BEKO-Forum April 2007 Wie richte ich meinen Windows- Arbeitsplatz ein? Informatikdienste Universität Bern

Transkript

1 BEKO-Forum April 2007 Wie richte ich meinen Windows- Arbeitsplatz ein? Informatikdienste Universität Bern

2 Agenda > Grundinstallation Windows (Partitionierung, Dateisystem, Benutzerverwaltung, Windows Firewall, Patches, Antivirus / Antispy) > Zugriffsberechtigung (NTFS, Dateifreigaben) > Netzwerkkonfiguration (IP, DNS, Proxy, Wireless) > -Konfiguration (IMAP / POP3 / SMTP, Abwesenheitsmeldung, Spamfilter) > Sicherheit (Firewall, VPN, Dateiverschlüsselung) > Zusätzliche Software und Lizenzierung > Fragen und Diskussion 2

3 Grundinstallation Windows Installation Betriebssystem > Booten ab CD > Partition erstellen (je nach zu Installierenden Programmen ca GB) 3

4 Grundinstallation Windows Installation Betriebssystem > Formatieren 4

5 Grundinstallation Windows Installation Betriebssystem > Die Schnell-Formatierung steht nur unter Windows XP zur Verfügung. Hier wird nur das Dateisystem angelegt. Das dauert nur einige Sekunden. > Beim normalen Formatieren wird die ganze Festplatte vorher noch genau auf Fehler überprüft. Das kann je nach Größe bis zu eine Stunde dauern. Bei einer neuen Festplatte ist das zu empfehlen. Bei keiner der beiden Methoden werden jedoch Daten sicher vernichtet. Das ist nur mit Profi Tools möglich. > Dann bleibt noch die Frage, ob FAT oder NTFS als Dateisystem genutzt werden soll. > Hinweis: NTFS kann nicht nach FAT zurückkonvertiert werden, FAT kann aber nach NTFS konvertiert werden. 5

6 Grundinstallation Windows Installation Betriebssystem FAT32 oder NTFS? Empfehlung: unbedingt NTFS NTFS NTFS verwendet eine Baumstruktur, um seine Dateieinträge zu speichern. NTFS loggt alle Änderungen in Echtzeit, um den Datenverlust beim Absturz zu minimieren. Sicherheitsattribute werden vererbt. Unterstützt UNICODE Zeichen im Dateinamen. Inhaltsverzeichnis (MFT) in der Mitte. Schreibt die Dateien intelligent, um Fragmentierung zu verhindern. FAT / FAT32 FAT benutzt eine simple Tabelle zum speichern der Dateieinträge. Bei FAT verbleiben nach einem Absturz Dateifragmente, sogar die ganze Datei kann beschädigt sein. Keine Sicherheitsattribute möglich. Nur ASCII Zeichen werden unterstützt. Inhaltsverzeichnis (FAT) am Anfang. Schreibt die Dateien einfach hintereinander. 6

7 Grundinstallation Windows Installation Betriebssystem 7

8 Grundinstallation Windows Installation Betriebssystem Benutzer: Administrator / Passwort: ****** Empfehlung: Beim Setup bereits ein Passwort vergeben 8

9 Grundinstallation Windows Installation Betriebssystem 9

10 Grundinstallation Windows Windows XP Firewall, Virenschutz, Patches Erst die Kombination von Firewall, Virenschutz, aktuellsten Microsoft Updates und einer Anti-Spyware Software machen Windows sicher gegen unerwünschte Angriffe oder Software Installationen. Nach der Grundinstallation von Windows XP und der Konfiguration des Netzwerkes, sollten folgende Arbeitsschritte durchgeführt werden, um den PC auf einen sicheren Stand zu bringen: 1. Windows XP Firewall einschalten 2. Installation von Antivirus Software 3. Windows Updates installieren 4. Installation von Antispy Software (Windows Defender) 10

