[Win2003] Terminal server drive hide probleem.

[D3NN1S]

Ik heb een Win2k3 terminal server ingericht.
Deze is vervolgens helemaal dichtgetimmert met policies zodat er echt bijna niks meer op mag.
Zo ook zijn de lokale HD drives gehide en niet toegankelijk via de explorer of IE of whatever.

Nou wil het geval dat we hier op ons intranet een java applicatie hebben draaien (welke overigens niet door ons aan te passen is) welke een file upload mogelijkheid heeft.
Het irritante is nu dat via die java applet wel gewoon alle schijven zichtbaar zijn en ook kan benaderen!
Nou staat het opzich nog wel goed dicht met ntfs rechten enzo, maar ik vind het geen prettig idee dat mensen via die java applet over mn C: schijf van de server kunnen browsen!!
Het lijkt er dus op dat dat drive hiden alleen voor Explorer taken is en niet voor eigen geschreven shells.

Heeft iemand enig idee hoe ik dit kan beveiligen? ik kan hier echt geen goed toepasbare GPO voor vinden!?

[ Voor 7% gewijzigd door D3NN1S op 17-01-2008 16:09 ]

[mutsje]

zodra een applicatie geen gebruik maakt van de windows shell worden policies niet applied. Dit is inderdaad erg irritant en er is geen oplossing voor. voorbeeld: open een command prompt en je kan gewoon naar de lokale harde schijven. Zo zijn er nog meer applicaties die de mogelijkheid helaas bieden inderdaad.

[elevator]

Inderdaad - het is een policy die enkel verbergt, niet eentje die ze onbenaderbaar maakt. Op zich moet je je wel afvragen waarom dat zo erg is - als je je permissies goed zet op je server shares dan is het helemaal niet erg dat je gebruikers over je drives heen exploren

[Workaholic]

Hetzelfde probleem heb je met Office, daar kun je via openen/opslaan ook browsen op de C:/D: schijven.

Het enige wat ik hier tegen kon doen is mijn gebruikers goed opvoeden + strenge ntfs rechten. Suc6!

[Microkid]

elevator schreef op zondag 20 januari 2008 @ 11:19:
Inderdaad - het is een policy die enkel verbergt, niet eentje die ze onbenaderbaar maakt. Op zich moet je je wel afvragen waarom dat zo erg is - als je je permissies goed zet op je server shares dan is het helemaal niet erg dat je gebruikers over je drives heen exploren

Je hebt 2 policies: hide drives en restrict access. Hide verbergt de schijf dus, en laat toegang toe. Met Restrict Drives ontneem je echt de rechten om op de drive te komen. Echter zoals mutsje al aangaf, zodra de applicatie de windows shell omzeilt heb je daar weinig aan.

Audi-Addict schreef op zondag 20 januari 2008 @ 17:12:
Hetzelfde probleem heb je met Office, daar kun je via openen/opslaan ook browsen op de C:/D: schijven.

Met Restrcit Access heb je daar dus geen last meer van.

[ Voor 17% gewijzigd door Microkid op 20-01-2008 17:24 ]

[Verwijderd]

Audi-Addict schreef op zondag 20 januari 2008 @ 17:12:
Hetzelfde probleem heb je met Office, daar kun je via openen/opslaan ook browsen op de C:/D: schijven.

Het enige wat ik hier tegen kon doen is mijn gebruikers goed opvoeden + strenge ntfs rechten. Suc6!

?? Welke office versie draai je dan? Hier office 2003 SP3, verbergt de schijven ook in de browser van office..

[elevator]

Microkid schreef op zondag 20 januari 2008 @ 17:23:
Je hebt 2 policies: hide drives en restrict access. Hide verbergt de schijf dus, en laat toegang toe. Met Restrict Drives ontneem je echt de rechten om op de drive te komen. Echter zoals mutsje al aangaf, zodra de applicatie de windows shell omzeilt heb je daar weinig aan.

Dat bedoelde ik ook - het is niet eens zo zeer "zodra de shell omzeilt wordt", het is eerder: zodra de shell niet gebruikt wordt (een nuance verschil ).

Zo zal je zien dat bv. geen enkele Java applicatie standaard de shell gebruikt (of ze de hide/restrict drives policy honoreren weet ik niet uit m'n hoofd), dat is dan geen omzeilen maar gewoon niet (kunnen) gebruiken van die functionaliteit.

IMHO is het het beste om te zorgen dat je server door middel van een goede security template afgelockt is en is dat "hide drives" puur en enkel om de gebruiker niet te verwarren

[D3NN1S]

elevator schreef op maandag 21 januari 2008 @ 19:55:
[...]

Dat bedoelde ik ook - het is niet eens zo zeer "zodra de shell omzeilt wordt", het is eerder: zodra de shell niet gebruikt wordt (een nuance verschil ).

Zo zal je zien dat bv. geen enkele Java applicatie standaard de shell gebruikt (of ze de hide/restrict drives policy honoreren weet ik niet uit m'n hoofd), dat is dan geen omzeilen maar gewoon niet (kunnen) gebruiken van die functionaliteit.

IMHO is het het beste om te zorgen dat je server door middel van een goede security template afgelockt is en is dat "hide drives" puur en enkel om de gebruiker niet te verwarren

Nee opzich is het ook niet erg dat ze kunnen browsen maar we praten hier over een terminal server waar eindgebruikers op werken
Dus feitelijk zou ik in die java app. maar 1 locatie willen zien, en dat is de locatie waar ze files op kunnen slaan
Maargoed helaas gaat dit dus niet lukken zoder de java app. aan te laten passen

[elevator]

Ik ken terminal servers - maar dan nog zie ik persoonlijk het probleem niet zo? Ze gaan als het goed is niet meer zien dan een \Windows en "\Program Files" folder waar ze feitelijk net zo veel in gaan zien als op hun eigen PCtje en waarin ze niks kunnen wijzigen, dus tja - wat maakt het uit?

[D3NN1S]

elevator schreef op maandag 21 januari 2008 @ 20:33:
Ik ken terminal servers - maar dan nog zie ik persoonlijk het probleem niet zo? Ze gaan als het goed is niet meer zien dan een \Windows en "\Program Files" folder waar ze feitelijk net zo veel in gaan zien als op hun eigen PCtje en waarin ze niks kunnen wijzigen, dus tja - wat maakt het uit?

Het maakt opzich niks uit, alleen gaat het echt om mensen met 0,0 verstand van computers
We hebben op die machine een E schijf waar ze wat bestandjes op kwijt kunnen en eigenlijk zou ik dus ook alleen DIE willen laten zien
Dat scheelt heel wat stomme telefoontjes over het hoe en waar ze data kunnen opslaan als ze erachter komen dat de C: en de D: niet werkt that's all
Gewoon een netheids kwestie dus.