Bakgrunnen endra seg etter VPN? Finn den verkelege eigaren
Ei fjernøkt, ei synkronisert kontoinnstilling og ein administrasjonspolitikk kan alle forklare ein ny bakgrunn. Identifiser skrivebordet før du gir tunnelen skulda.
Ein heime-PC som plutseleg viser same bakgrunn som ein jobb-PC, kjennest som prov på fjernstyring. Men det er berre ei observasjon, og tre vanlege mekanismar skapar han: økta du ser på, høyrer til ein annan maskin, ei kontoinnstilling følgde deg, eller ein politikk vart brukt. Kvar har ulike prov, og tunnelen er som regel berre ein tilskodar. Start med den billegaste kontrollen, nemleg økta du faktisk ser på.
Kva skrivebord er på skjermen
Ei fjernøkt i fullskjerm kan forvekslast med det lokale skrivebordet, og i den økta høyrer bakgrunnen til fjernmaskinen. Ingenting på den lokale maskinen er endra. Før du tolkar biletet, identifiser økta du er i, og maskinen bak henne:
query session
Get-ItemProperty "HKCU:\Control Panel\Desktop" -Name WallpaperDen andre kommandoen les bakgrunnsstigen til den gjeldande brukaren på maskinen der han køyrer. Køyr han lokalt og deretter inne i økta, og dei to svara fortel deg kva skrivebord du faktisk såg på.
Tid er også nyttig prov. Noter når bakgrunnen endra seg, og om han overlever ein omstart i ei lokal økt. Ei endring som forsvinn med økta, var aldri ei lokal endring.
Innstillingar som følgjer kontoen
Innlogging med same Microsoft-konto på to einingar kan føre utvalde preferansar mellom dei, og personlegt tilpassing er blant kategoriane som kan synkroniserast. Det er ein dokumentert bekvemmelegheitsfunksjon, ikkje ein fjernstyringsmogelegheit, og han forklarar ein samsvarande bakgrunn utan at nokon VPN er involvert.
Gå gjennom innstillingane til kontoen sjølv og kva einingar som er logga på. Å slå av synkronisering er ei lokal avgjerd, men det kan fjerne bekvemmelegheit du var avhengig av, så endre det med vilje og ikkje som første gissing.
Politikk som set biletet med vilje
Ein administrert utrulling kan setje eit skrivebordsbilete via politikk. Dokumentasjonen til Microsoft Personalization CSP skildrar ei innstilling for URL til skrivebordsbilete, med utgåve- og utrullingsavgrensingar knytte til henne. Dokumentasjonen provar at mogelegheita finst; han provar ikkje at akkurat denne maskinen er registrert, eller at tilkopling til ein VPN registrerte henne.
| Owner | Typical evidence | Where to look |
|---|---|---|
| Remote session | The image belongs to the remote host | Session list and host name |
| Account sync | The same account is on several devices | Account settings and device list |
| Management policy | An applied policy names the image | Policy result report |
| Local customisation | A theme or tool wrote the value | Current user registry value |
Les radene som konkurrerande forklaringar og ikkje som ein sekvens. Den første blir utelukka ved å identifisere maskinen du er på, og den andre ved å sjå på eininglista til kontoen. Den tredje krev ein politikkrapport, og den fjerde er det som står att når ingen av dei andre skapte verdien. Ingen av dei krev at ein VPN finst.
Lag ei oversikt før du endrar noko
Samle fire fakta: den råka maskinen og økta, det nøyaktige tidspunktet, om bakgrunnen varer utanfor økta, og eitkvart konto- eller administrasjonstilhøve eininga har. Eit reinska skjermbilete hjelper med å identifisere innstillinga utan å avsløre private filer.
På ei administrert eining, spør administrator kva politikk som eig personlegt tilpassing, og om åtferda er forventa. På ei personleg eining, gå gjennom konto- og tryggingskopiinnstillingane før du fjernar profilar, fordi fjerning av ein jobbkonto kan påverke tilgang og gjenoppretting langt utover eit bakgrunnsbilete.
Ei visuell endring seier heller ingenting om kva filer eller aktivitet nokon kan lese. Det spørsmålet krev ein separat gjennomgang av installert programvare, løyve og administrasjonskonfigurasjon, og å svare på det med ein bakgrunnsobservasjon er måten ein støttetråd endar med feil konklusjon.