Pianificazione e preparazione per la distribuzione della Gestione privilegi endpoint

Questo articolo contiene le informazioni necessarie per pianificare la distribuzione di Gestione privilegi endpoint (EPM), inclusi i requisiti, i concetti importanti, le raccomandazioni per la sicurezza e il controllo degli accessi basato sui ruoli.

Elenco di controllo della pianificazione

• Rivedere i prerequisiti tecnici e di licenza nel tenant.
• Definire gli utenti tipo di destinazione per consentire di creare regole con il raggruppamento logico su questi utenti tipo.
• Assicurarsi di avere una buona conoscenza delle impostazioni di elevazione e dei criteri delle regole di elevazione dei privilegi, tra cui:
  • Impostazioni di elevazione predefinite e raccolta dei dati di diagnostica.
  • Definizione di file di elevazione dei privilegi mediante hash di file, metadati o certificati.
  • In che modo le regole dei certificati possono consentire a qualsiasi app firmata da tale certificato di elevare. Fai attenzione ai fornitori che potrebbero firmare tutte le loro app con lo stesso certificato.
  • Regole, supporto degli argomenti e opzioni di comportamento dei processi figlio.
  • Tipi di altitudine.
  • Come vengono gestiti i conflitti di regole quando si sovrappongono assegnazioni di regole.
• Trova il giusto equilibrio tra sicurezza e flessibilità per la tua organizzazione e gli utenti tipo.
• Assicurarsi di avere una solida strategia di implementazione. Ciò include la gestione degli stakeholder, la comunicazione con gli utenti finali e i piani di formazione e il monitoraggio.

Prerequisiti

Per ulteriori informazioni, vedere Descrizione del servizio GCC di Microsoft Intune per il governo degli Stati Uniti.

Concetti importanti per la Gestione privilegi endpoint

Quando si configurano le impostazioni di elevazione dei privilegi e i criteri delle regole di elevazione menzionati in precedenza, è necessario comprendere alcuni concetti importanti per garantire la configurazione di EPM per soddisfare le esigenze dell'organizzazione. Prima di distribuire ampiamente EPM, è necessario comprendere bene i concetti seguenti nonché l'effetto che hanno sull'ambiente:

• Esecuzione con accesso privilegiato : opzione del menu di scelta rapida che viene visualizzata quando EPM è attivato in un dispositivo. Quando viene utilizzata questa opzione, viene verificata la presenza di una corrispondenza nei criteri delle regole di elevazione dei privilegi dei dispositivi per determinare se e come il file può essere elevato per l'esecuzione in un contesto amministrativo. Se non esiste alcuna regola di elevazione applicabile, il dispositivo usa le configurazioni di elevazione predefinite definite dal criterio impostazioni di elevazione.

• Elevazione dei file e tipi di elevazione dei privilegi: EPM consente agli utenti senza privilegi amministrativi di eseguire processi nel contesto amministrativo. Quando si crea una regola di elevazione dei privilegi, tale regola consente a EPM di inoltrare la destinazione della regola per l'esecuzione con privilegi di amministratore nel dispositivo. Il risultato è che l'applicazione ha funzionalità amministrative complete nel dispositivo.

Ad eccezione di Eleva come utente corrente, EPM utilizza un account virtuale per elevare i processi. In questo modo le azioni con privilegi elevati vengono isolate dal profilo dell'utente, riducendo l'esposizione ai dati specifici dell'utente e riducendo il rischio di escalation dei privilegi.

Quando si usa la Gestione privilegi endpoint, sono disponibili alcune opzioni per il comportamento di elevazione dei privilegi:

• Automatico: per le regole di elevazione automatica, EPM eleva automaticamente queste applicazioni senza input da parte dell'utente. Le regole generali in questa categoria possono avere un impatto diffuso sul comportamento di sicurezza dell'organizzazione.

• Confermato dall'utente: con le regole confermate dall'utente, gli utenti finali usano un nuovo menu di scelta rapida Esegui con accesso con privilegi elevati. Le regole confermate dall'utente possono anche richiedere la convalida con l'autenticazione o la giustificazione aziendale. La richiesta di convalida fornisce un ulteriore livello di protezione facendo in modo che l'utente riconosca l'elevazione.

