Bewährte Sicherheitsmethoden und Datenschutzinformationen zu Remotetools

Betrifft: System Center Configuration Manager 2007, System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2

Die Microsoft System Center Configuration Manager 2007-Remotesteuerung vereinfacht die zentralisierte Administration. Administratoren mit der Berechtigung für die Remotesteuerung können jedoch möglicherweise Benutzer ausspionieren und die Sicherheit und den Datenschutz beeinträchtigen. Wie bereits erwähnt wurde, ist es nicht möglich, sich gegen Administratoren zu schützen, die ihre Rechte unrechtmäßig verwenden.

Bewährte Sicherheitsmethoden für Remotetools

Verwenden Sie zur Konfiguration von Remoteunterstützungseinstellungen entweder Gruppenrichtlinien oder Configuration Manager, aber nicht beide.    Sie können die Remoteunterstützungseinstellungen sowohl mit Configuration Manager 2007 als auch mit Gruppenrichtlinien ändern. Wenn die Gruppenrichtlinie auf dem Client aktualisiert wird, wird der Prozess standardmäßig optimiert, indem nur Richtlinien geändert werden, die auf dem Server geändert wurden. Configuration Manager 2007 ändert die Einstellungen in den lokalen Sicherheitsrichtlinien, die u. U. nur bei einem erzwungenen Gruppenrichtlinienupdate überschrieben werden. Das Festlegen der Einstellungen an beiden Orten kann zu inkonsistenten Ergebnissen führen. Wählen Sie eine dieser Methoden aus, um die Remoteunterstützungseinstellungen zu konfigurieren.

Betrachten Sie die Einstellung „Beim Administratorzugriff auf Clients nach Berechtigungen fragen“ nicht als ausreichende Sicherheitsmaßnahme für Remotetools für Windows 2000-Clients.    Auch wenn Sie in den Eigenschaften des Remotetoolsclient-Agents die Option Beim Administratorzugriff auf Clients nach Berechtigungen fragen aktivieren, kann bei der Remoteverwaltung eines Windows 2000-Clientcomputers die Remoteverwaltungssitzung ohne Berechtigungsabfrage wiederhergestellt werden, wenn die Verbindung innerhalb von 10 Sekunden unterbrochen und neu hergestellt wird. Bei Windows 2000-Clientcomputern kann außerdem jeder Benutzer mit lokalen Administratorrechten die Registrierung vorübergehend ändern und dann wieder aktivieren, um die Berechtigungsanforderungen zu entfernen.

Aktivieren Sie die Einstellung zum Fragen nach Berechtigungen    Obwohl es Wege gibt, die Einstellung Beim Administratorzugriff auf Clients nach Berechtigungen fragen zu umgehen, sollten Sie sie dennoch aktivieren, um das Risiko zu vermindern, dass Benutzer während der Arbeit an vertraulichen Aufgaben ausspioniert werden.

Aktivieren Sie Benachrichtigungen.     Sie sollten die Einstellungen Visuellen Indikator anzeigen und Sound wiedergeben aktivieren, um das Risiko zu vermindern, dass Benutzer während der Arbeit an vertraulichen Aufgaben ausspioniert werden.

Verhindern Sie Änderungen an Richtlinien- oder Benachrichtigungseinstellungen durch Benutzer.    Sie sollten die Einstellung „Benutzer dürfen in der Systemsteuerung unter „Remotesteuerung“ keine Richtlinien- oder Benachrichtigungseinstellungen ändern“ aktivieren, damit Benutzer keine Änderungen vornehmen können, die anderen Personen das Ausspionieren der Benutzer erleichtern könnten. .

Begrenzen Sie Liste der zugelassenen Viewer.    Lokale Administratorrechte sind nicht erforderlich, damit ein Benutzer die Remotetools verwenden kann. Wenn die Sicherheitsanforderungen für die Sammlung und die Liste der zugelassenen Viewer erfüllt sind, können Benutzer Remotetools auf dem Client verwenden.

