Stufe I · Abfolge

Richte die Gruppenordner auf srv01 unter Linux ein:

• Lege die vier Ordner unter /srv/samba an.
• Setze Besitzer, Gruppe und Rechte so, dass neue Dateien die Gruppe des Ordners erben.
• Gib der Lesegruppe für Kursmaterial mit einer ACL Lesezugriff, auch für künftige Dateien.
• Übersetze rwxrws—, rwxr-s— und rw-r—– in Oktalschreibweise.
• Berechne, welche Rechte neue Dateien und Ordner mit der umask 007 bekommen, und prüfe es mit touch und mkdir.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: chmod setgid · setfacl -d · umask

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

mkdir -p /srv/samba/kursmaterial /srv/samba/pruefungen
chown root:"SZT3\DL_Kursmaterial_RW" /srv/samba/kursmaterial
chmod 2770 /srv/samba/kursmaterial
setfacl -m g:"SZT3\DL_Kursmaterial_R":rx /srv/samba/kursmaterial
setfacl -d -m g:"SZT3\DL_Kursmaterial_R":rx /srv/samba/kursmaterial
setfacl -d -m g:"SZT3\DL_Kursmaterial_RW":rwx /srv/samba/kursmaterial
getfacl /srv/samba/kursmaterial
ls -ld /srv/samba/*

Stufe I · Abfolge

Richte die Freigaben mit Freigabe- und Dateisystemrechten ein:

• Lege die vier Freigaben in der smb.conf an und lade die Konfiguration neu.
• Gib den Domain Admins das Recht, Freigaben von Windows aus zu bearbeiten.
• Setze von einem Windows-Client mit Admin-Konto die Freigaberechte und die NT-ACL nach der Rechtematrix.
• Prüfe die Vererbung in einem neu angelegten Unterordner.
• Teste jede Freigabe mit einem Konto, das darf, und einem, das nicht darf.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: Samba Windows ACLs · SeDiskOperatorPrivilege · Vererbung deaktivieren

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

# /etc/samba/smb.conf auf srv01 (Ausschnitt)
[Kursmaterial]
    path = /srv/samba/kursmaterial
    read only = no

[Pruefungen]
    path = /srv/samba/pruefungen
    read only = no

# einmalig: Recht, Freigaben und ACLs von Windows aus zu bearbeiten
net rpc rights grant "SZT3\Domain Admins" SeDiskOperatorPrivilege -U "SZT3\adm.vorname.nachname"
smbcontrol all reload-config

Stufe II · Algorithmus

Bestimme das effektive Recht für die Fälle F1 bis F6:

• Bestimme für jeden Fall das Ergebnis der Freigaberechte.
• Bestimme das Ergebnis der NT-ACL.
• Leite das effektive Recht ab und nenne die Regel, die entschieden hat.
• Prüfe deine Ergebnisse in der Szene.
• Wähle zwei Fälle aus, baue sie im Labor nach und prüfe sie mit dem Konto selbst.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: effektive Berechtigungen · Verweigern Erlauben Reihenfolge

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

Stufe II · Algorithmus

Ausgaben auf srv01 am Montag:

$ samba-tool group listmembers G_Trainer
jonas.keller
lena.hoffmann
tim.berger
$ samba-tool group listmembers DL_Pruefungen_RW
jonas.keller

Ausgabe am Mittwoch auf tb-03, angemeldet als tim.berger:

C:\> whoami /groups | findstr /i "G_ DL_"
(keine Ausgabe)

Finde heraus, warum die Trainer die Prüfungsordner nicht sehen:

• Lege für Ticket A und Ticket B je eine Liste möglicher Ursachen in der Reihenfolge Konto, Gruppe, Verschachtelung, Token, Freigabe, Dateisystem an.
• Prüfe mit den Befehlen unten, welche Ursache zutrifft.
• Erkläre, warum jonas.keller in Ticket A trotzdem Zugriff hat.
• Behebe beide Fehler so, dass sie nicht wiederkommen.
• Schreibe für den Helpdesk einen Prüfweg mit höchstens sechs Schritten.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: whoami /groups · klist · Kerberos PAC Gruppenmitgliedschaft

Im Team Diese Aufgabe bearbeitet ihr im Team.

