Browser Installation ohne UAC

[mmdj]

Ich habe mir eine Domäne aufgebaut und habe normale User sowie Adminaccounts. Wenn ich Programme installieren will, dann verlangt es das Admin-PW. Was ich auch so gerne haben möchte.

Wenn ich aber Firefox oder andere Browser installiere, dann kann ich bei der UAC Aufforderung auf "Abbrechen oder Nein" klicken und es installiert trotzdem. Manche Browser kommen nicht mal mit UAC. Ich bin sprachlos wie sowas möglich ist und finde das eine grosse Sicherheitslücke.

Was kann ich aktiv dagegen unternehmen? Muss ich meine Geräte per Intune betreiben, oder muss ich gewisse Pfade zusätzlich per GPO sperren und laufe dann Gefahr, dass bestehende Programminstallationen nicht mehr funktionieren?

 

[EDV-Leiter]

Der Browser bzw jede andere Software, die diese Art von Installation unterstützt, wird ohne Admin-Rechte nur ins Profil des angemeldeten Nutzers installiert. Also keine systemweite Installation, deswegen auch manchmal keine UAC-Abfrage, außer du startest das Setup "als Administrator".

 

[Drewkev]

und finde das eine grosse Sicherheitslücke.

Wieso?

 

[mmdj]

@Drewkev malware???

 

[Drewkev]

@mmdj
Was dürfte/könnte denn eine Malware deiner Meinung nach ohne Administratorrechte im Benutzerkontext großartig machen? Und ausgeführt werden muss die ja auch erstmal.

 

[qiller]

Diese Art des Schutzes kann man nicht pauschal einfach mit der Nutzung einer Domäne etablieren. Hierzu sind weitere Maßnahmen notwendig. Stichworte sind hier "Software Restriction Policies" o. "Applocker".

Edit: Als Warnung vorweg, SRPs o. Applocker werden bei unbedarfter Nutzung zu einiger kaputter Software o. Updatevorgängen führen (vor allem, wenn die ausführenden Dateien sich nicht in den freigegebenen Ordnern befindet). Mehr Infos zu SRPs kannst du dir gern hier anschauen.

 

[thealex]

@mmdj Programme die kein UAC triggern werden halt im User-Scope installiert. Sie benötigen keine systemweiten Adminrechte und verlangen sie daher auch nicht. Sie können aber im Gegenzug eben auch keine Aktionen ausführen, die solche Berechtigungen erfordern würden. Dann käme wieder der UAC Dialog.

Ist aber eigentlich nicht unüblich, solche Tools gibt es halt.

 

[KillerCow]

"Installieren" muss man eine Anwendung nicht, um sie ausführen zu können. Stichwort "portable apps". Und damit wären wir dann direkt wieder bei @qiller