Richtlinie zur Kontrolle von Softwareinstallationen

Software Installation Control verwaltet die Installation von Software auf Endpunkten und ermöglicht Ausnahmen zur Freigabe bestimmter Software. Die Funktion wird getrennt von der Kontrolle der Softwareausführung konfiguriert: Eine Installationsfreigabe erlaubt nicht automatisch die Ausführung; eine Installationsblockierung bedeutet nicht, dass sämtliche vorhandene Software deinstalliert wurde.

Der Zeitpunkt der Durchsetzung kann je nach Plattform und Installationsart variieren. Ein Linux-Endpunkt kann bei einer Prüfung nach der Installation versuchen, bestimmte neu installierte Software zu entfernen, die die Bedingungen nicht erfüllt. Die Funktion ist daher nicht generell als Blockierung vor dem Start des Installationsprogramms zu verstehen. Ob eine Entfernung gelingt, muss überprüft werden. Bewerten Sie vor Änderungen die Risiken für Geschäftsabläufe, Softwareabhängigkeiten und Wiederherstellung.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten zur Verwaltung von Software-Compliance-Richtlinien. Prüfen Sie Zielendpunkte, Lizenzierung und Geltungszeit der Richtlinie.
• Erfassen Sie Geschäftssoftware, zulässige Installationsarten und notwendige Ausnahmen. Wählen Sie zunächst wenige wiederherstellbare Pilotendpunkte und bereiten Sie Testpakete, Konfigurationssicherungen und ein Wiederherstellungsverfahren vor.
• Prüfen Sie vor einer Ausnahme Softwarebeschreibung, Copyright, Produktname und Dateiname. Betriebssystem und Installationsprogramm können unterschiedliche Informationen bereitstellen; validieren Sie diese in der tatsächlichen Zielumgebung.
• Verwenden Sie Regeln mit unklarem Geltungsbereich nicht unmittelbar auf Produktivendpunkten. Bewerten Sie insbesondere vor Linux-Pilottests die Auswirkungen einer möglichen Entfernung neu installierter Software auf Geschäftsabläufe und Abhängigkeiten.

Installationskontrolle aktivieren

1. Öffnen Sie unter Software die Richtlinien und erstellen oder bearbeiten Sie die Zielrichtlinie. Prüfen Sie Name, Endpunktbereich und Geltungszeit.
2. Aktivieren Sie Software Installation Control in den Richtlinieneinstellungen und öffnen Sie die Einstellungen.
3. Konfigurieren Sie unter Software block prompt bei Bedarf Prompt When Software Is Blocked. Das Hinweisfenster allein beweist weder eine verhinderte Installation noch eine erfolgte Entfernung.
4. Um bestimmte Software zu erlauben, öffnen Sie Exception allow list und fügen Sie wie im nächsten Abschnitt beschrieben Ausnahmen hinzu. Bewerten Sie die Auswirkungen auf Zielendpunkte auch dann, wenn Sie keine Ausnahmen hinzufügen.
5. Bestätigen Sie den Einstellungsdialog und speichern Sie die gesamte Richtlinie. Prüfen Sie den Bereich, warten Sie auf den Empfang durch den Pilotendpunkt und testen Sie anschließend.

Das aktuell sichtbare Einstellungsmenü enthält Blockierungshinweis und Ausnahmen. Zugang und Verfügbarkeit einer Genehmigung für temporäre Installationen richten sich nach der tatsächlichen Oberfläche und Organisationskonfiguration. Gehen Sie nicht allein aufgrund älterer Unterlagen davon aus, dass Endpunkte eine Genehmigung beantragen können.

