercfg.cpl Energieverwaltung sticpl.cpl Scanner und Kameras sysdm.cpl Hardware, System telephon.cpl Telefonie timedate.cpl Datum/Uhrzeit 3 Verbindliche Benutzerprofile 3.1 Allgemein Benutzerprofile werden über SyssteuKennwörter zugeschaltet. Falls ein NT- oder Novell-Server vorhanden ist, können sie von dort eingelesen werden. 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 4/10 Das Ziel besteht darin, vorgegebene Benutzerprofile zu erstellen und den Nutzer zu seiner Verwendung zu zwingen. Optimal ist das in NT- oder Novell-Netzwerken möglich. Auch auf anderen Netzwerken wie dem Win98 Peer-Netzwerk lassen sich vorgegebene Benutzerprofile benutzen. Normalerweise befinden sich die Nutzer-Profileinstellungen in User.dat im Heimatverzeichnis. Wir beschreiben nur das Vorgehen bei Peer-Netzwerken. Selbstverständlich muss der Zugriff auf die Registrierdatenbank ausgeschaltet sein, d.h. eine Anwendung ist nur zusammen mit dem Systemrichtlinien-Editor möglich. 3.2 Deaktivieren mobiler Standardprofile Verbot Benutzerprofile zwischen Computern zu verschieben. Registry. Hkey_Local_Machine\Network\Logon Menü BearbeitenNeu. DWORD-Wert Eintrag UseHomeDirectory. Wert 0. 3.3 Der Server Alle folgenden Verzeichnis- und Dateinamen sind frei wählbar. Auf Server schreibgeschützt freigegebenes Verzeichnis „Profile“. Darunter zu jedem Nutzer ein Verzeichnis mit seinem Namen. In \\Server\Profile Datei Profiles.ini mit Einträgen: [Profiles] ernst=\\Server\Profile\ernst\user.dat martha=\\Server\Profile\martha\user.dat gisela=\\Server\Profile\gisela\user.dat Falls alle das gleiche Profil laden sollen, kann auch auf ein einziges verwiesen werden. 3.4 Die Clients Hkey_Local_Machine\Network\Logon Neuer Eintrag Typ Zeichenfolge. Name: SharedProfileList, Wert: UNC-Pfad mit Profilliste: SharedProfileList \\Server\Profile\Profiles.ini Beim Systemstart durchsucht Win98 diese Datei um den Benutzer zu finden. Wenn er gefunden ist, werden seine Einstellungen geladen. Wenn er nicht gefunden wird, wird das lokale Benutzerprofile benutzt. 3.5 Anlegen eines Benutzerprofils. Beliebiger Benutzer wird angelegt, seine Einstellungen werden so vorgenommen, wie sie später gewünscht werden. Die Datei user.dat dieses Benutzers wird dann auf den Server übertragen. Zum Bearbeiten können sowohl TweakUI als auch der Systemrichtlinien-Editor benutzt werden. Zusätzlich werden Pfade benötigt, in denen die Daten für die Einstellungen stehen, d.h. Menü, Desktop usw. 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 5/10 3.6 Bearbeiten von User.dat und Active Desktop für einen Modelluser 3.6.1 Menü Start Hinzufügen im oberen Teil: Anwendung auf „Start“ ziehen. Bearbeiten und löschen – klar. 3.6.2 Menü Programme Standardmäßig in alphabetischer Reihenfolge. Hinzufügen im Explorer oder EinstellungenTaskleiste und Startmenü. Dort ist auch Umordnen möglich. 3.6.3 Weitere Einstellungen Neue Symbolleiste: Ordner auf Taskleiste ziehen Oder Kontextmenü der Taskleiste, Symbolleiste, Hinzufügen. Explorer-Einstellungen für Nutzer vornehmen – angepasstes Maß an Informationen Channels und Favoriten werden über die Internet-Konfiguration bearbeitet – IEAK Profil-Manager. 