Audit der Softwareausführungskontrolle

Software Control erkennt Softwareausführungen anhand von Regeln und wendet auf einen Treffer No action oder Block an. Audit kann für jede Regel separat aktiviert werden. Installationskontrolle, Software Store und Lizenzverwaltung werden getrennt konfiguriert; die Aktivierung einer Funktion aktiviert die anderen nicht automatisch.

Richtlinie speichern, Empfang durch den Endpunkt, Softwareabgleich, tatsächliche Blockierung und Meldung eines Eintrags sind getrennte Schritte. Eine Blockierung erzeugt nicht zwangsläufig einen Auditeintrag; ein Eintrag allein beweist nicht, dass die Software erfolgreich beendet wurde.

Die vollständige Konfiguration finden Sie unter Richtlinie zur Softwareausführungskontrolle.

Für die Abfrage vorhandener Datensätze können Sie mit dem entsprechenden Leserecht direkt zu den Abfrageschritten unten gehen. Sie müssen nicht allein für die Abfrage eine Richtlinie erstellen oder Testereignisse erzeugen. Prüfen Sie für die Validierung neuer Datensätze zuerst die bestehende zutreffende Richtlinie; nur bei Bedarf ändert eine Person mit Richtlinienverwaltungsrecht diese vor dem Pilottest.

Vorbereitung

• Änderungen an Software-Compliance-Richtlinien und die Anzeige von Auditdaten erfordern jeweils die entsprechenden Rechte. Legen Sie Pilotendpunkte, Geltungszeit und Kontrollanforderungen der Organisation fest.
• Ermitteln Sie die zu erkennende Software und ihre tatsächlichen Ausführungsdaten. Prüfen Sie für Softwarelisten oder -kategorien unter Objects & Templates > Software Objects vorhandene Objekte auf Name, Kategorie und verknüpfte Anwendungen und verwenden Sie geeignete Objekte. Erstellen oder ändern Sie Objekte nur bei Bedarf und speichern Sie diese Änderungen, bevor Sie sie in einer Kontrollregel auswählen.
• Wählen Sie wenige wiederherstellbare Pilotendpunkte und bereiten Sie zu kontrollierende Software sowie Vergleichssoftware vor, die nicht betroffen sein soll. Eine zu breite Blockierungsregel kann Geschäftsabläufe stören; stimmen Sie zuerst ein Wiederherstellungsverfahren mit den Verantwortlichen ab.
• Die Unterstützung für Software, Kategorien, Process path, Window name und SHA256 kann sich je nach Plattform unterscheiden. Ein auf der Seite angebotener Bedingungstyp bedeutet nicht, dass alle Endpunkte ihn identisch ausführen. Prüfen Sie Zielsystem und tatsächliche Version.

Kontrollregeln konfigurieren

1. Prüfen Sie für neue Datensätze unter Software > Policy den Bereich und die Geltungszeit der Testendpunkte sowie den Aktivierungsstatus der Softwarekontrolle; öffnen Sie Settings und prüfen Sie vorhandene Regeln. Verwenden Sie passende Regeln weiter. Bei erforderlicher Aktivierung oder Änderung bewertet eine Person mit Richtlinienverwaltungsrecht die Auswirkungen und folgt dem genehmigten Plan.
2. Prüfen Sie Softwareobjekte oder andere Bedingungen, Regelreihenfolge, Hauptaktion und den Auditstatus der betreffenden Regel. Block aktiviert Audit nicht automatisch. Nur bei Bedarf ändert eine berechtigte Person die Einstellungen; ändern Sie bestehende Blockierungsaktionen nicht nur für Tests. Die vollständige Einrichtung steht im Richtlinienkapitel oben.
3. Änderungen im Fenster bestätigen, die gesamte Richtlinie speichern und den Empfang abwarten. Mit passenden und nicht passenden kontrollierten Beispielen Endpunktverhalten und Meldung prüfen; Speichern beweist weder Ausführung noch Meldung.

