Sicherheit und Datenschutz für die Anwendungsverwaltung in Configuration Manager

Konfigurieren Sie die Anwendungskatalogpunkte für die Verwendung von HTTPS-Verbindungen, und klären Sie die Benutzer über die Gefahren schädlicher Websites auf.

Konfigurieren Sie Anwendungskatalog-Websitepunkt sowie Anwendungskatalog-Webdienstpunkt so, dass HTTPS-Verbindungen von ihnen akzeptiert werden. Hierdurch wird der Server für die Benutzer authentifiziert, und übertragene Daten werden vor Manipulationen und Zugriffen geschützt. Beugen Sie Social-Engineering-Angriffen vor, indem Sie die Benutzer dazu anhalten, nur Verbindungen zu vertrauenswürdigen Websites herzustellen.

Hinweis
Verwenden Sie Konfigurationsoptionen für das Branding, mit denen der Name Ihrer Organisation als Identitätsnachweis im Anwendungskatalog angezeigt wird, nur dann, wenn Sie HTTPS verwenden.

Verwenden Sie die Rollentrennung, und installieren Sie den Websitepunkt und den Dienstpunkt des Anwendungskatalogs auf separaten Servern.

Ist der Anwendungskatalog-Websitepunkt gefährdet, installieren Sie ihn auf einem anderen Server als den Anwendungskatalog-Webdienstpunkt, um die Configuration Manager-Clients und die Configuration Manager-Infrastruktur zu schützen. Dies ist vor allem dann wichtig, wenn vom Anwendungskatalog-Websitepunkt Clientverbindungen aus dem Internet akzeptiert werden, da der Server hierdurch anfällig für Angriffe wird.

Halten Sie die Benutzer dazu an, nach Verwendung des Anwendungskatalogs das Browserfenster zu schließen.

Wenn Benutzer eine externe Website in dem gleichen Browserfenster aufrufen wie zuvor den Anwendungskatalog, werden die Sicherheitseinstellungen für vertrauenswürdige Orte im Intranet vom Browser beibehalten.

Gestatten Sie es Benutzern nicht, ihr primäres Gerät zu identifizieren, sondern geben Sie die Affinität zwischen Benutzer und Gerät manuell an, und aktivieren Sie nicht die verwendungsbasierte Konfiguration.

Betrachten Sie Informationen, die von Benutzern oder Geräten gesammelt werden, nicht als autoritativ. Wenn Sie Software mithilfe einer Affinität zwischen Benutzer und Gerät bereitstellen, die nicht von einem vertrauenswürdigen Administrator angegeben wurde, ist eine Installation der Software auf Geräten und für Benutzer möglich, die nicht zum Empfangen der Software autorisiert sind.

Konfigurieren Sie Bereitstellungen stets so, dass Inhalt nicht auf den Verteilungspunkten ausgeführt, sondern nur von ihnen heruntergeladen wird.

Wenn Sie Bereitstellungen so konfigurieren, dass Inhalt von Verteilungspunkten heruntergeladen und lokal ausgeführt wird, wird der Hashwert des Pakets nach dem Herunterladen zunächst von Configuration Manager überprüft. Stimmt der Hashwert nicht mit dem Wert in der Richtlinie überein, wird das Paket verworfen. Wenn Sie die Bereitstellung dagegen so konfigurieren, dass sie direkt auf einem Verteilungspunkt ausgeführt wird, wird der Hashwert des Pakets nicht von Configuration Manager überprüft. Eine Installation von manipulierter Software durch den Configuration Manager-Client wird hierdurch ermöglicht.

Wenn Sie Bereitstellungen direkt auf Verteilungspunkten ausführen müssen, verwenden Sie die niedrigsten NTFS-Berechtigungen für die Pakete auf den Verteilungspunkten, und sichern Sie die Kanäle zwischen Client und Verteilungspunkten sowie zwischen Verteilungspunkten und Standortserver mithilfe von IPSec.

