DriveLock 6.1. Release Notes. CenterTools Software GmbH

Transkript

1 DriveLock 6.1 Release Notes CenterTools Software GmbH 2010

2 Inhalt 1 EINLEITUNG KONVENTIONEN NEUERUNGEN DER VERSION ÄNDERUNGEN DER ARCHITEKTUR ASSET-MANAGEMENT REPORTING UND ANALYSE FULL DISK ENCRYPTION VERTEILUNG VORKONFIGURIERTE EINSTELLUNGEN NEUERUNGEN DER VERSION ÄNDERUNGEN DER ARCHITEKTUR FACELIFT DER BENUTZEROBERFLÄCHE EINFACHE INBETRIEBNAHME ANONYMISIERUNG VON DATEN NEUE KONFIGURATIONSMÖGLICHKEITEN BEI LAUFWERKEN SCHATTENKOPIEN VON CD/DVD ENCRYPTION 2-GO APPLIKATIONSKONTROLLE AUF NEUEM NIVEAU REPORTING UND ANALYSE ZUSAMMENFASSUNG VERFÜGBARE DOKUMENTATION TESTINSTALLATION UND UPDATE TESTINSTALLATION VON DRIVELOCK UPDATE EINER FRÜHEREN VERSION VON DRIVELOCK UPDATE DES AUF DES UPDATE DES 6.0.X AUF DES UPDATE DER FDE INSTALLATION ZUSÄTZLICHE HINWEISE BEKANNTE EINSCHRÄNKUNGEN DRIVELOCK UND XENAPP DRIVELOCK UND VISTA / WINDOWS APPLICATION LAUNCH FILTER UND AUTOMATISCHE UPDATES DRIVELOCK FULL DISK ENCRYPTION Version

3 8 VERSIONSHISTORIE DRIVELOCK VERSION DRIVELOCK VERSION Version

4 1 Einleitung Die Release Notes enthalten wichtige Informationen zur neuen Version von DriveLock. Neben den Neuerungen und den Änderungen gegenüber der Vorgängerversion finden Sie Hinweise zu den verfügbaren Dokumentationen und deren Inhalt. Ebenfalls sind in den Release Notes noch Änderungen oder Ergänzungen enthalten, die es kurzfristig nicht mehr in die Dokumentation geschafft haben. 4 Version

5 1.1 Konventionen In diesem Dokument werden durchgängig folgende Konventionen und Symbole verwendet, um wichtige Aspekte hervorzuheben oder Objekte zu visualisieren. Vorsicht: Dieses Symbol weist darauf hin, dass bestimmte Aktionen mit Bedacht durchgeführt werden sollen, da diese möglicherweise zur Beschädigung von Daten oder des Betriebssystems führen könnten. Hinweis: Hilfreiche Information, die nützlich sein könnte und Ihnen möglicherweise Zeit erspart. Information: Zusätzliche wichtige Information zum aktuellen Thema, die unbedingt beachtet werden sollte. kursiv Diese Formatierung repräsentiert Felder, Menü Einträge und Querverweise. C:\>eingabe Diese Formatierung (feste Breite) wird für Nachrichten oder Eingaben in der Kommandozeile verwendet. Weiter Diese Formatierung beschreibt eine Schaltfläche, die mit der Maus betätigt werden muss. ALT + R ALT, R, U Ein Plus-Zeichen zwischen zwei Tasten bedeutet, dass diese beiden Tasten gleichzeitig betätigt werden müssen (z.b. ALT + R bedeutet, dass die ALT-Taste gedrückt bleiben muss, bis die R-Taste gedrückt wurde). Ein Komma zwischen zwei oder mehreren Tasten bedeutet, dass diese Tasten in der angegeben Reihenfolge gedrückt werden müssen (z.b. ALT,R,U heißt, dass zuerst die ALT-Taste, dann die Taste R und zuletzt die Taste U gedrückt werden muss). 5 Version