• Eleva come utente corrente: questo tipo di elevazione dei privilegi esegue il processo con privilegi elevati con l'account dell'utente connesso, mantenendo la compatibilità con gli strumenti e i programmi di installazione che si basano sul profilo utente attivo. Ciò richiede che l'utente immetta le credenziali per l'autenticazione di Windows. In questo modo vengono preservati i percorsi del profilo dell'utente, le variabili di ambiente e le impostazioni personalizzate. Poiché il processo con privilegi elevati mantiene la stessa identità utente prima e dopo l'elevazione dei privilegi, gli audit trail rimangono coerenti e accurati.

  Tuttavia, poiché il processo con privilegi elevati eredita il contesto completo dell'utente, questa modalità introduce una superficie di attacco più ampia e riduce l'isolamento dai dati utente.

  Considerazioni principali:

  • Necessità di compatibilità: usare questa modalità solo quando l'elevazione dell'account virtuale causa errori dell'applicazione.
  • Ambito rigoroso: limita le regole di elevazione dei privilegi a file binari e percorsi attendibili per ridurre i rischi.
  • Compromesso per la sicurezza: Tenere presente che questa modalità aumenta l'esposizione ai dati specifici dell'utente.

  Consiglio

  Quando la compatibilità non è un problema, preferire un metodo che usa l'elevazione dell'account virtuale per una maggiore sicurezza.

• Nega: una regola di negazione identifica un file che EPM blocca dall'esecuzione in un contesto con privilegi elevati. Le regole di negazione possono garantire che i file noti o il software potenzialmente dannoso non possano essere eseguiti in un contesto con privilegi elevati.

• Supporto approvato: Per le regole approvate dal supporto, gli utenti finali devono inviare una richiesta per l'esecuzione di un'applicazione con autorizzazioni elevate. Una volta inviata la richiesta, un amministratore può approvarla. Dopo l'approvazione della richiesta, l'utente finale viene informato che può riprovare l'elevazione dei privilegi nel dispositivo. Per ulteriori informazioni sull'utilizzo di questo tipo di regola, vedere Supporto per le richieste di elevazione dei privilegi approvate

• Controlli dei processi figlio : quando i processi vengono elevati da EPM, è possibile controllare il modo in cui la creazione di processi figlio è gestita da EPM, il che consente di avere un controllo granulare su tutti i processi secondari che potrebbero essere creati dall'applicazione con privilegi elevati.

• Componenti lato client: per utilizzare la Gestione privilegi endpoint, Intune effettua il provisioning di un piccolo set di componenti nel dispositivo che ricevono criteri di elevazione dei privilegi e li applica. Intune effettua il provisioning dei componenti solo quando viene ricevuto un criterio di impostazioni di elevazione dei privilegi e il criterio esprime l'intento di abilitare la gestione dei privilegi degli endpoint.

• Elevazioni gestite vs elevazioni non gestite : questi termini possono essere utilizzati nei nostri dati di reporting e utilizzo. Queste condizioni si riferiscono alle descrizioni seguenti:

  • Elevazione gestita: qualsiasi elevazione facilitata dalla Gestione privilegi endpoint. Le quote elevate gestite includono tutte le quote che EPM finisce per facilitare per l'utente standard. Queste quote altimetriche gestite possono includere elevazioni che si verificano come risultato di una regola di elevazione o come parte di un'azione di elevazione predefinita.

  • Elevazione non gestita: tutte le elevazioni dei file che si verificano senza l'uso della Gestione privilegi endpoint. Questi elevamenti possono verificarsi quando un utente con diritti amministrativi usa l'azione predefinita di Windows Esegui come amministratore.

Criteri EPM

✅ Informazioni sui tipi di criteri EPM

Gestione privilegi endpoint usa due tipi di criteri configurati per gestire la modalità di gestione di una richiesta di elevazione dei privilegi dei file. Insieme, i criteri configurano il comportamento per l'elevazione dei file quando gli utenti standard richiedono l'esecuzione con privilegi amministrativi.

Tali criteri sono:

• Criterio impostazioni di elevazione
• Criteri delle regole di elevazione

EPM supporta anche un gruppo di impostazioni riutilizzabile per archiviare i certificati dell'editore a cui è possibile fare riferimento in più regole o criteri di regole.

Gestione dei conflitti di criteri per la Gestione privilegi endpoint

✅ Informazioni sui conflitti tra i criteri

Ad eccezione delle situazioni seguenti, i criteri in conflitto per EPM vengono gestiti come qualsiasi altro conflitto di criteri.

Criterio delle impostazioni di elevazione dei privilegi di Windows:

Quando un dispositivo riceve due criteri di impostazioni di elevazione dei privilegi separati con valori in conflitto, il client EPM ripristina il comportamento client predefinito fino a quando il conflitto non viene risolto.

