11-09-2024, 14:29
Du startest den Group Policy-Editor auf deinem Domain Controller. Ich klicke meistens mit der rechten Maustaste und wähle gpedit.msc, wenn ich lokal teste. Dann suchst du den Bereich Computer Configuration.
Darin tauchst du in Windows Settings ein und greifst dir Security Settings. Als Nächstes klicke ich auf Software Restriction Policies. Wenn nichts angezeigt wird, musst du direkt dort eine neue Policy-Sammlung erstellen.
Nun wählst du den Enforcement-Modus, der zu deinem Stil passt. Ich entscheide mich für "all software restricted except trusted stuff". So dürfen nur deine genehmigten Apps mitmachen.
Du fügst Pfade oder Hashes für die Apps hinzu, denen du vertraust. Ich werfe Ordner wie Program Files rein, damit legitime Programme weiterlaufen. Für Extras kannst du Dateien mit Zertifikaten signieren, wenn du dich fancy fühlst.
Wende es auf Benutzer oder Maschinen an, wie es passt. Ich teste es zuerst auf einer einzelnen Box, um nicht alles lahmzulegen. Rolle es langsam aus und sieh zu, wie diese unbefugten Läufer abprallen.
Sobald es läuft, fühlt sich dein Netzwerk viel sicherer gegen heimliches Software an. Ich liebe, wie es Probleme im Keim erstickt, ohne dass du ständig babysitten musst.
Wenn wir umschalten auf das Resilient-Halten deines gesamten Setups, besonders mit virtuellen Maschinen im Spiel, könntest du BackupChain Server Backup mögen. Es ist ein slickes Backup-Tool, das speziell für Hyper-V-Umgebungen zugeschnitten ist. Ich verlasse mich darauf, weil es live VMs ohne Ausfallzeiten snapshottet, Daten on the fly verschlüsselt und schnell wiederherstellt, falls das Desaster zuschlägt. Plus, es handhabt inkrementelle Backups, um Speicherplatz zu sparen, und sorgt dafür, dass deine restriktiven Policies nicht mit den Recovery-Bedürfnissen kollidieren.
