Verwenden von Endpoint Privilege Management mit Microsoft Intune

Mit Microsoft Intune Endpoint Privilege Management (EPM) können die Benutzer Ihrer Organization als Standardbenutzer (ohne Administratorrechte) arbeiten und Aufgaben erledigen, die erhöhte Berechtigungen erfordern. Zu den Aufgaben, die in der Regel Administratorrechte erfordern, gehören die Installation von Anwendungen (z. B. Microsoft 365-Anwendungen), das Aktualisieren von Gerätetreibern und das Ausführen bestimmter Windows-Diagnosen.

Endpoint Privilege Management unterstützt Ihre Zero Trust-Reise, indem es Ihrer Organisation hilft, eine breite Benutzerbasis zu erreichen, die mit den geringsten Rechten ausgeführt wird, während ausgewählte Aufgaben bei Bedarf erhöht werden, um produktiv zu bleiben. Weitere Informationen finden Sie unter Zero Trust mit Microsoft Intune.

Diese Übersicht enthält Informationen zu EPM, einschließlich der Vorteile, der Funktionsweise und der ersten Schritte.

Gilt für:

  • Windows

Wichtige Funktionen und Vorteile

✅ Erfahren Sie mehr über die wichtigsten Features und Vorteile von EPM.

  • Standardmäßig Standardbenutzer. Benutzer können ihre Aufgaben ohne lokale Administratorrechte ausführen.
  • Unterstützung für Just-In-Time-Höhen. Benutzer können bestimmte IT-genehmigte Binärdateien oder Skripts für eine vorübergehende Erhöhung auslösen.
  • Richtlinienbasierte Steuerung. Administratoren definieren Einstellungen und Regeln, um Bedingungen und Verhalten für erhöhte Rechte zu steuern, mit präzisen Funktionen zur Regelerstellung, die den Anforderungen des Unternehmens entsprechen.
  • Audit, Protokollierung und Berichterstellung. Intune protokolliert jede Erhöhung mit detaillierten Metadaten.
  • Ausrichtung an den Zero Trust-Prinzipien durch Ermöglichung des geringstprivilegierten Zugangs und Minimierung von Lateral-Movement-Risiken.

EPM-Grundlagen

✅ Funktionsweise von EPM

EPM-Höhen können mit zwei Methoden ausgelöst werden:

  • Automatisch, oder;
  • Benutzer initiiert.

EPM kann mithilfe von zwei Arten von Richtlinien konfiguriert werden, die beide auf Benutzer- oder Gerätegruppen ausgerichtet sein können:

  • Einstellungsrichtlinie für erhöhte Rechte : Steuert den EPM-Client, die Berichtsebene und die Standardfähigkeit für erhöhte Rechte.
  • Richtlinie für Rechteerweiterungen : Definiert das Verhalten für erhöhte Rechte für Binärdateien oder Skripts basierend auf Kriterien.

Um die Erhöhung auf dem Gerät durchzuführen, verwendet der EPM-Dienst für die meisten Erhöhungstypen ein virtuelles Konto, das vom Konto des angemeldeten Benutzers isoliert ist. Keines dieser Konten wird der lokalen Administratorgruppe hinzugefügt. Eine Ausnahme von der Verwendung des virtuellen Kontos ist der Erhöhungstyp Als aktuellen Benutzer erhöhen , der im folgenden Abschnitt näher erläutert wird.

Der EPM-Client wird automatisch installiert, wenn Geräten oder Benutzern eine Einstellungsrichtlinie für erhöhte Rechte zugewiesen wird. Der EPM-Client verwendet den Dienst "Microsoft EPM Agent Service" und speichert seine Binärdateien im "C:\Program Files\Microsoft EPM Agent" Verzeichnis.

Dieses Diagramm zeigt eine allgemeine Architektur, wie der EPM-Client ausgelöst wird, Regeln überprüft und dann die Erhöhung erleichtert:

Ein Diagramm, das darstellt, wie eine EPM-Erhöhung beginnt, mit einer Regel abgeglichen und dann erhöht wird.

