Verzeichnis auf Kopieraktionen mit "Verursacher" überwachen?

[SubData]

Wenn der Benutzer die Anwendung starten kann, die die Dateien liest, dann kann er so gesehen auch selbst die Dateien lesen.
Der Sicherheitskontext ist identisch, sofern die Anwendung nicht unter anderem Benutzer ausgeführt wird.
Und es gibt eben kein Datenbankfrontend in dem Sinne, sondern nur eine Anwendung, die diese Dateien liest.

So hab ich das jedenfalls verstanden...

[CG2003]

Zitat:

Zitat von SubData

Wenn der Benutzer die Anwendung starten kann, die die Dateien liest, dann kann er so gesehen auch selbst die Dateien lesen.
Der Sicherheitskontext ist identisch, sofern die Anwendung nicht unter anderem Benutzer ausgeführt wird.
Und es gibt eben kein Datenbankfrontend in dem Sinne, sondern nur eine Anwendung, die diese Dateien liest.

So hab ich das jedenfalls verstanden...

Ja das ist soweit korrekt...

Also gibt's keine Möglichkeit?

[Luckie]

Zitat:

Zitat von SubData

Wenn der Benutzer die Anwendung starten kann, die die Dateien liest, dann kann er so gesehen auch selbst die Dateien lesen.
Der Sicherheitskontext ist identisch, sofern die Anwendung nicht unter anderem Benutzer ausgeführt wird.
Und es gibt eben kein Datenbankfrontend in dem Sinne, sondern nur eine Anwendung, die diese Dateien liest.

Das ist doof. ;)

Aber logged der Server so was von sich aus nicht mit?

[CG2003]

Naja, es gibt ja die lokale Überwachungsrichtlinie. Dort listet er mir auch auf, wenn jemand in einem Ordner "liest". Nur, heisst "Lesen" ja nicht unbedingt Kopieren von Dateien sondern auch, wenn das Programm eine Datei liest.
Des weiteren ist das im Sicherheitsprotokoll der Ereignisanzeige auch ziemlich wüst dargestellt...

[Luckie]

Zitat:

Zitat von CG2003

Des weiteren ist das im Sicherheitsprotokoll der Ereignisanzeige auch ziemlich wüst dargestellt...

Aber es ist anscheinend zumindest vorhanden. Es ist bestimmt einfacher sich damit auseinanderzusetzen als zu versuchen eine eigene Lösung zu basteln.

[SubData]

Es gibt noch eine recht schmutzige Lösung.
Starte die Anwendung unter einem anderen Benutzerkontext.
Wenn Dateien in diesem Kontext gelesen werden, dann ignorierst du die Protokolleinträge.
Wenn der Benutzer die Dateien unter seinem Kontext liest, dann stimmt was nicht ;-)

[Valle]

Hallo,

unterscheidet denn Windows wirklich zwischen Lese- und Kopierrecht? Und Linux gibt es nur lesen, schreiben und ausführen. Wer etwas lesen kann, und woanders auch schreiben kann, der hat auch automatisch das Kopierrecht. Das kann unter Windows auch nicht anders sein. Vielleicht verbietet der Windows-Explorer ein Kopieren bei fehlendem Kopierrecht, aber dann kann man sich immernoch selbst ein Programm schreiben, welches dies tut. Wenn die Dateien nicht binär sind tut's auch ein einfacher Texteditor. Mit anderen Worten: Es ist nicht möglich den Benutzern ein Kopieren der Daten zu verbieten. Solange die Anwendung komplette Leserechte auf die Daten hat, gibt es keine Möglichkeit sowas zu verbieten.

Alternativen wären ein Wechsel dieses Programms auf eine richtige Datenbank, das Ausführen des Programms unter einem anderen Benutzer oder der schon genannte Entzug aller Schreibrechte der Benutzer. Allerdings kann man sich selbst dann noch Zettel und Stift nehmen und die Daten nach belieben abschreiben. *g*

Edit:// @SubData: Was ist so schmutzug daran? In der Unix-Welt ist das Gang und Gebe. :gruebel:

Liebe Grüße,
Valle

[franktron]

Das Kopieren kann man nicht verhindern und man kann das auch am Server nicht herauskriegen ob einer was Lesen oder was Kopieren will (ist für den Server das gleiche)

Du kannst aber mit Lokalen Richtleinen verhindern das ein User eine USB Stick am PC Nutzen kann

[SubData]

Zitat:

Zitat von Valle

Edit:// @SubData: Was ist so schmutzug daran? In der Unix-Welt ist das Gang und Gebe. :gruebel:

Schmutzig mag vielleicht nicht die richtige Bezeichnung sein, aber sauber ist die Lösung auch nicht,
denn sobald der Benutzer manuell auf die Dateien zugreift und dafür die Anmeldeinformationen der
Anwendung verwendet, wird die Protokollierung umgangen. Sicher, dass muss man wissen, aber
ich würde es eher als Security through obscurity bezeichnen...


Edith sacht: 1.000 Beiträge \o/ ;-)

[himitsu]

Zitat:

Zitat von SubData

Es gibt noch eine recht schmutzige Lösung.

Dann kann man aber auch gleich dem "angemeldeten" Benutzer die Rechte nehmen, bzw. nur dem Benutzer-Account der Anwendung zugriff gewähren.

PS: wer Leserechte hat, der kann auch Kopieren
Kopieren = hier lesen und da schreiben

jetzt könnte man auch beim Schreiben den Riegel vorschieben
und es den Benutzern nicht erlauben, daß sie die Dateien irgendwo hinkopieren können, wo sie sie mitnehmen kann ... also es dürfen keine Externen Datenträger angeschlossen werden und auch eMail und Co. ist nicht erlaubt (bzw. eMail nur ohne Dateianhänge)