6 2 Neuerungen der Version 6.1 DriveLock 6.1 ist ein sogenanntes Minor-Release, welches kleinere Verbesserungen und überarbeitete Funktionen gegenüber der Vorgängerversion enthält. Im Folgenden werden die wesentlichen Neuerungen beschrieben, damit Sie sich schnell einen Überblick darüber verschaffen können, welche neuen und interessanten Möglichkeiten diese Version bietet. 2.1 Änderungen der Architektur Die Architektur wurde gegenüber der Version 6.0 nur leicht angepasst und weiter optimiert. Der DES- Server hat nun einen eigenen Cache, um zu Spitzenzeiten mehr Ereignisse von Agenten anzunehmen, die Verarbeitung und das Speichern in die Datenbank erfolgt dann zeitversetzt. In Enterprise Netzwerken können mithilfe der kaskadierten DES-Server auch Außenstellen bandbreitenschonend mit der zentralen Datenbank verknüpft werden. Ein kaskadierter DES-Server in einer Außenstelle nimmt dort die Ereignisse der Clients entgegen, und kann diese nach einem Zeitplan komprimiert zum primären DES-Server übertragen. Als weiterer Datenbanktyp wird erstmalig auch Oracle (inkl. Express Edition) unterstützt. Das Benutzerinterface wurde um das DES-Tray Icon erweitert, das immer den aktuellen Systemstatus der DES-Komponenten anzeigt. 2.2 Asset-Management Durch das integrierte Asset-Management kann, neben der Hardware, der komplette Bestand an Software inventarisiert und geprüft werden. So ist es dann möglich, die tatsächliche Zahl von benötigten Software-Lizenzen zu erheben und ggf. die Lizenzzahlungen zu korrigieren. Neben diesem nicht unerheblichen finanziellen Einsparungsaspekt für das Unternehmen, dürfte auch die Sicherheit wichtig sein, sich auch rechtlich nicht mehr in Grauzonen zu bewegen und belegbare Zahlen über die benützte Software zu haben. Diese Funktion steht nur in den Lizenzen Premium Edition, Premium Suite und Executive Suite kostenlos zur Verfügung. 6 Version

7 2.3 Reporting und Analyse Das DriveLock Control Center (DCC) wurde weiter verbessert, um Bedienung und die forensische Analyse weiter zu erleichtern. Es enthält eine überarbeitete Startseite mit mehr statistischen Grafiken und einer übersichtlicheren Darstellung. Außerdem kann man direkt aus der Grafik heraus den dazugehörigen Report oder Forensic aufrufen um die Analyse zu beschleunigen. Mithilfe der geplanten Reports können nun regelmäßig Reports per PDF an einen Administrator oder einem Dritten, z.b. einem Manager der keinen Zugriff auf das DriveLock Control Center hat, per versendet werden. Das Asset-Management wurde zudem komplett in das DriveLock Control Center integriert, sodass alle Möglichkeiten des DCC s verwendet werden können. 2.4 Full Disk Encryption Verteilung Das Full Disk Encryption (FDE) Deployment wurde weiter vereinfacht. Insbesondere wenn das FDE- Installationspaket über den DES-Server verteilt wurde, mussten bis Version 6.0 die Installationspakete von Hand auf den Server kopiert werden und bei einem Upgrade entsprechend benannt werden. Jetzt muss man nur noch in der DriveLock Management Konsole das Installationspaket zum DES-Server hochladen, alles weitere erfolgt automatisch. Werden mehrere Installationspakete verwendet, z.b. für ein Upgrade, werden die korrekten Versionen automatisch vom Server bereitgestellt. Wird die FDE installiert, kann man jetzt festlegen ob der benötigte, zuvor automatische, Neustart manuell oder weiterhin automatisch erfolgen soll. Der manuelle Neustart kann zusätzlich um ein eigenes Skript erweitert werden. Gerade für die zentrale Installation in Images wurde eine Installationsverzögerung eingebaut, d.h. die Installation erfolgt nicht, bis es vom Administrator freigegeben wurde. Dabei prüft DriveLock einen bestimmten Registry-Key. Die Version des FDE Installationspaketes hat sich gegenüber der DriveLock Version 6.0 geändert. Das FDE Installationspaket ist die aktuellste verfügbare Version. 2.5 Vorkonfigurierte Einstellungen Um den Einstieg und die Evaluierung von DriveLock weiter zu vereinfachen, wird bei einer leeren oder neuen Konfiguration ein Assistent angezeigt, aus dem man eine von vier Standardkonfigurationen auswählen kann: Geräte- und Applikationsverwendung protokollieren Externe Laufwerke sperren Externe Laufwerke verschlüsseln 7 Version

