Systemrichtlinien verwalten und einsetzen

Prof. Dr. W. Voigt
Systemsicherheit bei Win98
1/10
1 Überblick
Systemsicherheit ist ein Ausdruck der Verwaltung der Rechte von Benutzern und der
Beschränkung von Möglichkeiten, sich illegal Rechte zu verschaffen.
Wir können nur einen Ausschnitt der Sicherheitsverwaltung untersuchen.
Für vollständige Implementierung ist ein NT-Server oder ein Novell-Server
erforderlich.
Im wesentlichen weder für Sicherheitseinstellungen drei Hilfsmittel benutzt:
 TweakUI: Einstellungen systemweit oder für einzelne Nutzer. Für
Nutzereinstellungen muss der Nutzer eingeloggt sein, für den die Einstellung
wirksam werden soll.
Das Programm steht auf der Win98-CD zur Verfügung.
 Verbindliche Benutzerprofile: Definierte Nutzereinstellungen für Menü, Desktop
usw., die vom Nutzer akzeptiert werden (müssen).
 Systemrichtlinien-Editor: Damit werden Richtlinien für das eigene System, für
anderen Computer, für Nutzer und neue Nutzer definiert.
Dieser Editor ist der zentrale Teil der Sicherheitsvorkehrungen, da er den Zugriff
auf die Registry nutzerbezogen erlauben oder verbieten kann. Steht auf
verschiedenen CDs zur Verfügung.
Eine Systemsicherheit über das Dateisystem kann nicht geliefert werden. Falls also
Dateizugriffe gesteuert werden sollen, ist das nur in Zusammenarbeit mit einem
„kompetenten“ Server möglich.
Die Systemzugriffssicherheit kann insofern eingestellt werden, als vor dem
Systemzugriff eine Authentification Prüfung an einem Server erfolgen kann, ob der
Nutzer dort existiert. Falls nicht, erhält er keinen Zugang zu Win98. Außerdem sind
Kennwortbeschränkungen möglich.
2 TweakUI
2.1 Einführung
Feineinstellungen für das User Interface von Win98 (UI, zwicken).
InstallationsCD Win98. \tools\reskit\powertoy.
Nach Installation ist es eine Ikone der Systemsteuerung.
Rücksetzen aller Einstellungen: Restore Factory Settings auf verschiedenen Seiten.
Bei den einzelnen Einstellungen unterscheidet man:


Per-User setting1: Die Einstellung gilt nur für den User, der sie vornimmt
System-wide setting2: Die Einstellung gilt für das Betriebssystem unabhängig
davon, welcher Nutzer eingeloggt ist.
Wenn man Nutzerrechte ernsthaft beschränken möchte, muss man dem Nutzer nach
den Einstellungen den Zugang zu TweakUI und den anderen Editoren für die
Registrierdatenbank verwehren3.
1
Nutzereinstellung
Systemeinstellung
3 Policy Editor installieren, als Vorlage Admin.adm
Abschnitt user’s police
System\Restrictions
„Disable Registry editing tools“.
2
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
2/10
Das ist einigermaßen wirkungsvoll nur mit dem Systemrichtlinieneditor möglich.
Wenn man allerdings beim Nutzer keine sehr hohe Professionalität im Umgang mit
win98 voraussetzen kann, ist TweakUI ausreichend für die Beschränkung von
Rechten.
Man sollte unter TweakUI nicht in erster Linie ein Verwaltungsinstrument für Rechte
sehen, sondern eher ein Hilfsmittel, mit dem die Oberfläche für einige Nutzer von
nicht benötigtem „Ballast“ befreit werden soll.
Die Benutzerprofile sollten aktiviert sein (SystemsteuerungKennwörter).













Überblick über die Haupteinstellungen
Maus
Nutzereinstellung. Geschwindigkeit, Empfindlichkeit.
General
Animationen und Effekte
Special Folders
Programmdateien, Desktop, Installationspfad, Letzte Dokumente und
viele mehr.
