1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Ransomware: Die verschlüsselte Stadt…

Eine Frage von Schreib- und Leserechten

  1. Beitrag
  1. Thema

Eine Frage von Schreib- und Leserechten

Autor: Tuxianer 04.03.16 - 15:44

Nennen wir den Ort mal Noitlingen. In der Verwaltung von Noitlingen haben alle Mitarbeiter vom Bürgermeister bis zum Praktikanten runter Admin-Rechte (ohne zu wissen, was dieses Wort bedeutet). Alle benutzen die Kompjuder, probieren mal Programme aus, die sie so im Internet so finden oder die ihnen so "Freunde" so zuschicken. Läste Rückfrage-Dialoge werden generell und in jeder Häufigkeit > 0 nur als lästig empfunden und abgenickt. Weil niemand mit Begriffen wie "Sicherheitskonzept" irgendwas anfangen kann oder will, doppelklickt auch jeder aus jeder E-Mail oder jedem USB-Speicher heraus jede Datei, ob sie nun "Angel14.jpg.pif" oder "Rechnung2016.doc.exe" oder "Angebot_3443221.pdf.com" heißt. Also der Worst case. Der Alltag.

Problem 1: Vor dem Bildschirm.

Schlecht bezahlt, unzureichend ausgebildet, vor allem in IT-Dingen bestenfalls in Anwenderprogrammen "ein wenig erfahren". So sind leider sehr viele Mitarbeiter in Verwaltungen. Wenn sie mal eingestellt sind; erst mal dürfen sie zwei Jahre lang als Praktikanten herumwuseln, ohne Lohn oder bestenfalls mit einer lächerlichen Aufwandsentschädigung. Bei solcher "Entlohnung" kann man auch kaum erwarten, dass diese Leute von sich aus den Aufwand treiben, sich mit Dingen zu beschäftigen, die zumindest aus ihrer Sicht gar nicht ihre Aufgaben sind. Der Sachbearbeiter ist schließlich nicht Hausmeister, also auch nicht für die Schließanlage zuständig; er benutzt nur seinen Schlüssel, und der hat zu funktionieren. Und ebensowenig ist so ein Mitarbeiter für die IT zuständig; er benutzt die Computer's und Bildschirm's und Tastatur's (mit Deppen-Apostrophen) nur, und die haben eben zu funktionieren.

Problem 2: Nachlässige Vorgesetzte

Zumindest in kleineren Städten auch nicht üppig gut bezahlt, weil entweder jung und unerfahren oder ohne Weiterbildung chancenlos auf lohnwirksame Hochstufung oder schon alt und der Rente entgegensehend, bestenfalls fachlich gut ausgebildet, in IT-Dingen wenn überhaupt auf dem Stand von vor 10 Jahren oder so und auch da: Anwendersoftware, Anwendersoftware, Anwendersoftware. Nun kommt Mitarbeiter x und will "mal eben ein ganz tolles Programm ausprobieren" und braucht halt dazu Admin-Rechte. Und weil neben x auch y und z und v und w kommen und das eh jeden Tag, haben i. d. R. alle auf ihren Clients Admin-Rechte. Selbst wenn der IT-Betreuer, in diesem Kleinstädtchen sehr wahrscheinlich ein Externer, jeden Tag vor den Folgen warnt und Sicherheitsparadigmen vorbetet: Wenn er nicht darf, kann er eben hier wenig absichern.

Aber woanders kann er, und zwar ziemlich: Am Server. Da ist also der IT-Beauftragte, der für genau diese Verwaltung in Noitlingen zu arbeiten hat, egal, wie sehr er den Job und diese Dau^∞-Typen hasst. Auf den Clients kann er logischerweise nichts tun - und wenn er versuchen würde, wäre es wirkungslos, weil die Leute sogar die Anti-Schadprogramm-Programme abschalten würden, um "YoungAsianGirls.jpg.exe" ausführen zu können. An die Mitarbeiter hinzureden ... die Wände würden eher zuhören. Also muss er sich auf die einzige Maschine verlassen, die außer ihm niemand versumpfen kann: Den Server.

