1
Zwei trusted Domänen - Gefahr der "Übernahme"?
In unserer Firma gibt es ein NT-netzwerk mit 1 Domäne. Eine externe Firma soll in unserem Auftrag ein IT-System installieren. Da dieses unter W2k läuft und Active Directory nutzt, ist nach deren Auskunft eine eigene Domäne nötig, in der die Fremdfirma auch die Rechte eines Domänenadministrators beansprucht. Da z.T. auch Anwendungen in unserer ursprünglichen Domäne genutzt werden sollen, ist angeblich eine Vertrauensstellung der beiden notwendig.
Unsere EDV-Abteilung befürchtet jetzt, dass dadurch die Möglichkeit zur Übernahme der ursprünglichen Domäne durch den Domänenadministrator der neuen W2K-Domäne besteht. Natürlich wird eine solche Absicht der betreffenden Firma nicht unterstellt, aber eine Sicherheitslücke für eine Art "Exploit" wird als untragbar angesehen.
Als Nicht-Administrator geht diese Problem deutlich über den Rand meines IT-Wissens, deshalb folgende Fragen
1. Sind diese Befürchtungen begründet?
2. Kann man über Berechtigungen oder Gruppen-Richtlinien ein solches Szenario verhindern?
3. Könne Ressourcen entsprechend restriktiv zugänglich gemacht werden?
4. Kann der Domänenadministrator der neuen Domäne tatsächlich unautorisiert PCs von einer in die andere Verschieben oder beliebige Nutzer auch in der alten Domäne anlegen?
Würde mich freuen, wenn mir ein "Profi" in ein paar Sätzen seine Einschätzung dazu geben könnte.
Vielen Dank im Voraus!
Unsere EDV-Abteilung befürchtet jetzt, dass dadurch die Möglichkeit zur Übernahme der ursprünglichen Domäne durch den Domänenadministrator der neuen W2K-Domäne besteht. Natürlich wird eine solche Absicht der betreffenden Firma nicht unterstellt, aber eine Sicherheitslücke für eine Art "Exploit" wird als untragbar angesehen.
Als Nicht-Administrator geht diese Problem deutlich über den Rand meines IT-Wissens, deshalb folgende Fragen
1. Sind diese Befürchtungen begründet?
2. Kann man über Berechtigungen oder Gruppen-Richtlinien ein solches Szenario verhindern?
3. Könne Ressourcen entsprechend restriktiv zugänglich gemacht werden?
4. Kann der Domänenadministrator der neuen Domäne tatsächlich unautorisiert PCs von einer in die andere Verschieben oder beliebige Nutzer auch in der alten Domäne anlegen?
Würde mich freuen, wenn mir ein "Profi" in ein paar Sätzen seine Einschätzung dazu geben könnte.
Vielen Dank im Voraus!
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 2365
Url: https://administrator.de/contentid/2365
Ausgedruckt am: 22.11.2024 um 20:11 Uhr
1 Kommentar
Hi,
also erstmal werden bei einen Trusted Domän im ersten Schritt die beiden Domänen mit Hilfe eines neuem Passwortes mit einander bekannt gemacht. Im zweiten Schritt müssen die Globalengruppe miteinandere "Verbunden" werden. Hier fängt nun das Übel an. Sobald die Globale Gruppe der "Domänen Admins" gegenseitige Rechte haben, hat die eine Domäne auf die andere Zugriff. Es gibt zwar dann auch noch hier einige Einschränkungen aber Platt gesagt, es heisst ja auch Vertraute Domänen. Wenn ich jemand Vertrau, lasse ich Ihn auch in mein Netz, wenn nicht dann solltet ihr keine Vertraute Domäne anlegen. Wenn ihr die neue Domäne bei euch im Gebäude/Firma habt, ist das alles in Ordnung, NUR der IT Firma würde ich weder Fernzugriff via Internet, Wähl oder Standleitung geben und die Adminrechte nur auf Anfrage. Allein schon deshalb, damit die bei einem Fehler den sie machen, nicht die Möglichkeit haben, diesen heimlich zu vertuschen!
Gruß
G.
also erstmal werden bei einen Trusted Domän im ersten Schritt die beiden Domänen mit Hilfe eines neuem Passwortes mit einander bekannt gemacht. Im zweiten Schritt müssen die Globalengruppe miteinandere "Verbunden" werden. Hier fängt nun das Übel an. Sobald die Globale Gruppe der "Domänen Admins" gegenseitige Rechte haben, hat die eine Domäne auf die andere Zugriff. Es gibt zwar dann auch noch hier einige Einschränkungen aber Platt gesagt, es heisst ja auch Vertraute Domänen. Wenn ich jemand Vertrau, lasse ich Ihn auch in mein Netz, wenn nicht dann solltet ihr keine Vertraute Domäne anlegen. Wenn ihr die neue Domäne bei euch im Gebäude/Firma habt, ist das alles in Ordnung, NUR der IT Firma würde ich weder Fernzugriff via Internet, Wähl oder Standleitung geben und die Adminrechte nur auf Anfrage. Allein schon deshalb, damit die bei einem Fehler den sie machen, nicht die Möglichkeit haben, diesen heimlich zu vertuschen!
Gruß
G.
