Richtlinie zur Software-Rechteerhöhung

Software Elevation weist bestimmter Software eine Ausführungsidentität zu, sodass passende Software unter dieser Identität ausgeführt werden kann, ohne den Benutzer direkt zur lokalen Administratorengruppe hinzuzufügen. Die hier beschriebene Endpunktausführung bezieht sich auf Windows; andere Plattformen sind gesondert zu prüfen.

Eine Rechteerhöhung erweitert die Handlungsmöglichkeiten der Software. Begrenzen Sie ausführbare Dateien und Zielendpunkte, verwenden Sie eine von der Organisation genehmigte Identität und testen Sie zuerst im Pilotbetrieb. Richtlinie speichern, Endpunktempfang und tatsächliche Ausführung unter der gewünschten Identität sind getrennte Zustände.

Zur Identitätsverwaltung siehe Ausführungsidentitäten verwalten.

Vorbereitung

• Stellen Sie sicher, dass die für die Richtlinie verantwortliche Person Software-Compliance-Richtlinien verwalten und Ausführungsidentitäten ansehen und auswählen kann. Das Erstellen oder Ändern einer Identität übernimmt bei Bedarf eine Person mit den entsprechenden Verwaltungsrechten. Legen Sie Zielendpunkte, Geschäftssoftware und notwendige Rechte fest.
• Ermitteln Sie den vertrauenswürdigen Installationsort, Produktnamen und SHA-256 der Datei. Klären Sie die Pflegeverantwortung bei Softwareupdates und prüfen Sie die Angaben zuerst in einer nicht produktiven Pilotumgebung.
• Wählen Sie die Ausführungsidentität nach dem Prinzip der geringsten Rechte. Bewerten Sie bei hochprivilegierten Konten die Risiken der Software, nachladbarer Komponenten, Konfiguration und Updates. Verwenden Sie keine breiten Regeln für nicht vertrauenswürdige Software.
• Geben und pflegen Sie Zugangsdaten nur über ein von Ihrer Organisation zugelassenes Verfahren. Nehmen Sie sie nicht in Handbücher, Tickets, Screenshots oder sachfremde Kommunikation auf.

Ausführungsidentität vorbereiten

Öffnen Sie Objects & Templates und Run identities. Prüfen Sie, ob eine vorhandene Identität für den Geschäftsbedarf geeignet ist.

Verwenden Sie eine vorhandene Identität wieder, wenn sie den Geschäfts- und Mindestprivilegienanforderungen entspricht. Bei Bedarf erstellt oder ändert eine berechtigte Person sie gemäß Ausführungsidentitäten verwalten; bewerten Sie vor Änderungen an einer gemeinsamen Identität die Auswirkungen auf referenzierende Richtlinien. Integrierte Identitäten und angegebene Konten unterscheiden sich in Ausführung und Berechtigungen; prüfen Sie dies vor der Auswahl.

Software Elevation konfigurieren

1. Öffnen Sie unter Software die Richtlinien und erstellen oder bearbeiten Sie die Zielrichtlinie. Prüfen Sie Name, Zielendpunkte und Geltungszeit.
2. Aktivieren Sie Software elevation, öffnen Sie die Einstellungen und fügen Sie unter den Ausführungsregeln eine Regel hinzu.
3. Geben Sie unter Executable den Dateinamen oder einen absoluten lokalen Windows-Pfad des Zielprogramms ein. Der Dateiname muss auf .exe enden. Bevorzugen Sie einen geprüften konkreten Pfad und eine konkrete Datei, damit gleichnamige Software nicht unbeabsichtigt erfasst wird.
4. Geben Sie den aus 64 hexadezimalen Zeichen bestehenden SHA-256-Datei-Hash ein; die Seite akzeptiert auch *. Bei * wird die Datei-Hashprüfung für diese Regel übersprungen. Bewerten Sie das Risiko eines Austauschs der Software oder Missbrauchs des Pfads; verwenden Sie dies nicht als Standardwahl.
5. Geben Sie die Additional product name condition ein und wählen Sie die vorbereitete Run identity. Prüfen Sie die Produktinformationen der Zieldatei. Eine zu breite Bedingung kann den Geltungsbereich erweitern.
6. Mehrere Regeln können umgeordnet werden. Der Windows-Endpunkt prüft Pfad, Hash und Produktname in Regelreihenfolge und verwendet die Identität der ersten passenden Regel. Prüfen Sie bei Überschneidungen die Position breiterer Regeln und testen Sie die Fälle einzeln.
7. Speichern Sie den Regeleinstellungsdialog und anschließend die gesamte Richtlinie. Prüfen Sie nach Empfang durch den Pilotendpunkt, ob die Software wie benötigt läuft, und kontrollieren Sie die tatsächliche Identität und Rechte.