11 Grundinstallation Windows Windows XP Firewall Um Zugriff auf den PC aus dem Internet oder einem lokalen Netzwerk zu verhindern, muss die Windows XP Firewall aktiviert werden. Die Firewall blockiert jeglichen eingehenden Datenverkehr, der nicht in einer Ausnahmeregel definiert ist. In der Systemsteuerung gelangt man über den Menüpunkt Windows Firewall zur Firewall Konfiguration. Hier die Firewall auf Aktiv (empfohlen) konfigurieren und mit OK bestätigen. 11

12 Grundinstallation Windows Installation von Antivirus Software Die Informatikdienste bieten zwei zentrale Antiviren Server im Universitären Netz an, welche die Computer immer automatisch mit den neusten Virendefinitionen versorgen. McAfee Virus Scan unieposrv Symantec Antivirus idpoolserver Für die Installation der Antivirus Software sind von den Informatikdiensten Anleitungen auf dem Web bereitgestellt: Für beide Produkte besitzt die Universität Bern eine Sitelizenz. Diese können Sie beziehen unter: 12

13 Grundinstallation Windows Windows Updates installieren Windows Updates halten das Betriebssystem auf dem aktuellsten Stand und schützen es gegen Sicherheitslöcher. Es ist wichtig, die Computer immer auf dem aktuellsten Stand zu halten. Folgende Möglichkeiten bieten sich an der Universität Bern zur Installation der Windows Updates an: 1. Download und Installation direkt von den Microsoft Update Servern 2. Download und Installation von einem Update Server der Universität Bern 13

14 Grundinstallation Windows Windows Updates installieren Download und Installation direkt von MS Update Servern Als erstes sollte der Update Agent konfiguriert werden. Er befindet sich in der Systemsteuerung unter Automatische Updates: Automatisch (empfohlen) Updates werden automatisch heruntergeladen und zum angegebenen Zeitplan installiert. Updates downloaden, aber Installationszeitpunkt manuell festlegen Updates werden automatisch heruntergeladen. Die Installation wird vom Benutzer manuell gestartet. 14

15 Grundinstallation Windows Windows Updates installieren Benachrichtigen, aber nicht automatisch downloaden oder installieren Es wird nur eine Meldung angezeigt, ob neue Updates zum Download bereit sind. Automatische Updates deaktivieren Es wird nicht mehr automatisch nach neuen Updates gesucht. Updates von der Windows Update- Webseite installieren Startet Internet Explorer und die Updates können sofort installiert werden (Empfiehlt sich nach einer Neuinstallation). 15

16 Grundinstallation Windows Windows Updates installieren Installation von einem Update Server der Universität Bern Die Informatikdienste der Universität Bern bieten einen zentralen WSUS (Windows Software Update Service) Server an, der im Universitären Netzwerk Windows Updates an die Clients verteilt. Die Updates werden 1:1 von Microsoft auf dem WSUS Server übernommen: 16

17 Grundinstallation Windows Windows Updates installieren Vorteile bei der Benutzung des WSUS Servers > Updates werden automatisch an die Clients verteilt > Clients sind immer auf dem aktuellsten Stand > Keine Mehrbelastung des Internet Zugangs > Weniger Administrations-Aufwand, um die Clients aktuell zu halten Für den Gebrauch des zentralen WSUS Servers sind von den Informatikdiensten Anleitungen auf dem Web bereitgestellt: 17

18 Grundinstallation Windows Installation von Antispy-Software (Windows Defender) Mit Windows Defender bietet Microsoft ein kostenloses Programm an, dass den Computer vor Spyware oder anderer unerwünschter Software schützt. Wenn ein Computer mit Spyware infiziert ist, kann es auf dem betroffenen Computer zu folgenden Symptomen kommen: > Popup Werbung beim Internet surfen > Die Startseite des Webbrowsers hat sich unverhofft geändert > Neue Symbolleisten im Webbrowser, die nicht entfernt werden können > Computer reagiert bei einige Aufgaben langsam > Computerabstürze 18

