GPO zu ExtensionID finden ?

Offenbar nicht. Ich bin jetzt seit Mai in dieser Firma hier und wenn ich mir anschaue, was dokumentiert wurde, dann ist das ein Trauerspiel. Die existiert nämlich fast nicht. Mein Chef, der die IT hier vor meiner Zeit betreut hat, hat eine recht merkwürdige Einstellung dazu. Jedes Stück Papier, das jemals in Zusammenhang mit der IT-Anlage stand, wurde aufgehoben, dafür wurde (fast) nichts dokumentiert, was am System gemacht wurde, was vorgefallen ist usw. Das fängt schon bei recht einfachen Infos an (etwa auf welchem Fileserver/SQL-Server welches Programm seine Daten ablegt). Erschwerend kommt hinzu, dass die Kompetenzen weiterhin geteilt sind,d.h. manche Aufgaben behält sich der Chef selbst weiter alleine vor. Das reicht von Zugängen zu bestimmten Programmen bzw hin zu einem simplen Neustart der virtuellen Server auf dem VM-Server. Im Normalbetrieb ist das kein SO großes Problem, aber zur Zeit bekommen wir die Quittung dafür,weil er zur Zeit schwer erkrankt im Krankenhaus liegt und nix machen kann. Wenn also ein Problem auftritt, dass in seinem Zuständigkeitsbereich liegt, haben wir ein echtes Problem.



Als Backupsoftware kommt bei uns "Veritas Backup Exec 15" zum Einsatz. Die Capacity-Edition ist eine Art abgespeckte Version, die nur 1TB Plattenplatz verwalten kann. Sprich: sämtliche Server werden bei uns auf nur 1TB Backupplatz gesichert. Da müssen dann entweder Abstriche im Umfang der Backups, der Backuphäufigkeit oder der der Aufbewahrungsdauer gemacht werden. Nach dem aktuellen Zwischenfall hat sich Cheffe nun endlich durchgerungen, nach seinem Krankenhausaufenthalt (Herzinfarkt vor 2 Wochen..) da was zu verändern.



Die User arbeiten bei uns auf Terminalservern. Dabei haben die User üblicherweise ihre eigenen Benutzerkonten,aber einige Programme haben auch eigene Domänenkonten. So zum Beispiel das von der Personalabteilung benutzte Verwaltungsprogramm. Über die Ereignisanzeige konnte man im Nachhinein sehen, dass eine Art Brute Force-Angriff stattgefunden hat, d.h. da waren einige Loginversuche mit Usernamen vermerkt, die es in dieser Art und Weise bei uns nicht gibt: Admin00, Administrador (ja..das kleine d stand da wirklich so!) und einige Vornamen ala "Sharon","Shelley" usw als Username. Erfolg hatten sie dann offenbar beim Account, den das erwähnte Personalabteilungsprogramm benutzt, zumindest wurde der Trojaner im Taskmanager unter diesem Account als laufend angezeigt. Von dort aus hat sich der Trojaner dann durch die mit seinen Benutzerrechten verfügbaren Netzwerkfreigaben "gewühlt" und alles verschlüsselt, was erreichbar war. Dazu gehörten auch einige Ordner auf dem DC, welche erreichbar waren (z.B. der Sysvol-Ordner).


Wir sind im Grunde 2 Firmen unter einem Dach. Firma 1 ist das Mutterunternehmen, während Firma 2 das Tochterunternehmen ist. Beide Unternehmensbereiche haben jeweils eine eigene Domäne und einen eigenen DC. Die Netze selbst sind allerdings physisch nicht getrennt,d.h. ich kann mich problemlos in die jeweils andere Domäne einloggen.

An dieser Stelle erstmal ein Danke für eure Antworten.
Ich habe inzwischen mit Hilfe der im Link genannten Methode nach der GUID gesucht. Interessanterweise werden beide GUID nicht gefunden. Es existiert also scheinbar keine GPO mehr zu dieser GUID. Bleibt die Frage,wieso die Clients versuchen,auf eine nicht existente GPO zuzugreifen und warum sie das tun.

Dcdiag besagt übrigens folgendes:
Starting test: FrsEvent Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind Warnungen oder Fehlerereignisse vorhanden. Fehler bei der SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge haben.

Die besagten Fehlerereignisse sind -wie schon geschrieben die beiden nicht gefundenen Gruppenrichtlinien zu angegebenen GUID. Ist noch irgendwo anderweitig gespeichert, welche GPOs der Clients beim Login abarbeiten soll ? Quasi so eine Art "Todo"-Liste ?