Verwaltung von Benutzerrechten

In diesem Abschnitt werden folgende Themen behandelt:

Wissenswertes über die Berechtigungsverwaltung
Technologie
Vorteile der Verwaltung von Benutzerrechten

Wissenswertes über die Verwaltung von Benutzerrechten

Viele Benutzerumgebungen sind sehr restriktiv, um den Benutzerzugriff auf sensible Daten und wichtige Anwendungen maximal zu begrenzen. Benutzer brauchen zum Ausüben ihrer Tätigkeit jedoch oft Administratorrechte. Dies ist beispielsweise der Fall bei vielen proprietären Systemen, Systemupdates und Anwendungen, die die Installation von Gerätetreibern erlauben, wie Drucker, Virenschutzscans usw. In der Regel haben Benutzer entweder uneingeschränkte oder gar keine Administratorrechte.

Application Control sichert und schützt eine Vielzahl von geschäftlich genutzten Desktops, indem der Zugriff auf Anwendungen und das Netzwerk kontrolliert wird. Darüber hinaus bietet die Lösung umfassende Funktionen für die Verwaltung von Benutzerrechten. Die Verwaltung von Benutzerrechten ermöglicht die Erstellung wiederverwendbarer Richtlinien für Benutzerrechte, die mit beliebigen Regeln verknüpft werden können. Sie können beispielsweise verwendet werden, um den Zugriff auf Dateien, Ordner, Laufwerke, Signaturen, Windows Store Apps, Anwendungsgruppen und unterstützte Komponenten der Systemsteuerung eines bestimmten Betriebssystems zu erhöhen oder einzuschränken.

Mit der Verwaltung von Benutzerrechten haben IT-Abteilungen die Möglichkeit, Zugriffsberechtigungen je nach Benutzer, Gruppe, Anwendung oder Geschäftsregel einzuschränken. Sie stellt sicher, dass Benutzer nur die Rechte besitzen, die sie zum Ausüben ihrer Tätigkeit und für den Zugriff auf Anwendungen und Kontrollen tatsächlich brauchen – nicht mehr und nicht weniger. Dadurch bleiben Desktops stabil, während Sicherheit und Produktivität verbessert werden. Das perfekte Gleichgewicht zwischen Benutzerproduktivität und Sicherheit wird dadurch erreicht, dass Benutzerrechte nicht auf Sitzungs- oder Kontoebene, sondern auf Ebene einer Anwendung oder einzelnen Aufgabe kontrolliert werden.

Mit der Verwaltung von Benutzerrechten wird der Zugriff auf Anwendungen und Aufgaben dynamisch gesteuert, indem Benutzerrechte bedarfsorientiert, in Reaktion auf Benutzeraktionen verwaltet werden. Beispiel: Administratorrechte können auf eine benannte Anwendung oder Systemsteuerungskomponente für einen bestimmten Benutzer oder eine bestimmte Benutzergruppe angewendet werden. Dazu werden entweder die Berechtigungen eines Standardbenutzers auf die Administratorebene angehoben oder die Berechtigungen eines Administrators auf die eines Standardbenutzerkontos heruntergestuft.

Durch Kontrollieren der Benutzerrechte während der gesamten Benutzersitzung, kann die IT den Benutzern den für die Ausübung ihrer Tätigkeit erforderlichen Zugriff einräumen, ohne dadurch den Desktop oder die Umgebung zu gefährden. Gleichzeitig werden Verwaltungskosten gesenkt.

Die Verwaltung von Benutzerrechten bietet einen granularen Ansatz für das Delegieren von Administratorrechten an Benutzer und Anwendungen, indem Rechte nach bestimmten Kriterien zugewiesen werden. Diese Kontrollstufe kann zum fallweisen Erhöhen oder Einschränken von Berechtigungen implementiert werden, je nachdem, welcher Ansatz in der Umgebung bevorzugt wird.

Die Berechtigungsverwaltung ermöglicht die Erstellung einer Bibliothek mit wiederverwendbaren Richtlinien, die mit jeder verfügbaren Application Control-Regel verknüpft werden können. So lassen sich die jeweiligen Berechtigungen Dateien, Ordnern, Signaturen und Anwendungsgruppen zuweisen. Die Richtlinien für Benutzerrechte umfassen die Domänenbenutzer-Gruppenmitgliedschaft sowie eine Reihe von Administratorrechten, die sich auf die einzelnen Richtlinien anwenden lassen.