8 Ausführung von unerwünschten Anwendungen verhindern 3 Neuerungen der Version 6.0 DriveLock 6 ist ein sogenanntes Major-Release, welches neben kleinen Verbesserungen auch viele komplett neue Funktionen, Einstellungsmöglichkeiten und grundlegende Änderungen der Architektur enthält. Im Folgenden werden die wesentlichen Neuerungen beschrieben, damit Sie sich schnell einen Überblick darüber verschaffen können, welche neuen und interessanten Möglichkeiten diese Version bietet. 3.1 Änderungen der Architektur Mit DriveLock 6 wird das Security Reporting Center (SRC) und der sogenannte SRC-Server zusammen mit der SRC-MMC komplett abgelöst. Lediglich die zentrale SQL-Server Datenbank bleibt bestehen und wird erweitert. An Stelle des SRC-Servers steht Ihnen nun der neue DriveLock Enterprise Service zur Verfügung, der die folgenden bisher verwendeten Dienste und Komponenten in einem einzigen zentralen Dienst vereint: DriveLock Consolidator Service DriveLock File Cache Service SRC Webservices Damit entfällt gleichzeitig die Notwendigkeit des Internet Information Server von Microsoft, welcher nun nicht mehr benötigt wird. Sie können den DriveLock Enterprise Service auf einem bereits vorhandenen System zusätzlich installieren, eine bereits vorhandene SQL oder Oracle Server Datenbank kann ebenfalls verwendet werden. Für kleinere Umgebungen reicht wie bisher auch die kostenlose Version Express aus. Die bisher vorhandene SRC Management Konsole wird durch das neue DriveLock Control Center (DCC) ersetzt. Das DCC ist eine eigenständige Applikation und keine MMC-Anwendung mehr. Dadurch entfallen die Restriktionen, die bei der Erstellung einer MMC-Anwendung bisher zu beachten waren und es stehen neue Möglichkeiten der Gestaltung der Benutzeroberfläche zur Verfügung, welche bereits in dieser Version genutzt werden. Diese Änderungen führen zu einer noch einfacheren Installation von DriveLock, die Anforderungen an die Systemumgebung und die Komplexität werden reduziert. Dies hat zur Folge, dass sich die Aufwände im täglichen Betrieb und in der Systemwartung ebenfalls reduzieren, die Systemstabilität weiterhin verbessert und im Falle eines Fehlers eine noch schnellere Fehlerbehebung möglich ist. 8 Version

9 3.2 Facelift der Benutzeroberfläche DriveLock Release Notes Die DriveLock Management Konsole hat ebenfalls ein sogenanntes Facelifting erhalten und bietet eine dem Stand der aktuellen Technik angepasste, leicht verständliche und ansprechende Benutzeroberfläche. Die bisher vorhandenen Task Views wurden teilweise neu gestaltet und erlauben nun auch ohne einen Wechsel in die sogenannte klassische MMC-Ansicht, schnell und übersichtlich die wichtigsten Einstellungen im Blick zu behalten. Zusätzlich steht nun ein Bereich zur Verfügung, der die grundlegenden Einstellungen von DriveLock auf einfachste Weise unterstützt durch Assistenten ermöglicht und dadurch auch weniger erfahrenden DriveLock Administrationen ermöglicht, mit wenigen Schritten DriveLock für den ersten Einsatz zu konfigurieren, ohne dabei wichtige Stellen übersehen zu haben. Dieser Bereich der Basiskonfiguration lässt sich dann später abschalten, wenn der Umgang mit DriveLock erlernt wurde. Eine weitere Verbesserung steht Ihnen bei der Konfiguration der Whitelist-Regeln zur Verfügung. Erstellen Sie beliebige Verzeichnisse und Unterverzeichnisse, um Ihre vorhandenen Regeln Ihren persönlichen Bedürfnissen entsprechend anzuordnen. Sie können somit zum Beispiel alle Regeln, die für eine bestimmte Abteilung gelten, in einem entsprechend benannten Verzeichnis zusammenführen. Oder sie erstellen sich verschiedene Verzeichnisse für die unterschiedlichen USB-.Geräte, die im Einsatz sind (z.b. ein Verzeichnis für alle Kingston Sticks). Ebenfalls verbessert wurde die Verwaltung von Dateifiltertemplates, die nun auch in Gruppen zusammengefasst werden können (z.b. alle Dateitypen von Office 2007). Häufig verwendete Gruppen sind bereits in DriveLock enthalten. Um neue Regeln mit immer wiederkehrenden Einstellungen schnell und einfach zu erstellen, können in DriveLock 6 Regelvorlagen erstellt und beim Erzeugen neuer Regeln verwendet werden. Die in den Regeln enthaltene Konfiguration wird dann gleich in die neue Regel übernommen. Durch diese Änderungen soll ein noch einfacherer Einstieg in DriveLock ermöglicht werden und dazu beitragen, das Produkt schnell und ohne großen Aufwand in Ihre Systemumgebung zu integrieren und die Sicherheit Ihrer Daten schnellst möglichst zu verbessern. Gleichzeitig wird der Aufwand im täglichen Betrieb ebenfalls verringert. 3.3 Einfache Inbetriebnahme Bereits in der vorhergehenden Version von DriveLock gab es beim Application Launch Filter einen Simulationsmodus, um die Konfiguration im Livebetrieb zu prüfen, ohne den täglichen Betrieb bei fehlenden Einstellungen zu stark zu behindern. Dieser Simulationsmodus steht ihnen nun für den kompletten Bereich von DriveLock zur Verfügung. Damit können alle Einstellungen und konfigurierten Whitelist-Regeln über einen beliebigen Zeitraum ausgiebig getestet werden, da der DriveLock Agent sich exakt wie konfiguriert verhält und lediglich das Sperren von Laufwerken, Geräten und Applikationen unterbunden wird. Es werden jedoch alle Ereignisse erzeugt, alle eingestellten 9 Version

