Whitelisting-Tool von Microsoft Mit Windows 10 Device Guard Arbeitsstationen schützen

Microsoft bietet mit Windows 10 Device Guard Administratoren die Möglichkeit, Workstations so zu sperren, dass nur vorab fest definierte Anwendungen ausgeführt werden können; Das ist ideal für Kiosk-Rechner. Die Whitelisting-Funktion bietet damit ein großes Plus an Sicherheit, das sich der Admin aber mit einer unhandlichen Verwaltung mittels Powershell und Gruppenrichtlinien erkaufen muss.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Keeper Security EMEA Ltd.

Unternehmen, die auf Windows 10 Enterprise setzen, können eine weitere Sicherheitsfunktion nutzen, um Arbeitsstationen sicherer zu betreiben. Windows 10 Device Guard hat die Aufgabe nur vertrauenswürdige Anwendungen auszuführen. Administratoren legen zentral fest, welche Anwendungen im Netzwerk erlaubt sind. Arbeitsstationen, die Windows 10 Device Guard nutzen. Device Guard arbeitet optimal mit AppLocker zusammen. Das ist zum Beispiel sinnvoll, um auch Apps zu sperren, denen Windows 10 auch ohne Richtlinie vertraut, zum Beispiel die internen Apps in Windows 10, die direkt von Microsoft stammen.

Der Vorteil beim Einsatz von Device Guard besteht darin, dass die Rechner im Netzwerk vor gefährlichen Anwendungen und Malware geschützt sind, weil nur per Richtlinien erlaubte Anwendungen gestartet werden können. Die Richtlinien tragen die Bezeichnung „Codeintegritätsrichtlinien“. Selbst wenn die Signatur eines neuen Virus im Virenscanner noch nicht bekannt, können die Rechner durch Device Guard geschützt werden. Durch das Erstellen einer Whitelist in einer Codeintegritätsrichtlinie dürfen nur definierte Anwendungen gestartet werden. Malware hat dadurch keine Chance. Nur Code, den die Codeintegrität überprüft und genehmigt hat darf ausgeführt werden. Administratoren haben also vollständige Kontrolle über den zulässigen Code im Kernel- und im Benutzermodus.

33 Security-Tipps für Windows 10

Bildergalerie mit 34 Bildern

Voraussetzungen für den Einsatz von Device Guard

Um Windows 10 Device Guard zu nutzen, müssen Unternehmen auf den Arbeitsstationen für bestimmte Voraussetzungen sorgen. Die wichtigste Voraussetzung ist die Installation von Windows 10 in der Enterprise-Edition. Außerdem muss auf dem Rechner UEFI 2.3.1 oder neuer verfügbar sein. Windows 10 Device Guard arbeitet mit Virtualisierungsfunktionen.

Daher müssen die Funktionen zur Virtualisierung aktiviert sein. Die Virtualisierungskomponenten der Prozessoren, also Intel VT-x oder AMD-V und Second Level Address Translation (SLAT) müssen verfügbar und aktiviert sein. Für einen sinnvollen Einsatz sollte sichergestellt sein, dass der Rechner mit keinem anderen Betriebssystem gestartet werden kann, auch nicht von CD/DVD oder USB aus. Intel VT-d oder AMD-Vi sollten ebenfalls vorhanden sein.

So arbeitet Device Guard

Zunächst arbeiten Rechner mit der Secure Boot-Funktion des UEFI. Dadurch wird sichergestellt, dass auf dem Rechner keine Rootkits starten, bevor Windows 10 Device Guard aktiv ist. Nach dem Start des Betriebssystems ist Device Guard aktiv. Dazu nutzt Windows 10 Funktionen aus Hyper-V, die Bestandteil des Betriebssystems sind. Sobald Device Guard aktiv ist, verhindert das Betriebssystem den Start von Anwendungen, die nicht explizit von Administratoren erlaubt wurden.

Parallel zu Device Guard macht es Sinn noch mit Applocker zu arbeiten. Windows 10 Device Guard arbeitet neben den Sicherheitskomponenten von Hyper-V auch mit dem TPM-Chip auf dem Rechner. Hyper-V und TPM schaffen einen virtuellen Bereich auf dem Rechner, der die Systemdateien vor Angriffen schützt.

Die Codeintegrität im Kernelmodus (KMCI) und die Codeintegrität im Benutzermodus (UMCI) sind eine wichtige Grundlage für den Device Guard. KMCI schützt den Kernelmodus davor, dass nicht signierte Treiber ausgeführt werden. UMCI schützt zusätzlich vor Viren und Schadsoftware. Mehr zu dieser Vorgehensweise zeigt Microsoft in einem Blogbeitrag und in diesem Video zu Device Guard:

Device Guard per Gruppenrichtlinie und SCCM aktivieren

Um Device Guard zu nutzen, muss in Windows 10 über die erweiterten Komponenten zunächst Hyper-V aktiviert werden. Das kann natürlich auch bereits bei der Bereitstellung des Rechners erfolgen. Die Aktivierung von Device Guard erfolgt idealerweise über Gruppenrichtlinien. Die entsprechenden Einstellungen sind bei Computerkonfiguration\Administrative Vorlagen\System\Device Guard zu finden.

Da Device Guard vor allem in großen Netzwerken eingesetzt wird, lässt sich die Funktion auch über System Center Configuration Manager aktivieren und konfigurieren. Idealerweise wird dazu eine Tasksequenz genutzt, in der Device Guard auf dem Rechner als optionales Feature installiert wird, zusammen mit Hyper-V. Nachdem die Funktionen aktiviert sind, lässt sich Device Manager in der SCCM-Konsole verwalten.

Richtlinien in der PowerShell definieren

Die Richtlinien, die Device Guard nutzt, werden am besten über die PowerShell erstellt und definiert. Dazu steht zum Beispiel das CMDlet New-CIPolicy zur Verfügung. Die Regeln in dieser Richtlinie werden wiederum mit Set-RuleOption konfiguriert. Die Vorgehensweise dazu zeigt Microsoft ausführlich in der TechNet. Hier sind auch die Anleitungen für die Regeln zu finden.

Fazit

Windows 10 Device Guard bietet deutlich mehr Sicherheit für Arbeitsstationen im Unternehmen. Administratoren können festlegen, welche Anwendungen auf den Arbeitsstationen erlaubt sind. Alle anderen Anwendungen lassen sich nicht starten. Allerdings ist die Einrichtung und Verwaltung der Umgebung nicht sehr einfach. Es steht keine grafische Oberfläche für die Verwaltung von Device Guard zur Verfügung. Administratoren müssen mit Konfigurationsdateien, Gruppenrichtlinien und der PowerShell arbeiten, um Device Guard zu nutzen. Device Guard ist ideal für Kiosk-Rechner und Umgebungen in denen sich der Softwarestand nicht sehr oft ändert.

Video-Tipp: Gruppenrichtlinien

Gruppenrichtlinien erzwingen und Priorität erhöhen

Video-Tipp: Probleme mit Gruppenrichtlinien

Fehler beim Einsatz von Gruppenrichtlinien beheben

(ID:44846623)