# auf dem Client, als die betroffene Person angemeldet
whoami /groups | findstr /i "G_Trainer DL_Pruefungen"
klist

# auf srv01
samba-tool group listmembers G_Trainer
samba-tool group listmembers DL_Pruefungen_RW
samba-tool user show tim.berger --attributes=memberOf,whenChanged

Stufe II · Algorithmus

Setze die Richtlinien mit Gruppenrichtlinien um und prüfe ihre Wirkung:

• Setze Kennwort- und Sperrrichtlinie der Domäne mit samba-tool.
• Lege GPOs für Bildschirmsperre, USB-Speicher, Laufwerkszuordnung, Ordnerumleitung und das Löschen alter Profile an und verknüpfe sie mit den richtigen OUs.
• Entscheidet, wie die Trainerplätze ra-tr und rb-tr bei der USB-Sperre behandelt werden.
• Prüfe auf einem Client in Raum A und einem im Büro mit gpresult, welche GPOs wirken.
• Ordne jede GPO der Unternehmensrichtlinie zu, die sie umsetzt, und nenne eine Richtlinie, die sich nicht technisch umsetzen lässt.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: Removable Storage Access · Drive Maps Item-level targeting · Folder Redirection · gpresult

Im Team Diese Aufgabe bearbeitet ihr im Team.

samba-tool domain passwordsettings show
samba-tool domain passwordsettings set --min-pwd-length=12 --complexity=on \
  --account-lockout-threshold=5 --account-lockout-duration=15 --reset-account-lockout-after=15

# auf einem Client nach gpupdate /force
gpresult /r /scope:computer
gpresult /h C:\Temp\gpo-bericht.html

Stufe II · Algorithmus

Überwache die Anmeldungen und werte das Protokoll aus:

• Schalte auf srv01 die Protokollierung der Anmeldungen ein und auf den Clients die Überwachung von Anmeldeereignissen per GPO.
• Erzeuge im Labor drei Fehlanmeldungen und finde sie im Protokoll.
• Berechne für das gegebene Nachtprotokoll den Anteil fehlgeschlagener Anmeldungen, einmal gesamt und einmal ohne die auffällige Zeile.
• Bewerte die Auffälligkeit und lege Maßnahmen fest.
• Haltet fest, wer Protokolle auswerten darf, wie lange sie aufbewahrt werden und wer vorher zustimmen muss.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: auth_json_audit · Ereignis 4625 · Erweiterte Überwachungsrichtlinie · vfs_full_audit

Im Team Diese Aufgabe bearbeitet ihr im Team.

# /etc/samba/smb.conf, Abschnitt [global]: Anmeldungen protokollieren
    log level = 1 auth_audit:3 auth_json_audit:3

# Auswertung auf srv01: fehlgeschlagene Anmeldungen je Konto zählen
grep 'JSON Authentication' /var/log/samba/log.samba \
  | sed 's/^.*JSON Authentication: //' \
  | jq -r 'select(.Authentication.status != "NT_STATUS_OK") | .Authentication.clientAccount' \
  | sort | uniq -c | sort -rn

# Dateizugriffe auf einer Freigabe protokollieren (Abschnitt [Pruefungen])
    vfs objects = dfs_samba4 acl_xattr full_audit
    full_audit:prefix = %u|%I|%m|%S
    full_audit:success = mkdirat renameat unlinkat
    full_audit:failure = connect
    full_audit:facility = local5
    full_audit:priority = notice

Stufe III · Heuristik

Ticket 0412 · Priorität mittel · von: Ansprechpartnerin Schulung HLG
„Unsere Teilnehmerin aylin.demir hat am Platz rb-04 kein Laufwerk K:, und über \\srv01\Kursmaterial kommt ‚Zugriff verweigert‘. Ihre Kolleginnen aus den Bodenverkehrsdiensten haben K:. Dafür konnte sie in S: den Ordner Ergebnisse öffnen und eine Datei mit den Noten der anderen umbenennen. Das darf nicht sein.“

Löse den Helpdesk-Fall der HLG-Teilnehmerin:

• Lies das Ticket und trenne die beiden Probleme.
• Stelle für jedes Problem Vermutungen auf und lege fest, in welcher Reihenfolge du sie prüfst.
• Prüfe die Vermutungen mit Befehlen und mit dem Konto der Teilnehmerin (im Labor nachgestellt).
• Behebe die Ursachen so, dass das Konzept aus Teil 3 wieder stimmt; wo das Konzept selbst eine Lücke hat, schlage eine Änderung vor.
• Schreibe die Antwort an die Ansprechpartnerin Schulung bei HLG in fünf Sätzen, ohne Fachjargon.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: Item-level targeting Sicherheitsgruppe · Vererbung Unterordner · access based share enum

Im Team Diese Aufgabe bearbeitet ihr im Team.