10 Benutzermeldungen und Benutzerdialoge angezeigt. Einfacherer und sicherer kann ein Roll-Out von DriveLock kaum noch werden. 3.4 Anonymisierung von Daten Durch die in manchen Ländern vorhandene Gesetzgebung ist die zentrale Erhebung und Speicherung von personenbezogenen Daten gewissen Auflagen unterworfen, die bei der Inbetriebnahme neuer Systeme berücksichtigt werden müssen. Um diesen Prozess auch von technischer Seite zu unterstützen, haben Administratoren nun die Möglichkeit, DriveLock so zu konfigurieren, dass keine Benutzerdaten in DriveLock Agenten-Ereignissen gespeichert und an den DriveLock Enterprise Service oder an andere Empfänger (z.b. -Postfach) gesendet werden. Selbstverständlich werden auch Änderungen an dieser Konfigurationseinstellung durch einen Administrator sicher und nachvollziehbar protokolliert. 3.5 Neue Konfigurationsmöglichkeiten bei Laufwerken Mit DriveLock 6 stehen ihnen nun zusätzliche Klassen von Laufwerkstypen zur Verfügung: SD- Laufwerke und interne Laufwerke. Dadurch können Sie nun Whitelist-Regeln erstellen, die gezielt diese Klassen kontrollieren. Zu der Kategorie interne Laufwerke zählen auch die nun immer mehr verbreiteten esata-laufwerke, die über den entsprechenden Bus an den Rechner angeschlossen werden. Zusätzlich können Sie nun für jede Whitelist-Regel mehr als ein Dateifiltertemplate angeben, so dass nun auch hier eine Kombination aus aktivem Sperren und gezieltem Erlauben von Dateitypen konfigurierbar ist. Darüber hinaus können nun auch alle über die reine Zugriffsberechtigung hinaus gehenden Optionen wie zum Beispiel die erzwungene Verschlüsselung oder das automatisierte Ausführen von Skripten gezielt für einzelne Benutzer oder Benutzergruppen ein- bzw. ausgeschaltet werden. Eine weitere Ergänzung stellt die Überprüfung von Systemvoraussetzungen dar. Hier kann DriveLock vor der Freigabe eines Laufwerkes prüfen, ob z.b. der Virenscanner oder ein anderer bestimmter Dienst aktiv ist und dann entscheiden, ob der Zugriff erlaubt oder trotzdem verhindert wird. An dieser Stelle lassen sich ebenfalls kundenspezifische Prüfroutinen einbinden und somit jegliche Art von Systemcheck realisieren. Möchten Sie in Ihrer Umgebung den Mitarbeitern und Mitarbeiterinnen weiterhin ein gewisses Maß an Verantwortung überlassen und den Zugriff auf externe Laufwerke nicht von Vornherein einschränken, ist es mit DriveLock nun möglich, dass Benutzer den Zugriff auf Laufwerke selbst autorisieren, zum Beispiel in dem sie ein Passwort eingeben müssen. Da auch das Sicherheitsverständnis der Benutzer ein wichtiger Baustein eines umfassenden Sicherheitskonzepts ist, kann DriveLock nun vor einer 10 Version

