[Marcel_75]

Hallo Community,

ich arbeite seit ca. 1996 mit Apple Macintosh (damals noch Mac OS 7.6) und hatte davor seit 1990 mit AMIGAs zu tun.

Soll heißen - bis heute habe ich alles, was Windows betrifft, nur am Rande mitbekommen (bei Bekannten/Freunden) bzw. weitestgehend vermieden (außer im Informatik-Unterricht und während meiner Ausbildung).

Nun wird aber eine Stelle an meiner Uni frei (für einen Studenten / eine Studentin), bei der man außer Mac-Betreuung auch Windows und Linux warten soll (zur Zeit arbeite ich als Admin an einer Kunsthochschule, dort betreue ich aber zu 100% nur Macs).


Zu meiner Uni, an der jetzt die Stelle frei wird ist anzumerken, dass ca. 70% der an unserem Institut genutzen Rechner Macs sind, 20% arbeiten mit Linux (keine Ahnung welche Distribution z.Z. eingesetzt wird), die restlichen 10% sind Windows 2000 oder Windows XP Rechner. Die Server laufen zu 100% unter Linux.


Mac OS Administration (Mac OS 9 & X) mache ich beruflich wie auch frei seit ca. 1999/2000, mit Linux kenne ich mich nicht soooo gut aus, dank der Ähnlichkeit zu Mac OS X und der mittlerweile recht guten/umfangreichen Distributionen (Ubuntu, Knoppix etc.) ist das aber auch recht einfach für mich zu bewältigen.


Was mich von meiner Bewerbung zugegebenermaßen etwas abhält ist die Windows-Sache...


Sagen wir es mal so: ich weiß, dass man natürlich alle verfügbaren Updates unter Windows installiert haben sollte, ich weiß, dass man statt des Internet Explorers besser Firefox nutzt und statt Outlook besser Thunderbird.

Auch Spybot Search & Destroy, XP-AntiSpy etc. sind sicher keine schlechte Idee, aber vielleicht nicht zwingend nötig.

Höchstwahrscheinlich unverzichtbar ist eine gute AntiViren-Software (GData, F-Secure oder Kaspersky Labs), eine Desktop-Firewall ist zumindest an der Uni sicher überflüssig (es sei denn ihr seht das anders?).

Dann habe ich noch mittbekommen, dass man Programme besser über die Systemsteuerung deinstalliert (statt sie einfach in den Papierkorb zu ziehen wie unter Mac OS X), damit keine "DLLs durcheinander kommen" oder "Registry-Einträge verfälscht" werden (ich weiß, so stimmt das nicht, aber ihr wisst, was und wie ich das meine).


Wie oben bereits erwähnt bin ich eher Mac-Profi, auf meiner Website (www.power64.net) findet Ihr hilfreiche Tipps & Tricks für die Mac-Pflege (ja, ist noch sehr ausbaufähig, aber zeitlich ist nicht mehr drin im Moment).

Meine Frage ist nun: Wo finde ich eine gute "Anleitung", wie man Windows sicher administriert?

Oder könnt Ihr mir ein paar allgemeingültige Hinweise geben, ähnlich meiner Website, aber eben auf Windows bezogen?

Vielen Dank für Eure Hilfe!

[Win-Fan]

Hallo erstmal

Hm, da du ja nun nicht besonders viel und genauere Angaben über deine Vortsellungen geschrieben hast (z.B. welches Windows, ob eher normalerer Natur oder Serverseitig, usw), deine Frage sich aber auch auf algemeinere Windows Informationen bezog, und ich aber jetzt auch keine unsinnigen Tipps & Tricks-Seiten reinsetzen will, mach ich einfachmal nen Anfang.
Wenn sie nicht zusagen, uninteressant oder unnütz sind, einfach nicht beachten.

Screenshotguide Windows XP Installation und Absicherung (incosec.de) als Flash, oder als PDF-Download

Schritt für Schritt Anleitungen Windows XP (Microsoft)

Sicherheitshandbuch für Windows XP v2 (Microsoft) 12 Seiten

Mehrere Anleitungen und Informationen in der Kategorie "So wird`s gemacht" (Microsoft)

und der WinFuture-Klassiker (gestern erst wieder frisch aktualisiert worden)
Windows Sicherer Machen, Anleitung/Tipps

PS:
Grundsätzlich würd ich erstmal alles was auf Windows Seiten unter der Kategorie "Tipps & Tricks" steht nicht blindlinks umsetzen, und die Rubrik "Tuning" uä. meiden, um nicht gleich zu Anfang schon mit Problemen kämpfen zu müssen (Kenn mich mit Mac nicht aus, aber ich nehme an dort wird es warscheinlich auch änliche "Tipps" geben die nicht immer Sinn machen, deshalb. .

