Whitelisting-Tool von Microsoft

Mit Windows 10 Device Guard Arbeitsstationen schützen

| Autor / Redakteur: Thomas Joos / Peter Schmitz

Windows 10 Device Guard ist ideal für Kiosk-Rechner geeignet und bietet mehr Sicherheit für Arbeitsstationen im Unternehmen, ist aber schwer einzurichten und zu verwalten.
Windows 10 Device Guard ist ideal für Kiosk-Rechner geeignet und bietet mehr Sicherheit für Arbeitsstationen im Unternehmen, ist aber schwer einzurichten und zu verwalten. (Bild: Pixabay / CC0)

Microsoft bietet mit Windows 10 Device Guard Administratoren die Möglichkeit, Workstations so zu sperren, dass nur vorab fest definierte Anwendungen ausgeführt werden können; Das ist ideal für Kiosk-Rechner. Die Whitelisting-Funktion bietet damit ein großes Plus an Sicherheit, das sich der Admin aber mit einer unhandlichen Verwaltung mittels Powershell und Gruppenrichtlinien erkaufen muss.

Unternehmen, die auf Windows 10 Enterprise setzen, können eine weitere Sicherheitsfunktion nutzen, um Arbeitsstationen sicherer zu betreiben. Windows 10 Device Guard hat die Aufgabe nur vertrauenswürdige Anwendungen auszuführen. Administratoren legen zentral fest, welche Anwendungen im Netzwerk erlaubt sind. Arbeitsstationen, die Windows 10 Device Guard nutzen. Device Guard arbeitet optimal mit AppLocker zusammen. Das ist zum Beispiel sinnvoll, um auch Apps zu sperren, denen Windows 10 auch ohne Richtlinie vertraut, zum Beispiel die internen Apps in Windows 10, die direkt von Microsoft stammen.

Der Vorteil beim Einsatz von Device Guard besteht darin, dass die Rechner im Netzwerk vor gefährlichen Anwendungen und Malware geschützt sind, weil nur per Richtlinien erlaubte Anwendungen gestartet werden können. Die Richtlinien tragen die Bezeichnung „Codeintegritätsrichtlinien“. Selbst wenn die Signatur eines neuen Virus im Virenscanner noch nicht bekannt, können die Rechner durch Device Guard geschützt werden. Durch das Erstellen einer Whitelist in einer Codeintegritätsrichtlinie dürfen nur definierte Anwendungen gestartet werden. Malware hat dadurch keine Chance. Nur Code, den die Codeintegrität überprüft und genehmigt hat darf ausgeführt werden. Administratoren haben also vollständige Kontrolle über den zulässigen Code im Kernel- und im Benutzermodus.

Voraussetzungen für den Einsatz von Device Guard

Um Windows 10 Device Guard zu nutzen, müssen Unternehmen auf den Arbeitsstationen für bestimmte Voraussetzungen sorgen. Die wichtigste Voraussetzung ist die Installation von Windows 10 in der Enterprise-Edition. Außerdem muss auf dem Rechner UEFI 2.3.1 oder neuer verfügbar sein. Windows 10 Device Guard arbeitet mit Virtualisierungsfunktionen.

Daher müssen die Funktionen zur Virtualisierung aktiviert sein. Die Virtualisierungskomponenten der Prozessoren, also Intel VT-x oder AMD-V und Second Level Address Translation (SLAT) müssen verfügbar und aktiviert sein. Für einen sinnvollen Einsatz sollte sichergestellt sein, dass der Rechner mit keinem anderen Betriebssystem gestartet werden kann, auch nicht von CD/DVD oder USB aus. Intel VT-d oder AMD-Vi sollten ebenfalls vorhanden sein.

So arbeitet Device Guard

Zunächst arbeiten Rechner mit der Secure Boot-Funktion des UEFI. Dadurch wird sichergestellt, dass auf dem Rechner keine Rootkits starten, bevor Windows 10 Device Guard aktiv ist. Nach dem Start des Betriebssystems ist Device Guard aktiv. Dazu nutzt Windows 10 Funktionen aus Hyper-V, die Bestandteil des Betriebssystems sind. Sobald Device Guard aktiv ist, verhindert das Betriebssystem den Start von Anwendungen, die nicht explizit von Administratoren erlaubt wurden.

