Richtlinie zur Sicherheitsattributprüfung

Security Attributes verwaltet Definitionen von Sicherheitsdomänen und Sicherheitsstufen und ordnet ihnen Endpunkte zu. Verschlüsselungsrichtlinien können diese Definitionen referenzieren und Zugriffe auf geschützte Dateien anhand der Konfiguration prüfen. Die Erstellung einer Definition aktiviert keine Prüfung und bedeutet nicht, dass Endpunkte die Konfiguration empfangen haben.

Sicherheitsdomänen und Sicherheitsstufen sind unterschiedliche Einstellungen. Planen Sie sie anhand von Datenklassifizierung, Endpunktbereich und Zugriffsanforderungen Ihrer Organisation. Das tatsächliche Ergebnis hängt auch von Dateiattributen, Entschlüsselungsart und Endpunktstatus ab.

Die Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.

Vor der Einrichtung

• Verwenden Sie ein Konto mit Verwaltungsrechten für transparente Dokumentenverschlüsselung. Testendpunkte müssen angebunden, entsprechend lizenziert und zum Richtlinienempfang fähig sein.
• Planen Sie Sicherheitsdomänen, Stufennummern und zugehörige Endpunkte. Eine neue Stufennummer muss eine unbenutzte ganze Zahl zwischen 1 und 100 sein; nach der Erstellung kann sie auf der Bearbeitungsseite nicht geändert werden.
• Prüfen Sie vor Änderungen den vollständigen Zuordnungsbereich und geschäftliche Auswirkungen. Aufgrund administrativer Sichtbarkeit, Endpunktstatus oder Lizenzierung zeigt die Seite möglicherweise nicht alle zugeordneten Endpunkte.

Beim Speichern einer Bearbeitung ersetzt die aktuelle Auswahl die bisherigen Endpunktzuordnungen. Wenn nicht alle bisherigen Zuordnungen angezeigt werden, kann direktes Speichern unsichtbare Endpunkte entfernen. Lassen Sie den vollständigen Bereich zuvor von einem entsprechend berechtigten Administrator prüfen.

Sicherheitsdomänen und Stufen vorbereiten

1. Unter DES > Security Attributes vorhandene Sicherheitsdomänen, Stufen und Zielendpunktzuordnungen prüfen. Geeignete Definitionen wiederverwenden; notwendige Ergänzungen oder Änderungen nimmt eine Person mit vollständigem Verwaltungsbereich nach dem Objektverwaltungskapitel vor.
2. Eine neue Stufennummer muss eine unbenutzte ganze Zahl von 1 bis 100 sein. Das Speichern einer Bearbeitung ersetzt Endpunktzuordnungen; eine neue Stufenzuweisung ersetzt auch die bisherige Stufe. Vollständigen Bereich und betroffene Endpunkte vor und nach Änderungen prüfen.

• Sicherheitsdomänen und Geheimhaltungsstufen verwalten

Nach dem Speichern der Definition ist bei Bedarf weiterhin eine Richtlinie einzurichten. Eine Definition allein aktiviert keine Zugriffsprüfung.

Prüfung in der Richtlinie einrichten

1. Erstellen oder bearbeiten Sie in der transparenten Dokumentenverschlüsselung eine Testrichtlinie und prüfen Sie Gültigkeit sowie Endpunkte, Gruppen oder Tags. Wählen Sie je nach Bedarf autorisierte Software und prüfen Sie deren Nutzungsbedingungen am Endpunkt.
2. Wählen Sie in den Richtlinieneinstellungen bei Security Attributes (Sicherheitsattribute) Open. Wählen Sie unter Apply Checks To (Prüfbereich) Static Decryption, Transparent Decryption oder beides; mindestens eine Option ist erforderlich.
3. Aktivieren Sie bei Bedarf Check Security Domain (Sicherheitsdomäne prüfen), öffnen Sie Parameter Settings, wählen Sie zulässige Domänen und bestätigen Sie. Bei aktivierter Prüfung ist mindestens eine Domäne erforderlich.
4. Aktivieren Sie bei Bedarf Check Classification Level (Sicherheitsstufe prüfen) und prüfen Sie, ob dem Endpunkt in der Verwaltung der Sicherheitsattribute die erwartete Stufe zugeordnet ist. Die Stufenliste im Richtlinienfenster dient der Ansicht, nicht der Neuzuordnung von Endpunkten.
5. Konfigurieren Sie bei Bedarf Check Trusted Endpoints (vertrauenswürdige Endpunkte prüfen) und Adjust File Trusted Endpoints (vertrauenswürdige Endpunkte einer Datei anpassen). Ersteres ist eine Prüfbedingung, Letzteres erlaubt die Anpassung. Die Erlaubnis bedeutet nicht, dass alle Dateien bereits vertrauenswürdige Endpunkte besitzen.
6. Wenn Dateisicherheitsattribute per Genehmigung geändert werden sollen, aktivieren Sie Submit for Approval und wählen Sie unter Approval Settings einen geeigneten Ablauf. Bei Aktivierung ist mindestens ein Ablauf erforderlich.
7. Bestätigen und speichern Sie das Fenster und anschließend die gesamte Richtlinie. Prüfen Sie Bereich und Status und warten Sie auf Empfang und Anwendung am Testendpunkt.