11 Freigabe eine Sicherheitsmeldung anzeigen. Diese Meldung kann zum Beispiel eine Belehrung über die weitere Verwendung sein oder der Hinweis, dass Zugriffe auf das Laufwerk zwar nicht eingeschränkt sind, jedoch eine Protokollierung stattfindet. Sogar das Abspielen einer Videodatei dazu ist konfigurierbar. So schaffen Sie ohne großen Aufwand ein stark verbessertes Sicherheitsbewusstsein beim Anwender, ohne ihn bei seiner Tätigkeit einzuschränken. 3.6 Schattenkopien von CD/DVD Allen Anwendern, die bisher schon die Möglichkeiten zur Erstellung von Schattenkopien nutzen, steht nun eine weitere Option zur Verfügung: ISO-Image Schattenkopien von gebrannten CDs bzw. DVDs. Sofern Sie die Verwendung von CD/DVD-Brenner nicht unterbunden haben, kann DriveLock nun von jedem selbstgebrannten Medium parallel auch eine Schattenkopie erzeugen und an einer zentralen Stelle ablegen. Diese Kopie wird als sogenanntes ISO-Image gespeichert, welches den kompletten Inhalte des zuvor erstellen Mediums enthält. Mit Hilfe gängiger Software kann bei Bedarf auf die im Image enthaltenen Dateien auf einfache Weise zugegriffen werden. 3.7 Encryption 2-Go Die Umbenennung der bisher unter dem Namen Encryption License Classic bezeichneten Verschlüsselung externer Laufwerke in Encryption 2-Go License ist nicht die einzige Veränderung in diesem Bereich. Eine neue Option bei der erzwungenen Verschlüsselung ermöglicht es Ihnen nun anzugeben, ob wie bisher der gesamte Bereich eines Laufwerks (z.b. eines USB-Sticks) für die Verschlüsselung verwendet werden soll, oder ob ein bestimmter Bereich (in Prozent oder absoluten Werten) weiterhin unverschlüsselt zur Verfügung steht. Zusätzlich sind nun Verschlüsselungsverfahren in das Produkt integriert worden, die nach dem US- Standard FIPS zertifiziert wurden. Somit stehen Ihnen, sofern gesetzliche Anforderungen den Einsatz derartiger Algorithmen erforderlich machen, diese bei der Verschlüsselung von externen Laufwerken zur Verfügung. 3.8 Applikationskontrolle auf neuem Niveau Das neue Release von DriveLock enthält eine komplett überarbeitete und sehr stark erweiterte Version des Application Launch Filters (ALF). Selbstverständlich sind die bisherigen Möglichkeiten geblieben, wie zum Beispiel der Testmodus, die Hash Datenbanken mit Hashwerten der kompletten Festplatte oder die speziellen Regeln für Dateien des Betriebssystems oder für.net. Auch weiterhin verfügbar ist die beliebige Kombinationsmöglichkeit von Whitelist- und Blacklist-Regeln. Nutzen Sie die nun volle Bandbreite der Technik und legen Sie fest, welche Anwendungen von welchen Benutzern auf welchen Systemen verwendet werden dürfen. Um den Rest kümmert sich der 11 Version

12 DriveLock Application Launch Filter. Die Möglichkeiten gehen dabei weit über den Basis-Schutz von Windows 7 hinaus und bieten eine einzigartige Flexibilität. Zusätzlich stehen Ihnen nun zwei weitere Regelarten zur Verfügung, mit deren Hilfe die Freigabe von Programmen basierend auf neuen Kriterien gesteuert werden kann: Dateibesitzregeln und Zertifikatsregeln. Bei einer Dateibesitzregel überprüft DriveLock, ob der aktuelle Dateibesitzer des gestarteten Programmes dem vorgegebenen Wert (z.b. Lokaler Administrator) entspricht. Da in Windows der Dateibesitz automatisch bei der Installation gesetzt wird, kann dadurch eine Unterscheidung erfolgen, ob das Programm durch einen autorisierten Administrator oder durch den Benutzer selbst erfolgt ist und im letzten Fall eine Ausführung unterbunden werden. Diese alternative Konfigurationsmöglichkeit lässt somit auch Programmaktualisierungen ohne nachträgliche Systemjustierungen zu, sofern diese zum Beispiel über eine zentrale Softwareverteilung unter Verwendung eines speziellen Benutzerkontos mit lokalen Administrationsrechten erfolgen. Bei einer Zertifikatsregel kann DriveLock Softwarezertifikate anhand verschiedener Kriterien (z.b. Aussteller, Zertifizierungsstelle, Softwareversion usw.) prüfen und den Programmstart verhindern bzw. erlauben. Verwenden Sie diesen Regeltyp, um mit nur einer Regel alle eigenen, intern erstellten Anwendungen freizugeben, nachdem diese mit einem eindeutigen Softwarezertifikat versehen wurden. Da Sie diese Kriterien auch kombinieren und sowohl für die Freigabe als auch für das gezielte Sperren konfigurieren können, sind für einen kompletten Schutz im Gegensatz zu anderen auf dem Markt verfügbaren Lösungen meist nur wenige Regeln notwendig. Dadurch wird der Einsatz einer Applikationskontrolle sowohl in kleinen als auch in großen Systemumgebungen ohne großen Aufwand administrierbar. 3.9 Reporting und Analyse Alle Konfigurationseinstellungen lassen sich in DriveLock 6 als Übersicht in einem Report anzeigen und als XML-Datei abspeichern. Somit können Sie zu jedem beliebigen Zeitpunkt den aktuellen Stand Ihrer vollständigen Einstellungen dokumentieren und zum Beispiel für einen Compliance-Report zur Verfügung stellen. Die aber wohl weitreichendste Änderung betrifft die Auswertung und die Analyse von zentral gespeicherten Ereignissen. Das nun verfügbare DriveLock Control Center ist das neue Werkzeug, um schnell und zielorientiert eine Übersicht über den aktuellen Stand Ihrer DriveLock Systemumgebung zu erhalten, um bestimmte Ereignisse in einem Bericht zu ermitteln oder um bereits erfolgte Sicherheitsvorfälle genauestens zu analysieren. Dabei gehen die Möglichkeiten über das reine Suchen, Filtern und Darstellen von Ereignissen der DriveLock Agenten weit hinaus, auch wenn diese bereits zur Verfügung gestellten Berichte in der neuen Version weiter vorhanden sind und durch zusätzliche Filteroptionen stark verbessert wurden. Mit dem neuen DriveLock Control Center können Sie ausgehend von einer bestimmten Information (z.b. einem bestimmen Benutzer, einer einzigen Datei oder einem zufällig gefundenen USB-Stick) 12 Version

