Git-Repository-Zugriffsdatensätze

Die Git-Repositoryzugriffskontrolle legt für Windows-Endpunkte einen Bereich vertrauenswürdiger Repositorys fest und erfasst erkennbare Standard-Git-Zugriffe. Erkennt ein Endpunkt ein nicht vertrauenswürdiges Repository, versucht er den zugehörigen Git-Prozess zu beenden. Regelübereinstimmung, Prozessbeendigung und Abschluss der Repositoryoperation sind unterschiedliche Ergebnisse und müssen getrennt geprüft werden.

Die Funktion garantiert keine Abdeckung sämtlicher Git-Clients, Befehle oder Übertragungsarten und ersetzt keine Repositoryberechtigungen, Netzwerksicherheit oder andere Datensicherheitskontrollen.

Die Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.

Die vollständige Konfiguration finden Sie unter Richtlinie für vertrauenswürdige Git-Repositories.

Für die Abfrage vorhandener Datensätze können Sie mit dem entsprechenden Leserecht direkt zu den Abfrageschritten unten gehen. Sie müssen nicht allein für die Abfrage eine Richtlinie erstellen oder Testereignisse erzeugen. Prüfen Sie für die Validierung neuer Datensätze zuerst die bestehende zutreffende Richtlinie; nur bei Bedarf ändert eine Person mit Richtlinienverwaltungsrecht diese vor dem Pilottest.

Vor der Konfiguration

• Für die Anzeige von Aufzeichnungen ist das entsprechende Leserecht erforderlich; Änderungen erfordern DLP-Richtlinienverwaltungsrechte. Prüfen Sie bei neuen Testdatensätzen Anbindung, Lizenz und administrativen Sichtbereich der Windows-Endpunkte.
• Erfassen Sie Adressen, Protokolle und Ports der benötigten Repositorys. Unterscheiden Sie die Freigabe eines einzelnen Repositorys von einem gesamten Namensraum. Repositoryadressen dürfen keine Passwörter, Zugriffstoken oder andere Zugangsdaten enthalten; Kontoberechtigungen verwaltet weiterhin der Git-Dienst.
• Bereiten Sie genehmigte vertrauenswürdige und nicht vertrauenswürdige Testziele, Testkonten und Inhalte ohne sensible Daten vor. Da die Richtlinie Entwicklung oder Builds unterbrechen kann, beginnen Sie mit wenigen wiederherstellbaren Endpunkten und bereiten Sie ein Rückfallverfahren vor.

Vertrauenswürdige Repositorys konfigurieren

1. Öffnen Sie unter DLP im Anwendungsbereich Git Repository Access Control und wählen Sie Trusted Repository Policies.
2. Prüfen Sie Aktivierungsstatus, Wirksamkeitszeit, Zielendpunkte und Regeln der bestehenden Richtlinie einschließlich Repositorybereich, Protokoll, Host, Port und Pfad. Geeignete Einstellungen können ohne erneutes Speichern verwendet werden. Nur bei Änderungsbedarf bewertet eine berechtigte Administration die Auswirkungen, ändert und speichert die gesamte Richtlinie gemäß Richtlinie für vertrauenswürdige Git-Repositories und prüft den Empfang am Pilotendpunkt.
3. Testen Sie vertrauenswürdige und nicht vertrauenswürdige Ziele getrennt mit genehmigten Testkonten und nicht vertraulichen Inhalten. Fragen Sie anschließend die Zugriffsdatensätze unten ab und vergleichen Sie Treffer- und Ausführungsergebnisse. Erweitern Sie den Bereich nicht allein für Tests und beeinträchtigen Sie nicht den Produktionsbetrieb.

Zugriffsaufzeichnungen prüfen

1. Wechseln Sie in Git Repository Access Control zu Access Records. Beim ersten Öffnen umfasst der Standardbereich den aktuellen Tag und die sechs vorherigen Tage. Ändern Sie ihn für andere Zeiträume.
2. Wählen Sie bei Bedarf einen Endpunkt, geben Sie einen Suchbegriff für die Repositoryadresse ein und filtern Sie nach Git-Operation, Abgleichs- und Ausführungsergebnis. Die Liste enthält unter anderem Repository, Operation, Ergebnisse, Endpunkt und Zeit und unterstützt Seitenwechsel. Die Filter heißen in der englischen Oberfläche Git Operation, Match Result und Enforcement Result.
3. Öffnen Sie die Details und gleichen Sie Ziel, Richtlinie, Endpunkt und Zeit ab. Eine Einstufung als nicht vertrauenswürdig bedeutet keine erfolgreiche Blockierung; prüfen Sie auch das Ausführungsergebnis.
4. Wurde ein Ziel nicht erkannt, untersuchen Sie den Geschäfts- und Endpunktkontext weiter. Aufzeichnungen können sensible Geschäftsinformationen enthalten; beschränken Sie den Zugriff nach Organisationsvorgaben.

Einschränkungen und Fehlerbehebung

• Abdeckung: Erkennbare Standard-Git-Netzwerkoperationen umfassen clone, fetch, pull und push. Testen Sie Befehle, Optionen, Clients und Git-LFS-Szenarien jeweils separat. Fehlende Aufzeichnungen beweisen keinen fehlenden Zugriff.
• Ziel nicht erkennbar: Einige nicht auflösbare Ziele werden nicht als nicht vertrauenswürdiges Repository blockiert. Kombinieren Sie andere Sicherheitsmaßnahmen; die Funktion garantiert keine Kontrolle aller externen Übertragungen.
• Nicht vertrauenswürdiger Zugriff nicht blockiert: Prüfen Sie Zielerkennung, Treffer und Prozessausführung. Die Beendigung kann fehlschlagen oder der Prozess bereits beendet sein. Selbst eine erfolgreiche Beendigung beweist nicht, dass zuvor keine Netzwerkkommunikation oder Datenübertragung stattfand.
• Vertrauenswürdiges Repository betroffen: Prüfen Sie Richtlinienverteilung sowie tatsächliches Protokoll, Port und Pfad; kontrollieren Sie Adressumschreibungen und Namensraumbereich. Testen Sie nach Anpassung erlaubte und eingeschränkte Szenarien erneut.
• Aufzeichnung fehlt: Prüfen Sie Endpunkt- und Richtlinienstatus, Lizenz, Sichtbereich, Zeit und Filter und warten Sie auf die Übertragung. Bei Auswirkungen auf die Entwicklung stellen Sie zuerst den Betrieb nach Organisationsverfahren wieder her und prüfen anschließend den Richtlinienbereich.