70-685 Windows 7 Support in Unternehmen.pdf - Gattner

Lektion 1: Beseitigen von Malwareproblemen 207
scheint. Ist sie deaktiviert, werden UAC-Eingabeaufforderungen auf dem normalen
Desktop angezeigt. Diese Richtlinieneinstellung ist in der lokalen Sicherheitsrichtlinie
standardmäßig aktiviert.
Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte
virtualisieren Diese Richtlinieneinstellung ist in der lokalen Sicherheitsrichtlinie
standardmäßig aktiviert. Sie verbessert die Kompatibilität zu Anwendungen,
die nicht für die UAC entwickelt wurden. Dazu werden Anforderungen nach geschützten
Ressourcen umgeleitet. Ist die Richtlinieneinstellung deaktiviert, laufen Anwendungen
unter Umständen nicht, wenn sie nicht für die UAC entwickelt wurden.
Deaktivieren der UAC mit der lokalen Sicherheitsrichtlinie oder Gruppenrichtlinien
Mithilfe der lokalen Sicherheitsrichtlinie oder Gruppenrichtlinien können Sie die UAC
deaktivieren. Setzen Sie dazu erst die Richtlinie Benutzerkontensteuerung: Verhalten der
Eingabeaufforderung für erhöhte Rechte für Administratoren im Administratorbestätigungsmodus
auf die Option Erhöhte Rechte ohne Eingabeanforderung. Deaktivieren Sie dann die
Richtlinien Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte
Rechte anfordern und Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus
ausführen. Setzen Sie schließlich die Richtlinie Benutzerkontensteuerung:
Verhalten der Eingabeaufforderung für erhöhte Rechte für Standardbenutzer auf
Anforderungen für erhöhte Rechte automatisch ablehnen. Starten Sie nun die Computer
neu, auf denen Sie diese neuen Einstellungen verwenden wollen.
Empfehlungen für die Verwendung von UAC
Halten Sie sich an die folgenden Verfahrensempfehlungen, um von den Sicherheitsvorteilen
der UAC zu profitieren, aber gleichzeitig die Kosten zu minimieren:
Lassen Sie UAC auf allen Clientcomputern in Ihrer Organisation aktiviert.
Sorgen Sie dafür, dass sich alle Benutzer (insbesondere das IT-Personal) mit Standardbenutzerprivilegien
anmelden.
Jeder Benutzer sollte ein einzelnes Konto haben, das nur über Standardbenutzerprivilegien
verfügt. Geben Sie normalen Domänenbenutzern keine Konten mit administrativen
Privilegien für ihre lokalen Computer.
Domänenadministratoren sollten zwei Konten haben: ein Standardbenutzerkonto, mit
dem sie sich an ihrem Computer anmelden, und ein zweites Administratorkonto, mit
dem sie Privilegien anheben können.
Schulen Sie Benutzer, dass sie eine UAC-Eingabeaufforderung, die unerwartet erscheint,
nicht einfach bestätigen dürfen. UAC-Eingabeaufforderungen sollten nur erscheinen,
wenn der Benutzer eine Anwendung installiert oder ein Tool startet, das erhöhte Privilegien
erfordert. Eine UAC-Eingabeaufforderung, die zu einem anderen Zeitpunkt erscheint,
kann unter Umständen durch Malware generiert worden sein. Wenn ein Benutzer
eine solche Eingabeaufforderung zurückweist, verhindert er dadurch, dass die
Malware dauerhafte Änderungen am Computer vornimmt.