Autorisieren vertrauenswürdiger Apps mit dem Intelligent Security Graph (ISG)

In Organisationen, die Anwendungen nicht über ein IT-verwaltetes System bereitstellen und verwalten, kann sich die Implementierung von App Control als schwierig erweisen. In solchen Umgebungen können Benutzer die Anwendungen erwerben, die sie für die Arbeit verwenden möchten, was die Erstellung einer effektiven App Control-Richtlinie erschwert.

Um Reibungsverluste für Endbenutzer und Helpdeskanrufe zu reduzieren, können Sie App Control for Business so einstellen, dass Anwendungen, die vom Microsoft Intelligent Security Graph (ISG) als Anwendungen mit einem bekannten guten Ruf erkannt werden, automatisch zugelassen werden. Die ISG-Option hilft Organisationen, mit der Implementierung von App Control zu beginnen, auch wenn die organization nur begrenzte Kontrolle über ihr App-Ökosystem hat. Weitere Informationen zur ISG finden Sie im Abschnitt "Sicherheit" unter Wichtige Dienste und Features in Microsoft Graph.

Wie funktioniert App Control mit der ISG?

Die ISG ist keine "Liste" von Apps. Vielmehr werden die gleichen umfangreichen Sicherheitsinformationen und Machine Learning-Analysen verwendet, die auch Microsoft Defender SmartScreen und Microsoft Defender Antivirus unterstützen, um Anwendungen als "gut", "schlecht bekannt" oder "unbekannt" zu klassifizieren. Diese cloudbasierte KI basiert auf Billionen von Signalen, die von Windows-Endpunkten und anderen Datenquellen gesammelt und alle 24 Stunden verarbeitet werden. Infolgedessen kann sich die Entscheidung aus der Cloud ändern.

App Control überprüft die ISG nur auf Binärdateien, die von Ihrer Richtlinie nicht explizit zugelassen oder verweigert werden und die nicht von einem verwalteten Installationsprogramm installiert wurden. Wenn eine solche Binärdatei auf einem System ausgeführt wird, auf dem App Control mit aktivierter ISG-Option ausgeführt wird, überprüft App Control den Ruf der Datei, indem die Hash- und Signaturinformationen an die Cloud gesendet werden. Wenn die ISG meldet, dass die Datei einen Ruf als "gut" hat, kann die Datei ausgeführt werden. Andernfalls wird sie von der App-Steuerung blockiert.

Wenn es sich bei der Datei mit gutem Ruf um ein Anwendungsinstallationsprogramm handelt, wird der Ruf des Installationsprogramms an alle Dateien weitergegeben, die es auf den Datenträger schreibt. Auf diese Weise erben alle Dateien, die zum Installieren und Ausführen einer App erforderlich sind, die positiven Reputationsdaten vom Installationsprogramm. Bei Files, die aufgrund der Zuverlässigkeit des Installationsprogramms autorisiert wurden, wird das $KERNEL.SMARTLOCKER.ORIGINCLAIM Erweiterte Attribut (EA) des Kernels in die Datei geschrieben.

App Control fragt die Zuverlässigkeitsdaten für eine Datei regelmäßig erneut ab. Darüber hinaus können Unternehmen angeben, dass alle zwischengespeicherten Reputationsergebnisse beim Neustart geleert werden, indem sie die Option Enabled:Invalidate EAs on Reboot verwenden.