Die Pfade können geändert werden. Wichtig z.B. dann, wenn auf der
Systempartition nicht mehr genug Platz ist, und Neuinstallation auf
einer anderen Partition angelegt werden sollen (Program Files).
Explorer
Einstellungen beim Anlegen von Ikonen, beim Starten und Schließen
IE4
Desktop
Ikonen auf dem Desktop. Sie können auch als Datei in einen Ordner
geschrieben werden.
My Computer
Sichtbare und unsichtbare Laufwerke
Control Panel
Sichtbare und unsichtbare Ikonen entsprechend den Dateien für die
Systemsteuerung
Network
Automatisches Login: Passwort wird uncodiert geschrieben
New
Liste der möglichen neuen Dokumente im Kontextmenü von Ordnern
Add/Remove
Softwareliste der Systemsteuerung. Die hier entfernten Einträge werden nicht
deinstalliert, sondern nur in der Liste nicht mehr dargestellt
Boot
Bootumschaltung möglich
Grafik automatisch
Scandisk beim Start oder nicht
Bootmenü anzeigen oder nicht.
Repair
Ikonen, Bestimmte Programme oder Dateien
Paranoia
Nutzerlisten zum Logon erhalten oder nicht
Audio- und DatenCDs automatisch starten (autorun.inf)
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
3/10
2.2 Übung
Zwei Nutzer mit unterschiedlichen Zugriffsrechten.
2.2.1 Nutzer „Edi“, gleichnamiges Passwort
 In Systemsteuerung wird nicht gezeigt: Drucker, Hardware, Netzwerk, Software,
System, TweakUI, Anzeige
 Startmenü aus dem eigenen Verzeichnis, nicht aus dem Windows-Verzeichnis.
 Keine Favoriten
 Keine Dokumentenhistory, keine Runhistory, keine NetworkConnection History
 Kein Diskettenlaufwerk
 Letzter Nutzer wird nicht angezeigt
 In der Liste neuer Dokumente steht nur Textdatei und Worddatei
 Automatisches Login soll erfolgen.
 Explorer-Einstellungen beim Beenden nicht speichern.
2.2.2 Nutzer „Karla“, gleichnamiges Passwort
 Systemsteuerung zeigt nicht an: Telefonie, Tastatur, Internet, Gamecontroller,
Datum/Uhrzeit, Maus, Kennwörter, Benutzer, Energieverwaltung.
 TweakUI und MS Office-Teile nicht in der Softwareliste
 Keine Recent-Dokumentenliste
 Kein Laufwerk D:, kein CD-ROM
 Auf dem Desktop nur „Arbeitsplatz“ und „Papierkorb“
2.3 Dateien der Systemsteuerung und ihre Bedeutung
Appwiz.cpl
Software
Desk.cpl
Anzeige
Findfast.cpl
Indexerstellung
Inetcpl.cpl
Benutzer, Internet
Intl.cpl
Ländereinstellungen
Joy.cpl
Gamecontroller
Main.cpl
Drucker, Maus, Schriftarten, Tastatur
Mmsys.cpl
Akustische Signale, Multimedia
Modem.cpl
Modems
mswebcpl.cpl Web-Server
netcpl.cpl
Netzwerk
odbccp32.cpl 32-Bit-ODBC
password.cpl Kennwörter
powercfg.cpl Energieverwaltung
sticpl.cpl
Scanner und Kameras
sysdm.cpl
Hardware, System
telephon.cpl
Telefonie
timedate.cpl
Datum/Uhrzeit
3 Verbindliche Benutzerprofile
3.1 Allgemein
Benutzerprofile werden über SyssteuKennwörter zugeschaltet. Falls ein NT- oder
Novell-Server vorhanden ist, können sie von dort eingelesen werden.
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
4/10
Das Ziel besteht darin, vorgegebene Benutzerprofile zu erstellen und den Nutzer zu
seiner Verwendung zu zwingen. Optimal ist das in NT- oder Novell-Netzwerken
möglich.
Auch auf anderen Netzwerken wie dem Win98 Peer-Netzwerk lassen sich
vorgegebene Benutzerprofile benutzen.
