Die Verwaltung von Endpunkt-Richtlinien für „ “ auf Unternehmensebene war lange Zeit mit dem Jonglieren zahlreicher separater Konfigurationen, dem manuellen Neuerstellen von Gruppenrichtlinien und wochenlangem Aufwand verbunden, um die Ergebnisse der CIS-Benchmarks in durchsetzbare Einstellungen umzusetzen.
Tanium Enforce wurde entwickelt, um diese Herausforderungen zu bewältigen. Doch selbst leistungsfähige Tools sind mit Einführungshürden verbunden, insbesondere für Unternehmen, die von lokalen Active-Directory-Umgebungen auf die cloudbasierte Lösung Entra ID umsteigen, oder für Teams, die über Jahre hinweg Gruppenrichtlinien angesammelt haben, die nun migriert werden müssen.
In dieser Folge stellt Tim Mintner, Director of Product Management bei Tanium Enforce, eine Reihe neuer Funktionen vor, die die Art und Weise, wie Unternehmen Endpunkt-Richtlinien erstellen, importieren und verwalten, grundlegend verändern sollen.
Tim erläutert zwei Hauptziele, die dieser Version zugrunde liegen: neuen und bestehenden Enforce-Kunden den Einstieg erheblich zu erleichtern und den Prozess zur Behebung von Befunden gemäß dem CIS-Benchmark „ “ deutlich zu beschleunigen. Er zeigt auf, wie ein Vorgang, der zuvor drei bis vier Wochen manueller Arbeit erforderte (die Umsetzung eines neuen CIS-Benchmarks in tatsächlich umgesetzte Richtlinien), nun durch den direkten Import von CIS-Build-Kits, die direkt von der CIS-Website heruntergeladen werden, erledigt werden kann. Tim behandelt zudem den Import von Microsoft-Sicherheitsrichtlinien und CIS-Benchmarks auf Anwendungsebene, wie beispielsweise die Absicherungseinstellungen für Google Chrome, und zwar alles im Rahmen desselben Arbeitsablaufs.
Über die Importfunktionen hinaus erläutert Tim praktische Verbesserungen, darunter eine duale Anwendungsmethode, die dazu beiträgt, seit langem bestehende Diskrepanzen bei Compliance-Scans zwischen dem IT-Betrieb und den Compliance-Teams zu verringern, zusätzliche Registrierungs-Einstellungen, die kontinuierlich durchgesetzt und bei der Außerbetriebnahme einer Richtlinie sauber entfernt werden, sowie eine neue Flyout-Ansicht für Richtlinien, die es Administratoren ermöglicht, eine Vorschau der Einstellungen anzuzeigen, ohne den Editor öffnen zu müssen.
Falls Ihr Team Endgeräte-Richtlinien in beliebigem Umfang verwaltet, werden in dieser Folge Funktionen vorgestellt, die Sie sich unbedingt in der Praxis ansehen sollten. Sehen Sie sich das vollständige Video unten an.
Wichtige Erkenntnisse
- zur Erstellung konsolidierter Richtlinien: Anstatt 5, 6, 7, 8 separate Richtlinien zu erstellen – jeweils eine für administrative Vorlagen für Computer, administrative Vorlagen für Benutzer, Sicherheitseinstellungen, „ “, „BitLocker“ und die Firewall – können Kunden nun all diese Elemente in einer einzigen Richtlinie zusammenfassen, wobei sie je nach den Standards ihres Unternehmens wählen können, ob sie diese konsolidieren oder getrennt halten möchten.
- Stichwortsuche im Rahmen der Richtlinienerstellung: Eine neue Suchfunktion innerhalb des Workflows zur Richtlinienerstellung ermöglicht es Administratoren, anhand von Stichwörtern oder Registrierungswerten nach bestimmten Einstellungen über alle Richtlinientypen hinweg zu suchen, wodurch das manuelle Durchsuchen aller verfügbaren Optionen entfällt.
“Ein weiteres Ziel, das wir mit dieser Version unbedingt erreichen möchten, ist es, es unseren Kunden so einfach wie möglich zu machen, die bei den CIS-Benchmarks festgestellten Mängel zu beheben … das ist für viele unserer Kunden ein äußerst mühsamer Prozess … Wir möchten diesen Zeitraum also von Wochen auf Sekunden verkürzen.”Tim Mintner, Leiter Produktmanagement bei Tanium, Enforce
- Durchsetzung zusätzlicher Registrierungseinstellungen: Ein neuer Bereich für zusätzliche Registrierungseinstellungen ermöglicht es Administratoren, benutzerdefinierte Werte für Registrierungsschlüssel festzulegen, die von „Enforce“ auf dem Endgerät kontinuierlich neu ausgewertet werden. Dabei werden Abweichungen korrigiert, falls sich ein Wert ändert, ohne dass die Einstellung nach dem Entfernen der Richtlinie bestehen bleibt.
