Developer Laptops abschotten

Ich gehe mal davon aus das Ihr Fieldservice User habt denn die haben ein Notebook - Liege ich da richtig ?
Wenn ja würde ICH pers, bzw. so machen wir es in der Firma auch, denen Ihr Notebook überlassen OHNE Domänenzugriff. Würde ich sperren im Netzwerk ( Extra VLAN / LAN Erforderlich ) und entsprechend eine "verwaltete VM mit AD Anbindung" einrichten. Die VM wird dann für den Zugriff auf die Firmenressourcen genutzt und auch verwaltet inkl. AV und co. Sharepoint / Office und andere Anwendungen sind über das NOTEBOOK ( nicht die VM ) nicht erreichbar außer MAIL. Das geht über die MDM Verwaltung welcher auch Active Sync Proxy ist. VPN auf dem Notebook in Firmen LAN ist nicht das geht nur über die VM und gut ist. Fahren wir bei unseren Fieldservice Technikern ganz gut damit. Der Lokale Benutzer hat aber TROTZEDEM KEINE ADMIN Rechte! Wenn die etwas Administrativ machen müssen oder eine Anwendung starten müssen dann geht das nur über einen EXTRA Benutzer für die Entwickler. Jeder hat hier seinen eigenen. Die IT hat den Standard Admin bzw. einen zusätzlichen Admin für den Notfall ( Kollege muss einspringen und nimt das Gerät vom Kollegen mit und kenn das lokale Admin Passwort nicht, Wir können dann das lokale Notfall Admin Konto freigben indem wir das Kennwort verraten. Hat der Hauptbenutzer das Kennwort geändert bzw. das IT Admin Kennwort geändert damit die IT nicht an seinem Notebook herumspielt ( hatten wir zwei mal )*

Denke halt auch dran dass das auch alles SCHRIFTLICH zu Regeln ist in Form einer Arbeitsanweisung was die Entwickler DÜRFEN und was NICHT. Kennwörter ändern z.B. oder da können dann auch die Pflichten hinterlegt werden was der EW machen muss usw....

Ach ja die Notebooks sind in einem Extra VLAN ( Radius Auth über NAC ) usw. getrennt durch die FW. Einziges was möglich ist an Unternehmens Ressourcen ist Exchange Online und Teams mit MFA - Sharepoint glaube ich auch ..... Und die EW Systeme welche über eine FW getrennt sind.

Bedenke bitte das sowas nicht nur TECHNISCH zu lösen ist sondern das da auch Administrativ und Technisch Organisatorische Maßnahmen ( TOM ) dahinter stecken wie z.B. auch die Arbeitsanweisung usw.....

• Das erste Mal hat ein Entwickler alle lokalen Admin Kennwörter geändert weil sie ihm zu Kompliziert waren ( IT Admin und Notfall Admin hatten um die 15-20 Zeichen mit Sonderzeichen usw.... ) und auch das Kennwort seines lokalen Admins geändert und war dann im Urlaub und kam wieder und ja ..... Ihr ahnt es warscheinlich: Er wusste kein einziges Passwort, weder sein Admin noch die IT Admins die er ja auch umbenannt hat....

Hat damals richtig geknallt mit Abmahnung / Freistellung / Kostenerstattung ..... Hauptgrund war das er die HDD mit Veracrypt oder Truecrypt verschlüsselt hatte und wir keine Möglichkeit mehr hatten die Kennwörter zurückzusetzen. Das war einer von den Ganz Schlauen Der hat das gerät sogar so manipuliert das es keine MDM Verbindungen mehr gefressen hatte.

Fall2:
Kollege macht Krankheistvertretung und nimmt Notebook vom Kollegen mit. Bekommt Kennwort von der IT ( Notfall User / Notfall Admin ) und steh dann beim Kunden und der lokale Admin ( Notfall Admin und auch der IT Admin ) funktioniert nicht. Er hatte die Kennwörter sicherheitshalber geändert. Er hat ja alles dokumentiert war die ausrede. Blöd nur das er nache einem etwas schwerem Unfall im Krankenhaus lag und nicht erreichbar war..... Zurücksetzten über die Boardmittel war mit aufwand gott sei dank möglich. ( Ich liebe facetime für sowas ). Resultat war eine Abmahnung und ein Riesenanschiss den er sich wohl sehr zu Herzen genommen hatte und kurz darauf hat er gekündigt. War jetzt kein Verlust für die Firma so der O Ton des Vorgesetzten. Wenn der Mit anpackt ist es so als ob zwei andere Loslassen ........

Moin.

Solche Fälle behandeln wir wie externe Zugriffe, z.B. keine Domäne, keinen direkten Eintritt ins Netz,... . Wobei jede Umgebung doch individuell ist, d.h. man das nicht pauschal machen kann.

Keine Besonderheit, zumal wenn noch andere Zeitzonen dazukommen wird es noch aufwändiger. Die Entwickler welche dir gestern sagen konnten was sie morgen für Software/Updates brauchen werden seltener, sodass diese dann doch administrative Rechte behalten (sollen).
Guter Ansatz, die Risikobewertung bringt dich in die richtige, noch vertretbare Richtung

OFF-Topic
"abschotten" und "MS365", genau mein Humor
z.B. https://www.borncity.com/blog/2023/07/13/china-hacker-storm-0558-in-micr ...