19 Grundinstallation Windows Installation von Antispy-Software (Windows Defender) Weitere Informationen zum Download und Installation von Windows Defender: /software/default.mspx Tools zur Bekämpfung von Spyware und Addaware: \\softserv\freeware\antispy Wesentliche Sicherheitsmassnahmen (Microsoft Beitrag zum Schutz des PCs): protect/windows9x/default.mspx 19

20 Zugriffsberechtigung Einfache Dateifreigabe aktivieren und deaktivieren Auf Computern mit Windows XP Home Edition ist die einfache Dateifreigabe immer aktiviert. Auf Computern mit Windows XP Professional, die einer Arbeitsgruppe angehören, ist die Benutzeroberfläche "Einfache Dateifreigabe" standardmäßig aktiviert. Auf Computern mit Windows XP Professional, die einer Domäne angehören, kommt nur die klassische Benutzeroberfläche für Dateifreigabe und Sicherheit zum Einsatz. Über die Benutzeroberfläche "Einfache Dateifreigabe" (in der Eigenschaftenseite des Ordners) können Sie Freigabe- und Dateiberechtigungen gleichermaßen konfigurieren. 20

21 Zugriffsberechtigung Freigabe: NTFS Berechtigungen setzen: 21

22 Zugriffsberechtigung Weitere Infos zum Konfigurieren der Dateifreigabe, finden Sie auf der Microsoft Website unter folgendem Link: 22

23 Netzwerkkonfiguration IP, DNS, Proxy > Netzwerkkonfiguration am Arbeitsplatzrechner IP Adresse DNS Server Proxy Server Einstellung > Public-Netz drahtlos (Wireless-Lan) Public-Netz mit fixem Kabel Drahtlos Drucken > Hörsaalnetz / SWITCHmobile Dosenbezeichnung Temporäre Accounts Welcher Anschluss für wen > Administrationsrechte > Nützliche Links 23

24 Netzwerkkonfiguration IP, DNS, Proxy > Der Arbeitsplatz Rechner: - korrekte IP Adresse - korrekte Subnet Maske: korrekter Gateway - korrekte DNS Server > DNS-Uebersicht: > Proxy-Einstellung: cache/proxy_einstellungen/allgemein/in dex_ger.html Häufiger Fehler: Subnetmaske ist nicht korrekt 24

25 Mobiler Computer > Darum geht s: > Benutzen des Public-Netz drahtlos (Wireless-Lan) > Benutzen des Public-Netz mit fixem Kabel > Benutzen des Hörsaal-Netzes > Benutzen von SWITCHmobile > > Drahtlos Drucken 25

26 Mobiler Computer - Wireless > Wireless-Lan muss aktiviert sein am Laptop > Netzwerk: IP Adresse und DNS auf automatisch beziehen einstellen. 26

27 Mobiler Computer - Wireless > Mit dem Netzwerknamen (SSID) public verbinden > die drahtlose Netzwerkkarte bezieht eine gültige Adresse, die mit xx.xx beginnt. public Status 27

28 Mobiler Computer - Wireless > Transparenter Proxy-Server: Nach erfolgreichem Login werden alle mit Port 80 auf den Proxy umgeleitet. > Der Proxy Server muss somit nicht mehr zwingend ausgeschaltet werden. Internetoptionen: Proxy Einstellung 28

29 Mobiler Computer Wireless - Login > Das Browser-Login (nur Uni Bern): mit dem öffnen einen Browsers wird automatisch die Anmeldeseite aufgerufen: Mit dem Campus Account anmelden. > VPN-Login (SWITCHmobile und Uni Bern): VPN-Client starten -> mit dem Campus Account anmelden. einen Browsers öffnen und arbeiten. VPN-Client der Home- Organisation 29

