Planen und Vorbereiten der Bereitstellung von Endpoint Privilege Management

Dieser Artikel behandelt die Informationen, die für die Planung der Bereitstellung von Endpoint Privilege Management (EPM) erforderlich sind, einschließlich Anforderungen, wichtige Konzepte, Sicherheitsempfehlungen und rollenbasierte Zugriffssteuerung.

Planungscheckliste

• Überprüfen Sie die technischen und lizenzrechtlichen Voraussetzungen Ihres Mandanten.
• Definieren Sie Ihre Zielbenutzerpersonas, damit Sie Regeln mit logischer Gruppierung für diese Personas erstellen können.
• Stellen Sie sicher, dass Sie die Einstellungen für erhöhte Rechte und Richtlinien für erhöhte Rechte gut verstehen, einschließlich:
  • Standardeinstellungen für erhöhte Rechte und Diagnosedatenerfassung.
  • Definieren von Dateien für erhöhte Rechte mithilfe von Dateihash, Metadaten oder Zertifikaten.
  • Wie Zertifikatsregeln jeder App, die mit diesem Zertifikat signiert ist, höhere Rechte ermöglichen können. Seien Sie vorsichtig bei Anbietern, die möglicherweise alle ihre Apps mit demselben Zertifikat signieren.
  • Unterstützung von Regelargumenten und Optionen für Verhalten von untergeordneten Prozessen.
  • Arten von Höhen.
  • Umgang mit Regelkonflikten bei sich überschneidenden Regelzuweisungen
• Finden Sie die richtige Balance zwischen Sicherheit und Flexibilität für Ihre Organization und Ihre Benutzerpersonas.
• Stellen Sie sicher, dass Sie über eine solide Rolloutstrategie verfügen. Dazu gehören das Stakeholder-Management, die Kommunikation der Endbenutzer und Schulungspläne sowie die Überwachung.

Voraussetzungen

Weitere Informationen finden Sie unter Microsoft Intune für US Government GCC-Dienstbeschreibung.

Wichtige Konzepte für Endpoint Privilege Management

Wenn Sie die zuvor erwähnten Richtlinien für erhöhte Rechte und Rechteerweiterungen konfigurieren, müssen Sie einige wichtige Konzepte verstehen, um sicherzustellen, dass Sie EPM so konfigurieren, dass es die Anforderungen Ihrer Organization erfüllt. Bevor Sie EPM in großem Umfang bereitstellen, sollten Sie die folgenden Konzepte sowie deren Auswirkungen auf Ihre Umgebung gut verstehen:

• Mit erhöhten Rechten ausführen – Eine Kontextmenüoption mit der rechten Maustaste, die angezeigt wird, wenn EPM auf einem Gerät aktiviert wird. Wenn diese Option verwendet wird, werden die Richtlinien der Geräteerweiterungsregeln auf eine Übereinstimmung überprüft, um festzustellen, ob und wie diese Datei für die Ausführung in einem Administratorkontext erhöht werden kann. Wenn keine anwendbare Regel für erhöhte Rechte vorhanden ist, verwendet das Gerät die Standardkonfigurationen für erhöhte Rechte, wie in der Einstellungsrichtlinie für erhöhte Rechte definiert.

• Dateierweiterungen und Erhöhungstypen – EPM ermöglicht es Benutzern ohne Administratorrechte, Prozesse im administrativen Kontext auszuführen. Wenn Sie eine Regel für erhöhte Rechte erstellen, ermöglicht diese Regel EPM, das Ziel dieser Regel mit Administratorrechten auf dem Gerät auszuführen. Dadurch verfügt die Anwendung über vollständige Verwaltungsfunktionen auf dem Gerät.

Mit Ausnahme von Elevate als aktueller Benutzer verwendet EPM ein virtuelles Konto , um Prozesse heraufzustufen. Dadurch werden Aktionen mit erhöhten Rechten aus dem Profil des Benutzers isoliert, wodurch die Gefährdung durch benutzerspezifische Daten verringert wird und das Risiko einer Rechteausweitung verringert wird.

Wenn Sie Endpoint Privilege Management verwenden, gibt es einige Optionen für das Verhalten bei erhöhten Rechten:

• Automatisch: Bei automatischen Erhöhungsregeln erhöht EPM diese Anwendungen automatisch ohne Eingabe des Benutzers. Umfassende Regeln in dieser Kategorie können weitreichende Auswirkungen auf den Sicherheitsstatus der Organization haben.

