Krav til Windowsmaskiner på UiOs datanett

Denne siden er for IT-ansvarlige ved UiO. Har du en Windowsmaskin og lurer på hvordan du skal få den på nett, ta kontakt med din lokale IT-ansvarlige.

1. For bærbare maskiner gjelder egne regler, se policy ved bruk av bærbare Windowsmaskiner ved UiO. Disse kravene gjelder også virtuelle maskiner og maskiner som kun er kort innom nettet.
2. USIT anbefaler at alle bruker XP/PXE løsningen, men vi ser at det finnes noen spesialtilfeller vi trenger regler for.
3. Hvis du er i tvil om reglene, ta kontakt via postlisten pcadm for en avklaring.

Hvilke krav stilles?

1. Maskinen skal kjøre Windows XP Professional, kun engelsk versjon er tilatt.
2. Windows 2000 skal være faset ut  innen 1/1-2007.
3. Maskinen skal være innmeldt i domenet.
4. Maskinen skal ha en primær ip-adresse, enten i form av statisk DHCP, eller en fast adresse.
5. DNS-navn og nettbios-navn skal være det samme og stemme med maskinens IP-adresse.
6. Det skal ikke være lokale kontoer på maskinen. Hvis brukeren trenger administratorrettigheter kan han/hun ha en lokal administratorkonto. Denne kontoen skal ha brukernavn på formen "brukernavn_adm". Husk at passord på lokalbruker skal være noe annet enn brukerens vanlige passord.
7. Hvorvidt brukeren skal ha administratorrettigheter eller ikke, må vurderes i hvert enkelt tilfelle av den lokale IT-ansvarlige. USIT anbefaler at brukere ikke har adminrettigheter vedmindre det er helt nødvendig.
8. Maskinen skal kjøre antivirus-programvare. F-secure Antivirus for kontormaskiner anbefales. Har du standardisert på andre leverandører er det greit, men du plikter isåfall å holde antivirus-programvaren oppdatert selv.
9. Maskinen skal ha tivoliendpoint.
10. Maskinen skal kjøre daily. Daily blir automatisk lagt inn på boot, men du må verifisere at daily faktisk kjører på maskinen.
11. Maskinen skal ikke kjøre servertjenester, herunder webservere, fildelingstjenester (ftp, peer to peer etc), e-post eller databasetjenester (unntak: FileMaker).
12. Skal du kjøre servertjenester er maskinen definert som en server. USIT skal alltid godkjenne alle servere.

Hvorfor alt maset?

1. Vi er et åpent universitet. Konsekvensene av å ikke følge kravene vil i mange tilfeller føre til at maskinen med 100% sikkerhet blir hacket. Vi ser at frekvensen av angrep den siste tiden har økt radikalt både i kompleksitet og i antall. Vinduet mellom når sikkerhetshull eller virus blir oppdaget og sikkerhetsoppdateringer kommer blir stadig mindre, noe som krever automatiserte løsninger.
2. Når det gjelder lokale administratorer: Konsekvensene av at en bruker er litt uheldig når han/hun surfer eller åpner et infisert dokument er så veldig mye større hvis han/hun er administrator. Vi mener også at hvis brukere enten ikke "gidder" å logge inn/ut eller kjøre en runas for å bli administrator, så er terskelen for bruk av privilegier for lav

Hvilke konsekvenser får det hvis vi ikke følger forskriftene?

1. For maskiner som ikke følger kravene til Windowsmaskiner ved UiO vil vi i første omgang ta dette opp med de lokale IT-ansvarlige slik at lokalavdelingene selv kan rydde opp i egen maskinpark.
2. Når det gjelder infiserte eller hackede maskiner: Vi vil vurdere det i hvert tilfelle. Er det spesielle ting vil vi ofte ønske å se på maskinen. Er det virusinfiserte maskiner eller maskiner som vi vet hvordan er tatt vil vi enten krasje OS-et eller be nettdrift sperre maskinen enten i router eller på switchnivå.
3. I noen tilfeller har vi antatt at noen upatchede maskiner (f. eks. sårbare for Welchia) vil bli tatt i løpet av kort tid. I disse tilfellene har vi behandlet maskinene som om de var infisert.

Fremtidige løsninger: 

Det jobbes med å få på plass en løsning med DAILY for bærbare og patching via en shavlik agent for bærbare men dette ligger litt fram i tid (Q3 2004).

Nyttige lenker:

1. USITs XP-image
2. DHCP ved UiO
3. Antivirus for Windows ved UiO
4. Usit-daily
5. Tivoli ved UiO

---

Redaksjon: pcadm, pcadm@usit.uio.no
Dokument opprettet: 01.10.2003, endret: 16.11.2006