In diesem „kleinen“ Tutorial zeige ich Ihnen, wie Sie eine „sichere“ Konfiguration einrichten.
Seit der Veröffentlichung der PrintNightmare-Sicherheitslücke hat Microsoft mehrere Updates bereitgestellt, um dieses Problem zu beheben, und dabei die Gelegenheit genutzt, das Verhalten von Windows anzupassen, um die Konfiguration sicherer zu gestalten.
In dieser Anleitung werden wir uns die Einstellungen ansehen, die Sie verwenden sollten, um eine bessere Konfiguration in Ihrem Unternehmen zu erreichen.
Die wichtigste Änderung besteht darin, über GPO festzulegen, von welchen Druckerservern die Clients Treiber herunterladen dürfen.
Vor der Einführung in der Produktionsumgebung empfehle ich Ihnen, diese Lösung zunächst im Labor zu testen und sie anschließend schrittweise oder nach Einheitsorganisation (OU) anzuwenden.
Öffnen Sie die Konsole „Gruppenrichtlinien-Verwaltung“.
Navigieren Sie zum Container „Gruppenrichtlinienobjekte“ 1, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Neu“ 2.
Benennen Sie die Gruppenrichtlinie 1 und klicken Sie auf „OK“ 2.
Navigieren Sie zum folgenden Pfad: Configuration ordinateur / Stratégies / Modèles d'administration / Imprimantes.
Öffnen Sie die Einstellung „Pointer-Einschränkungen“ und geben Sie 1 ein.
Mit dieser Einstellung können wir das Fenster zur Berechtigungserweiterung bei der Treiberinstallation deaktivieren.
Wählen Sie „Aktiviert“ 1, wählen Sie anschließend „Warnung oder Aufforderung zur Berechtigungserweiterung nicht anzeigen“ 2 (zweimal) und klicken Sie dann auf „Übernehmen“ 3 und „OK“ 4.
Zurück in der Einstellungsliste klicken Sie auf „Pointer und Pakete drucken – Vertrauenswürdige Server“ 1.
Aktivieren Sie 1 die Einstellung und klicken Sie anschließend auf die Schaltfläche „Anzeigen“ 2.
Geben Sie die Druckserver 1 ein (jeweils einen pro Zeile) und klicken Sie anschließend auf „OK“ 2.
Nachdem Sie die Server hinzugefügt haben, klicken Sie auf „Übernehmen“ 1 und „OK“ 2, um die Konfiguration zu bestätigen.
Die erste Gruppenrichtlinie ist fertig:
Erstellen Sie nun eine zweite Gruppenrichtlinie, mit der Sie Benutzern ohne Administratorrechte die Installation von Druckertreibern erlauben. Ich habe dieses Thema bereits hier behandelt: KB5005033: Nicht-Administratoren die Installation von Druckertreibern erlauben. Behandeln Sie nur den Registrierungsschlüssel.
Sobald beide Richtlinien fertig sind, verknüpfen wir sie mit der Organisationseinheit (OU).
Klicken Sie mit der rechten Maustaste auf die OU 1 und wählen Sie „Vorhandenes Gruppenrichtlinienobjekt verknüpfen“ 2.
Wählen Sie die Richtlinie 1 aus und klicken Sie auf „OK“ 2.
Wiederholen Sie den Vorgang für die zweite Gruppenrichtlinie.
Beide Gruppenrichtlinien sind nun mit der OU verknüpft:
Durch die Anwendung dieser Einstellungen sollten Sie die sicherheitsrelevanten Windows-Updates für den Spooler problemlos durchführen können.
Ergänzung: mimikatz/README.md at master · gentilkiwi/mimikatz · GitHub