• Benutzer bestätigt: Mit vom Benutzer bestätigten Regeln verwenden Endbenutzer ein neues Kontextmenü mit der rechten Maustaste Mit erhöhten Zugriffsrechten ausführen. Vom Benutzer bestätigte Regeln können auch eine Validierung mit Authentifizierung oder geschäftlicher Begründung erfordern. Die obligatorische Überprüfung bietet eine zusätzliche Schutzebene, indem der Benutzer die Erhöhung bestätigen muss.

• Als aktuellen Benutzer hochstufen: Bei dieser Art von Erhöhung wird der Prozess mit erhöhten Rechten unter dem eigenen Konto des angemeldeten Benutzers ausgeführt, wobei die Kompatibilität mit Tools und Installationsprogrammen, die auf das aktive Benutzerprofil angewiesen sind, erhalten bleibt. Dazu muss der Benutzer seine Anmeldeinformationen für die Windows-Authentifizierung eingeben. Dadurch werden die Profilpfade, Umgebungsvariablen und personalisierten Einstellungen des Benutzers beibehalten. Da der erhöhte Prozess vor und nach der Erhöhung die gleiche Benutzeridentität beibehält, bleiben die Überwachungspfade konsistent und genau.

  Da der erhöhte Prozess jedoch den vollständigen Kontext des Benutzers erbt, führt dieser Modus zu einer breiteren Angriffsfläche und verringert die Isolation von Benutzerdaten.

  Wichtige Überlegungen:

  • Kompatibilitätsbedarf: Verwenden Sie diesen Modus nur, wenn die Erhöhung virtueller Konten Anwendungsfehler verursacht.
  • Enger Umfang: Beschränken Sie erhöhte Regeln auf vertrauenswürdige Binärdateien und Pfade, um das Risiko zu verringern.
  • Kompromiss bei der Sicherheit: Beachten Sie, dass dieser Modus die Anfälligkeit für benutzerspezifische Daten erhöht.

  Tipp

  Wenn die Kompatibilität kein Problem darstellt, bevorzugen Sie eine Methode, bei der die Erhöhung virtueller Konten für eine höhere Sicherheit verwendet wird.

• Verweigern: Eine Verweigerungsregel identifiziert eine Datei, deren Ausführung durch EPM in einem Kontext mit erhöhten Rechten blockiert wird. Verweigerungsregeln können sicherstellen, dass bekannte Dateien oder potenziell bösartige Software nicht in einem Kontext mit erhöhten Rechten ausgeführt werden können.

• Support genehmigt: Für Supportgenehmigungsregeln müssen Endbenutzer eine Anforderung zum Ausführen einer Anwendung mit erweiterten Berechtigungen übermitteln. Sobald die Anforderung übermittelt wurde, kann ein Administrator die Anforderung genehmigen. Nachdem die Anforderung genehmigt wurde, wird der Endbenutzer benachrichtigt, dass er die Erhöhung auf dem Gerät wiederholen kann. Weitere Informationen zur Verwendung dieses Regeltyps finden Sie unter Unterstützung genehmigter Anforderungen für erhöhte Rechte

• Steuerelemente für untergeordnete Prozesse – Wenn Prozesse durch EPM erhöht werden, können Sie steuern, wie die Erstellung von untergeordneten Prozessen von EPM gesteuert wird. So haben Sie eine präzise Kontrolle über alle Unterprozesse, die von Ihrer Anwendung mit erhöhten Rechten erstellt werden können.

• Clientseitige Komponenten – Um Endpoint Privilege Management zu verwenden, stellt Intune einen kleinen Satz von Komponenten auf dem Gerät bereit, die Richtlinien für erhöhte Rechte erhalten und erzwingt. Intune stellt die Komponenten nur bereit, wenn eine Einstellungsrichtlinie für erhöhte Rechte empfangen wird und die Richtlinie die Absicht zum Ausdruck bringt, die Endpunktrechteverwaltung zu aktivieren.

