Emulex 16002 Firmware Downgrade auf DataCore Servern

Es ist prinzipiell gute Praxis, Treiber, Firmware und BIOS Images bei Servern und Infrastruktur-Komponenten auf dem aktuellsten Stand zu halten. Hier werden in der Regel Fehler behoben, Leistung optimiert, neue Funktionen hinzugefügt, oder Sicherheitslücken gestopft. Dass manchmal auch ein Rückschritt notwendig sein kann, mussten wir kürzlich bei einen DataCore Host mit SANSymphony V10 erfahren.

Der Server – eine Fujitsu Primergy RX2560 M1 – war mit aktuellsten Firmware-Updates versorgt. Darunter auch drei Emulex LPe16002 Fibrechannel HBA. Das System lief unter SANsymphony V10 PSP4 und sollte auf PSP5 aktualisiert werden. Gerade mit Emulex HBA gab es in der Vergangenheit immer wieder Probleme beim Update der DataCore Treiber. Daher ist vor einem DataCore Update das genaue Studium der Releasenotes Pflicht.

If 16G Emulex HBA are included in your configuration, confirm that the firmware for these adapters is 10.6.144.21. Newer versions of firmware are not supported

Die Emulex HBA hatten eine Firmware Version 10.6.193.22 und sind damit nicht unterstützt. Auf Anfrage teilte uns der DataCore Support mit, daß es sich nicht nur um eine ungeprüfte (und damit nicht unterstützte) Konfiguration handle, sondern dass es jenseits der Version 10.6.144.21 zu schwerwiegenden Problemen auf dem DataCore Server kommen werde. „Emulex 16002 Firmware Downgrade auf DataCore Servern“ weiterlesen

Verwendung von Wechselmedien per GPO verbieten

USB Sticks sind ein handliches Werkzeug um Daten offline zu übertragen, oder zu sichern. Dank USB 3 Standard lassen sich in kürzester Zeit mehrere Gigabyte an Daten transferieren. Und genau darin besteht das Problem für Unternehmen. Vorbei an Firewall und Packetfilter lassen sich ungeschützt Daten ins Firmen-LAN bringen, oder sensible Nutzdaten von Dort entwenden. Für  Sicherheitsbeauftragte sind tragbare Speichermedien ein Albtraum. Diese ganz zu verbieten erhöht zwar die Sicherheit, erschwert die Arbeit. Man denke beispielsweise an Personen, die Digitalbilder von einer Kamera übertragen müssen. Auch dies sind Wechselmedien.

Wieder einmal geht die Schere zwischen Komfort und Sicherheit auseinander. Maximale Sicherheit bedeutet minimalen Komfort und umgekehrt. Absolute Sicherheit wird es nicht geben. Und während man vermeintlich einen Zugang durch ein Bollwerk versperrt und so auch die Produktivität behindert, sucht sich der Angreifer einen kleinen, ungeschützten Seiteneingang.

Besser ist ein Kompromiss, bei dem zunächst global allen Nutzern der Gebrauch von Wechselmedien untersagt wird und darüber hinaus gezielt einzelne Anwender autorisiert werden. Diese Schlüsselgruppe kann zuvor über die Risiken geschult werden. „Verwendung von Wechselmedien per GPO verbieten“ weiterlesen

ADS Sicherheitsgruppe kopieren

Die Anforderung ist simpel. Alle Nutzer der Sicherheitsgruppe A (mygroup_a) sollen in eine neue Sicherheitsgruppe B (mynewgroup_b) kopiert werden. Eine Möglichkeit Sicherheitsgruppen zu duplizieren, gibt es in der Active Directory GUI leider nicht. Die Benutzer händisch in eine neue Gruppe einpflegen ist mühsam und fehleranfällig. Zum Glück gibt es jedoch Powershell.

ADS Sicherheitsgruppe kopieren

Dazu öffnet man auf dem Domänencontroller eine Powershell als Administrator.

Get-ADGroupMember "mygroup_a" | ForEach-Object {Add-ADGroupMember -Identity "mynewgroup_b" -Members $_}

Der Befehl liest alle Elemente der Gruppe mygroup_a aus. Eine Schleifenanweisung fügt jedes der gefundenen Elemente der Gruppe mynewgroup_b hinzu.

Ich liebe One-liner. 🙂

Fine grained password policy

Seit Windows Server 2008 gibt es die Möglichkeit, granuläre Passwortrichtlinien für einzelne User oder Sicherheitsgruppen zu erstellen. Unterschiedliche Passwortrichtlinien sind mit Gruppenrichtlinien nicht realisierbar, da es pro Domäne nur eine Kennwortrichtlinie mittels GPO geben kann.

Voraussetzungen

Die Domäne muss sich in der Domänenfunktionsebene Server 2008 (oder höher) befinden.

Active Directory Benutzer und Computer > Domäne > Eigenschaften > Allgemein

fgpp17Nur für Benutzer und für globale Sicherheitsgruppen (nicht universal, oder domain local) „Fine grained password policy“ weiterlesen