Dokumentation · Foundry
Richtlinien
Welche Sicherheitseinstellungen auf das Medium kommen und wie Sie ein Richtlinienpaket weglassen.
seit 0.9.7.14
Zweck
Jedes von Setup Foundry erstellte Installationsmedium bringt Sicherheitseinstellungen für Windows mit. Diese Einstellungen sind in elf Paketen zusammengefasst. Die folgenden Abschnitte beschreiben, worum es in jedem Paket geht.
Office-Härtung
Das Paket härtet Word, Excel, PowerPoint, Outlook und die übrigen Office-Programme. Es schützt Office vor typischen Risiken aus Dateien, E-Mails und Netzwerkordnern. Es ist für Geräte mit Office gedacht; ohne Office auf dem Gerät ändert es nichts.
Edge und Internet Explorer
Das Paket härtet Edge sowie die alten Internet-Explorer-Bestandteile, die Windows und andere Programme für Webinhalte verwenden. Schutzfunktionen und Sicherheitsvorgaben für das Anzeigen von Webinhalten bleiben aktiv. Es ist für jedes Gerät gedacht; alte Webanwendungen, die ActiveX benötigen, laufen damit nicht.
Virenschutz und Angriffsflächen
Das Paket stellt Microsoft Defender ein und aktiviert die Regeln zur Verringerung der Angriffsfläche. Es schränkt typische Wege ein, über die Office, E-Mails, Skripte und Treiber angegriffen werden. Es ist für jedes Gerät gedacht; eigene Skripte und Administrationswerkzeuge benötigen unter Umständen eine eingetragene Ausnahme.
Netzwerk und Freigaben
Das Paket stellt Firewall, Dateifreigaben und Fernzugriff ein. Es verhindert unsichere Netzwerkverbindungen und unerwünschten Zugriff auf das Gerät. Es ist für jedes Gerät gedacht; sehr alte NAS-Geräte, Netzwerkdrucker und Scanner benötigen unter Umständen eine eingetragene Ausnahme.
Datenschutz und Telemetrie
Das Paket verringert, welche Daten Windows an Microsoft und Clouddienste meldet, und schaltet Werbung sowie Vorschläge ab. Es ist für jedes Gerät gedacht; die lokale Suche bleibt verfügbar, speichert jedoch keinen Verlauf mehr.
Protokollierung und Überwachung
Das Paket erweitert die Windows-Protokollierung, damit Vorfälle später nachvollziehbar sind. Es erfasst zusätzliche Sicherheitsereignisse und gibt den Protokollen mehr Platz. Es ist für jedes Gerät gedacht; die Protokolle benötigen zusätzlichen Platz auf dem Systemlaufwerk.
Anmeldung und Konten
Das Paket stellt die Anmeldung und die Rechte angemeldeter Konten ein. Es verlangt Schutz bei der Anmeldung und vor Systemänderungen und schaltet alte, unsichere Anmeldeverfahren ab. Es ist für jedes Gerät gedacht, das unbeaufsichtigt bleiben kann; Abfragen der Benutzerkontensteuerung kommen häufiger. Nach zehn falschen Passwörtern sperrt Windows die Anmeldung für zwei Minuten; eine dauerhafte Sperre gibt es nicht.
Geräte und Wechselmedien
Das Paket regelt das Anschließen von Geräten und die Installation von Druckertreibern. Es verhindert automatische Aktionen von Wechselmedien und schränkt die Installation angreifbarer Treiber ein. Es ist für jedes Gerät gedacht; zum Einrichten eines Druckers sind danach Administratorrechte erforderlich.
Kernschutz
Das Paket schaltet die Schutzmechanismen ein, die Windows zusammen mit der Hardware bietet. Es ist für Geräte gedacht, deren Hardware dies unterstützt; ältere Software und ältere Treiber laufen damit unter Umständen nicht.
Laufwerksverschlüsselung
Das Paket legt fest, wie die Laufwerksverschlüsselung arbeitet, sobald sie eingeschaltet ist. Es hält neue Geräte mit direktem Speicherzugriff gesperrt, solange der PC gesperrt ist, schaltet die Verschlüsselung aber nicht selbst ein. Eine Verschlüsselungsmethode gibt das Paket nicht vor; Windows wählt sie selbst, in der Regel XTS-AES. Es ist vor allem für Notebooks gedacht; manche Dockingstationen lassen sich erst nach der Anmeldung anschließen.