Parallel zu Device Guard macht es Sinn noch mit Applocker zu arbeiten. Windows 10 Device Guard arbeitet neben den Sicherheitskomponenten von Hyper-V auch mit dem TPM-Chip auf dem Rechner. Hyper-V und TPM schaffen einen virtuellen Bereich auf dem Rechner, der die Systemdateien vor Angriffen schützt.

Die Codeintegrität im Kernelmodus (KMCI) und die Codeintegrität im Benutzermodus (UMCI) sind eine wichtige Grundlage für den Device Guard. KMCI schützt den Kernelmodus davor, dass nicht signierte Treiber ausgeführt werden. UMCI schützt zusätzlich vor Viren und Schadsoftware. Mehr zu dieser Vorgehensweise zeigt Microsoft in einem Blogbeitrag und in diesem Video zu Device Guard:

Device Guard per Gruppenrichtlinie und SCCM aktivieren

Die Aktivierung von Device Guard erfolgt am besten über Gruppenrichtlinien.
Die Aktivierung von Device Guard erfolgt am besten über Gruppenrichtlinien. (Bild: Th. Joos)

Um Device Guard zu nutzen, muss in Windows 10 über die erweiterten Komponenten zunächst Hyper-V aktiviert werden. Das kann natürlich auch bereits bei der Bereitstellung des Rechners erfolgen. Die Aktivierung von Device Guard erfolgt idealerweise über Gruppenrichtlinien. Die entsprechenden Einstellungen sind bei Computerkonfiguration\Administrative Vorlagen\System\Device Guard zu finden.

Da Device Guard vor allem in großen Netzwerken eingesetzt wird, lässt sich die Funktion auch über System Center Configuration Manager aktivieren und konfigurieren. Idealerweise wird dazu eine Tasksequenz genutzt, in der Device Guard auf dem Rechner als optionales Feature installiert wird, zusammen mit Hyper-V. Nachdem die Funktionen aktiviert sind, lässt sich Device Manager in der SCCM-Konsole verwalten.

Richtlinien in der PowerShell definieren

Die Richtlinien, die Device Guard nutzt, werden am besten über die PowerShell erstellt und definiert. Dazu steht zum Beispiel das CMDlet New-CIPolicy zur Verfügung. Die Regeln in dieser Richtlinie werden wiederum mit Set-RuleOption konfiguriert. Die Vorgehensweise dazu zeigt Microsoft ausführlich in der TechNet. Hier sind auch die Anleitungen für die Regeln zu finden.

Fazit

Windows 10 Device Guard bietet deutlich mehr Sicherheit für Arbeitsstationen im Unternehmen. Administratoren können festlegen, welche Anwendungen auf den Arbeitsstationen erlaubt sind. Alle anderen Anwendungen lassen sich nicht starten. Allerdings ist die Einrichtung und Verwaltung der Umgebung nicht sehr einfach. Es steht keine grafische Oberfläche für die Verwaltung von Device Guard zur Verfügung. Administratoren müssen mit Konfigurationsdateien, Gruppenrichtlinien und der PowerShell arbeiten, um Device Guard zu nutzen. Device Guard ist ideal für Kiosk-Rechner und Umgebungen in denen sich der Softwarestand nicht sehr oft ändert.

Gruppenrichtlinien erzwingen und Priorität erhöhen

Video-Tipp: Gruppenrichtlinien

Gruppenrichtlinien erzwingen und Priorität erhöhen

24.01.17 - Administratoren haben mit Windows Server 2012 R2/2016 die Möglichkeit, die Erzwingung einer Gruppenrichtlinie zu veranlassen oder sicherzustellen, dass eine Richtlinie immer vor einer anderen gestartet wird, indem sie deren Priorität entsprechend setzen. Wie das geht zeigt dieser Video-Tipp. lesen

Fehler beim Einsatz von Gruppenrichtlinien beheben

Video-Tipp: Probleme mit Gruppenrichtlinien

Fehler beim Einsatz von Gruppenrichtlinien beheben

07.02.17 - Beim Einsatz von Gruppenrichtlinien müssen Administratoren darauf achten, dass Namensauflösungen korrekt gesetzt sind und auch spezielle Einstellungen wie Vererbung und Erzwingung müssen korrekt gesetzt sein. Nur bei der richtigen Vorgehensweise ist sichergestellt, dass die Einstellungen in den Richtlinien auch sicher funktionieren. Um Fehler zu entdecken stehen verschiedene Möglichkeiten zur Verfügung. In diesem Video-Tipp-Artikel zeigen, welche das sind. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44846623 / Endpoint)