Browser Installation ohne UAC

[mmdj]

Ich habe mir eine Domäne aufgebaut und habe normale User sowie Adminaccounts. Wenn ich Programme installieren will, dann verlangt es das Admin-PW. Was ich auch so gerne haben möchte.

Wenn ich aber Firefox oder andere Browser installiere, dann kann ich bei der UAC Aufforderung auf "Abbrechen oder Nein" klicken und es installiert trotzdem. Manche Browser kommen nicht mal mit UAC. Ich bin sprachlos wie sowas möglich ist und finde das eine grosse Sicherheitslücke.

Was kann ich aktiv dagegen unternehmen? Muss ich meine Geräte per Intune betreiben, oder muss ich gewisse Pfade zusätzlich per GPO sperren und laufe dann Gefahr, dass bestehende Programminstallationen nicht mehr funktionieren?

 

[EDV-Leiter]

Der Browser bzw jede andere Software, die diese Art von Installation unterstützt, wird ohne Admin-Rechte nur ins Profil des angemeldeten Nutzers installiert. Also keine systemweite Installation, deswegen auch manchmal keine UAC-Abfrage, außer du startest das Setup "als Administrator".

 

[Drewkev]

und finde das eine grosse Sicherheitslücke.

Wieso?

 

[mmdj]

@Drewkev malware???

 

[Drewkev]

@mmdj
Was dürfte/könnte denn eine Malware deiner Meinung nach ohne Administratorrechte im Benutzerkontext großartig machen? Und ausgeführt werden muss die ja auch erstmal.

 

[qiller]

Diese Art des Schutzes kann man nicht pauschal einfach mit der Nutzung einer Domäne etablieren. Hierzu sind weitere Maßnahmen notwendig. Stichworte sind hier "Software Restriction Policies" o. "Applocker".

Edit: Als Warnung vorweg, SRPs o. Applocker werden bei unbedarfter Nutzung zu einiger kaputter Software o. Updatevorgängen führen (vor allem, wenn die ausführenden Dateien sich nicht in den freigegebenen Ordnern befindet). Mehr Infos zu SRPs kannst du dir gern hier anschauen.

 

[thealex]

@mmdj Programme die kein UAC triggern werden halt im User-Scope installiert. Sie benötigen keine systemweiten Adminrechte und verlangen sie daher auch nicht. Sie können aber im Gegenzug eben auch keine Aktionen ausführen, die solche Berechtigungen erfordern würden. Dann käme wieder der UAC Dialog.

Ist aber eigentlich nicht unüblich, solche Tools gibt es halt.

 

[KillerCow]

"Installieren" muss man eine Anwendung nicht, um sie ausführen zu können. Stichwort "portable apps". Und damit wären wir dann direkt wieder bei @qiller

 

[xexex]

oder muss ich gewisse Pfade zusätzlich per GPO sperren und laufe dann Gefahr, dass bestehende Programminstallationen nicht mehr funktionieren?

Dies!

Es ist leider zu einem Unding geworden, dass manche Programme sich schlichtweg ins Benutzerprofil "installieren", wo man den Nutzern nicht die Schreibrechte entziehen kann. Es betrifft nicht nur Firefox, aber hier ist es natürlich besonders blöd, weil der Nutzer so konfigurierte Gruppenrichtlinien für Edge/Chrome umgehen kann.

Richtig blocken kannst du solche Applikationen nur mit Mühe, aber wie @qiller schon schrieb kann man es über Softwarerichtlinien blacklisten. Einfachere Möglichkeit wäre an dieser Stelle vielleicht, den ausgehenden Verkehr für Firefox an der Firewall zu unterbinden, sofern eine solche Möglichkeit bei der eingesetzten Lösung möglich ist.
https://em-soft.si/myblog/elvis/?p=659

 

[nutrix]

malware???

Wenn es lokal in den Userordner installiert, ist das doch in Ordnung. Dafür ist ja an sich alles mit Portabel so gedacht.

 

[Ranayna]

Was dürfte/könnte denn eine Malware deiner Meinung nach ohne Administratorrechte im Benutzerkontext großartig machen?

Alles machen was der angemeldete User darf. Was oft grossen Schaden anrichten kann.

Der einzige Weg solche Sachen in einem AD zuverlaessig zu kontrollieren, sind AppLocker Policies.
Mit AppLocker kann man steuern welche Ausfuehrbaren Dateien ausgefuehr werden duerfen.
Das machen wir zB in der Firma mit den Browsern. Alle Browser die nicht zugelassen sind (Was nur Edge und ein speziell angepasster Chromium sind) werden geblockt.
Installieren kann man sie, aber nicht starten. Und .exe umbenennen reicht nicht um an Applocker vorbeizukommen

 

[TorenAltair]

Ich habe mir eine Domäne aufgebaut und habe normale User sowie Adminaccounts.

Erstmal die Frage: Geht es um eine Firma, sprich wird damit Geld verdient?