wir handhabt ihr es mit der Powershell Security?

1. offizieller Beitrag

    wir hatten gestern zufällig einen Workshop besucht bei dem auch gezeigt wurde wie inzwischen Ransomware mittels Powershell verteilt wird bzw. mittels Powershell lokale Adminrechte erschlichen werden. Echt schlimm.



    Man könnte ja mittels GPO die CurrentUser und LocalMaschine auf Restricted setzen und wenn wir intern etwas ausführen müssen vorher ein unrestricted duchführen? Oder habt ihr bessere Ansätze.

    Einmal editiert, zuletzt von nikolasv ()

    • Offizieller Beitrag

    Moin,


    willkommen an Board - schön, das du uns gefunden hast!


    Das kann man m.E. pauschal nicht beantworten.


    Wenn "etwas" bis zur Maschine kommt, hat man vorher schon was falsch gemacht.


    Was wurde denn da gezeigt, über welchen Exchange reden wir? ;)

    • Offizieller Beitrag

    Das BSI sieht "All signed" vor.


    Bei Exchange ist im Betrieb "Remote signed" eingestellt, bei CU-Updates muss auch "unrestricted" umgestellt werden. Wir nach dem Updates aber automatisch wieder auf "Remote Signed" gestellt.


    Aber wie Norbert schon schreibt, ist auch das keine schlussendliche Sicherheit. Die User-Policy lässt sich mit "-bypass" problemlos umgehen.


    Ist immer die Frage, welche Sicherheit man erreichen will. Die meisten Schadsoftware heutzutage kommt ohne Admin-Rechte aus (Ransomware).