• Verwaltete Rechteerweiterungen vs. nicht verwaltete Rechte : Diese Begriffe können in unseren Berichts- und Nutzungsdaten verwendet werden. Diese Begriffe beziehen sich auf die folgenden Beschreibungen:

  • Verwaltete Rechteerweiterungen: Jede Rechteerweiterung, die Endpoint Privilege Management erleichtert. Verwaltete Rechteerweiterungen umfassen alle Rechteerweiterungen, die EPM letztendlich für den Standardbenutzer erleichtert. Diese verwalteten Höhen können Erhöhungen umfassen, die als Ergebnis einer Höhenregel oder als Teil einer Standard-Höhenaktion erfolgen.

  • Nicht verwaltete Rechteerweiterungen: Alle Dateierweiterungen, die ohne Verwendung von Endpoint Privilege Management erfolgen. Diese Erhöhungen können auftreten, wenn ein Benutzer mit Administratorrechten die Windows-Standardaktion "Als Administrator ausführen" verwendet.

EPM-Richtlinien

✅ Grundlegendes zu EPM-Richtlinientypen

Endpoint Privilege Management verwendet zwei Richtlinientypen, die Sie konfigurieren, um zu verwalten, wie eine Anforderung auf Dateierhöhung behandelt wird. Zusammen konfigurieren die Richtlinien das Verhalten für Dateierweiterungen, wenn Standardbenutzer die Ausführung mit Administratorrechten anfordern.

Diese Richtlinien lauten:

• Einstellungsrichtlinie für erhöhte Rechte
• Richtlinie für Regeln zu erhöhten Rechten

EPM unterstützt auch eine Gruppe wiederverwendbarer Einstellungen zum Speichern von Herausgeberzertifikaten, auf die über mehrere Regeln oder Regelrichtlinien verwiesen werden kann.

Behandlung von Richtlinienkonflikten für Endpoint Privilege Management

✅ Informationen zu Richtlinienkonflikten

Mit Ausnahme der folgenden Situationen werden in Konflikt stehende Richtlinien für EPM wie alle anderen Richtlinienkonflikte behandelt.

Einstellungsrichtlinie für Windows-Rechte

Wenn ein Gerät zwei separate Einstellungsrichtlinien für erhöhte Rechte mit widersprüchlichen Werten empfängt, kehrt der EPM-Client zum Standardclientverhalten zurück, bis der Konflikt gelöst ist.

Windows-Richtlinie für Regeln für erhöhte Rechte

Wenn ein Gerät zwei Regeln empfängt, die auf dieselbe Anwendung abzielen, werden beide Regeln auf dem Gerät verbraucht. Wenn EPM Regeln auflöst, die für eine Erhöhung gelten, wird die folgende Logik verwendet:

• Regeln mit dem Erhöhungstyp"Verweigern " haben immer Vorrang, und die Dateierhöhung wird verweigert.
• Für einen Benutzer bereitgestellte Regeln haben Vorrang vor Regeln, die auf einem Gerät bereitgestellt werden.
• Regeln mit einem definierten Hashwert gelten immer als die spezifischste Regel.
• Wenn mehr als eine Regel angewendet wird (ohne definierten Hash), hat die Regel mit den meisten definierten Attributen Vorrang ( am spezifischsten).
• Wenn die Anwendung der fortschreitenden Logik zu mehr als einer Regel führt, bestimmt die folgende Reihenfolge das Verhalten bei erhöhten Rechten: Benutzer bestätigt, Als aktuellen Benutzer heraufstufen, Support genehmigt und dann Automatisch.

Endpoint Privilege Management und Benutzerkontensteuerung

✅ Verstehen der Interaktion zwischen EPM und der Benutzerkontensteuerung

Endpoint Privilege Management und die in Windows integrierte Benutzerkontensteuerung (User Account Control, UAC) sind separate Features mit unterschiedlichen Funktionen.

Wenn Sie Benutzer auf die Ausführung als Standardbenutzer verschieben und Endpoint Privilege Management verwenden, können Sie das Standardverhalten der Benutzerkontensteuerung für Standardbenutzer ändern. Diese Änderung kann Verwirrung reduzieren, wenn eine Anwendung erhöhte Rechte erfordert, und zu einer besseren Endbenutzererfahrung führen. Untersuchen Sie das Verhalten der Eingabeaufforderung für erhöhte Rechte für Standardbenutzer , um weitere Informationen zu erhalten.