Normalerweise befinden sich die Nutzer-Profileinstellungen in User.dat im
Heimatverzeichnis.
Wir beschreiben nur das Vorgehen bei Peer-Netzwerken.
Selbstverständlich muss der Zugriff auf die Registrierdatenbank ausgeschaltet sein,
d.h. eine Anwendung ist nur zusammen mit dem Systemrichtlinien-Editor möglich.
3.2 Deaktivieren mobiler Standardprofile
Verbot Benutzerprofile zwischen Computern zu verschieben.
Registry. Hkey_Local_Machine\Network\Logon
Menü BearbeitenNeu. DWORD-Wert
Eintrag UseHomeDirectory. Wert 0.
3.3 Der Server
Alle folgenden Verzeichnis- und Dateinamen sind frei wählbar.
Auf Server schreibgeschützt freigegebenes Verzeichnis „Profile“.
Darunter zu jedem Nutzer ein Verzeichnis mit seinem Namen.
In \\Server\Profile Datei Profiles.ini mit Einträgen:
[Profiles]
ernst=\\Server\Profile\ernst\user.dat
martha=\\Server\Profile\martha\user.dat
gisela=\\Server\Profile\gisela\user.dat
Falls alle das gleiche Profil laden sollen, kann auch auf ein einziges verwiesen
werden.
3.4 Die Clients
Hkey_Local_Machine\Network\Logon
Neuer Eintrag Typ Zeichenfolge.
Name: SharedProfileList, Wert: UNC-Pfad mit Profilliste:
SharedProfileList \\Server\Profile\Profiles.ini
Beim Systemstart durchsucht Win98 diese Datei um den Benutzer zu finden. Wenn
er gefunden ist, werden seine Einstellungen geladen.
Wenn er nicht gefunden wird, wird das lokale Benutzerprofile benutzt.
3.5 Anlegen eines Benutzerprofils.
Beliebiger Benutzer wird angelegt, seine Einstellungen werden so vorgenommen, wie
sie später gewünscht werden. Die Datei user.dat dieses Benutzers wird dann auf den
Server übertragen.
Zum Bearbeiten können sowohl TweakUI als auch der Systemrichtlinien-Editor
benutzt werden.
Zusätzlich werden Pfade benötigt, in denen die Daten für die Einstellungen stehen,
d.h. Menü, Desktop usw.
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
5/10
3.6 Bearbeiten von User.dat und Active Desktop für einen Modelluser
3.6.1 Menü Start
Hinzufügen im oberen Teil: Anwendung auf „Start“ ziehen. Bearbeiten und löschen –
klar.
3.6.2 Menü Programme
Standardmäßig in alphabetischer Reihenfolge.
Hinzufügen im Explorer oder EinstellungenTaskleiste und Startmenü. Dort ist auch
Umordnen möglich.
3.6.3 Weitere Einstellungen
Neue Symbolleiste: Ordner auf Taskleiste ziehen
Oder Kontextmenü der Taskleiste, Symbolleiste, Hinzufügen.
Explorer-Einstellungen für Nutzer vornehmen – angepasstes Maß an Informationen
Channels und Favoriten werden über die Internet-Konfiguration bearbeitet – IEAK
Profil-Manager.
3.7 Ordner mit Einstellungen für den Benutzer
Desktop
Dateiobjekte auf dem Desktop
Netzwerkumgebung Objekte werden in der Netzwerkumgebung angezeigt
Recent
Zuletzt benutze Dokumente
Startmenü
Elemente im Menü Start
Programme
Programmgruppen des Benutzers
Autostart
automatisch startende Programme
3.8 Übung
Benutzen Sie zum Testen den Computer links von Ihnen. Er wir im folgenden
„Server“ genannt.
Modelluser xyz einrichten. Seine Einstellungsordner wie Startmenü sollen sich in
\\Server\Profile befinden.
Desktop soll enthalten: WinWord, Arbeitsplatz, Netzwerkumgebung, Papierkorb.
Startmenü: Kein Ausführen, kein Suchen, keine Einstellungen zu Taskleiste und
Startmenü.