30 Mobiler Computer Public Netz > Es gelten die selben Einstellungen wie bei Wireless Lan > Unterschied: Für den fixen Anschluss brauchen sie ein Lan-Kabel. > Der Laptop wird an eine, als SWITCHmobile gekenntzeichneten Dose, angeschlossen. > Keine Chance haben sie: 1. Wenn die DNS Server nicht auf automatisch beziehen eingestellt sind und andere DNS Server eingetragen sind. (nicht relevante DNS für das Uni-Netz). 2. Wenn der Benutzer zum ändern der Netzwerkeinstellung keine Admin-Rechte besitzt. 30

31 SWITCHmobile und Hörsaal Netz > Welches Netz für wen? temporäre Accounts für Konferenzen > SWITCHmobile für fast Alle. Auch Konferenzteilnehmende. (Login mit dem Campus Account). > Hörsaal Netz für solche ohne einen Campus Account z. B. Gastprofessor/Gastvorlesung (keine Anmeldung, jedoch unibe Proxy-Server erforderlich) > Bezeichnung der Dosen: Beispiel: HG und Uni-S 31

32 Mobiler Computer und drucken > Sobald die Anmeldung per Browser oder per VPN-Client erfolgt ist, kann der Dienst wie üblich, in Anspruch genommen werden. > Druckdienst: Falls der entsprechende Drucker das drucken zulässt (Firewall), kann gedruckt werden. > Für Studierende ist das drucken zur Zeit an der Juristischen Bibliothek und im Uni Tobler möglich. verfuegbark eit/bibliotheken/drucken_per_wireless_lan/index_ger.html#e

33 Mobiler Computer - Zusammenfassung > Bei allen mobilen Netzen (Hörsaal- Public- und Wireless), werden die Netzwerkeinstellung automatisch bezogen. (IP-Adresse und DNS-Server) > Ausser beim Hörsaal Netz, benutzt man immer den Campus Account für die Anmeldung. > SWITCHmobile Benutzer erhalten per VPN-Client Zugang. Die VPN-Verbindung garantiert eine sichere Verbindung. > temporäre Accounts für Gäste und von Kongress-teilnehmenden können bei der Security bezogen werden. > Beim fixen Anschluss: Admin-Rechte für IP-Adr. und DNS- Einstellungen (betrifft Hörsaal/Public, und auch SWITCH-mobile Benutzer). 33

34 Mobiler Computer - und Links > netzwerk@unibe.ch -> Netzwerk allgemein wireless@unibe.ch -> Wireless, Hörsaal usw. security@unibe.ch -> Guest-Accounts > Links: einen_blick/index_ger.html 34

35 Konfiguration > Informationen zu Konfiguration: alles unter > Administratives Groupmanager finden Formular ausfüllen und einreichen Kontoinformationsblatt lesen Konto aktivieren (Passwort ändern) > Webmail funktioniert ohne weiteres > Mailprogramme für Vielmailer Thunderbird Outlook Apple Mail 35

36 Konfiguration > Thunderbird herunterladen: www,mozilla.com/thunderbird > Thunderbird einrichten (englische Version) Add Account account Your name / Address > POP oder IMAP? 36

37 Konfiguration > POP: erstes breit akzeptiertes Protokoll für die Kommunikation eines Clientprogramms mit einem Mailserver verwaltet Mails lokal nimmt auf die Kosten einer Netzwerkverbindung speziell Rücksicht > IMAP: löst POP mehr und mehr ab verwaltet Mails in der Regel gleich auf dem Mailserver die Mails können von mehreren Computern aus bearbeitet werden Backup ist automatisch dabei Spamfilter wird nur mit IMAP zusammen empfohlen > POP/S resp. IMAP/S : sichere Verschlüsselung 37

38 Konfiguration > Thunderbird einrichten (cont.) IMAP Servername eintragen (Kontoblatt) Benutzername eintragen > SMTP Server einrichten TLS und Authentication > Options/Connection Settings für HTML Mails: proxy.unibe.ch eintragen 38

