Domänenrichtlinien verhindert installation von Skype nicht?!

[Hunduster]

Moin moin,

wir haben in unserem Unternhemen ein Problem. Unsere gesammtes Netzwerk ist Deutschlandweit eine Domäne. Die USer haben kein Recht etwas zu installieren oder etwas an den Einstellungen und der Konfiguration von Windows zu ändern (ist ja klar).

Was uns im Moment Bauchschmerzen bereitet ist, dass eine Menge von Usern Skype auf ihrem Rechner installiert haben und dies auch voll nutzen. Verständlicherweise ist dies, wie jeder Messanger eine Gefahr für unser Netzwerk und verstößt sowieso gegen die Computernutzungsrichtlinien. Wir können und nicht erklären wieso die User trotz der Richtlinien (nur9 dieses Programm installieren können.

Habt Ihr Erfahrungen damit oder gar die Erklärung dafür?

[ozzy666]

Hi !

ein Erklärung wäre das sich die User das garnicht "installiert" haben, sondern nur den Programmordner einer bestehenden Installation kopiert haben.

Wissen um sowas verbreitet sich ja wie ein Lauffeuer.

Ich würde dort allerdings nicht weiter forschen, sondern:

1. E-Mail (abgestimmt mit Betriebsrat, Geschäftsführung, und IT Abteilung) die darauf aufmerksam macht das entgegen der Computernutzungsrichtlinien Instant Messaging und Chat Software (insbesondere Skype) genutzt werden und das dieser Umstand von jedem eigenverantwortlich abzustellen ist. Andernfalls ist mit Abmahnungen zu rechnen (Gefährdung der Unternehmenssicherheit, Vorenthaltung von Arbeitsleistung)

2. Softwareinventory fahren (falls ihr kein Tools dafür habt, Skript basteln das Remote die existenz von Pfaden, Reg Keys oä. abfragt.

3. Da ihr sicherlich PC zu Abteilungen zuordnen könnt, diesen ersten Export nehmen, den Abteilungen zuordnen und anonymisieren. Dem Bereichsleiter informieren, das er sich des Thema auch noch einmal annimmt.

Mit Re-Audit in 4 Wochen drohen.

4. Re-audit, Einzelgespräche, Abmahnungen was auch immer gewünscht ist.

Wichtig ist es hierbei Rückendeckung der Geschäftsführung zu haben, und das das auf Abteilungsebene durchgedrückt wird (Abteilungsleiter)

Sicherlich nicht die feine Englische Art, aber jede Woche(übertrieben, ich weiß) das Kindermädchen für die Anwender zu spielen, und hinterherzusein die neuste Version vom Mohrhuhn oder Chatsoftware zu löschen kann nicht der Job einer IT Abteilung sein.

my 2 cents

Best Regards,

OZZY

P.S.: Mir ist klar, das dieses Post nur am Rande auf Deine Ursprungsfrage eingeht, trotzdem denke ich das es ein interessanter Ansatz ist. Ich habe das selber in 2 Konzernen genauso erlebt.

Wenn Kapazitäten frei sind können auch Telefonanrufe helfen.

"Guten Tag, IT Abteilung Fachbereich Unternehmensicherheit ..." Also wenn das keinen :uli macht, was dann ? :marine

[bolleee]

Es ist wie schon gesagt, am wahrscheinlichsten das die ausführbaren Datein einfach in einen vorhandenen Programmordner kopiert wurden und dann von dort ausgeführt.

Um das zu verhindern, einfach per GPO die NTFS-Rechte auf nur lesen verändern.

Zusätzlich kann dann noch eingerichtet werden, dass Programme nur von bestimmten Ordnern aus ausgeführt werden dürfen.

[janlutmeh]

Alternativ lässt sich in einer GPO die Ausführung der entsprechenden Dateien verhindern, bzw. die Ausführung nur zugelassener Anwendungen konfigurieren.