Geben Sie die erforderlichen globalen Gruppen an.    Mitglieder globaler Gruppen, die Mitglieder lokaler Gruppen in der Liste der zugelassenen Viewer sind, werden nicht aufgezählt. Daher werden Mitgliedern globaler Gruppen keine Zugriffsrechte erteilt, wenn sie in lokalen Gruppen geschachtelt sind. Um Verwirrung zu vermeiden, geben Sie alle globalen Gruppen ausdrücklich in der Liste Zugelassene Viewer an.

Geben Sie den Domänenkontext für Benutzerkonten an.    Die Liste der zugelassenen Viewer ist bewusst mehrdeutig, da ein Benutzer anhand der Liste auf dem Client authentifiziert wird und der Standortserver möglicherweise keinen Zugriff auf dieselben Domänen wie der Client hat. Folglich können Sie in die Liste Zugelassene Viewer einen Kontonamen ohne Angabe der Domäne für das Konto eingeben. Die Liste muss jedoch auf dem Client eindeutig sein. Daher sollten Sie Kontonamen in die Liste Zugelassene Viewer im Format Domäne\Konto eingeben, um jegliche Mehrdeutigkeit auf dem Client auszuschließen.

Vertrauen Sie bei der Steuerung des Zugriffs auf das Remotetool nicht nur auf die Sammlungssicherheit.    Für Spezialisten ist es einfach, die Sammlungssicherheit für Remotetools zu umgehen. Diese können z. B. einen Configuration Manager 2007-Standort außerhalb Ihrer Hierarchie installieren und Ressourcendatensätze für Clients erstellen, die sie steuern möchten. Dabei können sie sich selbst alle erforderlichen Rechte für diese Ressourcen gewähren. Außerdem kann jeder Benutzer mit der Berechtigung Remotetools verwenden mithilfe der Befehlszeilenversion von Windows 2000-Remotetools und der Option „/SMS:NOSQL“ die Datenbanküberprüfung umgehen. Betrachten Sie die Sammlungssicherheit für Remotetools als eine Erleichterung der Organisation und als wirksame Methode für die Mitarbeiter, die Ihre Richtlinien und Prozeduren befolgen.

Geben Sie keine Kennwörter für privilegierte Konten ein, wenn Sie Windows 2000-Computer remote verwalten.     Das Kennwort ist auf dem Clientcomputer geschützt, wird jedoch mithilfe einer virtuellen Tastatur eingegeben. Eine Software, die Tastatureingaben überwacht, kann das Kennwort möglicherweise ermitteln. Wenn das auf dem Clientcomputer ausgeführte Programm nicht das Programm ist, das der Remotesteuerungsbenutzer erwartet, kann auch dieses Programm das Kennwort unrechtmäßig erfassen. Sind Konten und Kennwörter erforderlich, sollte der Endbenutzer diese eingeben.

Datenschutzinformationen

Die Remotesteuerung ermöglicht das Anzeigen aktiver Sitzungen auf Configuration Manager 2007-Clientcomputern und möglicherweise aller auf diesen Computern gespeicherten Informationen. Die Remotesteuerung ist standardmäßig nicht aktiviert. Sie können die Remotesteuerung so konfigurieren, dass Benutzer vor Beginn einer Steuerungssitzung eine deutliche Ankündigung erhalten und zustimmen können, oder so, dass Benutzer ohne deren Genehmigung und Wissen überwacht werden. Berücksichtigen Sie vor dem Konfigurieren der Remotesteuerung Ihre Datenschutzanforderungen.

Bei der Remotesteuerungssitzung werden keine Informationen gesammelt, bei der Initialisierung der Sitzung wird jedoch ein Überwachungsstatus generiert. Der Überwachungsstatus wird in der Standortdatenbank gespeichert und standardmäßig nach 180 Tagen gelöscht. Das Löschverhalten können Sie konfigurieren, indem Sie die Eigenschaften für die Statusfilterregel und den Standortwartungstask festlegen. Die Überwachungsstatusinformationen werden nicht an Microsoft zurückgesendet.

Siehe auch

Konzepte

Remotetools in Configuration Manager

Andere Ressourcen

Bewährte Sicherheitsmethoden und Datenschutzinformationen zu Configuration Manager-Features

Weitere Informationen finden Sie unter Configuration Manager 2007 – Informationen und Support (möglicherweise in englischer Sprache).
Das Dokumentationsteam erreichen Sie per E-Mail unter: SMSdocs@microsoft.com