Grundlegendes zu Ursprungsansprüchen

Wenn ein verwaltetes Installationsprogramm oder der Intelligent Security Graph (ISG) eine Datei autorisiert, zeichnet die App-Steuerung auf, warum diese Datei vertrauenswürdig ist, indem sie der Datei ein vom Kernel verwaltetes erweitertes Attribut (EA) hinzufügt. Der sogenannte Ursprungsanspruch erfasst die Quelle des Zuverlässigkeitsgrads der Datei, sodass die Codeintegrität die Datei später auswerten kann, ohne die ursprüngliche Quelle erneut überprüfen zu müssen. Der Ursprungsanspruch heißt $KERNEL.SMARTLOCKER.ORIGINCLAIM. Ein Ursprungsanspruch zeichnet auf, was die Datei geschrieben hat, gibt an, dass der Prozess, der die Datei geschrieben hat, entweder als verwaltetes Installationsprogramm oder basierend auf der Zuverlässigkeit vertrauenswürdig war und ob die Vertrauensstellung von einem übergeordneten Element geerbt wurde. Sie können den fsutil Befehl verwenden, um diesen EA in einer Datei anzuzeigen. Die genauen Schritte finden Sie unter Verwenden von fsutil zum Abfragen erweiterter Attribute für verwaltete Installationsprogramme (MI).

• Ursprung des verwalteten Installationsprogramms: Die Datei wurde von einem Prozess geschrieben, dem Ihre Richtlinie als verwaltetes Installationsprogramm vertraut (z. B. ein Bereitstellungstool wie Microsoft Configuration Manager oder Microsoft Intune). Diese Vertrauensstellung basiert darauf, wie die Datei auf dem Gerät angekommen ist, und nicht auf den Eigenschaften, Signaturen oder dem Hashwert der Datei. Weitere Informationen finden Sie unter Sicherheitsüberlegungen zu verwalteten Installationsprogrammen.
• Ursprung des Intelligent Security Graph (ISG): Die Datei hat eine positive Antwort auf die Bewertung erhalten, oder sie hat die positive Antwort auf die Bewertung vom übergeordneten Prozess geerbt, bei dem es sich um ein Installationsprogramm handelte, das die Datei erstellt hat. Diese Antworten auf die Zuverlässigkeit stammen von Microsoft Security Intelligence Services, die als Intelligent Security Graph bezeichnet werden. Der Ruf ist an die jeweilige Datei gebunden. Wenn die Datei also geändert wird, gilt der Ruf nicht mehr, und der Ursprungsanspruch wird nicht mehr berücksichtigt. In diesem Fall wird die Datei bei der nächsten Ausführung von App Control erneut ausgewertet. Weitere Informationen finden Sie unter Autorisieren vertrauenswürdiger Apps mit dem Intelligent Security Graph (ISG).

Ursprungsansprüche werden in einer Prozessstruktur nach unten weitergegeben. Wenn ein verwaltetes Installationsprogramm ausgeführt wird oder wenn ein Installationsprogramm eine Antwort mit einer vertrauenswürdigen Installationsprogrammbewertung von der ISG erhält, übergibt es gleichwertige Vertrauensstellungen an die Dateien, die es schreibt, und an die von ihm gestarteten untergeordneten Prozesse. Dieses Vertrauen fließt weiterhin über die untergeordneten Prozesse, ihre untergeordneten Prozesse und spätere Generationen in der Liveprozessstruktur nach unten, sodass alle Dateien, die ein Installationsprogramm zum Installieren und Ausführen einer App benötigt, autorisiert sind.

Die Ausbreitung ist nicht unbegrenzt. Sie endet, wenn die Struktur des vertrauenswürdigen Prozesses unterbrochen wird, einschließlich in diesen Fällen:

• Der ursprüngliche Installationsvorgang endet. Die Vertrauensstellung ist auf die Lebensdauer der Struktur des vertrauenswürdigen Prozesses begrenzt. Eine Datei, die nach dem Beenden des ursprünglichen verwalteten Installationsprogramms oder des ISG-vertrauenswürdigen Installationsprozesses erstellt wurde, erbt nicht ihren Ursprungsanspruch. In den erweiterten Attributdaten ist eine solche Datei als "untergeordnetes Element eines Kindes" gekennzeichnet und darf nicht eigenständig ausgeführt werden. Sie muss auf andere Weise zugelassen werden, z. B. durch eine explizite Regel, den Ursprung des verwalteten Installationsprogramms oder die ISG-Reputation.
• Ein Prozess überschreitet eine Sicherheitsgrenze. Wenn ein Prozess unter einem anderen Benutzer- oder Sicherheitskontext erzeugt wird, kann der übergeordnete Prozess seinen Ursprungsanspruch an den untergeordneten Prozess weitergeben. Ist dies nicht der Fall, ist die Prozessstruktur unterbrochen und alle Dateien, die vom untergeordneten Prozess oder seinen untergeordneten Prozessen erstellt wurden, sind nicht basierend auf dem Ursprungsanspruch des ursprünglichen Prozesses autorisiert.