Criterio delle regole di elevazione di Windows:

Se un dispositivo riceve due regole destinate alla stessa applicazione, entrambe le regole vengono consumate nel dispositivo. Quando EPM risolve le regole applicabili a un'elevazione, utilizza la logica seguente:

• Le regole con un tipo di elevazione dei privilegi Negato hanno sempre la precedenza e l'elevazione dei file viene negata.
• Le regole distribuite a un utente hanno la precedenza sulle regole distribuite a un dispositivo.
• Le regole con un hash definito sono sempre considerate la regola più specifica .
• Se si applica più di una regola (senza hash definito), prevale la regola con gli attributi più definiti (più specifica).
• Se l'applicazione della logica di procedura produce più di una regola, il comportamento di elevazione dei privilegi viene determinato dal seguente ordine: Utente confermato, Eleva come utente corrente, Supporto approvato e quindi Automatico.

Gestione privilegi endpoint e controllo dell'account utente

✅ Informazioni sull'interazione tra EPM e Controllo dell'account utente

Gestione privilegi endpoint e Controllo dell'account utente integrato di Windows sono funzionalità separate con funzionalità diverse.

Quando si spostano gli utenti per l'esecuzione come utenti standard e si utilizza la Gestione privilegi endpoint, è possibile scegliere di modificare il comportamento UAC predefinito per gli utenti standard. Questa modifica può ridurre la confusione quando un'applicazione richiede l'elevazione dei privilegi e creare una migliore esperienza per l'utente finale. Per altre informazioni , esaminare il comportamento della richiesta di elevazione dei privilegi per gli utenti standard .

Suggerimenti per la sicurezza

✅ Comprendere il modo più sicuro per usare EPM

Per garantire una distribuzione sicura della Gestione privilegi endpoint, prendere in considerazione questi suggerimenti durante la configurazione del comportamento e delle regole di elevazione dei privilegi.

Impostare una risposta di elevazione dei privilegi predefinita sicura

Impostare la risposta di elevazione dei privilegi predefinita su Richiedi l'approvazione del supporto o Nega anziché su Richiedi conferma dell'utente. Queste opzioni assicurano che l'elevazione dei privilegi sia controllata con regole predefinite per i file binari noti, riducendo il rischio che gli utenti elevino eseguibili arbitrari o potenzialmente dannosi.

Richiedere restrizioni del percorso del file in tutti i tipi di regola

Quando si configura una regola di elevazione, specificare un percorso file obbligatorio. Anche se il percorso del file è facoltativo, può essere un controllo di sicurezza importante per le regole che usano l'elevazione automatica o attributi basati su caratteri jolly quando il percorso punta a una posizione che gli utenti standard non possono modificare, ad esempio una directory di sistema protetta. L'uso di un percorso di file protetto consente di impedire che i file eseguibili o i file binari dipendenti vengano manomessi o sostituiti prima dell'elevazione dei privilegi.

Questa raccomandazione si applica alle regole create automaticamente in base ai dettagli del rapporto di elevazione o della richiesta di approvazione del supporto e per le regole di elevazione create manualmente.

Differenziare l'elevazione dei privilegi del programma di installazione da quella di runtime

Prestare attenzione all'elevazione dei file del programma di installazione rispetto al runtime dell'applicazione. L'elevazione per i programmi di installazione deve essere strettamente controllata per impedire installazioni di software non autorizzate. L'elevazione dei livelli di runtime deve essere ridotta al minimo per ridurre la superficie di attacco complessiva.

Applicare regole più severe alle applicazioni ad alto rischio

Usare regole di elevazione più restrittive per le applicazioni con accesso più ampio o funzionalità di scripting, ad esempio Web browser e PowerShell. Per PowerShell, è consigliabile usare regole specifiche degli script per assicurarsi che solo gli script attendibili siano autorizzati a essere eseguiti con privilegi elevati.

Iniziare da zero, anche quando si esegue la migrazione da un prodotto di terze parti

EPM funziona in modo diverso rispetto ai prodotti di terze parti e, di conseguenza, si consiglia di iniziare con un criterio di audit. Quindi, è possibile creare nuove regole dai report e sfruttare l'elevazione dei privilegi approvata per il supporto quando un file non ha una regola, ma un utente deve elevare tale file per completare il proprio lavoro.