Ausnahmen konfigurieren

1. Öffnen Sie in den Einstellungen zur Installationskontrolle Exception allow list und wählen Sie die Aktion zum Hinzufügen.
2. Geben Sie in den Softwareinformationen Software description, Copyright, Product name und File name ein. Diese vier Felder sind erforderlich. Ergänzen Sie bei Bedarf Company name und File description.
3. Die Seite weist darauf hin, dass * in bestimmten Feldern alles abgleichen kann. Platzhalter erweitern den Bereich; bevorzugen Sie geprüfte konkrete Angaben und testen Sie mit Vergleichssoftware, die nicht freigegeben werden soll. Plattformen können Bedingungen unterschiedlich behandeln; das Speichern des Dialogs garantiert keine wirksame Ausnahme.
4. Speichern Sie die Softwareinformationen und prüfen Sie die Ausnahmeliste. Speichern Sie anschließend den Dialog zur Installationskontrolle und die gesamte Richtlinie.
5. Bewerten Sie vor dem Bearbeiten oder Löschen einer Ausnahme die abhängigen Endpunkte und Geschäftsprogramme. Testen Sie nach einer Änderung sowohl freizugebende als auch einzuschränkende Fälle, um unbeabsichtigte Freigaben oder Beschränkungen zu vermeiden.

Linux-Paketausnahmen: Bei der Installationskontrolle von dpkg-Paketen gleicht File name die Paketkennung wie example-app ab, nicht den .deb-Installationsdateinamen oder Programmnamen. Software description wird mit dem Softwareinventarnamen abgeglichen; Company name und Copyright mit Herausgeber- oder Betreuerangaben. Eine Ausnahme, deren Bedingungen alle leer oder * sind, ist nicht wirksam. Inventarangaben können fehlen oder von Installationsdateiattributen abweichen. Prüfen Sie die tatsächlichen Angaben am Endgerät und testen Sie erlaubte und nicht erlaubte Fälle getrennt, bevor Sie den Umfang erweitern.

Bei der Installationskontrolle von Linux-Paketen dienen bestehende Softwareinformationen als Prüfbestand. Software, die bereits zu diesem Bestand gehört, wird nicht allein durch diese Prüfung als neu behandelt. Als automatisch installiert erkannte Abhängigkeiten können lediglich beobachtet und in den Bestand aufgenommen werden, statt einzeln entfernt zu werden. Aufbau, Erkennung und Verarbeitung hängen vom tatsächlichen Endpunktzustand ab und belegen kein gleiches Ergebnis für andere Installationsarten.

Bei der Installationskontrolle unter Windows ist die Ausnahmeliste nicht der einzige mögliche Grund für eine Zulassung. Andere vertrauenswürdige oder systembezogene Installationen können unter anderen Bedingungen zugelassen werden. Ein fehlender Ausnahmetreffer garantiert daher keine Blockierung; prüfen Sie Installer und betriebliche Ergebnisse in der Zielumgebung.

Prüfung und Fehlerbehebung

1. Stellen Sie sicher, dass der Pilotendpunkt die Richtlinie empfangen hat. Testen Sie während eines Wartungsfensters mit genehmigter Software Fälle mit und ohne passende Ausnahme getrennt und dokumentieren Sie tatsächliche Installations-, Ausführungs- oder Entfernungsergebnisse.
2. Warten Sie auf Linux-Endpunkten die Prüfung nach der Installation ab und kontrollieren Sie den endgültigen Softwarestatus. Eine zuvor vom Installationsprogramm gemeldete erfolgreiche Installation beweist keine unwirksame Richtlinie; eine anschließende Entfernung ist ebenfalls nicht garantiert.
3. Prüfen Sie bei aktiviertem Blockierungshinweis, ob das Fenster auf dem Endpunkt erscheint. Kontrollieren Sie bei fehlendem Hinweis auch Richtlinienempfang und tatsächliches Ergebnis; verwenden Sie das Hinweisfenster nicht als einzigen Nachweis.
4. Eine Ausnahme lässt sich nicht speichern oder wirkt nicht: Prüfen Sie Pflichtfelder, tatsächliche Softwareinformationen, Zielplattform und Regelbereich. Stellen Sie sicher, dass alle Dialoge und die gesamte Richtlinie gespeichert und vom Endpunkt empfangen wurden.
5. Geschäftssoftware wird unerwartet eingeschränkt oder entfernt: Stellen Sie den Betrieb gemäß dem Notfallverfahren Ihrer Organisation wieder her und prüfen Sie Richtlinienbereich und Ausnahmen. Ändern und validieren Sie auf Pilotendpunkten, bevor Sie den Bereich ausweiten.

Der tatsächliche Verarbeitungszeitpunkt hängt vom Betrieb des Endpunkts ab. Prüfen Sie das Speichern der Richtlinie, ihren Empfang und das Geschäftsergebnis getrennt.