Skip to Main Content
Kategorien Inventarisierung
Erstellt von Simon.C046875
Erstellt am 13. Jul 2021

Zusatzprogramme per UNC-Pfad hinterlegen

IST-Zustand: Momentan lassen sich Zusatzprogramme nur ausführen, wenn diese lokal auf dem System vorhanden sind und nicht von einem UNC-Pfad. Das ist laut Support-Mitarbeiter eine Beschränkung von Microsoft.
Idee: Es wäre super, wenn Docusnap ein auszuführendes Zusatzprogramm, was auf einer Freigabe liegt, zuerst auf den Client kopiert und dann von dort ausführt. Beim erneuten ausführen des Jobs kann die Prüfsumme der lokalen Datei verglichen werden. Wenn diese sich von der auf der Freigabe hinterlegten Datei unterscheidet, wird die alte Version überschrieben, ansonsten einfach wieder ausgeführt. Bei einmalig ausgeführten Inventarisierungen kann die lokale Datei nach der Ausführung wieder vom Client gelöscht werden.
  • Frank Oehlschlägel
    2. Aug 2021
    Hallo,
    mal auch Senf dazu gebe: Definitiv bin ich zu 100% auch beim Herrn Loth.
    Generell sind wir bei dem Thema aber weg vom Docusnap-Standard der passiven "Dokulösung". Wir gehen damit in den Bereich der aktiven ClientManagementSolution, da denke ich ist das THema sinnvoller und dann mit Datenaustausch zu Docusnap. Und beides sind 2 völlig verschiedene Themengebiete.
  • Simon.C046875
    2. Aug 2021
    Hallo Herr Loth, das ist natürlich ein berechtigter Einwand. Um das Risiko zu minimieren könnte in der Software die Möglichkeit geschaffen werden pro Zusatzprogramm einen User anzugeben, der dann entsprechend berechtigt ist die Software auszuführen. Bei jeder Änderung am Zusatzprogramm sollte dann das Passwort neu eingegeben werden. Zusätzlich muss im selben Atemzug ein Hash des Zusatzprogramms gespeichert werden um zu vermeiden, dass einfach das Script oder die Exe ausgetauscht wird.
  • Dirk Loth (Kramer & Crew)
    2. Aug 2021
    Ich sehe das ganzen Thema Zusatzprogramme sehr zwiegespalten. Positiv ist, dass man es nutzen kann um im Sinne von Docusnap weitere Informationen zu sammeln. Gefährlich ist es aber auch, wenn der Zugriff darauf nicht beschränkt ist. Ein Docusnap-User mit Inventarisierungsrechten - zumindest aber ein Docusnap-Admin, der ggf. sonst keine administrativen Rechte besitzt, ist dadurch je nach Umgebung in der Lage bspw. Powershell-Befehle mit privilegierten Rechten auf quasi allen Systemen auszuführen. Rein aus Sicht der Informationssammlung finde ich die Idee gut. Aber aus Security-Sicht, sollte man nochmal darüber nachdenken, welche Tore man möglichen Angreifern öffnet.