Wird eine neue Anwendung durch eine bestehende Anwendung generiert, die über Administratorrechte verfügt, so werden diese nicht automatisch auf die neue Anwendung übertragen. Stattdessen wird geprüft, ob die neue Anwendung Administratorrechte erhalten soll oder nicht.

Geringste Rechte

Viele Benutzer führen ihren Computer mit Administratorrechten aus. Dadurch können jedoch Viren, Malware und Spyware Zugang zum System erhalten. Dies kann sich auf das gesamte Unternehmen auswirken und Sicherheitsverletzungen und Ausfallzeiten nach sich ziehen. Der Zugriff auf private Daten kann ebenfalls gefährdet sein.

Die Verwaltung von Benutzerrechten ermöglicht Ihnen die Anwendung des Prinzips des geringsten Rechts. Dieses Prinzip stellt darauf ab, Benutzern nur so viele Rechte einzuräumen, wie sie zur Ausübung ihrer Tätigkeit benötigen, ohne ihnen vollständige Administratorrechte zu gewähren. Das Erlebnis ist für den Benutzer nahtlos.

Eine umfassende Definition des Konzepts des geringsten Rechts finden Sie im US-Standard für Computersicherheit TCSEC (Trusted Computer System Evaluation Criteria) des Verteidigungsministeriums (DOD-5200.28.STD), der auch als Orange Book bekannt ist. Der Standard befindet sich unter http://csrc.nist.gov/publications/history/dod85.pdf.

Mithilfe der Verwaltung von Benutzerrechten lassen sich Ausfallzeiten und IT-Supportanfragen deutlich reduzieren, die mit Viren usw. in Verbindung stehen, da die Computer nicht mehr von den Problemen betroffen sind, die sich aus einer zu freizügigen Verwendung von Administratorrechten ergeben. Der IT-Support kann sich daher anderen Aufgaben widmen, statt sich mit der zeitaufwändigen Diagnose und Fehlerbehebung von Computern zu befassen. Die Lizenzierung lässt sich ebenfalls einfacher kontrollieren, da Benutzer nur autorisierte Anwendungen installieren dürfen.

Allgemeine Tasks, die Administratorrechte erfordern

Zur Ausübung ihrer Tätigkeit müssen Benutzer oft eine Reihe von Tasks durchführen, für die Administratorrechte erforderlich sind. Hier bedarf es einer Lösung, die das Durchführen dieser spezifischen Tasks unterstützt, damit Benutzer ihrer Tätigkeit ohne Einschränkung nachkommen können. Zu diesen Tasks gehören:

Installieren von Druckern
Installieren bestimmter Hardware
Installieren bestimmter Anwendungen
Nutzen von Anwendungen, die Administratorrechte erfordern
Ändern der Systemuhrzeit
Ausführen von Legacy-Anwendungen

Die Verwaltung von Benutzerrechten ermöglicht Benutzern die Durchführung dieser Aufgaben, indem ihre Rechte auf bestimmte Administratorrechte erhöht werden.

Verwaltung von Benutzerrechten oder Ausführen als

Viele Benutzer, vor allem Wissensmitarbeiter, führen Anwendungen mit dem Befehl Ausführen als aus. Benutzer können ihre täglichen Aufgaben also entweder nach dem Konzept des geringsten Rechts durchführen oder bei Bedarf den Befehl Ausführen als verwenden, um ihre Anmeldeinformationen zu erhöhen und eine Aufgabe im Kontext eines anderen Benutzers durchzuführen. Dazu benötigt der Benutzer jedoch zwei Konten: eines für geringste Rechte und eines für erweiterte Rechte ("Elevation").

Ein häufiges Problem bei der Verwendung von Ausführen als ist, dass das Administratorkennwort im gesamten Unternehmen bekannt wird. Beispiel: Ein Administrator teilt einem Benutzer sein Administratorkennwort mit, damit dieser den Befehl Ausführen als verwenden und ein Problem an seinem Computer beheben kann. Leider wird das Kennwort dadurch oft weitergegeben, was zu Sicherheitsrisiken führt.