Empfehlungen für die Sicherheit

✅ Die sicherste Methode zur Verwendung von EPM

Um eine sichere Bereitstellung von Endpoint Privilege Management zu gewährleisten, berücksichtigen Sie diese Empfehlungen beim Konfigurieren des Verhaltens und der Regeln für erhöhte Rechte.

Festlegen einer sicheren Standardantwort für erhöhte Rechte

Legen Sie die Standardantwort auf erhöhte Rechte auf "Supportgenehmigung erforderlich" oder "Verweigern" anstatt auf Benutzerbestätigung anfordern fest. Diese Optionen stellen sicher, dass erhöhte Rechte durch vordefinierte Regeln für bekannte Binärdateien gesteuert werden, wodurch das Risiko verringert wird, dass Benutzer beliebige oder potenziell schädliche ausführbare Dateien heraufstufen.

Dateipfadbeschränkungen in allen Regeltypen erforderlich

Geben Sie beim Konfigurieren einer Regel für erhöhte Rechte einen erforderlichen Dateipfad an. Der Dateipfad ist zwar optional, kann jedoch eine wichtige Sicherheitsüberprüfung für Regeln sein, die automatische erhöhte Rechte oder platzhalterbasierte Attribute verwenden, wenn der Pfad auf einen Speicherort verweist, den Standardbenutzer nicht ändern können, z. B. ein gesichertes Systemverzeichnis. Durch die Verwendung eines gesicherten Dateispeicherorts wird verhindert, dass ausführbare Dateien oder ihre abhängigen Binärdateien vor der Erhöhung manipuliert oder ersetzt werden.

Diese Empfehlung gilt für Regeln, die automatisch basierend auf Details aus dem Bericht über erhöhte Rechte oder der genehmigten Supportanforderung erstellt werden, und für manuell erstellte Höhenregeln.

Installer- und Laufzeiterweiterungen unterscheiden

Achten Sie bei der Auswahl der Rechte für Installer-Dateien gegenüber der Anwendungslaufzeit darauf, dass erhöhte Rechte verwendet werden. Die Erhöhung der Rechte für Installationsprogramme sollte streng kontrolliert werden, um nicht autorisierte Softwareinstallationen zu verhindern. Laufzeiterweiterungen sollten minimiert werden, um die Gesamtangriffsfläche zu reduzieren.

Anwenden strengerer Regeln auf Anwendungen mit hohem Risiko

Verwenden Sie restriktivere Regeln für erhöhte Rechte für Anwendungen mit umfassenderen Zugriff oder Skripting-Funktionen, z. B. Webbrowser und PowerShell. Erwägen Sie für PowerShell die Verwendung skriptspezifischer Regeln, um sicherzustellen, dass nur vertrauenswürdige Skripts mit erhöhten Berechtigungen ausgeführt werden dürfen.

Neuanfang, auch bei der Migration von einem Drittanbieterprodukt

EPM funktioniert anders als Produkte von Drittanbietern. Daher wird empfohlen, mit einer Überwachungsrichtlinie zu beginnen. Anschließend können Sie neue Regeln aus Berichten erstellen und die Unterstützung für genehmigte erhöhte Rechte nutzen, wenn eine Datei keine Regel enthält, ein Benutzer diese Datei jedoch erhöhen muss, um seine Arbeit zu erledigen.

Rollenbasierte Zugriffssteuerungen für Endpoint Privilege Management

✅ Erfahren Sie, wie Sie den Zugriff auf APM delegieren

Um Endpoint Privilege Management zu verwalten, muss Ihrem Konto eine Intune-RBAC-Rolle (Role-Based Access Control) zugewiesen werden, die die folgende Berechtigung mit ausreichenden Rechten zum Ausführen der gewünschten Aufgabe enthält:

• Endpoint Privilege Management Policy Authoring – Diese Berechtigung ist erforderlich, um mit Richtlinien oder Daten und Berichten für Endpoint Privilege Management zu arbeiten, und unterstützt die folgenden Rechte:

  • Anzeigen von Berichten
  • Lesen
  • Erstellen
  • Aktualisieren
  • Löschen
  • Zuweisen

• Endpoint Privilege Management Erhöhungsanforderungen: Diese Berechtigung ist erforderlich, um mit genehmigten Erhöhungsanforderungen zu arbeiten, die von Benutzern zur Genehmigung eingereicht werden, und unterstützt die folgenden Rechte:

  • Anforderungen für erhöhte Rechte anzeigen
  • Erhöhen von Anforderungen ändern

Sie können diese Berechtigung mit einer oder mehreren Rechten Ihren eigenen benutzerdefinierten RBAC-Rollen hinzufügen oder eine integrierte RBAC-Rolle für die Verwaltung von Endpoint Privilege Management verwenden:

• Endpoint Privilege Manager: Diese integrierte Rolle ist für die Verwaltung von Endpoint Privilege Management in der Intune-Konsole vorgesehen. Diese Rolle umfasst alle Rechte für Endpoint Privilege Management Policy Authoring und Endpoint Privilege Management Elevation Requests.

• Endpunktberechtigungsleser: Verwenden Sie diese integrierte Rolle, um Endpoint Privilege Management Richtlinien in der Intune Konsole anzuzeigen, einschließlich Berichte. Diese Rolle umfasst die folgenden Rechte:

  • Anzeigen von Berichten
  • Lesen
  • Anforderungen für erhöhte Rechte anzeigen

Zusätzlich zu den dedizierten Rollen enthalten die folgenden integrierten Rollen für Intune auch Rechte für die Erstellung von Richtlinien für Endpoint Privilege Management:

• Endpoint Security Manager – Diese Rolle umfasst alle Rechte für Endpoint Privilege Management Policy Authoring und Endpoint Privilege Management Elevation Requests.

• Schreibgeschützter Operator - Diese Rolle umfasst die folgenden Rechte:

  • Anzeigen von Berichten
  • Lesen
  • Anforderungen für erhöhte Rechte anzeigen

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung für Microsoft Intune.

EpmTools PowerShell-Modul

✅ Erfahren Sie, wie Sie das EPM PowerShell-Modul verwenden

Jedes Gerät, das Endpoint Privilege Management-Richtlinien erhält, installiert den EPM-Microsoft-Agent, um diese Richtlinien zu verwalten. Der Agent enthält das EpmTools PowerShell-Modul, eine Reihe von Cmdlets, die Sie auf ein Gerät importieren können. Sie können die Cmdlets von EpmTools für Folgendes verwenden:

• Diagnostizieren und beheben Sie Probleme mit Endpoint Privilege Management.
• Rufen Sie Dateiattribute direkt aus einer Datei oder Anwendung ab, für die Sie eine Erkennungsregel erstellen möchten.

Installieren Sie das EpmTools PowerShell-Modul

Das PowerShell-Modul EPM Tools ist auf jedem Gerät verfügbar, das die EPM-Richtlinie erhalten hat. So importieren Sie das EpmTools PowerShell-Modul:

Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'

Im Folgenden sind die verfügbaren Cmdlets aufgeführt:

• Get-Policies: Ruft eine Liste aller Richtlinien ab, die EPM für einen bestimmten "PolicyType" ("ElevationRules" oder "ClientSettings") empfangen hat.
• Get-DeclaredConfiguration: Ruft eine Liste der WinDC-Dokumente ab, die die auf das Gerät ausgerichteten Richtlinien identifizieren.
• Get-DeclaredConfigurationAnalysis: Ruft eine Liste von WinDC-Dokumenten vom Typ MSFTPolicies ab und überprüft, ob die Richtlinie bereits im Epm-Agent vorhanden ist (Spalte "Verarbeitet").
• Get-ElevationRules: Fragen Sie die EpmAgent-Lookup-Funktionalität ab und rufen Sie Regeln ab, die mit Lookup und Target angegeben sind. Lookup wird für FileName und CertificatePayload unterstützt.
• Get-ClientSettings: Verarbeiten Sie alle vorhandenen Clienteinstellungsrichtlinien, um die effektiven Clienteinstellungen anzuzeigen, die von EPM verwendet werden.
• Get-FileAttributes: Ruft Dateiattribute für eine .exe Datei ab und extrahiert ihre Herausgeber- und Zertifizierungsstellenzertifikate an einen festgelegten Speicherort, der zum Auffüllen von Regeleigenschaften für erhöhte Rechte für eine bestimmte Anwendung verwendet werden kann.

Weitere Informationen zu jedem Cmdlet finden Sie in der readme.md-Datei aus dem Ordner EpmTools auf dem Gerät.

Nächste Schritte