Wenn google nicht weiterweiß ...(Benutzerrechte, Freigaben,IRPStacksize)

[Mr.Mito]

Hallo Jungs und Mädels,

ich fasse es so kurz wie möglich zusammen und freue mich über jegliche Hilfe!

- Wo zum !/§()/!"§" kann ich die Standardbenutzer/gruppen Einstellung für Ordner/Dateien ändern? Ich hab das vor ewigen Zeiten mal auf das Format "Tür zu!" umgestellt (Administratoren, User der es angelegt hat, System) und würde nun gerne ein "jeder" dazu knallen, da das bei neuen Freigaben sehr praktisch wäre.

Falls ihr nicht versteht, was ich meine. Wenn man einen neuen Ordner anlegt, so werden da ja bestimmte Benutzer/Gruppen unter "Sicherheit" eingetragen. Diese "Standardgruppen" würde ich gerne abändern bzw. ergänzen, weiß allerdings nicht mehr wo man das einstellen kann.



"Dumme" Fragen am Rande:

- Was hat es mir restrictanonymous genau auf sich und was ist der default Wert bei Windows XP SP2 / alle Patches? 0 oder 1? (Ja, ich habe google benutzt, aber wirklich verstanden habe ich es trotzdem nicht. Ich frage mich halt, aus was sich "anonymer" Zugriff nun genau bezieht, da ich im Netzwerk keinen Unterschied bemerke!
EDIT:

Wenn der Registrierungswert "RestrictAnonymous" auf 2 gesetzt ist, umfasst der Zugriffstoken für nicht authentifizierte Benutzer nicht die Gruppe "Jeder".

Unterschied zu 2 ist nun klar. Aber der Unterschied zwischen 0/1 ist mir immer noch unbekannt.

- Hat diese Einstellung irgendeinen Einfluss auf die Sicherheit eines Systems? http://www.winfaq.de/faq_html/Content/tip0000/onlinefaq.php?h=tip0475.htm Ich dekomme die Fehlermeldung leider, wenn ich den Wert nicht nach oben anpasse. Ich habe es atm auf 25 stehen.
Ich sag mal spontan nein, aber lieber einmal blöd gefragt. Ich frag mich halt wieso M$ nicht gleich 50 einstellt.

- Inwiefern ist es von sicherheitstechnischer Relevanz, wenn man das Gastkonto aktiviert lässt (ohne lokale Anmeldung), wenn man aktuell keinerlei Freigaben hat? Die Frage jeweils mit dem Bezug auf "Passwort vorhanden" und "kein Passwort vorhanden".


Danke im Voraus!

 

[sascher]

Zu 1:
Rechte Maustaste auf den Ordner -> Eigenschaften -> Reiter:Sicherheit -> Hinzufügen -> "Jeder" eintippen -> "OK"

Zu 2:

0: Der "anonyme User" darf von der Freigabe alles einsehen, sowohl Dateien als auch (andere) berechtigte User etc.
1: Der "anonyme User" darf von der Freigabe nur die Dateiliste einsehen, keine Userinformationen etc.
2: Zugriff anonymer User komplett verweigert.

--> INFOS

Zu 3.
Ich trage an meinen Systemen immer alle User + Passwort ein, dann brauch ich kein Gast-Konto mehr.

- Hat diese Einstellung irgendeinen Einfluss auf die Sicherheit eines Systems? http://www.winfaq.de/faq_html/Conten...?h=tip0475.htm Ich dekomme die Fehlermeldung leider, wenn ich den Wert nicht nach oben anpasse. Ich habe es atm auf 25 stehen.
Ich sag mal spontan nein, aber lieber einmal blöd gefragt. Ich frag mich halt wieso M$ nicht gleich 50 einstellt.

Link funzt nicht...kapier leider nix

 

[Mr.Mito]

Zuerst einmal danke, nur leider ging das an meinen Fragen vorbei.

Zu 1: Es geht darum, welche Einträge er dort per default anlegt. Wenn man auf einem orig Windows XP SP2 einen neuen Ordner anlegt, stehen da i.d.R. eh nen paar mehr Leute drin, also z.B. auch normale Benutzer. Bei mir nicht (mehr), nur wo ich die Standard(sicherheits)regeln diesbezüglich ändern kann, weiß ich eben nicht mehr.

In den lokalen Sicherheitsrichtlinien hab ich mal nichts gefunden.

Zu 2.

Ich frage mich halt, aus was sich "anonymer" Zugriff nun genau bezieht, da ich im Netzwerk keinen Unterschied bemerke!

Deine Dinge hab ich mit google natürlich auch gefunden. Sagt im Endeffekt nur leider nichts aus.
Zum Thema "andere berechtige User". Wenn mal geklärt wäre, was/wer genau nun mit "anonym" gemeint ist, wäre nun eben offen, wie er die anderen erlaubten User auslesen kann. (SAM, ja, aber wo/wie kann man das wirklich _sehen_) Netzwerkbrowsing ist btw. eh aus (\\IP\Freigabe lässt grüßen und eben Netzlaufwerke + Verknüpfungen)

Zu 3:

Ich nutze im Netzwerk die Adminfreigaben mit Netzkennwörtern und gebe an diesem Rechner hier i.d.R. gar nichts frei. Falls hier aber mal ne Freigabe ist, dann für etliche User, wodurch sich das Gastkonto natürlich anbietet. Einzelne User wäre zu nervig, da es keine dauerhaften Freigaben sind.