Ein weiteres Problem bei der Verwendung von Ausführen als ist die Interaktion zwischen Software und dem Befehl. Mit Ausführen als wird eine Anwendung oder ein Prozess im Kontext eines anderen Benutzers ausgeführt. Daher hat die Anwendung oder der Prozess keinen Zugriff auf die richtige HKEY_CURRENT_USER-Struktur in der Registrierung.

Diese Struktur ist ein geschützter Bereich, in dem alle Profildaten gespeichert sind. Die Anwendung bzw. der Prozess, die/der im Kontext eines anderen Benutzers ausgeführt wird, kann diese Quelle weder lesen noch beschreiben, was zur Folge hat, dass einige Anwendungen nicht funktionieren. Das Ausführen im Kontext eines anderen Benutzers kann auch zu Problemen beim Lesen und Beschreiben von Netzwerkfreigaben führen. Das liegt daran, dass Netzwerkfreigaben auf dem Konto in dem von Ihnen ausgeführten Kontext basieren. Ihr lokales Konto und das Ausführen als-Konto haben also möglicherweise nicht den gleichen Zugriff auf Ressourcen.

"Ausführen als" und Benutzerkontensteuerung

Einige Betriebssysteme, wie Windows 7 und Windows 8, verfügen über Funktionen, die es dem Benutzer ermöglichen, Anwendungen oder Prozesse ohne Administratorrechte auszuführen. Dabei handelt es sich um den Befehl Ausführen als und die Benutzerkontensteuerung.

Diese Funktionen betreffen auch die Versionen Server 2008 und 2012.

Wenngleich diese Funktionen dem Benutzer die Ausführung ohne Administratorrechte ermöglichen, benötigt der Benutzer dennoch Zugriff auf ein Administratorkonto, um Administratortasks durchführen zu können. Diese Einschränkung bedingt leider, dass die Funktionen für Administratoren besser geeignet sind. Sie ermöglicht es ihnen, sich als Standardbenutzer anzumelden und das Administratorkonto nur zum Durchführen von administrativen Aufgaben zu verwenden.

Der Benutzer muss die Anmeldeinformationen für einen lokalen Administrator angeben, um den Befehl Ausführen als und die Benutzerkontensteuerung nutzen zu können. Daraus ergeben sich gewisse Aspekte, die es zu berücksichtigen gilt. Zum Beispiel:

Ein Benutzer mit Zugriff auf ein Administratorkonto muss absolut vertrauenswürdig sein, um sicherzustellen, dass er die Berechtigungen nicht missbräuchlich verwendet.
Anwendungen, die mit Administratorrechten ausgeführt werden, werden jetzt im Kontext eines anderen Benutzers ausgeführt. Dies kann problematisch sein, wenn diese Anwendungen keinen Zugriff auf das Profil oder die Netzwerkfreigaben des eigentlichen Benutzers haben, wie im Abschnitt "Verwaltung von Benutzerrechten oder Ausführen als" beschrieben.
Es sind zwei Kennwörter erforderlich: eines für das Standardkonto und eines für das Administratorkonto. Der Benutzer muss sich beide merken. Die Sicherheit für ein Konto zu gewährleisten, ist bereits eine Herausforderung, für zwei Konten trifft dies umso mehr zu.

Technologie

Wenn in einer Microsoft Windows-Umgebung eine Anwendung gestartet werden soll und eine Ausführungsanforderung gesendet wird, verlangt die Anwendung im Rahmen der Genehmigung des Anwendungsstartvorgangs einen Sicherheitstoken. Dieser Token beinhaltet die Rechte und Berechtigungen, die der Anwendung gewährt wurden. Diese Rechte können für die Interaktion mit dem Betriebssystem oder anderen Anwendungen verwendet werden.

Wenn die Verwaltung von Benutzerrechten für die Verwaltung einer Anwendung konfiguriert ist, wird der angeforderte Sicherheitstoken dynamisch modifiziert, um Berechtigungen zu erhöhen oder einzuschränken, was dazu führt, dass die Anwendung ausgeführt oder blockiert wird.