Die Dokumentenliste soll beim Start leer sein, ebenso die Favoritenliste.
Im oberen Teil soll sich der Texteditor befinden.
Der Teil Programme soll enthalten: Zubehör ohne Spiele und Systemprogramme, die
Office-Einträge, keine MS-DOS-Eingabeaufforderung.
Die Nutzer sollen weder die MS DOS-Eingabeaufforderung noch den MS DOS-Mode
benutzen können.
Ein weiterer Verzeichnisbaum auf dem Server soll die Datei“verzeichnisse“ der
Nutzer aufnehmen.
\\Server\Home\ernst
\\Server\Home\martha
\\Server\Home\gisela
Jedes Verzeichnis ist zum Lese- und Schreibzugriff freigegeben und als
Dateiverzeichnis für den Nutzer eingetragen. Hierzu ist TweakUI erforderlich.
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
6/10
Ordnen Sie beliebigen neuen Nutzern eine vorhandene user.dat zu
4 Systemrichtlinien verwalten und einsetzen
4.1 Anliegen
Für verschiedene Benutzer sollen verschieden Sätze von Rechten zum Einsatz
kommen. Einige Nutzer werden in ihren Rechten stark beschränkt, während andere
das System komplett verwalten können.
4.2 Vorarbeit
Benutzerprofile aktivieren (SystemsteuerungKennwörter).
SystemsteuerungBenutzer: Neue Benutzer mit ihren Profilen anlegen
4.3 Installation
Referenz-CD zu Windows 98 einlegen4. Verzeichnis \netadmin\poledit
Poledit starten, eine Installation ist nicht erforderlich.
Systemrichtlinien: In Registry, nicht mit Texteditor bearbeitbar.
Vorlagendateien: Mit Texteditor bearbeitbar. Vorlagendateien werden wie in
WinWord benutzt, d.h. eine neue Datei wird auf eine Vorlage aufgesetzt.
Festlegen, welche Benutzer dieses Tool installieren und darauf zugreifen können
(nicht auf den meisten Client-Computern).
Auf Client-Computern Benutzerprofile aktivieren
Unterstützung für Gruppenrichtlinien auf Clientcomputern nur möglich, wenn
Richtliniendatei von NT-Server oder Novell-Server geladen wird, die Gruppen
unterstützen.
4.4 Funktionsweise
Bei Anmeldung eines Benutzers sucht Win98 dessen Konfigurationsinformationen im
Pfad für die Richtliniendatei.
Download der Richtlinien und Kopie der Informationen in die Registry.
Im einzelnen:
1. Benutzerprofile aktiviert: Win98 sucht nach Config.pol, Analyse der Benutzer- und
Gruppennamen.
Wenn Informationen für den Benutzer gefunden werden, Übernahme. Falls nicht
gefunden, Standardbenutzerrichtlinie
Falls Gruppenrichtlinie gefunden: Prüfung, ob Nutzer Mitglied einer Gruppe ist.
Wenn ja, Download der Gruppenrichtlinien, beginnend mit der Gruppe mit der
niedrigsten Priorität. Verarbeitung für alle Gruppen, zu denen der Benutzer
gehört.
Gruppe mit höchster Priorität zuletzt, damit ihre Einstellungen gegebenenfalls die
der Gruppen mit niedriger Priorität aufheben.
Alle Einstellungen in User.dat der Registry kopiert.
2. Win98 sucht nach Config.pol mit Informationen für den Computer. Wenn
vorhanden, Übernahme der computerspez. Richtlinien für die Desktopumgebung
4
Auch auf Office97-CD enthalten, aber von dort nicht empfohlen, da die mitgelieferten Vorlagen nur
Office-spezifisch sind.
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
7/10
des Benutzers. Ansonsten Standard-Computerrichtlinie. Daten in System.dat
kopiert.
Standardmäßig sucht win98 die Richtlinien
 Im Verzeichnis Netlogon eines NT-Servers oder
 Im Verzeichnis Public eines Netware-Servers.
Dieser Standardpfad kann in einer Richtlinien-Einstellung überschrieben werden.