Dieser Beitrag wurde von Win-Fan bearbeitet: 01. Februar 2006 - 03:12

[Marcel_75]

Hallo Win-Fan,

vielen Dank schon mal für die vielen interessanten Links!

Diesen hier:

Windows Sicherer Machen

habe ich mir auch gleich mal angesehen und hätte dazu eine Frage:

Gibt es eventuell ein Tool, mit dem man all diese Einstellungen "auf einmal" tätigen kann?

Zumindest einer der Tipps ist für mich Windows-Neuling (noch) schwer nachvollziehbar, und zwar die Änderungen in der Registry (bei "Administrative Freigaben deaktivieren").

Vielleicht kannst Du mir das etwas ausführlicher erläutern?

Ansonsten sind diese Hinweise schon mal Gold wert, fast alles kann man scheinbar über bestimmte Systemeinstellungen konfigurieren.

Ein Tool, welches all diese Einstellungen genau so setzen würde, wäre aber natürlich praktischer, da es ein wenig Zeit sparen könnte.


Ansonsten ist mir natürlich klar, dass man einen Benutzer ohne administrative Rechte für die tägliche Arbeit einrichten sollte und den Admin-User (heißt also bei Windows "Hauptbenutzer"?) nur für Updates, neue Konfigurationseinstellungen etc. benutzt.

Dazu auch gleich noch zwei Fragen:

1. Kann man (wie bei Mac OS X) bestimmte Systemeinstellungsoptionen für diesen einfachen Benutzer sperren? Im Idealfall so, dass er am (dann ja sicher konfigurierten) System gar nichts mehr ändern kann und z.B. nur OpenOffice, Firefox, Thunderbird und... Solitaire starten kann, aber keine anderen Programme? Oder funktioniert dann auch anderes nicht mehr (z.B. die Antivirensoftware)?

2. Deshalb hier die zweite Frage - ich kann mich an einen Artikel in der c't erinnern, in dem berichtet wurde, dass viele Softwarehersteller ihre Software leider nur so "programmieren/konfigurieren", dass administrative Rechte benötigt werden, um sie nutzen zu können.
Kann mich sogar selbst an ein ziemlich krasses Beispiel erinnern, bei dem eine Steuerbürosoftware (der Name ist mir leider entfallen) nicht nur administrative Rechte benötigte um überhaupt starten zu können, sondern sogar ActiveX aktiv sein musste, natürlich mit dem Internet Explorer.
Der Artikel ist jetzt ca. 1 Jahr alt, ist es was das betrifft mittlerweile etwas besser geworden?


Zu den anderen Links:

gibt es dieses "Handbuch"

http://www.microsoft.com/germany/technet/d...les/900060.mspx

auch als PDF-Datei? Das wäre praktisch, habe auf der Seite leider keinen Hinweis diesbezüglich entdecken können.


Auch diese "Schritt für Schritt"-Anleitung

http://support.micro...om/gp/sfs_winxp

wäre sehr praktisch als PDF.


Die Knowledge Base Artikel

http://support.microsoft.com/search/defaul...5&y=12&srch=sup

muss ich mir mal in Ruhe ansehen.



Ein Link für Dich (falls Du ihn nicht schon kennst) - die "Security Configuration Guides" der NSA sind zwar (leider) nicht brandaktuell, aber trotzdem einen Blick wert:

http://www.nsa.gov/s...uID=scg10.3.1.1


Um noch auf Deine Fragen bzw. Vermutungen einzugehen: es geht hauptsächlich um Windows 2000 sowie XP (Pro), beide werden als Desktop Clients genutzt, also keine Server-Dienste (die Server laufen zu 100% unter Linux soweit ich informiert bin).

Und Du hast recht - es gibt natürlich auch unter Mac OS X Tools, mit dem man sich sein System wunderbar "verschlimmbessern" kann - bis hin zum zerschießen mit anschließender Neuinstallation. Die Norton Utilities für Mac OS X sind z.B. "sehr ungesund", um es mal milde auszudrücken...
Für Datenrettung nutzt man am besten ProSoft Data Rescue II (oder noch besser, man hat ein aktuelles 1:1-Backup mit SuperDuper! zur Hand), für "Festplatten- und Dateisystemreparaturversuche" reicht zu 99% fsck (siehe meine Website), in sehr seltenen Fällen benötigt man Alsoft DiskWarrior 3 oder Micromat TechTool Pro 4.