Nachdem die Prozessstruktur aus irgendeinem Grund unterbrochen wurde, müssen alle erstellten Dateien auf andere Weise autorisiert werden, z. B. wenn sie als verwaltetes Installationsprogramm ausgeführt werden oder eine Antwort der ISG zur Bewertung eines vertrauenswürdigen Installationsprogramms erhalten.

Konfigurieren der ISG-Autorisierung für Ihre App Control-Richtlinie

Die Einrichtung der ISG ist mit jeder gewünschten Verwaltungslösung einfach. Die Konfiguration der ISG-Option umfasst die folgenden grundlegenden Schritte:

• Stellen Sie sicher, dass die Autorisierungsoption Enabled:Intelligent Security Graph in der App Control-Richtlinie XML eingestellt ist.
• Aktivieren Sie die erforderlichen Dienste, damit App Control die ISG ordnungsgemäß auf dem Client verwenden kann

Stellen Sie sicher, dass die ISG-Option in der XML-Richtlinie der App-Steuerung festgelegt ist.

Um Apps und Binärdateien basierend auf Microsoft Intelligent Security Graph zuzulassen, muss die Autorisierungsoption Enabled:Intelligent Security Graph in der App Control-Richtlinie angegeben werden. Dieser Schritt kann mit dem Set-RuleOption Cmdlet ausgeführt werden. Sie sollten auch die Option Enabled:Invalidate EAs on Reboot setzen, damit die ISG-Ergebnisse nach jedem Neustart erneut überprüft werden. Die ISG-Option wird nicht für Geräte empfohlen, die keinen regelmäßigen Zugriff auf das Internet haben. Im folgenden Beispiel sind beide Optionen festgelegt.

<Rules>
    <Rule>
      <Option>Enabled:Unsigned System Integrity Policy</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Advanced Boot Options Menu</Option>
    </Rule>
    <Rule>
      <Option>Required:Enforce Store Applications</Option>
    </Rule>
    <Rule>
      <Option>Enabled:UMCI</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Managed Installer</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Intelligent Security Graph Authorization</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Invalidate EAs on Reboot</Option>
    </Rule>
</Rules>

Aktivieren Sie die erforderlichen Dienste, damit App Control die ISG ordnungsgemäß auf dem Client verwenden kann

Damit die vom ISG verwendeten Heuristiken ordnungsgemäß funktionieren, müssen andere Komponenten in Windows aktiviert sein. Sie können diese Komponenten konfigurieren, indem Sie die ausführbare appidtel-Datei in c:\windows\system32ausführen.

appidtel start

Dieser Schritt ist für über MDM bereitgestellte App Control-Richtlinien nicht erforderlich, da der CSP die erforderlichen Komponenten aktiviert. Dieser Schritt ist auch nicht erforderlich, wenn die ISG mithilfe der App Control-Integration von Konfigurations-Manager konfiguriert wird.

Sicherheitsüberlegungen mit der ISG-Option

Da es sich beim ISG um einen heuristisch basierten Mechanismus handelt, bietet es nicht die gleichen Sicherheitsgarantien wie explizite Zulassungs- oder Verweigerungsregeln. Sie eignet sich am besten dort, wo Benutzer mit Standardbenutzerrechten arbeiten und eine Sicherheitsüberwachungslösung wie Microsoft Defender for Endpoint verwendet wird.