Windows-Update
Das Paket stellt ein, wie Windows Updates bezieht und installiert. Es richtet automatische Updates ein und beschränkt die Weitergabe von Updatedaten auf das lokale Netzwerk. Es ist für jedes Gerät gedacht; nach einer Installation startet das Gerät selbstständig neu.
Verfügbarkeit
Ohne Zutun liegen alle elf Pakete auf jedem Medium, in jeder Edition.
Ab Setup Foundry Home können Sie einzelne Pakete weglassen. In Free gibt es dafür kein Kästchen; ein Free-Medium trägt immer alle elf Pakete.
Der Richtlinien-Editor unter den Kästchen gehört zu Setup Foundry Pro. Die schnellen Richtlinien stehen in jeder Edition zur Verfügung.
Anleitung
Ein Paket weglassen (ab Home)
- Öffnen Sie die Seite Richtlinien.
- Entfernen Sie unter Sicherheits-Einstellungen den Haken bei jedem Paket, das nicht auf das Medium soll.
- Bauen Sie das Medium wie gewohnt.
Die Auswahl gehört zum Profil, das gerade eingestellt ist, und gilt für alle Medien, die danach mit diesem Profil gebaut werden.
Ergebnis
Das Medium enthält nur die angehakten Pakete.
Ein abgewähltes Paket verschwindet auch aus dem Editor darunter. Seine Einstellungen lassen sich dort nicht mehr bearbeiten.
Hinweise
Schnelle Richtlinien
Die Grundeinstellungen von Setup Foundry werden immer installiert. Hier stellen Sie nur die Punkte ein, die davon abweichen dürfen.
- Minimale Passwortlänge: Zahlenfeld, Vorgabe 14.
- Passwort-Änderungsintervall in Tagen (0 = nie): Zahlenfeld, Vorgabe 0.
- Schreiben nur auf BitLocker-verschlüsselte USB-Sticks: Vorgabe aus.
- „Bildschirm nach 15 Minuten ohne Eingabe sperren“: Vorgabe aus. Keines der elf Pakete setzt eine Bildschirmsperre.
- „Passwortregeln in Setup Foundry anwenden“: Vorgabe aus. Eingeschaltet gelten die eingestellte Mindestlänge und die Komplexität auch für die Passwortfelder von Setup Foundry selbst, also für das Administrator-Passwort und die Benutzerverwaltung.
- Komplexes Passwort erzwingen: Vorgabe aus. Diese Regel wirkt heute nur in Setup Foundry selbst, nicht auf dem fertig installierten Windows.
Wichtig
Die Grundeinstellungen von Setup Foundry und seine Datenschutz-Einstellungen liegen immer auf dem Medium, in jeder Edition. Sie gehören nicht zu den elf Paketen und haben kein Kästchen. Die Office-Härtung folgt ab Home der Software-Auswahl. Ist für das Profil kein Office ausgewählt, startet ihr Kästchen ohne Haken; die Seite sagt dann: „Office ist für dieses Profil nicht ausgewählt. Die Office-Härtung ist deshalb standardmäßig deaktiviert, kann aber ausgewählt werden.“ Wer den Haken setzt, behält ihn. Ein Free-Medium hat keine Kästchen und trägt die Office-Härtung immer.
Editor
Der Editor gehört zu Setup Foundry Pro. Unter seiner Überschrift steht: „Dieselben Einstellungen wie im Gruppenrichtlinien-Editor von Windows, sortiert nach Thema und mit dem Erklärtext von Microsoft. Suchen, nachlesen, ein- und ausschalten.“
Der Editor hat einen Filter, ein Kästchen Nur geänderte, eine Auswahl Bereich und ein Suchfeld. Eine Zeile über der Liste zählt, wie viele Richtlinien, Registry-Werte und Windows-Erklärungen vorliegen und wie viele Einstellungen geändert wurden.
Wenn es nicht funktioniert
- Ein altes NAS, ein Drucker oder ein Scanner ist nicht mehr erreichbar: Lassen Sie zuerst Netzwerk und Freigaben weg.
- Eine Dockingstation arbeitet nur, wenn sie nach der Anmeldung angesteckt wird: Lassen Sie zuerst Laufwerksverschlüsselung weg.
- Alte Software oder ein alter Treiber startet nicht: Lassen Sie zuerst Kernschutz weg.
- Eigene Skripte oder Werkzeuge werden blockiert: Lassen Sie zuerst Virenschutz und Angriffsflächen weg.
- Ein Drucker lässt sich nicht einrichten: Lassen Sie zuerst Geräte und Wechselmedien weg.
Testen Sie die Auswahl zuerst auf einer Prüfmaschine, bevor Sie das nächste Medium bauen.