Höhentypen

✅ Steuern, wie EPM Dateien erhöht

EPM ermöglicht es Benutzern ohne Administratorrechte, Prozesse im administrativen Kontext auszuführen. Wenn Sie eine Regel für erhöhte Rechte erstellen, ermöglicht diese Regel EPM, das Ziel dieser Regel mit Administratorrechten auf dem Gerät auszuführen. Dadurch verfügt die Anwendung über vollständige Verwaltungsfunktionen auf dem Gerät.

Mit Ausnahme von Elevate als aktuellen Benutzertyp verwendet EPM ein virtuelles Konto , um Prozesse heraufzustufen. Die Verwendung des virtuellen Kontos isoliert Aktionen mit erhöhten Rechten aus dem Profil des Benutzers, wodurch die Gefährdung durch benutzerspezifische Daten verringert wird und das Risiko einer Rechteausweitung verringert wird.

Wenn Sie Endpoint Privilege Management verwenden, gibt es einige Optionen für das Verhalten bei erhöhten Rechten:

  • Automatisch: Bei automatischen Erhöhungsregeln erhöht EPM diese Anwendungen automatisch ohne Eingabe des Benutzers. Umfassende Regeln in dieser Kategorie können weitreichende Auswirkungen auf den Sicherheitsstatus der Organization haben.

  • Benutzer bestätigt: Mit vom Benutzer bestätigten Regeln verwenden Endbenutzer ein neues Kontextmenü mit der rechten Maustaste Mit erhöhten Zugriffsrechten ausführen. Administratoren können vom Benutzer verlangen, dass er eine zusätzliche Überprüfung mithilfe einer Authentifizierungsaufforderung, einer geschäftlichen Begründung oder beidem durchführt.

    Screenshot der Eingabeaufforderung, die ein Benutzer erhält, wenn er die vom Benutzer bestätigte Erhöhung verwendet.

  • Als aktuellen Benutzer heraufstufen: Verwenden Sie diesen Erhöhungstyp für Anwendungen, die Zugriff auf benutzerspezifische Ressourcen benötigen, um ordnungsgemäß zu funktionieren, z. B. Profilpfade, Umgebungsvariablen oder Laufzeiteinstellungen. Im Gegensatz zu Erhöhungen, die ein virtuelles Konto verwenden, führt dieser Modus den Prozess mit erhöhten Rechten unter dem eigenen Konto des angemeldeten Benutzers aus, wobei die Kompatibilität mit Tools und Installationsprogrammen, die auf das aktive Benutzerprofil angewiesen sind, erhalten bleibt. Durch die Beibehaltung der gleichen Benutzeridentität vor und nach der Erhöhung gewährleistet dieser Ansatz konsistente und genaue Audit-Trails. Es unterstützt auch die Windows-Authentifizierung, bei der sich der Benutzer erneut mit gültigen Anmeldeinformationen authentifizieren muss, bevor eine Erhöhung erfolgt.

    Da der erhöhte Prozess jedoch den vollständigen Kontext des Benutzers erbt, führt dieser Modus zu einer breiteren Angriffsfläche und verringert die Isolation von Benutzerdaten.

    Wichtige Überlegungen:

    • Kompatibilitätsbedarf: Verwenden Sie diesen Modus nur, wenn die Erhöhung virtueller Konten Anwendungsfehler verursacht.
    • Enger Umfang: Beschränken Sie erhöhte Regeln auf vertrauenswürdige Binärdateien und Pfade, um das Risiko zu verringern.
    • Kompromiss bei der Sicherheit: Beachten Sie, dass dieser Modus die Anfälligkeit für benutzerspezifische Daten erhöht.

    Tipp

    Wenn die Kompatibilität kein Problem darstellt, bevorzugen Sie eine Methode, bei der die Erhöhung virtueller Konten für eine höhere Sicherheit verwendet wird.