Regelrang mit ISG

Wenn Sie die ISG-Option mit expliziten Zulassungs- oder Verweigerungsregeln kombinieren, wertet App Control die expliziten Regeln aus, bevor die Reputation verwendet wird. Eine explizite Verweigerungsregel hat immer Vorrang vor der ISG-Reputation, sodass App Control eine abgelehnte Datei unabhängig von ihrer Zuverlässigkeit blockiert. Eine explizite Zulassungsregel hat ebenfalls Vorrang vor der Zuverlässigkeit. Die ISG beeinflusst nur Dateien, die keine explizite Zulassungs- oder Verweigerungsregel abdeckt.

Sie können jede statische Regel in Ihrer Richtlinie erstellen, die startkritische Binärdateien zuverlässig autorisieren kann, da die Codeintegrität sie während des Startvorgangs lokal aus der Richtlinie auswertet, ohne dass eine Abhängigkeit von der Cloud oder Laufzeit verfügbar ist. Dazu gehören AllowAll-Regeln, Platzhalterregeln FileName='*' , Unterzeichnerregeln, Dateiattributregeln und Hashregeln. Verlassen Sie sich niemals auf die ISG oder ein verwaltetes Installationsprogramm, um startkritische Dateien zu autorisieren: Ihre Entscheidungen hängen von der Cloudreputation oder erweiterten Kernelattributen ab, die nicht immer früh im Startpfad verfügbar sind, was diese Dateien blockieren oder Timeouts beim Start oder Dienststart verursachen kann.

Wenn Sie eine AllowAll-Vorlage mit expliziten Verweigerungsregeln verwenden, haben die expliziten Verweigerungsregeln dennoch Vorrang. Weitere Informationen finden Sie unter Erstellen einer App Control-Richtlinie zum Blockieren von Treibern oder Apps. Weitere Informationen zum Verhalten von verwalteten Installationsprogrammen und ISGs finden Sie unter Technische Referenz und Anleitung zur Problembehandlung für verwaltete Installationsprogramme und ISG.

Prozesse, die mit Kernelrechten ausgeführt werden, können App Control umgehen, indem sie das erweiterte Dateiattribut ISG festlegen, um eine Binärdatei so aussehen zu lassen, als hätte sie einen bekannten guten Ruf.

Da die ISG-Option außerdem den Ruf von App-Installern an die Binärdateien weitergibt, die sie auf die Festplatte schreiben, kann sie in einigen Fällen Dateien überautorisieren. Wenn das Installationsprogramm die App beispielsweise nach Abschluss startet, lässt die App-Steuerung auch alle Dateien zu, die die App während dieser ersten Ausführung schreibt.

Bekannte Einschränkungen bei der Verwendung des ISG

Da die ISG nur Binärdateien zulässt, die als "gut bekannt" sind, gibt es Fälle, in denen die ISG möglicherweise nicht vorhersagen kann, ob legitime Software sicher ausgeführt werden kann. In diesem Fall wird die Software von der App-Steuerung blockiert. In diesem Fall müssen Sie die Software mit einer Regel in Ihrer App Control-Richtlinie zulassen, einen Katalog bereitstellen, der von einem in der App Control-Richtlinie vertrauenswürdigen Zertifikat signiert ist, oder die Software über ein von App Control verwaltetes Installationsprogramm installieren. Installationsprogramme oder Anwendungen, die zur Laufzeit dynamisch Binärdateien erstellen, sowie Anwendungen, die sich selbst aktualisieren, können dieses Symptom aufweisen.

App-Pakete werden von der ISG nicht unterstützt und müssen in Ihrer App Control-Richtlinie separat autorisiert werden. Da App-Pakete über eine starke App-Identität verfügen und signiert werden müssen, ist es einfach, App-Pakete mit Ihrer App Control-Richtlinie zu autorisieren.

Die ISG autorisiert keine Kernelmodustreiber. Die App Control-Richtlinie muss Regeln enthalten, die die Ausführung der erforderlichen Treiber zulassen.