Welche GPO's sollte man in einer Firma Aktivieren?

[EcomaticDriver]

Hallo,
Was habt ihr für Erfahrungen welche GPO's man in einer Firma auf jeden Fall aktivieren /Konfigurieren) (must haves) Sollte wie z.b das keiner der Mitarbeiter Updates machen darf.

bin auf eure Empfehlungen gespannt :-)

Server System :

Windows Server 2012 R2 Dataserver x64

HP ProLiant DL380 G6

16 GB RAM

6 TB Gesamtspeicher


Client Systeme:
Windows 7 x64
Windows 8.1
Windows 2000 (Keine Sorge hat keine Berechtigung um ins Internet zu Gelangen jeglich verbunden mit den Internen Netzwerk da auf ihn wichtige Programme noch laufen die auf Neueren OS nicht Funktionieren)

 

[charmin]

Na die die du für deine Umgebung brauchst. Im Zweifelsfall einfach mal nach best practice googeln.

 

[EcomaticDriver]

Na die die du für deine Umgebung brauchst. Im Zweifelsfall einfach mal nach best practice googeln.

Welche sind denn so die gängisten die (must haves)?

Ergänzung (24. November 2019)

gängigsten

Welche sind denn so die gängisten die (must haves)?

gängigsten

 

[En3rg1eR1egel]

nee google und eigeninitive gibt bei dem te nicht.
nur jeden tag ein neuer thread der zeigt, dass auch wirklich null selber gemacht werden wird...

Wer ohne Eigeninitiative und auf mehrfachen Wink mit dem Zaunpfahl nicht selbst wenigstens die einfachsten Dinge googeln kann und alles mit dem Silberlöffel gefüttert bekommen will hat den Sinn eines Forums nicht verstanden.
Eine umfassende kindergartenähnliche Betreuung wird es hier nicht geben.

https://www.computerbase.de/forum/t...d-lokalen-clients-admin-rechte-geben.1907324/
https://www.computerbase.de/forum/t...grund-gpo-funktioniert-nicht-richtig.1907139/
https://www.computerbase.de/forum/t...mmer-auf-den-admin-aus.1907084/#post-23390789

 

[EcomaticDriver]

nee google und eigeninitive gibt bei dem te nicht.
nur jeden tag ein neuer thread der zeigt, dass auch wirklich null selber gemacht werden wird...

Ich möchte ja auch nach EUREN Erfahrungen in euren AD's fragen.

 

[donativo]

Zunächst solltest du die W7 Kisten und eigentlich auch W8.1 loswerden.
https://support.microsoft.com/de-de/help/4057281/windows-7-support-will-end-on-january-14-2020

Dann in meinen Augen am dringendsten sind die Office 20xx ADMX Templates um jeglichen Makro und VBS Mist in den Office Einstellungen zu deaktivieren. Stichwort Kryptotrojaner.

Alles andere ist Geschmachssache des Admins und mit wie viel Gegenwind der Mitarbeiter man leben kann. Je dichter das System desto mehr meckern die meistens. Sicherheit ist unbequem.

 

[Graphixx]

Jeder hier der sich nur mit halbwegs gutem Gewissen Admin nennt beisst wahrscheinlich schon bei der Frage in die Tischkante.... Was für "Erfahrungen" schweben Dir denn so vor ? Bei einem AD ?

Ein AD richtest Du anhand der Aufgaben ein die es erfüllen soll und wenn es einmal steht ist es ein dynamisches Wachstum das sich immer weiter an den gestellten Aufgaben orientiert. Das es darüber hinaus abhängig von der vorhanden bzw. zu erwartenden SW/HW-Infrastruktur erstellt wird sollte ja klar sein.

Das war´s. Keinerlei Erfahrung, nicht eine GPO die Du von irgendeinem anderen Netzwerk auf Deines übertragen kannst....nichts. Alles immer auf den Fall bezogen. Wenn es da irgendwas gäbe was grundsätzlich auf alle AD anwendbar wäre hätte MS mit Sicherheit einen Assistenten oder ein Template gebastelt.

MfG

 

[EcomaticDriver]

Naja die User haben so gut wie Keine Ahnung von Computern und die verzweifeln schon wenn sie aus versehen die Systemsteuerung zb Öffnen

 

[nosti]

Moin,

das kannst du ja alles ausblende. Du kannst das System per GPO so gut wie komplett dicht machen und Alles was nicht benötigt wird ausblenden Oder deaktiviere.

Dazu einfach mit dem GPO-Editor beschäftigen.
Standardempfehlungen gibt es kaum, weil jedes Unternehmen seinen eigenen Standard definiert.

Grüsse

 

[XN04113]

vom BSI gibt es Empfehlungen für GPOs

 

[EcomaticDriver]

vom BSI gibt es Empfehlungen für GPOs

Wo auf den ihrer Webseite finde ich die ?

 

[donativo]

https://lmgtfy.com/?q=bsi+empfehlung+einstellungen+gruppenrichtlinien+active+directory&s=l

 

[ayngush]

Arbeite einfach das IT-Grundschutz-Kompendium ab. Dabei muss natürlich eine Risikoabwägung vorgenommen werden. Einfach nur VBA abschalten, wenn es doch produktiv gebraucht wird, wird nicht möglich sein, da ist dann die Risikoabwägung notwendig. Wer das am Ende jedoch administrieren soll ist mir beim BSI-Kompendium schleierhaft. Aber in Deutschland wird IT-Sicherheit halt immer noch in aller erster Stelle auf dem Papier gemacht. Deswegen haben unsere Behörden, die ja den BSI-Grundschutz vorleben müssten (tun sie nicht) auch überhaupt keine Probleme mit Emotet & Co.