Grenzen der Prüfung unter Windows: In einigen Windows-Dateizugriffsszenarien werden Sicherheitsdomäne, Sicherheitsstufe und vertrauenswürdige Endpunkte nicht geprüft, wenn der öffnende Endpunkt mit dem in der Datei vermerkten Erstellungsendpunkt übereinstimmt. Enthält die Datei keine Liste vertrauenswürdiger Endpunkte, führt das bloße Aktivieren dieser Prüfung aus diesem Grund nicht zur Zugriffsverweigerung. Bei Dateien anderer Endpunkte wird der Zugriff verweigert, wenn die Stufenprüfung gilt, keine andere Ausnahme greift und die Dateistufe höher als die des öffnenden Endpunkts ist. Andere Zugriffsbedingungen können weiterhin gelten. Übertragen Sie diese Beobachtungen nicht auf ungeprüfte Plattformen oder alle Vorgänge; testen Sie verschiedene Endpunkte und Dateien getrennt.

Prüfen und ändern

1. Bestätigen Sie den Richtlinienempfang und prüfen Sie Domäne, Stufe und geltende Entschlüsselungsart. Testen Sie mit wiederherstellbaren Dateien sowohl Zugriffe, die Bedingungen erfüllen, als auch solche, die dies nicht tun. Prüfen Sie die Bedingungen einzeln.
2. Reichen Sie bei aktivierter Genehmigung einen Testantrag nach Organisationsverfahren ein und prüfen Sie Genehmigungsstatus und anschließenden Dateizugriff. Ein einzelner Test belegt kein gleiches Verhalten aller Dateien, Plattformen und Operationen.
3. Dokumentieren Sie vor Bearbeitung die vollständigen Zuordnungen und referenzierenden Richtlinien. Prüfen Sie die geänderte Endpunktauswahl vor und nach dem Speichern. Kontrollieren Sie bei Stufenänderungen die alte und neue Stufe.
4. Bewerten Sie vor dem Löschen Auswirkungen auf Dateien, Endpunkte und Richtlinien, planen Sie Wiederherstellung und lassen Sie Berechtigte bestätigen. Eine erfolgreiche Verwaltungstransaktion belegt keine Endpunktaktualisierung oder tatsächlichen Zugriff. Nehmen Sie keine automatische Reparatur historischer Dateien oder Richtlinien an.

Häufige Probleme

• Definition nicht speicherbar: Prüfen Sie Namen, mindestens einen Endpunkt sowie Nummernbereich und Duplikate der Stufe.
• Richtlinienfenster nicht bestätigbar: Prüfen Sie mindestens einen Prüfbereich sowie bei aktivierter Domänenprüfung oder Genehmigung die jeweilige Domäne und den Ablauf.
• Endpunktliste unvollständig: Prüfen Sie Kontobereich, Endpunktstatus und Lizenz. Speichern Sie keine ersetzende Änderung, bevor der vollständige Bereich geprüft wurde.
• Weniger Endpunkte in ursprünglicher Stufe: Prüfen Sie Neuzuordnungen und ob bei der Bearbeitung bisherige Zuordnungen ausgelassen wurden.
• Dateizugriff unerwartet: Prüfen Sie Speicherung der gesamten Richtlinie, Empfang sowie Dateiattribute, Domäne, Stufe, vertrauenswürdige Endpunkte und Entschlüsselungsart. Erweitern Sie den Bereich erst nach Klärung.