 

[passat3233]

Per Default werden dort die Rechte des übergeordneten Ordners eingetragen, das nennt sich Rechtevererbung und ist seit Windows 2000 Standardmäßig aktiv.

Eine andere Defaulteinstellung für neue Ordner gibt es nicht.
Wenn du also die Benutzergruppe "Jeder" als Default haben willst, trage es als Recht für das Laufwerk ein.
Empfehlen kann ich das aber nicht, es ist eine Sicherheitslücke.
Die Benutzergruppe "Jeder" sollte nirgendwo Zugriff haben. Statt dessen legt man für jeden Benutzer ein Konto an und kann dann die Rechte entsprechend vergeben. Zur Vereinfachung legt man eine Benutzergruppe an und vergibt für die anstatt für die einzelnen Benutzer die Rechte. Die Benutzer müssen natürlich Mitglied der neuen Gruppe sein.

Das Gastkonto sollte permanent deaktiviert sein, es ist eine Sicherheitslücke auch ohne Freigaben.

 

[sascher]

Zuerst einmal danke, nur leider ging das an meinen Fragen vorbei.

Stimmt!

Zu 1: Es geht darum, welche Einträge er dort per default anlegt. Wenn man auf einem orig Windows XP SP2 einen neuen Ordner anlegt, stehen da i.d.R. eh nen paar mehr Leute drin, also z.B. auch normale Benutzer. Bei mir nicht (mehr), nur wo ich die Standard(sicherheits)regeln diesbezüglich ändern kann, weiß ich eben nicht mehr.

In den lokalen Sicherheitsrichtlinien hab ich mal nichts gefunden.

Afaik ist das vom übergeordnetet Laufwerk abhängig, also die Berechtigungen werden vom Laufwerk auf die Unterordner vererbt...das sieht man an den ausgegrauten Haken im Reiter: Sicherheit.

Wüsste nicht, dass man das Global einstellen kann.

Zu 2.



Deine Dinge hab ich mit google natürlich auch gefunden. Sagt im Endeffekt nur leider nichts aus.
Zum Thema "andere berechtige User". Wenn mal geklärt wäre, was/wer genau nun mit "anonym" gemeint ist, wäre nun eben offen, wie er die anderen erlaubten User auslesen kann. (SAM, ja, aber wo/wie kann man das wirklich _sehen_) Netzwerkbrowsing ist btw. eh aus (\\IP\Freigabe lässt grüßen und eben Netzlaufwerke + Verknüpfungen)

"Anonymous" bedeutet in dem Fall: Ein beliebiger User der dem System nicht bekannt ist (also der nicht im System eingetragen ist),

während "Jeder" = jeder dem System bekannter User (also alle die du angelegt hast + die default User)

SAM = Security Account Manager, also die Windows Benutzerverwaltung
-> im Prinzip das, was du unter Sicherheit siehst.

Bei restrictanonymous :"0" darf also jeder unbekannte sich in der Freigabe den Reiter Sicherheit anschauen!

Zu 3:

Ich nutze im Netzwerk die Adminfreigaben mit Netzkennwörtern und gebe an diesem Rechner hier i.d.R. gar nichts frei. Falls hier aber mal ne Freigabe ist, dann für etliche User, wodurch sich das Gastkonto natürlich anbietet. Einzelne User wäre zu nervig, da es keine dauerhaften Freigaben sind.

Benutze auch die Admin-Freigaben, trotzdem müssen ja die User im System angelegt sein.
Für etliche User bietet sich das Gastkonto an, dafür ist es ja da.

 

[Mr.Mito]

Danke, das hat mir geholfen! Haben logische Laufwerke per default ne "jeder" Lesefreigabe? Müsste ja so sein, ist bei mir allerdings nicht so, daher wird auch keine jeder Freigabe vererbt.
Mein "Hauptfehler" war aber, dass ich die Ordner auf dem Desktop (testweise) erstellt hatte und dort eh andere Rechte gelten, da es im Profilordner stattfindet. *g*

Edit:

Da stellt sich mir grad ne neue dumme Frage. Wieso darf ein lokal angemeldeter Gast die Partitionen lesen, wenn die "jeder" Freigabe nicht erteilt wurde, er nicht zur Gruppe "Benutzer" gehört und Gäste nicht eingetragen sind? Hab Windows für den Gastlogin irgendwelche Ausnahmeregeln oder hab ich was übersehen?

"Anonymous" bedeutet in dem Fall: Ein beliebiger User der dem System nicht bekannt ist (also der nicht im System eingetragen ist),

Na ja, das verwirrt wieder, da der anonymous Zugriff doch eh von Werk aus gesperrt ist. Gastlogin fällt ja unter "jeder".

Bei restrictanonymous :"0" darf also jeder unbekannte sich in der Freigabe den Reiter Sicherheit anschauen!

Danke!

Benutze auch die Admin-Freigaben, trotzdem müssen ja die User im System angelegt sein.

Hier hat nur einer Zugriff auf alle Rechner und das bin, kurz gesagt, ich.

Da ich mich dort als Admin einlogge und hier lokal nichts freigegeben wird (und es keinen zentralen Server gibt) muss ich auch keine Rechteverteilen oder gar nen Domänserver aufsetzen. Ist ja nur nen "Hausnetz".