3.7 Ordner mit Einstellungen für den Benutzer Desktop Dateiobjekte auf dem Desktop Netzwerkumgebung Objekte werden in der Netzwerkumgebung angezeigt Recent Zuletzt benutze Dokumente Startmenü Elemente im Menü Start Programme Programmgruppen des Benutzers Autostart automatisch startende Programme 3.8 Übung Benutzen Sie zum Testen den Computer links von Ihnen. Er wir im folgenden „Server“ genannt. Modelluser xyz einrichten. Seine Einstellungsordner wie Startmenü sollen sich in \\Server\Profile befinden. Desktop soll enthalten: WinWord, Arbeitsplatz, Netzwerkumgebung, Papierkorb. Startmenü: Kein Ausführen, kein Suchen, keine Einstellungen zu Taskleiste und Startmenü. Die Dokumentenliste soll beim Start leer sein, ebenso die Favoritenliste. Im oberen Teil soll sich der Texteditor befinden. Der Teil Programme soll enthalten: Zubehör ohne Spiele und Systemprogramme, die Office-Einträge, keine MS-DOS-Eingabeaufforderung. Die Nutzer sollen weder die MS DOS-Eingabeaufforderung noch den MS DOS-Mode benutzen können. Ein weiterer Verzeichnisbaum auf dem Server soll die Datei“verzeichnisse“ der Nutzer aufnehmen. \\Server\Home\ernst \\Server\Home\martha \\Server\Home\gisela Jedes Verzeichnis ist zum Lese- und Schreibzugriff freigegeben und als Dateiverzeichnis für den Nutzer eingetragen. Hierzu ist TweakUI erforderlich. 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 6/10 Ordnen Sie beliebigen neuen Nutzern eine vorhandene user.dat zu 4 Systemrichtlinien verwalten und einsetzen 4.1 Anliegen Für verschiedene Benutzer sollen verschieden Sätze von Rechten zum Einsatz kommen. Einige Nutzer werden in ihren Rechten stark beschränkt, während andere das System komplett verwalten können. 4.2 Vorarbeit Benutzerprofile aktivieren (SystemsteuerungKennwörter). SystemsteuerungBenutzer: Neue Benutzer mit ihren Profilen anlegen 4.3 Installation Referenz-CD zu Windows 98 einlegen4. Verzeichnis \netadmin\poledit Poledit starten, eine Installation ist nicht erforderlich. Systemrichtlinien: In Registry, nicht mit Texteditor bearbeitbar. Vorlagendateien: Mit Texteditor bearbeitbar. Vorlagendateien werden wie in WinWord benutzt, d.h. eine neue Datei wird auf eine Vorlage aufgesetzt. Festlegen, welche Benutzer dieses Tool installieren und darauf zugreifen können (nicht auf den meisten Client-Computern). Auf Client-Computern Benutzerprofile aktivieren Unterstützung für Gruppenrichtlinien auf Clientcomputern nur möglich, wenn Richtliniendatei von NT-Server oder Novell-Server geladen wird, die Gruppen unterstützen. 4.4 Funktionsweise Bei Anmeldung eines Benutzers sucht Win98 dessen Konfigurationsinformationen im Pfad für die Richtliniendatei. Download der Richtlinien und Kopie der Informationen in die Registry. Im einzelnen: 1. Benutzerprofile aktiviert: Win98 sucht nach Config.pol, Analyse der Benutzer- und Gruppennamen. Wenn Informationen für den Benutzer gefunden werden, Übernahme. Falls nicht gefunden, Standardbenutzerrichtlinie Falls Gruppenrichtlinie gefunden: Prüfung, ob Nutzer Mitglied einer Gruppe ist. Wenn ja, Download der Gruppenrichtlinien, beginnend mit der Gruppe mit der niedrigsten Priorität. Verarbeitung für alle Gruppen, zu denen der Benutzer gehört. Gruppe mit höchster Priorität zuletzt, damit ihre Einstellungen gegebenenfalls die der Gruppen mit niedriger Priorität aufheben. Alle Einstellungen in User.dat der Registry kopiert. 2. Win98 sucht nach Config.pol mit Informationen für den Computer. Wenn vorhanden, Übernahme der computerspez. Richtlinien für die Desktopumgebung 4 Auch auf Office97-CD enthalten, aber von dort nicht empfohlen, da die mitgelieferten Vorlagen nur Office-spezifisch sind. 