Aber genug Mac-Infos, wir sind ja hier in einem Windows-Forum.

[Graumagier]

Marcel_75 sagte:

Gibt es eventuell ein Tool, mit dem man all diese Einstellungen "auf einmal" tätigen kann?

Zur Dienstekonfiguration gibt es www.dingens.org, den Text bei den Administrativen Freigaben kopierst du wie beschrieben in den Editor und speicherst die Datei als irgendwas.reg, danach übernimmst du die Einstellungen mit einem Doppelklick auf die Datei. Ansonsten öffnest du über Start --> Ausführen --> regedit den Registrierungseditor, klickst dich zu dem angegebenen Pfad durch (HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters) und änderst die beschriebenen Einträge von Hand (AutoShareServer und AutoShareWks). Die Registry ist bei Windows im Prinzip das, was die Konfigurationsdateien bei Mac OS unter /Library bzw. ˜/Library sind.

Marcel_75 sagte:

Admin-User (heißt also bei Windows "Hauptbenutzer"?)

Nein, der Hauptbenutzer ist ein regulärer Benutzer mit erweiterten Rechten und sollte nicht verwendet werden. Im Übrigen funktionieren die Automatischen Updates auch mit eingeschränkten Rechten, sie laufen dann eben im Hintergrund ab.

Marcel_75 sagte:

Kann man (wie bei Mac OS X) bestimmte Systemeinstellungsoptionen für diesen einfachen Benutzer sperren?

Ein eingeschränkter Benutzer kann bei Windows 2000/XP so gut wie gar nichts am eigentlich System ändern, und das ist auch gut so, da es keine ähnlich komfortable Identifikationsmöglichkeit wie bei Mac OS gibt.

Marcel_75 sagte:

Im Idealfall so, dass er am (dann ja sicher konfigurierten) System gar nichts mehr ändern kann und z.B. nur OpenOffice, Firefox, Thunderbird und... Solitaire starten kann, aber keine anderen Programme?

Mit Boardmitteln geht das nicht, am ehesten noch mit ACLs, was bei Whitelistings aber eher lästig ist. Dafür gibt's von Microsoft das Microsoft Shared Computer Toolkit for Windows XP, mit dem der Benutzer nur das darf, was der Administrator sagt.

Marcel_75 sagte:

Deshalb hier die zweite Frage - ich kann mich an einen Artikel in der c't erinnern, in dem berichtet wurde, dass viele Softwarehersteller ihre Software leider nur so "programmieren/konfigurieren", dass administrative Rechte benötigt werden, um sie nutzen zu können.

Das ist allerdings wahr

Marcel_75 sagte:

Der Artikel ist jetzt ca. 1 Jahr alt, ist es was das betrifft mittlerweile etwas besser geworden?

Nein, die Situation ist nach wie vor unbefriedigend. Ich empfehle die Tools Filemon und Regmon von Sysinternals, mit denen man permanent Datei- bzw. Registryzugriffe aufzeichnen und nach verweigerten Zugriffen filtern kann. Die entsprechenden Dateien kann man dann seperat freigeben (über Rechtsklick auf die Datei im Explorer --> Eigenschaften --> Sicherheit).

Marcel_75 sagte:

Die Norton Utilities für Mac OS X sind z.B. "sehr ungesund", um es mal milde auszudrücken...

OMG, wer benutzt die denn noch?

Marcel_75 sagte:

Alsoft DiskWarrior 3

Darüber habe ich aber ebenfalls nicht nur gutes gehört...

[Mr.Robby]

Hi,

beschäftige mich in letzter Zeit auch mit dem sicheren konfigurieren meines XP Rechners,
vielleicht helfen dir ja die weiterführenden Links auf dem Board weiter.

http://www.trojaner-...ead.php?t=12154

Gruß

Mr. Robby

[Marcel_75]

Also das "Microsoft Shared Computer Toolkit for Windows XP" scheint ja schon mal eine fast unverzichtbare Sache zu sein, schau ich mir auf alle Fälle mal an bei Gelegenheit.