  • Support genehmigt: Für Supportgenehmigungsregeln müssen Endbenutzer eine Anforderung zum Ausführen einer Anwendung mit erweiterten Berechtigungen übermitteln. Sobald die Anforderung übermittelt wurde, kann ein Administrator die Anforderung genehmigen. Nachdem die Anforderung genehmigt wurde, wird der Endbenutzer benachrichtigt, dass er die Erhöhung auf dem Gerät wiederholen kann. Weitere Informationen zur Verwendung dieses Regeltyps finden Sie unter Unterstützung genehmigter Anforderungen für erhöhte Rechte.

    Screenshot der Eingabeaufforderung, die ein Benutzer erhält, wenn er anfordert, eine Anwendung als Administrator mit Supportgenehmigung auszuführen.

  • Verweigern: Eine Verweigerungsregel identifiziert eine Datei, deren Ausführung durch EPM in einem Kontext mit erhöhten Rechten blockiert wird. In bestimmten Szenarien können Verweigerungsregeln sicherstellen, dass bekannte Dateien oder potenziell schädliche Software nicht in einem Kontext mit erhöhten Rechten ausgeführt werden können.

Der EPM-Client kann mit einer Standardreaktion auf erhöhte Rechte oder mit bestimmten Regeln konfiguriert werden, die die angegebene Reaktion auf erhöhte Rechte zulassen.

Regelfunktionen

✅ Präzises Targeting von Dateien für erhöhte Rechte

EPM-Höhenregeln können basierend auf einem oder mehreren Attributen erstellt werden, darunter Dateiname, Pfad usw. Beispiele für Regelfunktionen sind:

  • Steuerelemente für untergeordnete Prozesse – Wenn Prozesse durch EPM erhöht werden, können Sie steuern, wie die Erstellung von untergeordneten Prozessen von EPM gesteuert wird. So haben Sie eine präzise Kontrolle über alle Unterprozesse, die von Ihrer Anwendung mit erhöhten Rechten erstellt werden können.

  • Argumentunterstützung : Nur bestimmte Parameter für Anwendungen können erhöht werden.

  • Dateihash-Unterstützung : Ordnen Sie die Anwendung basierend auf dem Hash der Datei zu.

  • Unterstützung von Herausgeberzertifikaten : Erstellen Sie Regeln, die auf der Vertrauenswürdigkeit des Herausgeberzertifikats der Anwendung neben anderen Attributen basieren.

Unterstützte Dateitypen

EPM unterstützt die Erhöhung der folgenden Dateitypen:

  • Ausführbare Dateien mit einer .exe Erweiterung.
  • Windows Installer-Dateien mit einer .msi Erweiterung.
  • PowerShell-Skripts mit der .ps1 Erweiterung.

Reporting

✅ Nachverfolgen von Höhen in Ihrer Umgebung

EPM enthält Berichte, die Ihnen bei der Vorbereitung, Überwachung und Nutzung des Diensts helfen. Berichte werden für nicht verwaltete und verwaltete Erhöhungen bereitgestellt:

  • Nicht verwaltete Rechteerweiterungen: Alle Dateierweiterungen, die ohne Verwendung von Endpoint Privilege Management erfolgen. Diese Erhöhungen können auftreten, wenn ein Benutzer mit Administratorrechten die Windows-Standardaktion "Als Administrator ausführen" verwendet.

  • Verwaltete Rechteerweiterungen: Jede Rechteerweiterung, die Endpoint Privilege Management erleichtert. Verwaltete Rechteerweiterungen umfassen alle Rechteerweiterungen, die EPM letztendlich für den Standardbenutzer erleichtert. Diese verwalteten Höhen können Erhöhungen umfassen, die als Ergebnis einer Höhenregel oder als Teil einer Standard-Höhenaktion erfolgen.

Erste Schritte mit Endpoint Privilege Management

✅ Mit der Verwendung von EPM beginnen

Ein Diagramm, das den Lebenszyklus der Bereitstellung von EPM nach Lizenzierung und Planung, Bereitstellung und Verwaltung zeigt.

Endpoint Privilege Management (EPM) wird vom Microsoft Intune Admin Center aus verwaltet. Wenn Organisationen mit EPM beginnen, verwenden sie den folgenden allgemeinen Prozess:

Weiter: Planen für EPM >

  • Last updated on