Kein Server vorhanden: Win98 benutzt die aktuellen Einstellungen des Computers,
falls nicht in der Systemregistrierung ein manueller Aktualisierungspfad für eine
Richtlinie angegeben ist.
4.5 Systemrichtlinien für Benutzer
 Systemsteuerung: Einschränkung des Zugriffs (Netzwerk, Kennwörter, System,
...)
 Desktop: Standardmäßige Hintergrundbilder und Farbschemata
 Netzwerk: Beschränkung der Peer-Freigabe, Vorgabe von Komponenten
 Shell: Ordner auf dem Desktop
 System: Verwendung von Tools für die Registry, Anwendungen, MS-DOSAnwendungen
Richtlinien für den Standardbenutzer, für bestimmte Benutzer oder für
Benutzergruppen.
Graue Optionen werden so genommen, wie sie in der Registrierdatenbank stehen.
4.6 Systemrichtlinien für Computer
Einstellungen für einen Standardcomputer oder für bestimmte benannte Computer.
Einstellungen hindern Benutzer daran, die Hardware- und Umgebungseinstellungen
zu ändern
Systemrichtlinien für Internet Explorer
Sieben Richtliniendateien. Allerdings können diese Einstellungen auch mit dem
IEAK-Profilmanager gesteuert werden (CD – Technische Referenz)
4.7 Vorlagen
Admin.adm Vorlage mit allen wesentlichen Einstellmöglichkeiten
Windows.adm
Die Einstellmöglichkeiten, die für normale Nutzer von Bedeutung
sind.
Common.adm
Keine vorgefertigten Einstellungen
Conf.adm
Restriktionen für spezielle Arbeit im Netz
Usw.
4.8 Automatischer Download
4.8.1 NT
SystemsteuerungNetzwerk. Primärer Netzwerkanmeldungsclient ist „Client für
Microsoft-Netzwerke). Domäne ist definiert.
Richtliniendatei speichern in
\\PDC\X$\WINNT\system32\Repl\Import\Scripts\Config.pol
X ist das Systemlaufwerk
Erstellen der Datei unbedingt unter Windows98, nicht unter NT!
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
8/10
4.8.2 Netware
Primäre „Microsoft-Client für Netware-Netzwerke, bevorzugter Server
Richtliniendatei speichern in
\\<bevorzugterServer>\sys\public\config.pol
Geht nicht bei netx oder vlm (dann manuell downloaden)
4.9 Manueller Download
1. Im Systemrichtlinien-Editor Datei  Registry öffnen
2. Lokaler Computer
3. NetzwerkUpdateRemote Update Check setzen
4. Update-Modus: Interaktiv (mit speziellem Pfad)
5. Pfad für interaktiven Update: Kompletten Pfad mit pol-Datei eintragen.
Falls der Pfad auf einem Server liegt, dann die komplette UNC-Bezeichnung5.
B1: C:\Windows\Profiles\voigt\config.pol
B2: \\VO\Policies\config.pol
4.10 Projekt zur Anwendung des Systemrichtlinien-Editors
4.10.1 Vorbereitungsarbeiten
 Das vorhandene Computersystem wird benutzt, aber mit anderen Nutzernamen.
 Benutzerprofile sind zu aktivieren. Zukünftige neue Nutzer sind in
SystemsteuerungBenutzer einzurichten.
Alle vorhandenen Objekte sind anzupassen (sie erhalten dann extra
Verzeichnisse im Heimatverzeichnis).
Duplikate der aktuellen Objekte sind zu übernehmen.
 Auf Computer x ist der Nutzer „rpx“ einzurichten, wobei x zweistellig ist (rp07,
rp14, ...).
Die Systemverwaltung wird von diesem Nutzer übernommen.
 Weiter sind die Nutzer klaus, martina und egon einzurichten.
 Auf jedem Computer ist unter Windows ein Verzeichnis „Policy“ einzurichten,
welches die Konfigurationsdatei aufnimmt. Es ist schreibgeschützt freizugeben.
 Einloggen als rpx und Installieren des Systemrichtlinieneditors.