Doch ist es. Wenn du schon den Aufwand und das Risiko analysierst, dann sollte dein GF das verstehen. Zumindest wenn du es richtig machst. Deine Arbeitszeit bezahlt er ja auch und wenn du 10 Stunden die Woche damit verbringst, das was die Entwickler kaputt gemacht haben zu reparieren, dann ist es irgendwann günstiger, wenn du es gleich auf vernünftigen Ressourcen laufen lässt.

Ja da sind wir doch beim Thema. Die erste Frage ist: Wieso nur Laptops? Brauchen sie die wirklich? Bei uns gibt es kaum Laptops, die personengebunden sind. Weil es kaum jemand braucht. Für Dienstreisen gibt es einen Pool an Notebooks. Damit geht dann VPN auf die lokalen Clients (kein TS aus Lizenzgrüden). Fertig.
Grade wenn sich die VPN nicht ohne Adminrechte umgehen lässt, dann behalte es bei. Keine Admin-Rechte für die user. Sonst wird mal kurz Steam installiert, wenn man auf Dienstreise ist, etc. Das wird ein Fass ohne Boden.

Cool? Kann ich bei euch anfangen? Ich will auch einige Dinge nicht, muss mich aber nach den Firmenvorgaben richten.
Es geht hier nicht darum was die Entwickler wollen, sondern was das Beste für das Unternehmen ist. Einige Beispiele: Wie stellt ihr sicher, dass die Entwickler ihre "Umgebung" nicht auf den privaten PC auslagern und dort Kopien vom Code speichern, der Firmeneigentum ist? Wie stellst du sicher, dass die VPN-Verbindung trotz Adminrechte nicht beendet wird? Wie stellst du sicher, dass der User trotz Admin-Rechte nur zugelassene Software einsetzt oder deine Einstellungen (Stichwort USB-Ports sperren) nicht verändert?

Selbst dann hat der User keine Admin-Rechte zu bekommen. Außerdem besteht beim Einsatz von M365 die Gefahr, dass Daten/Viren/andere Schadsoftware über die M365-Cloud wandert. Was nützt dir ein externer Laptop, wenn der sich den Virus einfängt und via One-Drive in die Cloud synchronisiert, nur damit bei der nächsten Anmeldung im Firmennetzwerk die Cloud den Virus ins lokale Netzwerk synchronisiert? Und One-Drive ist nur ein Beispiel. Du hast ja auch noch Sharepoint, One-Note und gemein genutzte Office-Dokumente.

hinrichten vermutlich

MFA ist eine Methode um den Login am Rechner abzusichern, nicht um deine Umgebung abzusichern. Es schützt nur den Login. Die anderen Probleme werden bestehen bleiben. Da kann dir MFA nicht helfen.

Wie ausgeführt, hast du weitaus mehr Risiken um die du dir Gedanken machen musst.

Wie stellt Ihr denn die Lizenzrechtliche Seite sicher so das Ihr Lizenztechnisch compliant seit ?
ich sag nur Java und IrfanView.

Haben wir überall runter wo nicht gebraucht wird und dann haben die Leute fleißig Irfan und Java nachinstalliert weil ich brauch ja JAVA Runtime damit ich das GUI von meinem SAT Reciver konfigurieren kann usw..... Waren damals ca. 10K Euro an zusätzlichen Lizenzkosten um das gerade zu ziehen. Wie Überwacht Ihr das die Notebooks was Updates / Upgrades angeht compliant sind ?

Alles was bei uns EW Notebooks sind darf nicht ins Reguläre LAN. Ebenfalls haben wir eine Data Leak Prevention eingeführt was Quellcode usw. angeht. Wie Wird verhindert das der Code nicht geklaut wird oder gar in falsche Hände gerät ? Hier als aktuelles Beispiel die Signirten Treiber von MS zu nennen die wohl abhanden gekommen sind und fleißig verwendet wird.

Mach ein Konzept, Erklär was wie gelößt werden kann und mach eine Risiko Analyse. Wie oben schon geschrieben was bringt eine 40 Stunden Stelle wenn man die Hälfte der Zeit damit beschäftigt ist das was alles kaputt gemacht wieder zu richten ? Kostet Sinnlos Geld und Zeit.

Kann hier auch kurz zu deinem "Nein die Entwickler wollen das nicht". Tja dann Pech, Es wird gemacht was der Chef / IT / HR sagt. Punkt.
Diskussionen hatten wir auch als wir das WLAN umgestellt hatten.... Die Entwickler kamen dann andauernd an und sagten das Ihr Linux Notebook ins LAN muss weil Sie Firmenressource X erreichen müssen und bla bla bla. Was die Eigentlich wollten war ein PSK für Ihre Privatgeräte wie Handy und Webradio. Geht aber nicht Da WLAN Entperise mit Cert.
Was eine Woche generve und dann hatten sich alle dran gewöhnt.
Man muss das ganze nur vorher ankündigen und erklären. Und dann keine Einzel Ausnahmen machen sonst wird hinterher nicht zu verwalten sein.