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 7/10 des Benutzers. Ansonsten Standard-Computerrichtlinie. Daten in System.dat kopiert. Standardmäßig sucht win98 die Richtlinien Im Verzeichnis Netlogon eines NT-Servers oder Im Verzeichnis Public eines Netware-Servers. Dieser Standardpfad kann in einer Richtlinien-Einstellung überschrieben werden. Kein Server vorhanden: Win98 benutzt die aktuellen Einstellungen des Computers, falls nicht in der Systemregistrierung ein manueller Aktualisierungspfad für eine Richtlinie angegeben ist. 4.5 Systemrichtlinien für Benutzer Systemsteuerung: Einschränkung des Zugriffs (Netzwerk, Kennwörter, System, ...) Desktop: Standardmäßige Hintergrundbilder und Farbschemata Netzwerk: Beschränkung der Peer-Freigabe, Vorgabe von Komponenten Shell: Ordner auf dem Desktop System: Verwendung von Tools für die Registry, Anwendungen, MS-DOSAnwendungen Richtlinien für den Standardbenutzer, für bestimmte Benutzer oder für Benutzergruppen. Graue Optionen werden so genommen, wie sie in der Registrierdatenbank stehen. 4.6 Systemrichtlinien für Computer Einstellungen für einen Standardcomputer oder für bestimmte benannte Computer. Einstellungen hindern Benutzer daran, die Hardware- und Umgebungseinstellungen zu ändern Systemrichtlinien für Internet Explorer Sieben Richtliniendateien. Allerdings können diese Einstellungen auch mit dem IEAK-Profilmanager gesteuert werden (CD – Technische Referenz) 4.7 Vorlagen Admin.adm Vorlage mit allen wesentlichen Einstellmöglichkeiten Windows.adm Die Einstellmöglichkeiten, die für normale Nutzer von Bedeutung sind. Common.adm Keine vorgefertigten Einstellungen Conf.adm Restriktionen für spezielle Arbeit im Netz Usw. 4.8 Automatischer Download 4.8.1 NT SystemsteuerungNetzwerk. Primärer Netzwerkanmeldungsclient ist „Client für Microsoft-Netzwerke). Domäne ist definiert. Richtliniendatei speichern in \\PDC\X$\WINNT\system32\Repl\Import\Scripts\Config.pol X ist das Systemlaufwerk Erstellen der Datei unbedingt unter Windows98, nicht unter NT! 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 8/10 4.8.2 Netware Primäre „Microsoft-Client für Netware-Netzwerke, bevorzugter Server Richtliniendatei speichern in \\<bevorzugterServer>\sys\public\config.pol Geht nicht bei netx oder vlm (dann manuell downloaden) 4.9 Manueller Download 1. Im Systemrichtlinien-Editor Datei Registry öffnen 2. Lokaler Computer 3. NetzwerkUpdateRemote Update Check setzen 4. Update-Modus: Interaktiv (mit speziellem Pfad) 5. Pfad für interaktiven Update: Kompletten Pfad mit pol-Datei eintragen. Falls der Pfad auf einem Server liegt, dann die komplette UNC-Bezeichnung5. B1: C:\Windows\Profiles\voigt\config.pol B2: \\VO\Policies\config.pol 4.10 Projekt zur Anwendung des Systemrichtlinien-Editors 4.10.1 Vorbereitungsarbeiten Das vorhandene Computersystem wird benutzt, aber mit anderen Nutzernamen. Benutzerprofile sind zu aktivieren. Zukünftige neue Nutzer sind in SystemsteuerungBenutzer einzurichten. Alle vorhandenen Objekte sind anzupassen (sie erhalten dann extra Verzeichnisse im Heimatverzeichnis). Duplikate der aktuellen Objekte sind zu übernehmen. Auf Computer x ist der Nutzer „rpx“ einzurichten, wobei x zweistellig ist (rp07, rp14, ...). Die Systemverwaltung wird von diesem Nutzer übernommen. Weiter sind die Nutzer klaus, martina und egon einzurichten. Auf jedem Computer ist unter Windows ein Verzeichnis „Policy“ einzurichten, welches die Konfigurationsdatei aufnimmt. Es ist schreibgeschützt freizugeben. Einloggen als rpx und Installieren des Systemrichtlinieneditors. Vorlage Admin.adm. Neue Datei, speichern unter Configx.pol. Fügen Sie rpx ein und geben Sie ihm alle Rechte. 