Ändert sich die gewählte Identität während der Konfiguration oder ist sie nicht verfügbar, kann die Seite eine erneute Auswahl verlangen. Ein Softwareupdate kann den Datei-Hash ändern. Prüfen Sie danach Regel, Dateiquelle und Pilotergebnis erneut; entfernen Sie die Hashbeschränkung nicht ohne Risikobewertung nur zur Wiederherstellung der Ausführung.

Prüfen Sie bei einem angegebenen Konto dessen Verfügbarkeit, die korrekte Uhrzeit des Endgeräts und die Verbindung zur Plattform. Nach längerer Offlinezeit oder Konto- beziehungsweise Richtlinienänderungen können frühere Ausführungsbedingungen ungültig sein. Prüfen Sie diese Bedingungen und wenden Sie sich nach Organisationsverfahren an die Administration; eine Rechteerhöhung ist offline nicht immer gewährleistet.

Ein fehlgeschlagener oder unklarer Start bedeutet nicht zwingend, dass das Programm nicht läuft. Prüfen Sie vor einem erneuten Versuch, ob es bereits gestartet wurde und unter welcher Identität, um doppelte Ausführung zu vermeiden. Gehen Sie anschließend nach Organisationsverfahren vor. Bei Nichtanwendbarkeit oder Fehlern kann ein Start mit der ursprünglichen Identität versucht werden oder ausbleiben. Ein sichtbares Fenster beweist keine erfolgreiche Rechteerhöhung.

Wird nur der Name der ausführbaren Datei angegeben, können gleichnamige Programme in verschiedenen lokalen Verzeichnissen die Pfadbedingung erfüllen. Die zusätzliche Produktnamensbedingung einer neuen Regel steht zunächst auf *; bleibt * stehen, wird der Produktname nicht geprüft. Dateiname sowie * für Hash und Produktname können den Trefferbereich erheblich erweitern. Verwenden Sie vorzugsweise einen konkreten geschützten Pfad, einen verifizierten Datei-Hash und einen passenden Produktnamen; testen Sie zusätzlich ein gleichnamiges Vergleichsprogramm. Diese Bedingungen ersetzen nicht die Prüfung der Software und ihrer Updatequelle.

Prüfung und Fehlerbehebung

1. Testen Sie auf dem Pilotendpunkt passende Software und Vergleichssoftware, die nicht passen soll. Prüfen Sie Startergebnis, tatsächliche Ausführungsidentität und Geschäftsoperationen.
2. Eine Regel lässt sich nicht speichern: Stellen Sie mindestens eine Regel sicher und prüfen Sie .exe-Pfad, SHA-256-Format, Produktname und Ausführungsidentität. Prüfen Sie, ob die Identität noch existiert, und wählen Sie eine geänderte Identität bei entsprechender Aufforderung erneut aus.
3. Software läuft nicht unter der erwarteten Identität: Prüfen Sie Richtlinienbereich und Endpunktempfang, tatsächlichen Programmpfad, Datei-Hash, Produktname und Regelreihenfolge. Prüfen Sie anschließend Kontoverfügbarkeit und Seitenmeldungen.
4. Verhalten ändert sich nach einem Update: Prüfen Sie Version und Datei-Hash. Verifizieren Sie die Installationsquelle und aktualisieren Sie die Regel nach dem Organisationsverfahren; wiederholen Sie den Pilottest vor der Ausweitung.
5. Eine Identität lässt sich nicht löschen oder eine Änderung beeinflusst andere Richtlinien: Prüfen Sie Referenzen und Einschränkungen integrierter Identitäten und stimmen Sie sich mit den Richtlinienverantwortlichen ab, um bestehende Geschäftsabläufe nicht zu unterbrechen.

Beurteilen Sie den Erfolg einer Rechteerhöhung nicht allein daran, ob ein Programm startet. Weiten Sie den Bereich erst aus, wenn die Testergebnisse stimmen und ein Wiederherstellungsverfahren vorliegt.