Erlauben Sie keine Benutzerinteraktionen mit Programmen, wenn eine Ausführung mit Administratorrechten erforderlich ist.

Beim Konfigurieren eines Programms können Sie die Option Benutzerinteraktion mit dem Programm zulassen auswählen, sodass die Benutzer auf alle nötigen Aufforderungen der Benutzeroberfläche reagieren können. Ist das Programm auch für Mit Administratorrechten ausführen konfiguriert, kann ein Angreifer auf den Computer, auf dem das Programm ausgeführt wird, die Benutzeroberfläche verwenden, um die Berechtigungen für den Clientcomputer auszuweiten.

Wenn für Softwarebereitstellungen administrative Anmeldeinformationen erforderlich sind, die Bereitstellungen jedoch im Kontext eines Benutzers ohne administrative Anmeldeinformationen ausgeführt werden müssen, verwenden Sie auf Windows Installer basierende Installationsprogramme mit pro Benutzer erhöhten Rechten. Die Verwendung von pro Benutzer erhöhten Windows Installer-Rechten stellt die sicherste Möglichkeit dar, Anwendungen mit dieser Anforderung bereitzustellen.

Legen Sie anhand der Clienteinstellung Installationsberechtigungen fest, ob Benutzer Software interaktiv installieren können.

Konfigurieren Sie unter Computer-Agent mit der Clientgeräteeinstellung Installationsberechtigungen die Benutzertypen, die zu Softwareinstallationen mithilfe des Anwendungskatalogs oder von Softwarecenter berechtigt sind. Erstellen Sie beispielsweise eine benutzerdefinierte Clienteinstellung, indem Sie für Installationsberechtigungen die Einstellung Nur Administratoren festlegen. Wenden Sie diese Clienteinstellung dann auf eine Serversammlung an, um Benutzer ohne Administratorberechtigungen an einer Installation von Software auf diesen Computern zu hindern.

Wenn Sie Anwendungen für mobile Geräte mithilfe des Assistenten zum Erstellen von Anwendungen in Configuration Manager signieren, sichern Sie den Speicherort der Signaturzertifikatsdatei sowie den Kommunikationskanal.

Speichern Sie die Signaturzertifikatsdatei in einem gesicherten Ordner und verwenden IPsec oder SMB zwischen den folgenden Computern, um Rechteerweiterungen sowie „Man in the middle“-Angriffe zu vermeiden:

• Computer, auf dem die Configuration Manager-Konsole ausgeführt wird
  
  
• Computer, auf dem die Signaturzertifikatsdatei gespeichert ist
  
  
• Computer, auf dem die Quelldateien der Anwendung gespeichert sind
  
  

Signieren Sie die Anwendung alternativ unabhängig von Configuration Manager, bevor Sie den Assistenten zum Erstellen von Anwendungen ausführen.

Implementieren Sie Zugriffssteuerungen zum Schutz von Referenzcomputern.

Vergewissern Sie sich, dass Referenzcomputer, die zum Konfigurieren der Erkennungsmethode in einem Bereitstellungstyp verwendet werden, nicht gefährdet sind.

Überwachen Sie die Administratoren, denen rollenbasierte Sicherheitsrollen im Zusammenhang mit der Anwendungsverwaltung gewährt werden, und beschränken Sie ihre Anzahl.

• Anwendungsadministrator
  
  
• Anwendungsautor
  
  
• Anwendungsbereitstellungs-Manager
  
  

Selbst wenn Sie eine rollenbasierte Verwaltung festgelegt haben, verfügen Administratoren, die Anwendungen erstellen und bereitstellen, möglicherweise über mehr Berechtigungen, als Ihnen bewusst ist. Wenn Administratoren beispielsweise eine Anwendung erstellen oder ändern, können sie abhängige Anwendungen auch außerhalb ihres Sicherheitsbereichs auswählen.