Wäre so ein erster Schritt bis alles wieder fest in der Hand der Administratoren ist.

Benutzerkonfiguration - Administrative Vorlagen - System:

Nur zugelassene Windows-Anwendungen ausführen

Angegebene Windows-Anwendungen nicht ausführen

[TobiK]

...Und wenn möglich, Skype zusätzlich im Router/Firewall/Firewallserver sperrren.

Mit dem ISA-Server ist das ohne Weiteres möglich. Die Methode hat den Nachteil, dass du u.U. viele solcher Geräte anpassen musst :/ (je nach Netzaufbau)

[ozzy666]

Hi!

das mag ja technologisch alles prima sein. GPO anpassen, Firewall umkonfigurieren.

Aber was kommt danach?

Irgendeine Lücke gibt es immer, und wenn dann Skype geblockt ist, nehmen die User halt ICQ2go oder den Webmessenger von MSN. Dann kann ich natürlich auch die URL sperren (DNS-Eintrag, Proxy) aber irgendein Weg findet sich immer, das müsste ja allen klar sein die mit diesem Job ihre Brötchen verdienen. Das ist genauso wie mit den unknackbaren Kopierschutzsystemen. :eek

Das Problem als solches (Benutzer pfeifen auf Richtlinien) wird damit eigentlich garnicht adressiert. Gerade wenn es eine festgeschriebene Richtlinie gibt, macht es in meinen Augen keinen Sinn ein derartiges technisches Wettrüsten zu veranstalten.

Bin ich wirklich der einzige der das so sieht?

@Mods falls das zu sehr Offtopic ist, mache ich gerne einen Thread (mit Poll?)dafür auf :-)

Best Regards

OZZY

[TobiK]

Das ist schon richtig.

Je nach dem, wie die User sich verhalten, sollte man Ihnen zumidnest klar machen, dass eine Kontrolle möglich ist.

Wenn die User wissen, dass die Geschäftsführung erfahren kann, was sie machen, sieht das Ganze sicher schon anders aus. Dann lassen viele Leute die Finger von so etwas.

Letztendlich ist es immernoch Firmeneigentum und die Mitarbeiter sind ja nicht zum SPaß haben da.

[janlutmeh]

@ozzy666

Das ist schon richtig, aber zunächst muss das Fehlverhalten wirksam unterbunden werden, anschliessend sanktioniert (Abmahnung, Kündigung whatever).

Wenn es nicht unterbunden oder sanktioniert wird hat man häufig später rechtlich Probleme wenn einem nach Jahren auffaällt das das so nicht geht.

[ozzy666]

@ozzy666

Das ist schon richtig, aber zunächst muss das Fehlverhalten wirksam unterbunden werden, anschliessend sanktioniert (Abmahnung, Kündigung whatever).

Wenn es nicht unterbunden oder sanktioniert wird hat man häufig später rechtlich Probleme wenn einem nach Jahren auffaällt das das so nicht geht.

Kontroverser Standpunkt:

- Es gibt eine Computernutzungsrichtlinie

- Es wurden Maßnahmen ergriffen die die Richtlinie unterstützen (keine Installation von Software, vermutlich keine Adminrechte etc)

Das mit dem "wirksam unterbunden" ist genauso wie mit dem "sicheren Kopierschutz". Die Attribute wirksam und sicher haben nur eine begrenzte Lebensdauer.

Unter dem Gesichtspunkt könnte man sogar jetzt schon von "Computersabotage" reden.

Achja, erst unterbinden und dann Abmahnen? Also erst erschießen und dann festnehmen, oder wie soll man das verstehen?

Am sinnvollsten wäre es einmal via Mail darauf aufmerksam zu machen und ein Ultimatum zu stellen. Danach halt ein Audit aufgrund dessen man dann nochmal nachbohren kann.

Vorallem ist man auf diesem Weg auf "safe" für die Zukunft. Man will doch nicht wirklich jede Applikation dediziert sperren, oder ?

Best Regards

OZZY