cardisch
Goto Top

Welche lokalen Sicherheitseinstellungen und Beschränkungen bei geschäftlicher Nutzung von Win8.1 pro nutzt ihr

Hi@all,

in meiner Firma wollten wir eigentlich Win8.1 Enterprise zukünftig einsetzen, aber bei den exorbitanten Preisen sind wir davon abgerückt.
Wir verteilen jetzt 8.1 pro.
Nun stelle ich mir die Frage, welche Einstellungen ich in "meine" Sysprep-Image installieren soll, um das System sicherer machen, ohne die Enterprise-Edition nutzen zu können.
Folgendes "installiere" per gpedit:
- Store sperren
- Microsoft-Konten blockieren
- Skydrive sperren
Darüber hinaus installieren ich noch die F8-Funktion nach (um den abgesicherten Modus nutzen zu können) und für die usability die ClassicShell und das booten in den Desktop.
Habe ich irgendetwas übersehen ?!
Für nützliche Tipps und Ratschläge bin ich sehr dankbar,

Gruß

Carsten

Content-Key: 232398

Url: https://administrator.de/contentid/232398

Printed on: July 12, 2024 at 16:07 o'clock

Member: DerWoWusste
DerWoWusste Mar 12, 2014 at 13:57:19 (UTC)
Goto Top
Moin.

Ein großes Thema.
Zunächst mal, was meinst Du mit
um das System sicherer machen, ohne die Enterprise-Edition nutzen zu können.
Was hat die Ent. mit höherer Sicherheit zu tun? Was möchtest Du wogegen absichern?

Ich würde Bitlocker nutzen (bzw. wir rollen auch demnächst 8.1 aus und machen das so), denn eine Verschlüsselung aller PCs gehört zu den Grundbausteinen der Sicherheit.

Aber gut: gib erstmal mehr Details dazu an, was Du erwartest.
Member: cardisch
cardisch Mar 12, 2014 at 14:10:33 (UTC)
Goto Top
Hi

Mit der Enterprise kann man App-Locker benutzen, dies fällt ja bei der Pro (selektiv) weg.
Ergo habe ich den gesamten Store gesperrt.
Absichern möchte ich speziell, dass User sich mit ihren MS-Konten an der Domäne anmelden, um dann Zugriff auf ihre Dateien und Apps zu haben (letztere scheinen ja sogar ohne Admin-Rechte installiert zu werden), bzw. dass die Skydrive nutzen, um Dateien hin- und herzuschaufeln.
Im Endeffekt will ich eine Vermischung von dienstlichen und privaten Konten/Daten verhindern oder zumindest erschweren.
Weiterhin versuche ich gerade alle nett gemeinten Standort- und Userlokationsdienste zu deaktivieren, ebenso Zugriff auf Mic und Webcam, also im Endeffekt schalte ich alle diese Apps aus, die einem bei der Installation angeboten werden.

Bitlocker kommt "nur" bei unseren Laptops zum Einsatz, ob wir das zukünftig anders handhaben, da ja nicht mehr die Ultimate benötigt wird, kann ich zur Zeit nicht abschätzen.
Zumindest ist das eine Überlegung wert.

Gruß
Member: DerWoWusste
DerWoWusste Mar 12, 2014 at 14:19:10 (UTC)
Goto Top
Und von GPOs machst Du da bereits Gebrauch, denke ich mal? Denn nahezu alles Genannte kann per GPO gesetzt werden. 8.1 bringt viele neue GPOs.
Bitlocker: unbedingt überall. Die Möglichkeit, offline am System zu manipulieren MUSS genommen werden.
Member: cardisch
cardisch Mar 12, 2014 at 14:23:53 (UTC)
Goto Top
Wir haben noch eine 2003er Domäne ;-(
Deswegen fallen einige Sachen zur Zeit (noch) flach.
Vermutlich werden wir noch eine 2012er Domäne in diesem Jahr einrichten, aber solange müssen wir warten.
Member: DerWoWusste
DerWoWusste Mar 12, 2014 at 14:29:32 (UTC)
Goto Top
Ihr braucht keine Sekunde warten. Installier Dir RSAT auf Deiner 8.1er Test-Workstation und ab geht's, von dort aus kannst Du alle Policies erstellen, die der 2003 dann verteilen kann - problemlos und so von MS vorgesehen.
Member: neueradmuser
neueradmuser Mar 13, 2014 at 21:12:32 (UTC)
Goto Top
hi,
dumme Frage am Rande: was mach ich wenn das System nicht mehr bootet und bitlocker mäßig abgesichert ist... hab ich dann mit meinen Linux Tools noch eine Schnitte? offline virenscan mal ganz zu schweigen...
Member: DerWoWusste
DerWoWusste Mar 13, 2014 at 21:14:57 (UTC)
Goto Top
Eröffne mal eine neue Frage, hierzu besteht kein Zusammenhang. Dann antworte ich Dir.
Member: neueradmuser
neueradmuser Mar 14, 2014 at 09:10:12 (UTC)
Goto Top
Member: cardisch
cardisch Mar 14, 2014 at 10:03:46 (UTC)
Goto Top
Kleines Feedback meinerseits:
Per Secpol kann man "ordentlich" den Store, Skydrive und die MS-Konten blockieren.
Etwas stutzig wurde ich aber, als ich testweise Skydrive einbinden wollte (mittels MSKonto) und ich alles zur Verifizierung eingeben konnte.
Letztlich ist der PC aber bei der Verknüpfung hängen geblieben, Fehlermeldung:
Irgendetwas hat nicht funktioniert, ihr Konto wurde nicht in dieses Microsoft-Konto geändert, Fehlercode 0x80070005.