13 durch sogenannte Drill-Down Verfahren nach verknüpften Informationen suchen, um neue Sachverhalte aufzudecken und bisher unbekannte Zusammenhänge ans Tageslicht zu bringen. Lassen Sie sich zum Beispiel alle Dateien anzeigen, die in einem Zeitraum auf einen bestimmten USB-Stick kopiert wurden und ermitteln Sie anhand dieser Informationen dann weitere Datenträger, auf denen diese Dateien gelesen oder geschrieben worden sind und an welchen Computern diese gefundenen Datenträger verwendet wurden. Dabei können Sie schnell zu den unterschiedlichen Ausgangsdaten zurückkehren, um eine neue Suchrichtung einzuschlagen. Wie bei einer forensischen Analyse können dadurch neue, bisher unbekannte Erkenntnisse gewonnen werden, die Ihnen bei der Untersuchung und Bewertung eines Vorfalls wertvolle Unterstützung bieten Zusammenfassung DriveLock 6 setzt wieder einmal neue Maßstäbe bei Data Loss Prevention Tools. Seine einzigartige Bedienbarkeit, seine flexibel anpassbare und leicht verständliche Benutzeroberfläche und die vielen, aus der Praxis stammenden und für den einfachen täglichen Betrieb durchdachten Funktionen machen aus DriveLock ein sehr komfortables, sicheres und vor allem einfach zu implementierendes Werkzeug, welches schon in kürzester Zeit die Sicherheit Ihrer Endgeräte und nicht zuletzt die Sicherheit Ihrer Daten optimiert. 13 Version

14 4 Verfügbare Dokumentation Die DriveLock Dokumentation besteht aus insgesamt vier Dokumenten mit folgenden Inhalten: DriveLock Installationshandbuch Dieses Dokument beschreibt die verfügbaren Installationspakete, die zu erfüllenden Systemvoraussetzungen und verschiedenen Installationsschritte der einzelnen Komponenten. Es ist das erste Dokument, welches Sie lesen sollten. DriveLock Administrationshandbuch Das Administrationshandbuch beschreibt die Architektur von DriveLock, die verschiedenen Komponenten und dokumentiert die komplette Administration von DriveLock über die DriveLock Management Console. Dieses Dokument ist für Administratoren von DriveLock gedacht, die sich mit allen einzelnen Funktionen vertraut machen möchten. DriveLock Control Center Benutzerhandbuch In diesem Handbuch wird die Konfiguration und Verwendung des DriveLock Control Centers beschrieben. Dieses Handbuch ist für Administratoren und für Anwender gedacht, die das DriveLock Control Center verwenden. DriveLock Enterprise Service Benutzerhandbuch Die Architektur und die Serverinfrastruktur des DriveLock Enterprise Services werden ausführlich in diesem Handbuch erklärt. Dieses Handbuch ist für Administratoren gedacht, die sich mit der Backend Infrastruktur beschäftigen. DriveLock Benutzerhandbuch Das DriveLock Benutzerhandbuch beinhaltet die Dokumentation aller Funktionen, die für den Endanwender zur Verfügung stehen (Temporäre Freigabe, Verschlüsselung und private Netzwerkprofile). Das Benutzerhandbuch dient Endanwendern zur Orientierung bei den für sie zur Verfügung stehenden Möglichkeiten. 5 Testinstallation und Update 5.1 Testinstallation von DriveLock 6.1 Das Installationshandbuch beschreibt, wie Sie DriveLock zur Evaluierung auf einem einzelnen Computer installieren und einrichten können. Bitte beachten Sie auch die dort enthaltenen Systemvoraussetzungen, eine Installation des Gesamtsystems auf einem Windows XP System ist nicht möglich. 14 Version