Der Mechanismus für die Verwaltung von Benutzerrechten handhabt Anforderungen zum Starten von Prozessen wie folgt:
- Eine Richtlinie für Benutzerrechte wird in der Konfigurationsregel definiert. Sie gilt für Anwendungen oder Komponenten.
- Die Anwendungsliste kann Dateien, Ordner, Signaturen oder Anwendungsgruppen beinhalten.
Die Komponentenliste kann Systemsteuerungskomponenten beinhalten.
Wird ein Prozess durch das Starten einer Anwendung oder ausführbaren Datei erstellt, fängt der Application Control Hook den Prozess ab und fragt beim Application Control Agent ab, ob für das Ausführen des Prozesses erhöhte oder eingeschränkte Berechtigungen erforderlich sind.
Der Agent prüft, ob die Konfiguration erhöhte oder eingeschränkte Rechte vorsieht und fordert bei Bedarf einen modifizierten Benutzertoken von der lokalen Sicherheitsautorität (LSA) von Windows an.
Der Hook empfängt den modifizierten Benutzertoken von der Windows LSA und verfügt damit über die erforderlichen Berechtigungen. Anderenfalls wird der Prozess mit dem vorhandenen Benutzertoken ausgeführt, entsprechend den Definitionen der normalen Benutzerrechte.

Vorteile der Verwaltung von Benutzerrechten

Wesentliche Vorteile der Verwaltung von Benutzerrechten:

Ermitteln von Benutzeranwendungen, für die erhöhte Berechtigungen erforderlich sind – Mithilfe des Modus für Berechtigungsermittlung lassen sich Anwendungen überwachen, für die Administratorrechte erforderlich sind, und Berichte generieren. Erstellen Sie anhand der in den Berichten aufgeführten Daten Konfigurationen für die Anwendungsverwaltung.
Erweitern von Benutzerrechten zum Ausführen von Anwendungen – In der Verwaltung von Benutzerrechten lassen sich die Anwendungen festlegen, für deren Ausführung Administrator-Anmeldeinformationen erforderlich sein sollen. Der Benutzer verfügt nicht über Administrator-Anmeldeinformationen, kann die Anwendung aber trotzdem ausführen.
Erhöhung von Benutzerrechten zum Ausführen von Systemsteuerungs-Applets – Viele Roaming-Benutzer müssen Tasks durchführen, für die Administratorrechte erforderlich sind. Dazu gehört etwa das Installieren von Druckern, das Ändern von Netzwerk- und Firewalleinstellungen, das Ändern von Datum und Uhrzeit sowie das Hinzufügen und Entfernen von Programmen. Alle diese Tasks erfordern, dass bestimmte Komponenten als Administrator ausgeführt werden. Mithilfe der Verwaltung von Benutzerrechten lassen sich Berechtigungen für einzelne Komponenten erhöhen. So kann ein Standardbenutzer, der kein Administrator ist, die Änderungen vornehmen, die zum Ausüben seiner Rolle erforderlich sind.
Reduzieren von Berechtigungen zum Einschränken von Anwendungsberechtigungen – Benutzer verfügen standardmäßig über bestimmte Administrator-Anmeldeinformationen, sind jedoch gezwungen, bestimmte Anwendungen als Nicht-Administrator auszuführen. Durch Ausführen bestimmter Anwendungen als Administrator, z. B. Internet Explorer, kann der Benutzer nicht gewünschte Einstellungen ändern, Anwendungen installieren und gegebenenfalls den Desktop mit dem Internet verbinden. Mithilfe der Verwaltung von Benutzerrechten können Sie beispielsweise unterbinden, dass ein Benutzer auf Administratorebene Internet Explorer im Standardbenutzermodus ausführt, und können so den Desktop schützen.
Reduzieren von Berechtigungen zum Einschränken des Zugriffs auf Systemeinstellungen – Mithilfe der Verwaltung von Benutzerrechten können Sie einem übergeordneten Systemadministrator die Möglichkeit einräumen, zu verhindern, dass ein administrativer Benutzer Einstellungen ändert, die nicht geändert werden sollen, z. B. Einstellungen für Firewalls und bestimmte Dienste. Mithilfe der Verwaltung von Benutzerrechten können Sie Administratorrechte für bestimmte Prozesse einschränken. Wenngleich der Benutzer über Administratorrechte verfügt, behält der Systemadministrator die Kontrolle über die Umgebung.