1. In den Clients gibt es nur winzige Festplatten für die Auslagerung von Hauptspeicher; notfalls eben winzige Partitionen auf Festplatten, deren Rest mit dem Client-Betriebssystem unbekannten Filesystem-Kennungen oder als "schadhaft" markiert und somit blockiert ist.
2. Die Clients booten vom Server. Die Boot-Images liegen (gegenüber dem Client) schreibgeschützt auf dem Server.
3. Die Clients starten auch sämtliche "installierten" Programme vom Server aus. Auch diese Verzeichnisse liegen auf dem Server, und auch sie sind gegenüber den Clients schreibgeschützt.
4. Die Clients werden täglich (eine Stunde nach Dienstschluss) zum Shutdown aufgefordert.
5. Fünf Minuten später werden sämtliche Verzeichnisse, auf die die Clients normalerweise lesend oder schreibend zugreifen können, gesperrt.
6. Die Clients werden morgens eine halbe Stunde vor Dienstbeginn automatisch hochgefahren.
7. Die Nutzer-Verzeichnisse sind alle auf Server-Verzeichnisse umgeleitet.
8. System- oder Programm-Aktualisierungen des Servers führt der IT-Verantwortliche zu Zeiten durch, in denen keine Clients am Server dranhängen, damit er den (die) Server bei Bedarf neu starten oder rekonfigurieren kann. Sinnvoll ist auch hier ein echtes Backup des (lauffähigen) Systems des Servers VOR Änderung daran.
9. System- oder Programm-Aktualisierungen der Clients führt der IT-Verantwortliche durch; er kopiert das vorhandene (lauffähige) Betriebssystem-Image des Clients in die Sicherung, startet den Client neu, diesmal mit auf Server-Seite vorübergehend gesetzten Schreibrechten für den Client, aktualisiert den Client (am besten mit auf dem Server gesammelten Aktualisierungs-Dateien), startet ihn neu, testet kurz die Nutzbarkeit der installierten Programme, fährt den Client wieder herunter, löscht das Schreibrecht auf dem Server und wiederholt den Test. Funktioniert soweit alles, lässt er die Mitarbeiter "loslegen"; funktioniert etwas nicht: Zurück zur vorherigen, funktionstüchtigen Fassung, und dann: in Ruhe testen.

Bis hierher waren es notwendige Voraussetzungen; nun folgt das, was man darauf aufsetzen kann.

10. Der Server betreibt volle Datei-Historie. Das bedeutet:
- Erzeugt der Client eine neue Datei in "seinem" Verzeichnis (einem, in dem er schreiben darf) auf dem Server, so wird diese, sobald der Schreibvorgang beendet ist, in die Liste der zu sichernden Dateien aufgenommen.
- Ändert ein Client eine bestehende Datei, so erscheint zwar in "seinem" Verzeichnis auf dem Server die geänderte Version; der Server hält die vorherige Version aber immer noch vor, eben im (dem Client gegenüber unsichtbaren) Sicherungsverzeichnis.
- Löscht der Client eine bestehende Datei, so erscheint sie zwar nicht mehr in "seinem" Verzeichnis auf dem Server; der Server hält die letzte Version aber immer noch vor, eben im (dem Client gegenüber unsichtbaren) Sicherungsverzeichnis.

11. Das Datenbanksystem auf dem Server handelt gleich in Bezug auf Datenbanken, auf die potentiell ja sogar mehrere Clients gemeinsam zugreifen dürfen; Änderung oder gar Löschung von Datensätzen führen immer zur Erzeugung von Kopien (der betroffenen Datensätze) und deren Archivierung. Ein vollständiges Committment erfolgt erst nach manueller Bestätigung, und vorher wird eine Sicherheitskopie der betroffenen Datenbank erzeugt, also im Zustand mit x Dubletten, aber eben auch mit allen alten Versionen der Datensätze.

12. Die Datei-Historien-Verwaltung umfasst auch die Verzeichnisse (auf dem Server!), in denen Programme der Clients ihre Konfiguration abspeichern; auch hier ist es jederzeit möglich, den Zustand zum Zeitpunkt x wieder aufzusetzen.

Es ist nicht erforderlich, die Mitarbeiter über diese Maßnahmen im Detail zu informieren. Sie werden schon merken, wenn morgen ihr dolles neues Programm kommentarlos nicht mehr da ist. Sie werden aber auch merken, dass all die Dateien, die dieses schöne-böse-Programm-von-einem-Freund verändern (verschlüsseln) wollte, morgen wieder (unverschlüsselt) da sind, und dass der Rechner morgen auch einfach wieder läuft. Und notfalls passiert das eben auch während der Mittagspause.

Sie werden vielleicht auch merken, dass ab und zu E-Mails von "Freunden" gar nicht bei ihnen ankommen. Weil der Server nämlich ganz diskret alle E-Mails an Mitarbeiter in den Orkus verschiebt, an denen irgendwas irgendwie ausführbare dranhängt, egal, von wem sie stammen, und zwar bevor er sie den Mitarbeitern zustellt. E-Mails von Firmen, die evtl. wirklich Aktualisierungen per E-Mail versenden (was Container voller Dummheit voraussetzt), gehen nämlich nicht an Mitarbeiter. Sondern nur an E-Mail-Postfächer des Admins, der pro betroffener Firma - in Noitlingen läuft nicht so viel an Spezialsoftware - ein eigenes solches Postfach eingerichtet hat.

