Wechselspeicher-Kontrollrichtlinie
Unter Mobile Storage können Sie erkannte Speichergeräte, Nutzungshinweise und Risiken einsehen sowie Zuordnungskategorien und Asset-Daten pflegen. Eine Zuordnung verschlüsselt ein Gerät nicht und sperrt keinen Zugriff. Für Zugriffsbeschränkungen nach Zuordnungskategorie konfigurieren und prüfen Sie die Richtlinie zur Steuerung mobiler Speicher. Andere anwendbare Gerätesteuerungsrichtlinien können das Ergebnis ebenfalls beeinflussen.
Kategoriebasierte Zugriffsrechte konfigurieren
Für kategoriebasierte Zugriffsrechte bearbeiten Sie in Unified Endpoint Management eine Richtlinie für die Testendpunkte, aktivieren die Steuerung mobiler Speichergeräte und öffnen deren Einstellungen. Wählen Sie für Unclaimed, Enterprise, Personal, Visitor und Watchlist jeweils Zugriff verweigern, schreibgeschützt oder Lesen und Schreiben. Speichern Sie die Einstellungen und die gesamte Richtlinie und prüfen Sie Gültigkeitsbereich und -zeit. Die Richtlinie gilt für Windows-Endpunkte; andere Plattformen können die Konfiguration behalten, führen sie aber nicht aus. Testen Sie nach Empfang und Anwendung Lesen und Schreiben mit Geräten der jeweiligen Kategorien, bevor Sie den Bereich erweitern. Prüfen Sie vor Änderungen die vorhandenen Rechte, um den Betrieb nicht unbeabsichtigt zu beeinträchtigen.
Anfängliche Rechte einer neuen Konfiguration: Unclaimed, Visitor Drive und Watchlist stehen auf Deny, Enterprise Drive auf Read / Write und Personal Drive auf Read Only. Die Steuerung mobiler Speichergeräte selbst ist anfangs deaktiviert. Diese Werte sind keine Empfehlung für jede Organisation; bestehende Richtlinien können abweichen. Prüfen Sie jeden Wert vor Aktivierung und Speicherung.
Kategorieänderungen und Offlinebetrieb: Bei der Windows-Wechselspeicherkontrolle kann ein Endpunkt vorübergehend eine früher erkannte Kategorie verwenden, wenn er die aktuelle nicht abrufen kann. Ohne verwendbare Kategorie oder bei nicht identifizierbarem Gerät kann die Unclaimed-Berechtigung gelten. Genehmigte Freigaben und andere Richtlinien können das Ergebnis ebenfalls beeinflussen. Bewerten Sie Änderungen an Kategorien oder Unclaimed-Rechten vorab und testen Sie Lesen und Schreiben kontrolliert online, offline und nach erneuter Verbindung.
Abgrenzung verschlüsselter Medien: Bei der Windows-Wechselspeicherkontrolle werden die von diesem Produkt erstellten verschlüsselten virtuellen Volumes nicht direkt durch diese Kategorie-Berechtigungen für Wechselspeicher gesteuert. Prüfen Sie bei verschlüsselten Medien Schlüssel, Verschlüsselungseinstellungen, physisches Gerät und andere geltende Richtlinien gesondert. Tests mit gewöhnlichem Wechselspeicher belegen nicht unmittelbar das Zugriffsverhalten eines verschlüsselten virtuellen Volumes.
Geräte und zugehörige Richtlinien vorbereiten
- Stellen Sie sicher, dass die Verwaltungsperson Unified Endpoint Management und relevante Datensätze einsehen darf. Registrieren Sie den Testendpunkt, verwenden Sie das Gerät an einem verwalteten Endpunkt und warten Sie auf die Meldung der Geräteinformationen. Berechtigungen, Endpunktbereich und vorhandene Daten bestimmen die Sichtbarkeit.
- Für neue Hinweise auf Dateioperationen prüfen Sie unter DLP > Policy eine vorhandene Richtlinie für das Pilotendgerät. Kontrollieren Sie aktivierte Dateiflussverfolgung, Geltungszeit sowie Endgerät-, Gruppen- oder Tag-Bereich. Verwenden Sie eine geeignete Richtlinie weiter; nur eine berechtigte Person ändert und speichert sie bei Bedarf vollständig. Warten Sie auf Empfang und Anwendung, kopieren Sie eine genehmigte nicht vertrauliche Testdatei und warten Sie auf die Meldung.
- Zur Erkennung vertraulicher Inhalte bereiten Sie zusätzlich entsprechende Regeln vor und konfigurieren in den passenden Dateisicherheitseinstellungen Objekte, Operationen und Aktionen wie Audit. Dateinachverfolgung, Inhaltserkennung und Gerätezutrittsbeschränkung sind getrennte Funktionen.
- Für Zugriffsbeschränkungen richten Sie in Unified Endpoint Management eine passende Richtlinie zur Steuerung mobiler Speichergeräte ein. Prüfen Sie das Ergebnis zunächst auf Testendpunkten, bevor Sie den Bereich erweitern. Eine Änderung der Gerätekategorie kann die Anwendung zugehöriger Richtlinien beeinflussen; prüfen Sie diese vorab.
Gehen Sie nicht davon aus, dass Dateinachverfolgung oder Inhaltserkennung allein für die Anzeige des Gerätebestands aktiviert sein müssen. Sie dienen der Bereitstellung entsprechender Datei- und Risikohinweise; ihre Wirkung ist in der jeweiligen Umgebung zu überprüfen.
Fehlerbehebung
Gerät fehlt: Erweitern Sie den Zeitraum um den Zeitpunkt der ersten Erkennung und prüfen Sie Meldung, Sichtbarkeitsbereich und Filter.
Gerät vorhanden, aber keine Dateioperationen oder Risiken: Prüfen Sie Geltung und Anwendung der zugehörigen Richtlinien, den Testzeitpunkt und die Datenmeldung. Unterschiedliche Hinweise können unterschiedliche Einstellungen benötigen.
Enterprise-Gerät lässt sich nicht speichern: Prüfen Sie Asset code, Seitenhinweis und Kontoberechtigungen.
Zugriff nach Kategorie- oder Statusänderung nicht wie erwartet: Prüfen Sie die Kategorienberechtigungen für mobile Speicher, andere anwendbare Gerätesteuerungsrichtlinien, Empfang und Anwendung am Endpunkt sowie das tatsächliche Testergebnis. Der Bestandsstatus allein belegt die Durchsetzung nicht.
Aktualisiert