Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Was ist neu bei Gruppenrichtlinien? 205
Vorsicht Sie müssen sich im Klaren darüber sein, dass diese Geräteeinschränkungen nicht hundertprozentig
verhindern können, dass Benutzer wichtige Daten weitergeben. Benutzer können Daten als E-Mail
versenden. Falls sie Administratoren auf ihrem Computer sind oder physischen Zugriff auf ihre Arbeitsstationen
haben, finden sie sicherlich immer Wege, an Daten zu gelangen, die sie eigentlich nicht bekommen
sollten. Die beste Lösung besteht darin, sicherzustellen, dass die Daten, die Sie wirklich schützen wollen,
mit einer robusten Zugriffssteuerung versehen sind!
Was ist denn nun eine Gerätesetupklasse und wie können Sie damit verhindern, dass zum
Beispiel ein USB-Speicherstick installiert wird? Jedes Gerät, das auf einem Windows-System
installiert wird, hat eine eindeutige Geräteklasse-ID. Diese ID ist eine GUID, die den
Typ des Geräts angibt. Sie finden die Geräte-ID heraus, indem Sie das Dienstprogramm
Geräte-Manager starten (über die Systemsteuerung) und dort das Gerät suchen, das Sie
einschränken wollen. Klicken Sie mit der rechten Maustaste auf das Gerät, wählen Sie
den Befehl Eigenschaften und klicken Sie auf die Registerkarte Details. Wählen Sie in
der Dropdownliste Eigenschaft den Eintrag Geräteklasse-GUID aus (Abbildung 7.11).
Abbildung 7.11 Ermitteln der Geräteklasse für ein USB-Flashlaufwerk
Sie können nun im Feld Wert mit der rechten Maustaste auf die GUID klicken und den
Befehl Kopieren wählen, um sie in die Zwischenablage zu kopieren.
Sobald Sie die GUID haben, können Sie die Richtlinie unter Computerkonfiguration\
Administrative Vorlagen\System\Geräteinstallation\Einschränkungen bei der Geräteinstallation\Installation
von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen
entsprechen aktivieren und die GUID in das Dialogfeld für diese Richtlinie
eingeben (Abbildung 7.12).