Microsoft veröffent­licht für jedes Release von Windows 10 eine eigene Security Baseline. Es handelt sich dabei um empfoh­lene GPO-Einstellungen, die das OS weniger angreif­bar machen. Ein unge­prüftes Aus­rollen auf alle PCs ist nicht ratsam, aber die komplette Baseline empfiehlt sich zum Härten von Admin-PCs.

Während der Edge-Browser an­fangs fast keine Möglich­keiten für das zen­trale Manage­ment bot, legt Micro­soft nun laufend neue Ein­stellungen für GPOs und MDM nach. Zwischen Windows 10 1703 und 1803 kamen zwar nur recht wenige Einstel­lungen hinzu, aber in der Preview 17713 gibt es nun gleich 16 neue Optionen.

Obwohl das 8+3-Limit für Datei­namen schon lange nicht mehr gilt, kann das Löschen aber immer noch an zu lan­gen Pfad­namen scheitern. In Power­Shell lässt sich das Problem mit einer spezi­fischen Syntax oder einem eigenen Cmdlet umgehen. In Windows 10 beseitigt ein GPO dieses Limit auch im Explorer.

Zu den auffälligsten Neuerungen von Windows 10 1803 gehört die so genannte Timeline. Mit diesem Feature können Benutzer nach­verfolgen, wann sie welche Anwen­dungen, Dateien oder Web-Seiten geöffnet haben. Wenn dies in Unter­nehmen nicht er­wünscht ist, lässt der Aktivitäts­verlauf per GPO ab­schalten.

Bei LAPS handelt es sich um ein kosten­loses Tool von Microsoft, das für lokale Admin-Konten auf jedem PC ein zufäl­liges Pass­wort erzeugt. Aller­dings kann man nicht so ein­fach erkennen, ob der Mecha­nismus auf jedem Rechner funk­tioniert. Abhilfe schafft hier ein PowerShell-Script, das einen Health-Report erstellt.

Microsoft aktualisierte die Excel-Tabelle mit allen Ein­stellungen für die Gruppen­richtlinien, die jetzt auch die neuen Optionen für Windows 10 1803 umfasst. Letztere betref­fen unter anderem Application Guard, WUfB und Diagnose­daten. An bei gibt es die Tabelle mit den ins Deutsche über­setzten Einstel­lungen.

Wie nach dem Erscheinen eines Windows-Updates üblich, veröffent­lichte Microsoft nun die dazu gehörigen admini­strativen Vor­lagen für die Gruppen­richtlinien. Mit ihnen kann man GPOs für Windows 10 1803 von PCs aus verwalten, auf denen noch ein älteres OS läuft. Verfügbar ist nun auch das neue Security Compliance Toolkit.

Wenn man WSUS erfolg­reich auf einem Server einge­richtet hat, dann startet er die Synchro­nisierung mit Microsoft Update oder anderen WSUS. Damit die Updates aber an die Clients gelan­gen, muss man diese über ein GPO konfi­gurieren. Für ein ziel­genaues Patch-Management fasst man die Computer zu Gruppen zusammen.

Wenn Anwender ihre Dateien im Profil speichern, dann kann dieses schnell anwachsen. Beson­ders lästig ist ein auf­ge­blähtes Profil bei Roaming Profiles, weil es die An- und An­meldung verlang­samt. Die Gruppen­richt­linien sehen hier kein hartes Limit vor, ver­weigern aber bei dessen Überschreiten die Synchroni­sierung.

Als Reaktion auf noto­rische Sicherheits­probleme hat Oracle die Aus­führung von Java-Anwendungen so einge­schränkt, dass diese ohne gül­tiges Zer­tifikat nicht starten können. Wenn nötig, lassen sich jedoch Aus­nahmen in einer Site-List definieren. Dieser Beitrag zeigt, wie man diese URLs zentral verwalten kann.