15 Auf dem gleichen Rechner können Sie ebenfalls den DriveLock Enterprise Service, das DriveLock Control Center und als Datenbank Microsoft SQL Express 2005/2008 oder Oracle 10g Express installieren. Somit ist für einen ersten Test von DriveLock nur ein einziges System notwendig. Wenn Sie die DriveLock Software von der Website heruntergeladen haben, ist bereits eine 30-Tage Testlizenz enthalten. Erfolgt die Installation auf einem einzigen Rechner, müssen Sie in der Konfiguration auch keine Lizenz angeben. Installieren Sie den Agenten einzeln auf verschiedenen Rechnern und erfolgt die Konfiguration über eine Gruppenrichtlinie bzw. eine Konfigurationsdatei, müssen Sie die im Standardinstallationsverzeichnis von DriveLock vorhanden AgentTrial.lic 30-Tage-Testlizenz verwenden. 5.2 Update einer früheren Version von DriveLock Bei einem Update von DriveLock 5 auf DriveLock 6.x beachten Sie bitte die wichtigen Hinweise im Installationshandbuch und halten Sie die dort beschriebene Reihenfolge (erst Agenten, dann DriveLock Management Console) ein. Zusätzliche Informationen zum den einzelnen notwendigen Schritten finden Sie im Technischen Artikel WP - Update auf DriveLock 6.x.pdf, welches auch unter verfügbar ist. Achten Sie beim Aktualisieren der Agenten bitte zusätzlich darauf, dass Sie ein evtl. gesetztes Deinstallationskennwort temporär auf Nicht konfiguriert setzen. Bitte setzen Sie auch den Modus DriveLock Agentendienste im Nicht Beenden Modus starten auf nicht konfiguriert. Beide Punkte würden eine Deinstallation oder ein Update des Agenten verhindern. Stellen Sie danach bitte sicher, dass Sie ihre Client PCs von dieser Änderung erfahren (mind. einmal rebooten). Es ist nicht möglich, Agenten die älter sind als die Version 5.5 upzudaten. Sollten Sie noch eine ältere Version im Einsatz haben, müssen Sie zunächst ein Update auf die Version 5.5 bzw. 5.5R2 durchführen. 5.3 Update DES auf DES Um den DriveLock Enterprise Service zu aktualisieren ist es nicht notwendig, die vorherige Version zu deinstallieren. Stattdessen können Sie die neuen DES Version als Update über die bestehende installieren. Sämtliche Installationsparameter wie der Service Account oder die Zertifikate 15 Version

16 werden von der bestehenden Installation übernommen. Eine bereits vorhandene DES Datenbank kann weiter verwendet werden. Geben Sie hierfür nach Abschluss der DES Installationsroutine im Assistenten Datenbankinstallation die bereits bestehende Datenbank an. Sämtliche Daten, auch die FDE Recovery Daten, bleiben erhalten. Nähere Informationen über den Assistent Datenbankinstallation finden Sie im DriveLock Installationshandbuch. 5.4 Update DES 6.0.x auf DES Um den DriveLock Enterprise Service 6.0.x zu aktualisieren ist es notwendig die vorherige Version zu deinstallieren und anschließend die neue Version zu installieren. Eine bereits vorhandene DES Datenbank kann weiter verwendet werden. Geben Sie hierfür nach Abschluss der DES Installationsroutine im Assistenten Datenbankinstallation die bereits bestehende Datenbank als zu aktualisierende an. Sämtliche Daten, auch die FDE Recovery Daten, bleiben erhalten. Nähere Informationen über den Assistent Datenbankinstallation finden Sie im DriveLock Installationshandbuch. 5.5 Update der FDE Installation Information zum Update Prozess für die Full Disk Encryption (FDE) entnehmen Sie bitte dem Technischen Artikel Update auf DriveLock 6. Diesen können Sie auf der Webseite herunterladen. 6 Zusätzliche Hinweise Änderungen an einer Gruppenrichtlinien-Konfiguration müssen ab DriveLock 6 explizit gespeichert werden, um die Anpassungen in die Gruppenrichtlinie zu übernehmen. Zum Speichern klicken Sie im Gruppenrichtlinieneditor auf CenterTools DriveLock auf der linken Seite und anschließen auf Speichern in der Taskview rechts. DriveLock Installationshandbuch, Kapitel 11, Seiten 37ff: Die Schaltfläche (Button) für den nächsten Schritt im Import Assistenten ist mit Weiter bezeichnet und nicht wie in der Dokumentation beschrieben mit Nächste. 16 Version