Controlli di accesso in base ai ruoli per la Gestione privilegi endpoint

✅ Informazioni su come delegare l'accesso a EPM

Per gestire la Gestione privilegi endpoint, all'account deve essere assegnato un ruolo di controllo degli accessi in base al ruolo di Intune che includa l'autorizzazione seguente con diritti sufficienti per completare l'attività desiderata:

• Creazione di criteri di Gestione privilegi endpoint: questa autorizzazione è necessaria per lavorare con criteri o dati e report per la Gestione privilegi endpoint e supporta i diritti seguenti:

  • Visualizza report
  • Lettura
  • Creare
  • Update
  • Elimina
  • Assegna

• Gestione privilegi endpoint Richieste di elevazione dei privilegi - Questa autorizzazione è necessaria per funzionare con le richieste di elevazione dei privilegi approvate inviate dagli utenti per l'approvazione e supporta i diritti seguenti:

  • Visualizzare le richieste di elevazione dei privilegi
  • Modificare le richieste di elevazione dei privilegi

È possibile aggiungere questa autorizzazione con uno o più diritti ai propri ruoli di controllo degli accessi in base al ruolo personalizzati oppure usare un ruolo di controllo degli accessi in base al ruolo predefinito dedicato alla gestione della gestione dei privilegi endpoint:

• Endpoint Privilege Manager: questo ruolo predefinito è dedicato alla gestione della Gestione privilegi endpoint nella console di Intune. Questo ruolo include tutti i diritti per le richieste di elevazione dei privilegi di Gestione privilegi endpoint, Creazione criteri endpoint e Gestione privilegi endpoint.

• Endpoint Privilege Reader: usare questo ruolo predefinito per visualizzare i criteri di Gestione privilegi endpoint nella console di Intune, inclusi i report. Questo ruolo include i seguenti diritti:

  • Visualizza report
  • Lettura
  • Visualizzare le richieste di elevazione dei privilegi

Oltre ai ruoli dedicati, i ruoli predefiniti seguenti per Intune includono anche i diritti per la creazione di criteri di Gestione privilegi endpoint:

• Endpoint Security Manager - Questo ruolo include tutti i diritti per le richieste di elevazione dei privilegi di Gestione privilegi endpoint, Creazione criteri endpoint e Gestione privilegi endpoint.

• Operatore di sola lettura - Questo ruolo include i diritti seguenti:

  • Visualizza report
  • Lettura
  • Visualizzare le richieste di elevazione dei privilegi

Per ulteriori informazioni, vedere Controllo di accesso in base ai ruoli per Microsoft Intune.

Modulo PowerShell EpmTools

✅ Informazioni su come usare il modulo EPM PowerShell

Ogni dispositivo che riceve i criteri di Gestione privilegi endpoint installa l'agente Microsoft EPM per gestire tali criteri. L'agente include il modulo PowerShell di EpmTools , un set di cmdlet che è possibile importare in un dispositivo. È possibile usare i cmdlet di EpmTools per:

• Diagnosticare e risolvere i problemi relativi alla Gestione privilegi endpoint.
• Ottenere gli attributi dei file direttamente da un file o un'applicazione per cui si vuole creare una regola di rilevamento.

Installare il modulo PowerShell di EpmTools

Il modulo PowerShell di EPM Tools è disponibile da qualsiasi dispositivo che ha ricevuto criteri EPM. Per importare il modulo PowerShell di EpmTools:

Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'

Di seguito sono riportati i cmdlet disponibili:

• Get-Policies: recupera un elenco di tutti i criteri ricevuti da EPM per un determinato 'PolicyType' ('ElevationRules' o 'ClientSettings').
• Get-DeclaredConfiguration: recupera un elenco di documenti WinDC che identificano i criteri destinati al dispositivo.
• Get-DeclaredConfigurationAnalysis: recupera un elenco di documenti WinDC di tipo MSFTPolicies e controlla se il criterio è già presente nell'agente Epm (colonna Elaborati).
• Get-ElevationRules: Eseguire una query sulla funzionalità di ricerca EpmAgent e recuperare le regole in base alla ricerca e alla destinazione. La ricerca è supportata per FileName e CertificatePayload.
• Get-ClientSettings: elaborare tutti i criteri di impostazioni client esistenti per visualizzare le impostazioni client effettive utilizzate da EPM.
• Get-FileAttributes: recupera gli attributi di un file di .exe ed estrae i certificati Publisher e CA in un percorso impostato che può essere utilizzato per popolare le proprietà delle regole di elevazione per una particolare applicazione.

Per altre informazioni su ogni cmdlet, esaminare il file di readme.md dalla cartella EpmTools nel dispositivo.

Operazioni successive