39 Konfiguration > Thunderbird Zusätze S: Server Settings SSL Identities in Zusammenhang mit Funktionen und unpersönlichen Mailadressen (Mailinglisten) sent-mail Folder: abonnieren und Namen wie bei Webmail wählen Signature bereitstellen Trick für Verbindungshänger : sent-mail auf neue Nachrichten prüfen 39

40 Konfiguration > Outlookkonfiguration: analog > Weiterleitung: Webmail > Abwesenheitsmeldung: Webmail > Spamfilter: Webmail nur mit IMAP empfohlen (false positives) zusätzliche Ausschlusslisten sind möglich Neue Regel: Falls X-Spam-Flag enthält YES, dann... Frage an den Postmaster: Wieso sind die Spammails so gut gekennzeichnet? > Virenfilter 40

41 Mailgateway 41

42 Spam tagging Modifikation des Mailheaders > < 3 Keine Veränderung > Einfügen der Kopfzeile: X-Spam-Status, X-Spam-Score, X-Spam-Level > > 5.3 Einfügen der Kopfzeile: X-Spam-Status, X-Spam-Score, X-Spam-Level, X-Spam-Flag > > 20 wird verworfen X-Spam-Flag: YES X-Spam-Score: X-Spam-Level: ****************** X-Spam-Status: Yes, score= tagged_above=3 required=5.3 tests=[bayes_99=3, DCC_CHECK=2.17, DNS_FROM_RFC_ABUSE=0.2, HTML_90_100=0.113, HTML_MESSAGE=0.001, HTML_MIME_NO_HTML_TAG=1.082, MIME_HTML_ONLY=0.001, RAZOR2_CF_RANGE_51_100=0.5, RAZOR2_CF_RANGE_E4_51_100=1.5, RAZOR2_CF_RANGE_E8_51_100=1.5, URIBL_BLACK=3, URIBL_JP_SURBL=4.087, URIBL_SBL=1.639] > Rückmeldung ist erwünscht! --> spam@unibe.ch resp. notspam@unibe.ch 42

43 Ein paar Zahlen s pro Woche (7 Tage) > Total > Zurückgewiesen > Verarbeitet und ausgeliefert > Viren 7030 > Anteil erwünschter s 10% 43

44 Sicherheit > Daten-Verschlüsselung Für Datenschutz-relevante Daten zwingend erforderlich Insbesondere für portable Geräte dringend empfohlen Verschlüsselung von Files, Partitions und externen Datenträgern Verschlüsselung i.a. via Passwort Tools: Truecrypt (Partitions, ext. Datenträger), Axcrypt (Files, -attachments, self-extracting), Cryptainer (Disk Image, self-extracting, USB-Stick), ncrypt (cli), Openssl (cli) 44

45 Sicherheit > Firewall Nie am Netzwerk ohne Firewall Schützt nur vor unautorisierten Zugriffen auf die eigene Maschine via Netzwerk Macht was der Benutzer konfiguriert Kein Schutz vor Viren 45

46 Sicherheit > Virtual Private Networking (VPN Client) Verschlüsselte Netzwerk-Verbindungen zu Servern und entfernten Applikationen Tipps: Transparent Tunneling (howto, why) Stateful Firewall (always on) Deinstall bevor Neuinstallation Proxy Settings mit VPN Client Testen innerhalb des Uninetzes URL: idsecweb.unibe.ch/vpnclient/ > WebVPN als Alternative ( 46

47 Sicherheit Tipps: > Keine Accounts ohne Passwort-Schutz > Keine Freigaben ohne Passwort-Schutz > MS Security Analyzer: 47

48 Sicherheit Links: Axcrypt: Truecrypt: Cryptainer: ncrypt: Openssl: MS Encryption: 48

49 Software und Lizenzierung > ist auch ein Webshop > Software finden: Microsoft (vergünstigter Lizenzbezug via LAR) alle andern: Allgemeine Software Lizenztypen: Site License Mehrfach - Einzel EDV-Koordinator am Institut finden 49