“Das Schöne daran ist, dass es nicht tätowiert ist; das heißt, es bleibt nicht bestehen, falls diese Regelung einmal wegfällt. Sollte diese Richtlinie aufgehoben werden, werden wir diese Registrierungseinstellung ebenfalls von diesem Endpunkt entfernen.”Tim Mintner, Leiter Produktmanagement bei Tanium, Enforce
- Doppelte Anwendungsmethode für präzise Compliance-Erfassung: Über ein neues Kontrollkästchen können Administratoren Richtlinien-Einstellungen gleichzeitig sowohl über CSP als auch über LGPO anwenden. Dies hilft Compliance-Scan-Tools, die nur eine der beiden Methoden überprüfen, den Richtlinienstatus des Endgeräts genauer widerzuspiegeln, und beseitigt damit die gegenseitigen Schuldzuweisungen, zu denen es zuvor zwischen Compliance-Teams und IT-Betriebsteams gekommen war.
- Dienstverwaltung im Rahmen der Sicherheitseinstellungen: Administratoren können nun Windows-Dienste direkt innerhalb einer Richtlinie für Sicherheitseinstellungen verwalten, einschließlich des Hinzufügens benutzerdefinierter Dienste, die nicht in der Standardliste enthalten sind, und diese deaktivieren, um die Einhaltung der CIS-Empfehlungen zu gewährleisten, wie beispielsweise die Deaktivierung von Xbox-Diensten auf Windows 11 -Endgeräten.
- Direkter Import von CIS-Build-Kits und Gruppenrichtlinien-Sicherungen: Die Importfunktion in Enforce wurde erweitert und unterstützt nun CIS-Build-Kits, die direkt von der CIS-Website heruntergeladen werden, sowie Sicherungen von Microsoft-Sicherheitsbaselines und CIS-Benchmarks auf Anwendungsebene, wie beispielsweise die Absicherungseinstellungen für Google Chrome. Dies ermöglicht es Administratoren, konfigurierte Richtlinien durch einen optimierten Import-Workflow wesentlich schneller zu erstellen.
“„Unsere interne IT-Abteilung meinte, dass sie etwa vier Wochen benötigen, um das zu erledigen, was wir gerade in etwa 15 Sekunden geschafft haben.“Tim Mintner, Leiter Produktmanagement bei Tanium, Enforce
- Vorschau auf Richtlinien über ein Flyout-Menü: Eine neue Flyout-Ansicht in der Richtlinienliste ermöglicht es Administratoren, die Regeln und Durchsetzungsdetails einer beliebigen Richtlinie einzusehen, ohne diese öffnen und bearbeiten zu müssen. Dies ist eine Verbesserung der Benutzerfreundlichkeit, die den Zeitaufwand für die Navigation durch Richtlinien verringert, insbesondere in Umgebungen mit uneinheitlichen Namenskonventionen.
- In Kürze verfügbar – Import benutzerdefinierter ADMX-Vorlagen und verschachtelte Richtlinien: Zu den beiden bereits zugesagten zukünftigen Funktionen gehören die Möglichkeit, benutzerdefinierte ADMX-Vorlagen zur Verwaltung von Anwendungen von Drittanbietern unter zu importieren, sowie die Unterstützung für verschachtelte Richtlinien, d. h. die Möglichkeit, Firewall-Richtlinien, App-Blocker oder andere Richtlinientypen in einem einzigen Satz von Richtlinienelementen übereinander zu schichten.
Weitere Ressourcen
- Zehn Wege zu einem effektiveren Endpunktkonfigurationsmanagement: Ein detaillierter Einblick, wie Unternehmen das Endpunktkonfigurationsmanagement in großem Maßstab angehen können, einschließlich bewährter Verfahren zur Konsolidierung von Richtlinien und zur Behebung von Abweichungen.
- Tanium Enforce-Benutzerhandbuch – Richtlinientypen, Einstellungen und Zielauswahl: Die offizielle technische Homepage von Tanium Enforce mit Links zur Dokumentation über das Erstellen und Bereitstellen von Endpunkt-Richtlinien, unterstützte Richtlinientypen, Konfigurationseinstellungen und Zielauswahloptionen.