Ja, so eine Serverlösung kostet ein kleines bisschen Geld, weil so ein Server logischerweise mehr an Festplattenspeicher braucht als ein reiner Datensammelkasten. Aber: Für 500 Euro bekommt man heutzutage schon 5 Server-Festplatten mit je 3 TByte Speicherkapazität; für Noitlingen und vergleichbar kleine Orte ist das ziemlich lange ausreichend. Und weitaus stressfreier.

-----

Befugnis kann man delegieren. Kompetenz muss man erlangen.


Neues Thema Ansicht wechseln


Thema
 

Eine Frage von Schreib- und Leserechten

Tuxianer | 04.03.16 - 15:44

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Vitakraft pet care GmbH & Co. KG, Bremen
  2. Universitätsklinikum Münster, Münster
  3. dSPACE GmbH, Paderborn
  4. Adecco Personaldienstleistungen GmbH, München

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Mobile-Angebote
  1. 149,90€ (Bestpreis!)
  2. 214,90€ (Bestpreis!)
  3. (u. a. moto g8 power 64GB 6,4 Zoll Max Vision HD+ für 159,99€)
  4. (u. a. Apple iPhone 11 Pro Max 256GB 6,5 Zoll Super Retina XDR OLED für 929,98€)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Astronomie: Arecibo wird abgerissen
Astronomie
Arecibo wird abgerissen

Das weltberühmte Radioteleskop ist nicht mehr zu retten. Reparaturarbeiten wären lebensgefährlich.

  1. Astronomie Zweites Kabel von Arecibo-Radioteleskop kaputt
  2. Die Zukunft des Universums Wie alles endet
  3. Astronomie Gibt es Leben auf der Venus?

In eigener Sache: Golem-PCs mit Ryzen 5000 und Radeon RX 6800
In eigener Sache
Golem-PCs mit Ryzen 5000 und Radeon RX 6800

Mehr Leistung zum gleichen Preis: Der Golem Highend wurde mit dem Ryzen 5 5600X ausgestattet, die Geforce RTX 3070 kann optional durch eine günstigere und schnellere Radeon RX 6800 ersetzt werden.

  1. Video-Coaching für IT-Profis Shifoo geht in die offene Beta
  2. In eigener Sache Golem-PCs mit RTX 3070 günstiger und schneller
  3. In eigener Sache Die konfigurierbaren Golem-PCs sind da

iPhone 12 Pro Max im Test: Das Display macht den Hauptunterschied
iPhone 12 Pro Max im Test
Das Display macht den Hauptunterschied

Das iPhone 12 Pro Max ist größer als das 12 Pro und hat eine etwas bessere Kamera - grundsätzlich liegen die beiden Topmodelle von Apple aber nah beieinander, wie unser Test zeigt. Käufer des iPhone 12 Pro müssen keine Angst haben, etwas zu verpassen.
Ein Test von Tobias Költzsch

  1. Apple Bauteile des iPhone 12 kosten 313 Euro
  2. Touchscreen und Hörgeräte iOS 14.2.1 beseitigt iPhone-12-Fehler
  3. iPhone Magsafe ist nicht gleich Magsafe

  1. Podcastle: Webseiten mit Chrome-Plugin vorlesen lassen
    Podcastle
    Webseiten mit Chrome-Plugin vorlesen lassen

    Werkzeugkasten Wem die Muße fehlt, lange Artikel zu lesen, der kann sich diese mit Podcastle dank Maschinenlernen einfach in Chrome vorlesen lassen. Das funktioniert auch auf Deutsch überraschend gut.

  2. Programmiersprache: PHP 8.0 erscheint mit JIT-Compiler
    Programmiersprache
    PHP 8.0 erscheint mit JIT-Compiler

    Dank des JIT-Compilers soll PHP deutlich leistungsfähiger werden. Das Team bringt auch viele weitere Sprachupdates für die neue Version.

  3. Microsoft: Erste Bilder zeigen Surface Laptop 4 und Surface Pro 8
    Microsoft
    Erste Bilder zeigen Surface Laptop 4 und Surface Pro 8

    Die neuen Surface-Geräte will Microsoft anscheinend schon Anfang 2021 herausbringen. Derzeit werden sie in Korea zertifiziert.


  1. 10:24

  2. 10:06

  3. 09:24

  4. 09:02

  5. 07:49

  6. 07:27

  7. 18:50

  8. 18:38