 Vorlage Admin.adm. Neue Datei, speichern unter Configx.pol.
 Fügen Sie rpx ein und geben Sie ihm alle Rechte.
4.10.2 Systemeinstellungen
Fügen Sie einen Computer ein und geben Sie ihm den Namen ihres rechten
Nachbarn.
Folgende Einstellungen sind zu modifizieren:
AnmeldungAnmeldenachricht.
Titel: Beachten Sie bitte
Text: Es Sicherheitsgründen ist es erforderlich, die Nutzung des Computers mit
eingeschränkten Rechten zu betreiben.
SystemAusführen.
Notepad mit Textdatei Hinweis.txt aus dem Policy-Verzeichnis.
Darin wird noch einmal erläutert, dass Restriktionen für die Arbeit und den Zugriff
erforderlich sind (selbst schreiben, aber nicht zu lang!).
5
UNC – Universal Naming Convention
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
Systemsicherheit bei Win98
9/10
4.10.3 Nutzereinstellungen
Für Standardnutzer (neue Nutzer) ist der Zugriff auf die Registry zu deaktivieren.
Fügen Sie klaus ein.
In dem folgenden Beschreibungssatz gibt es Überschneidungen
 Systemsteuerung. Beschränken Sie alle Zugriffe. Bei „Anzeige“ alles ausblenden
oder deaktivieren.
 Deaktivieren Sie Netzwerk und alles in „System“.
 Löschen und Hinzufügen von Druckern deaktivieren.
 Bei Kennwörtern die Benutzerprofile ausblenden
 Hintergrundbild „Wald.bmp“, einfach. Desktop leer.
 Keine Freigaben zulassen6.
 Allgemeine Zugriffsbeschränkungen: Alle zuschalten mit Ausnahmen von
„Beenden deaktivieren“.
 Zuschalten aller System-Zugriffsbeschränkungen. Er darf nur Winword.exe,
Excel.exe und Notepad.exe ausführen
 Keine Dokumentenhistory, keine Favoriten7.
 Das Menü „Programme“ für Klaus und Martina soll nur enthalten:
Zubehör mit Texteditor und Paint (zum Prüfen), Winword und Excel (die
startbaren Programme).
Fügen Sie martina ein.
 Kein Bearbeiten der Registry zulassen
 Eingabeaufforderung und MS-DOS-Mode deaktivieren
 Keine Einstellungen beim Beenden speichern.
 Auf dem Desktop die Ikonen Arbeitsplatz, Papierkorb und Word.
 Ordner „Taskleiste“ unter „Einstellungen“ und Befehl „Ausführen“ entfernen.
 Keine Dateifreigabe ermöglichen.
 Keine Systemsteuerung
 In „Anzeige“ Hintergrundbild und Bildschirmschoner ausblenden.
 Laufwerk D: soll nicht sichtbar sein.
Fügen Sie egon ein.
 In der Systemsteuerung werden entfernt:
Benutzer, Datum/Uhrzeit, Hardware, Kennwörter, Scanner und Kameras,
Software, System.
 Kein Zugriff auf Programme der Registry.
 MS-DOS-Mode deaktivieren
 Druckerfreigabe nicht erlauben.
4.10.4 Nutzung der Rechtedatei im Netzwerk
In die Registry ist als Pfad der UNC-Name zur Konfigurationsdatei im „linken“
Nachbarcomputer einzutragen. Wie angegeben wird dazu der SystemrichtlinienEditor benutzt.
Loggen Sie sich als klaus, martina und egon ein und prüfen Sie die Realisierung
Ihrer Einstellungen.
6
folgt automatisch aus anderen Restriktionen. Welchen?
Mit dem Systemrichtlinieneditor nicht einstellbar. Hierfür ist TweakUI zu benutzen. Kann durch den
Nutzer nicht geändert werden, wenn er keinen Schreibzugriff auf die Registry hat.
7
75882610
14.05.2016 14:26:00
Prof. Dr. W. Voigt
75882610
Systemsicherheit bei Win98
10/10
14.05.2016 14:26:00