4.10.2 Systemeinstellungen Fügen Sie einen Computer ein und geben Sie ihm den Namen ihres rechten Nachbarn. Folgende Einstellungen sind zu modifizieren: AnmeldungAnmeldenachricht. Titel: Beachten Sie bitte Text: Es Sicherheitsgründen ist es erforderlich, die Nutzung des Computers mit eingeschränkten Rechten zu betreiben. SystemAusführen. Notepad mit Textdatei Hinweis.txt aus dem Policy-Verzeichnis. Darin wird noch einmal erläutert, dass Restriktionen für die Arbeit und den Zugriff erforderlich sind (selbst schreiben, aber nicht zu lang!). 5 UNC – Universal Naming Convention 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt Systemsicherheit bei Win98 9/10 4.10.3 Nutzereinstellungen Für Standardnutzer (neue Nutzer) ist der Zugriff auf die Registry zu deaktivieren. Fügen Sie klaus ein. In dem folgenden Beschreibungssatz gibt es Überschneidungen Systemsteuerung. Beschränken Sie alle Zugriffe. Bei „Anzeige“ alles ausblenden oder deaktivieren. Deaktivieren Sie Netzwerk und alles in „System“. Löschen und Hinzufügen von Druckern deaktivieren. Bei Kennwörtern die Benutzerprofile ausblenden Hintergrundbild „Wald.bmp“, einfach. Desktop leer. Keine Freigaben zulassen6. Allgemeine Zugriffsbeschränkungen: Alle zuschalten mit Ausnahmen von „Beenden deaktivieren“. Zuschalten aller System-Zugriffsbeschränkungen. Er darf nur Winword.exe, Excel.exe und Notepad.exe ausführen Keine Dokumentenhistory, keine Favoriten7. Das Menü „Programme“ für Klaus und Martina soll nur enthalten: Zubehör mit Texteditor und Paint (zum Prüfen), Winword und Excel (die startbaren Programme). Fügen Sie martina ein. Kein Bearbeiten der Registry zulassen Eingabeaufforderung und MS-DOS-Mode deaktivieren Keine Einstellungen beim Beenden speichern. Auf dem Desktop die Ikonen Arbeitsplatz, Papierkorb und Word. Ordner „Taskleiste“ unter „Einstellungen“ und Befehl „Ausführen“ entfernen. Keine Dateifreigabe ermöglichen. Keine Systemsteuerung In „Anzeige“ Hintergrundbild und Bildschirmschoner ausblenden. Laufwerk D: soll nicht sichtbar sein. Fügen Sie egon ein. In der Systemsteuerung werden entfernt: Benutzer, Datum/Uhrzeit, Hardware, Kennwörter, Scanner und Kameras, Software, System. Kein Zugriff auf Programme der Registry. MS-DOS-Mode deaktivieren Druckerfreigabe nicht erlauben. 4.10.4 Nutzung der Rechtedatei im Netzwerk In die Registry ist als Pfad der UNC-Name zur Konfigurationsdatei im „linken“ Nachbarcomputer einzutragen. Wie angegeben wird dazu der SystemrichtlinienEditor benutzt. Loggen Sie sich als klaus, martina und egon ein und prüfen Sie die Realisierung Ihrer Einstellungen. 6 folgt automatisch aus anderen Restriktionen. Welchen? Mit dem Systemrichtlinieneditor nicht einstellbar. Hierfür ist TweakUI zu benutzen. Kann durch den Nutzer nicht geändert werden, wenn er keinen Schreibzugriff auf die Registry hat. 7 75882610 14.05.2016 14:26:00 Prof. Dr. W. Voigt 75882610 Systemsicherheit bei Win98 10/10 14.05.2016 14:26:00