Abgleich unter Windows: Unterschiedliche Abgleicheinträge einer gewöhnlichen Regel müssen nicht gleichzeitig zutreffen. Werden beispielsweise eine Prozessbedingung und ein SHA256-Wert hinzugefügt, kann bereits einer davon die Regel auslösen; sie bilden keine doppelte Einschränkung. Mehrere Felder innerhalb einer strukturierten Prozessbedingung müssen dagegen gemeinsam zutreffen. Gleichen Sie den Pfad mit dem tatsächlichen vollständigen Programmpfad ab. Zusätzliche Einträge können den Geltungsbereich erweitern. Testen Sie vor dem Aktivieren der Blockierung jeweils Beispiele, die nur einen Eintrag beziehungsweise keinen der beiden erfüllen.

Ergebnisse prüfen und Auditdaten anzeigen

1. Für die Prüfung eines neuen Datensatzes: Stellen Sie sicher, dass der Pilotendpunkt die Richtlinie empfangen hat. Starten Sie passende und nicht passende Testsoftware und beobachten Sie Ausführung beziehungsweise Blockierung.
2. Bei neuen Datensätzen warten Sie zunächst auf Verarbeitung und Übertragung. Öffnen Sie Software > Audit > Software Control.
3. Wählen Sie den Datumsbereich und geben Sie bei Bedarf ein Stichwort ein. Prüfen Sie Endpunkt, IP, Regelname, Softwarename, Dateipfad und Zeit; öffnen Sie den Eintrag für Details.
4. Erweiterte Filter wie Abteilung, Endpunkt, IP, Regelname und Softwarename filtern nur die aktuell geladene Seite. Der Zeitfilter ändert das Abfragedatum. Ist eine Seite leer, entfernen Sie die Filter und prüfen Sie weitere Seiten, bevor Sie das Fehlen eines Eintrags annehmen.
5. Prüfen Sie bei Blockierungen auf dem Endpunkt, ob die Software tatsächlich beendet wurde oder nicht fortfahren kann. Weichen Eintrag und Endpunktergebnis voneinander ab, dokumentieren und untersuchen Sie beide getrennt; keines allein ist eine vollständige Schlussfolgerung.

Die Liste und die Details zeigen weder die Aktion noch das tatsächliche Durchsetzungsergebnis. Prüfen Sie die Richtlinienkonfiguration zusammen mit dem tatsächlichen Endpunktzustand. Nach einer fehlgeschlagenen Abfrage können frühere Ergebnisse sichtbar bleiben. Warten Sie nach Änderungen auf den Abschluss und prüfen Sie Datum, Endpunkt und Stichwort. Bei einem Abfragefehler oder unpassenden Ergebnissen fragen Sie erneut ab und kontaktieren Sie den Support; behandeln Sie die alte Liste nicht als neues Ergebnis.

Häufige Probleme

1. Eine Regel lässt sich nicht speichern: Prüfen Sie Namen, mindestens eine Abgleichbedingung und mindestens ein Nicht-Platzhalterfeld in jeder strukturierten Prozessbedingung. Stellen Sie sicher, dass die Dialoge und die gesamte Richtlinie gespeichert wurden.
2. Software wird nicht wie erwartet blockiert: Prüfen Sie Zielendpunkte und Zeit, Richtlinienempfang, Aktion, Bedingungen, Regelreihenfolge und Plattformunterstützung. Wiederholen Sie bei Bedarf den Test mit einer konkreten Pilotprozessbedingung.
3. Blockierung ohne Eintrag: Prüfen Sie, ob Audit für die Regel aktiviert ist, und kontrollieren Sie Endpunktmeldung, Datum, Stichwort, Filter der aktuellen Seite und Sichtbarkeitsbereich des Administrators.
4. Einträge oder Details sind nicht sichtbar: Prüfen Sie Kontorechte, Endpunktsichtbarkeit und Seitenmeldungen. Wenden Sie sich bei anhaltenden Problemen an Administrator oder Support; umgehen Sie die Prüfung nicht durch Weitergabe vertraulicher Pfade.
5. Geschäftssoftware wird irrtümlich blockiert: Stellen Sie notwendige Geschäftsabläufe gemäß dem Notfallverfahren Ihrer Organisation wieder her. Prüfen Sie Trefferregel, Geltungsbereich und Reihenfolge; korrigieren und validieren Sie auf kontrollierten Endpunkten, bevor Sie die Anwendung ausweiten.