Hätte ich ehrlich gesagt gar nicht gedacht, dass das sperren bestimmter Programme etc. so kompliziert bzw. aufwendig ist (zumindest im Vergleich zu Mac OS X).


Schade auch, dass man scheinbar nicht drum herum kommt, manuell etwas in die Registry einzutragen (bzgl. der Dienste).

Aber wenn es so geht:

"Zur Dienstekonfiguration gibt es www.dingens.org, den Text bei den Administrativen Freigaben kopierst du wie beschrieben in den Editor und speicherst die Datei als irgendwas.reg, danach übernimmst du die Einstellungen mit einem Doppelklick auf die Datei."

ist das ja auch noch ok (wenn auch nicht schön bzw. besonders elegant).


Eine Frage: die Tools "Filemon" und "Regmon" von Sysinternals sind dann so etwas ähnliches wie "SnoopDos" unter AMIGA OS?

Woher soll ein "Normalsterblicher" dann aber wissen, ob dieser oder jener Datei- bzw. Registryzugriff "ok" ist?


In jedem Fall sind all diese Informationen sehr hilfreich und informativ für mich (Danke dafür Euch allen), allerdings realisiere ich nun auch einmal mehr, welchen "relativ entspannten Job" ich als Mac-Admin habe bzw. warum die Mac-Wartung Spaß macht, Windows einem aber graue Haare wachsen lassen kann (zumindest der zeitliche Aufwand für eine sichere Windows-Administration ist ja offensichtlich um einiges aufwendiger als bei Mac OS X).


Was mich auch noch interessieren würde: ist es möglich, sich eine Art "Master-Image" anzulegen (z.B. auf einer externen FW-HD), auf der man dann z.B. ein Win XP Pro inkl. Service Pack 2 und allen nötigen Einstellungen und zusätzlichen Tools hat (und welches man auch ständig aktuell hält), so dass man dieses nur noch auf den jeweiligen Rechner einspielen muss und einen neuen "einfachen Benutzer ohne Admin-Rechte" anlegt?
So ähnlich zumindest mache ich es oft unter Mac OS X und es funktioniert perfekt.

[Graumagier]

Marcel_75 sagte:

Hätte ich ehrlich gesagt gar nicht gedacht, dass das sperren bestimmter Programme etc. so kompliziert bzw. aufwendig ist (zumindest im Vergleich zu Mac OS X).

Naja, Mac OS hat eben eine "Kindersicherung" integriert, wobei ich mir jetzt kein Urteil erlauben will, wie sicher diese ist. Windows Vista wird eine solche voraussichtlich ebenfalls haben

Marcel_75 sagte:

Schade auch, dass man scheinbar nicht drum herum kommt, manuell etwas in die Registry einzutragen (bzgl. der Dienste).

Die Administrativen Freigaben (de-)aktivierst du in der Registry, die Dienste unter Start --> Ausführen ... --> services.msc bzw. Start --> Systemsteuerung --> Verwaltung --> Dienstekonfiguration (der letzte Punkt kann auch anders heißen, ich sitze gerade an einem Mac ). Das Programm von dingens.org macht im Prinzip auch nichts anderes.

Marcel_75 sagte:

Eine Frage: die Tools "Filemon" und "Regmon" von Sysinternals sind dann so etwas ähnliches wie "SnoopDos" unter AMIGA OS?

Ja.

Marcel_75 sagte:

Woher soll ein "Normalsterblicher" dann aber wissen, ob dieser oder jener Datei- bzw. Registryzugriff "ok" ist?

Muss er ja nicht, man filtert mit dem Programm einfach nach Einträgen mit dem Result "ACCESS DENIED" und ändert die Rechte für die entsprechenden Dateien, damit sie auch unter eingeschränkten Accounts laufen - so gewünscht.

Marcel_75 sagte:

allerdings realisiere ich nun auch einmal mehr, welchen "relativ entspannten Job" ich als Mac-Admin habe bzw. warum die Mac-Wartung Spaß macht

Naja, ausser dem Reparieren der Rechte und dem gelegentlichen Einspielen von Updates muss man da ja nicht viel tun

Marcel_75 sagte:

ist es möglich, sich eine Art "Master-Image" anzulegen

Ja, entweder mit nLite oder dem Winfuture xp iso Builder, wenn du nur eine Installations-CD erstellen willst, die auf verschiedenen Systemen funktioniert, oder du erstellst mit True Image, Ghost, whatever ein Image einer bestehenden Installation, dann muss das Zielsystem aber identisch sein.