Moin,
+1 für was Flo sagt. Da du ein Nicht-Windows-System als Filer hast, kannst Du noch nicht einmal Dynamic Access Control implementieren, was ansonsten zwar tricky, aber vermutlich machbar wäre.
Was Du aber auf die Schnelle machen kannst, ist folgendes:
- AD-Auditing hochdrehen
- Anmeldeprozess über (W)LAN und über VPN im Security Log des DC nachvollziehen und schauen, ob es Unterschiede gibt, die Du auswerten kannst. Da WLAN auch über RADIUS kommt, musst Du da vermutlich recht tief schürfen.
- Skript an das Account Logon-Ereignis knüpfen, das den User in eine schreibberechtigte Gruppe steckt (LAN/WLAN) oder dort rausnimmt (VPN).
Der User, der klug (oder faul) genug ist, sich im LAN nicht abzumelden, sondern den Laptop mit angemeldeter Sitzung nach Hause zu transportieren, wäre vom Wechel der Gruppenmitgliedschaft natürlich nicht oder jedenfalls nicht sofort betroffen ;-)
Was ich aber nicht ganz verstehe, ist die Anforderung per se. Wenn ich meinen Usern nicht vertraue, dann würde ich mir eher Sorgen machen, dass sie remote Daten
abziehen - immerhin hinterlässt der Vorgang kaum Spuren. Aber das willst Du ihnen ja erlauben. Das Verändern der Dateibestände hinterläßt hingegen deutliche Spuren, und da wäre es doch eigentlich egal, ob es remote
oder vor Ort passiert - der Vorgang kann i.d.R. auf einen bestimmten Benutzer zurückgeführt werden...
Evgenij Smirnov
msg services ag, Berlin ->
http://www.msg-services.de
my personal blog (mostly German) ->
http://it-pro-berlin.de
Windows Server User Group, Berlin ->
http://www.winsvr-berlin.de
Mark Minasi Technical Forum, reloaded ->
http://newforum.minasi.com
In theory, there is no difference between theory and practice. In practice, there is.
