Computerraum in der Schule richtig sichern

#1 Hallo zusammen,

ich habe mich hier schon ein wenig durchgelesen und bin auch schon auf einige gute Sachen gestoßen - jedoch noch nicht genau auf das, was ich suche.
Und zwar:

In unserer Schule gibt es einen offenen Computerraum, der jederzeit von jedem genutzt werden kann. Wir sind gerade dabei, ihn neu aufzubauen. Außerdem gibt es dort demnächst freien WLAN Zugang.

Die Sicherung der PCs soll folgende Kriterien erfüllen:

1. Die gängigen Pornoseiten, Seiten mit links- wie rechtsradikalem Gedankengut und die gängisten Ulkseiten (youtube und myvideo jetzt mal ausgenommen) sollen nicht mehr erreichbar sein
2. Programme wie emule und andere sollen keine Internetverbindung mehr bekommen
3. Der Administrator Account soll nicht mehr ohne Passwort zugänglich sein
4. Abgesicherten Modus deaktivieren

Also kurz gesagt: Der ganze bei der Jugend gängige Wahnsinn im Internet soll bis auf wenige erlaubte Ausnahmen gesperrt werden.
Wir haben dazu folgendes beschafft:

1. PC-Wächter Karten
2. GDATA InternetSecurity 2009

Nun würde ich für den freien WLAN Zugang Portblock-Listen und Blacklisten für Websites brauchen, die relativ umfassend sind und die ich einfach nur kopieren und einfügen muss.

Außerdem möchte ich wie beschrieben den abgesicherten Modus verhindern und den Admin-Account sichern, sodass künftig nur noch das Admin-Team Accounts erstellen und löschen kann.

Kennt ihr Wege und Möglichkeiten, dies alles zu erreichen? Schwierigkeit ist halt, dass wir sowohl die festen PCs sichern - als auch den WLAN Zugang einschränken müssen.

Ich danke euch hier im Voraus für eure Hilfe!

#2 Generell sollte es für beide Netze einen zentralen Gateway/Router geben, an welchem die Kontrolle über Webseiten etc erfolgt. Ansonsten wird es etwas zeitaufwändig. Der WLAN-Router muss demnach nur seine Anfragen an den entspr. Gateway weiterleiten.

Überleg Dir, ob es nicht sicherer ist, mit einer Positiv-Liste zu arbeiten. Es ist nahezu unmöglich mit einer Negativ-Liste "das Übel" vor der Tür zu halten und man ist ständig am Nachbessern. Mit einer "dynamischen" Positiv-Liste formt sich nach und nach ein rundes Bild, was die Schüler tatsächlich benötigen. Natürlich müssen sie aktiv zu Erweiterung beitragen und eben ihre Wünsche mit einbringen können. Zugegeben- es ist wirklich diskussionswürdig, welchen Weg man hier beschreitet.

Filesharing arbeiten immer auch als Serveranwendung. Für etwas http ist es in keinem Falle notwending, dass Ports in der Firewall geöffnet werden. Portlisten benötigst Du daher keine.

Was die PCs lokal betrifft, melden sich die die Schüler einfahc als "Gast" an.
CD-Laufwerke und USB-Schnittstellen kann man sperren.

Zitat

3. Der Administrator Account soll nicht mehr ohne Passwort zugänglich sein

Wie bitte ? Natürlich legt man hier ein starkes Passwort fest- zusätzlich schaltet man im BIOS die Bootsequenz so, dass nicht mehr von CD gebootet werden kann, versieht den Zugang zum BIOS anschl. mit einem Passwort und fertig ist es.

Zitat

4. Abgesicherten Modus deaktivieren

Was ist das Problem hiermit ? Wenn der Adminaccount gut gesichert ist sehe ich hier kein Problem.
__________
Durchsuchen --> Aussuchen --> Untersuchen

#3 Gut, danke ^^ Wie kann ich den Windows-internen Admin Account passwortsichern und wie schalte ich Boot-CDs ab?

#4 Vorab:
Ich erkläre Dir gerne ein paar Dinge im Detail, muss Dir aber sagen, dass ein 12-Jähriger das mit etwas PC-Erfahrung alles ebenso könnte und das ist genau der Punkt bei der ganzen Aktion .
Ein paar findige Schüler werden garantiert versuchen herauszufinden, wo sich ein Schwachpunkt finden lässt um das ein oder andere durchzubringen, was ihr zu verhindern versucht. Darum:
Lasst das Ganze von jemandem einrichten, der sich mit EDV/Netzwerken wirklich auskennt.

Zu deiner Frage: Je nach BIOS-Hersteller ist der Zugang dazu über "Entf" oder "F2", während das BIOS die Hardware erkennt. Die Menüs innerhalb sind unteschiedlich gegliedert. Meist gibt es ein Menü , das "Boot" heißt, innerhalb dessen so etwas wie Boot Order, Boot Sequenz. Das Handbuch zum Motherboard verrät es genau.

Der Adminaccount von Windows ist ein Account wie jeder andere. In der Benutzerverwaltung lässt sich das Passwort demnach festlegen. Sinnvoll wäre es hier auch, den Adminaccount umzubenennen.

Sofern die Computer in keiner Domäne sind, ist hier noch ein Tool, das euch helfen könnte, die Möglichkeiten an den PCs wirklich auf das Minimum zu beschränken.
http://www.chip.de/downloads/Windows-SteadyState_15972337.html

Hier ist es unter anderm Namen ausführlicher beschrieben:
http://www.microsoft.com/germany/technet/sicherheit/newsletter/sharedcomputertoolkit.mspx

Der entscheidende Punkt ist der: Sobald ein Benutzer eine Programm auf den Rechner (via Internet oder lokalem Medium) auf den Rechner übertragen und ausführen kann ist im Grunde fast alles möglich; ganz egal, was ihr an Vorkehrungen getroffen habt.
Z.B ein lokaler Proxy, der meine Anfragen ins Netz verschlüsselt, würde jegliche Blacklist aushebeln, etc...
__________
Durchsuchen --> Aussuchen --> Untersuchen