17 7 Bekannte Einschränkungen Dieses Kapitel enthält alle bekannten Einschränkungen der vorliegenden DriveLock-Version. Bitte lesen Sie dieses Kapitel sorgfältig um unnötigen Testaufwand zu vermeiden. 7.1 DriveLock und XenApp Citrix XenApp 6 und XenApp 5 werden mit dem aktuellen DriveLock Build nicht unterstützt. 7.2 DriveLock und Vista / Windows 7 Unter Windows Vista und Windows 7 können folgende Einschränkungen auftreten: Sperren von Tragbaren Mediengeräten funktioniert mit manchen Geräten nicht. Windows Vista benutzt ein neues User-mode driver framework für diese spezielle Art von Geräten. Manche Geräte können aufgrund von Fehlfunktionen, die Außerhalb des Bereiches liegen der von jeglicher Art von Schnittstellenkontrollsoftware beeinflusst werden kann, in diesem Framework nicht gesperrt oder freigegeben werden. 7.3 Application Launch Filter und Automatische Updates Wenn der Application Launch Filter im Whitelist -Modus konfiguriert ist, und die Regel Automatische Updates erlauben vorhanden ist, werden trotzdem einige Updates nicht erfolgreich installiert. Als Workaround muss für alle Updates, welche nicht das Programm update.exe verwenden, eine separate Whitelist-Regel angelegt werden. 7.4 DriveLock Full Disk Encryption Es ist möglich, dass die Installation der DriveLock Full Disk Encryption aufgrund einer Antivirus Software fehlschlägt, weil das ausgeblendete Verzeichnis C:\SECURDSK durch die Software in Quarantäne genommen wird. In diesem Falle sollten Sie für den Zeitraum der Installation den Virenschutz temporär ausschalten. 17 Version

18 Es wird dringend empfohlen, alle Systeme vor einem Update einer vorhergehenden Version der DriveLock Full Disk Encryption mittels chkdsk /f zu prüfen und die Festplatten zu defragmentieren. In sehr seltenen Fällen kann es unter Umständen vorkommen, dass die Standardeinstellung der DriveLock Full Disk Encryption nicht ordnungsgemäß funktioniert und das System nicht mehr reagiert. In diesem Fall starten Sie einfach den Rechner neu, während Sie die SHIFT-Taste gedrückt halten, um die DriveLock FDE Pre-Boot Einstellungen temporär anzupassen. Damit diese Anpassungen dauerhaft übernommen werden, wenden Sie bitte die Einstellungen an wie in der Knowledge Base beschrieben sind. Unser technischer Support kann Ihnen bei Bedarf auch darüber Auskunft geben, bei welchen Systemen die Pre-Boot Einstellungen ohne Anpassungen erfolgreich getestet wurden. 8 Versionshistorie 8.1 DriveLock Version Die DriveLock Version x enthält neben kleineren Bugfixes vor allem eine neue Version der FDE (6.1.0). Diese bringt einige Verbesserungen in Verbindung mit manchen Notebook Systemen mit. Neue Funktionalität: - Ein neuer Event (920) weist beim Dienst Start darauf hin, wenn ein Deinstallationskennwort konfiguriert wurde. Ist ein Deinstallationskennwort konfiguriert, ist eine Deinstallation oder ein Update des DriveLock Agenten nur mit besonderen Vorkehrungen möglich. Weitere Informationen hierzu erhalten Sie im Administrationshandbuch. Gegenüber der Vorgängerversion wurden folgende Fehler behoben: - Bei der Verteilung des FDE Paktes über den DES kam es unter Umständen vor, dass ein falscher Pfad verwendet wurde, so dass das Installationspaket nicht gefunden werden konnte. - Die neue Inventory Funktion konnte in seltenen Fällen ungenaue Ergebnisse liefern. - Die Funktion zum Laden einer Konfigurationsdatei über http und ftp wurde verbessert, der optionale Dateispeicher wird nur noch dann geladen, wenn er benötigt wird. - Die Wechseldatenträgerverschlüsselung (Encryption-2-Go) kann nun als erzwungene Laufwerksbuchstaben auch A: und B: verwenden. - Das Uploaden von FDE Installationspaketen funktionierte nicht auf einem 64-Bit System. - Die temporäre Freigabe bis zu einem bestimmten Zeitpunkt (Datumsangabe) funktionierte nicht über einen Neustart des Rechners hinweg. 18 Version

19 - Die temporäre Offline Freigabe funktionierte nicht in Kombination mit kurzen Anforderungscodes. - Verschlüsselte Office Dokumente (docx) wurden vom Dateifilter blockiert. - Das Scannen von mehr als 1000 Computern mit dem Device Scanner war unter bestimmten Umständen nicht möglich. - Systemabsturz in Verbindung der DriveLock FDE auf Dell E5500/ Unter Umständen war eine Defragmentierung einer verschlüsselten Systempartition nicht möglich. - Die 32-Bit Pre-Boot der DriveLock FDE erkannte die etoken 64k 4.2b nicht korrekt. 8.2 DriveLock Version DriveLock 6.1 ist ein sogenanntes Minor-Release, welches kleinere Verbesserungen und überarbeitete Funktionen gegenüber der Vorgängerversion enthält. Alle neuen Funktionen und auch die neue Systemarchitektur sind in den Handbüchern im Detail beschrieben und werden hier nicht mehr gesondert aufgeführt. Neue Funktionalität: Der DriveLock Enterprise Service wird auf einem x64 System jetzt nach \Program Files\CenterTools\DriveLock Enterprise Service installiert (und nicht mehr nach \Program Files (x86)). Das DriveLock Control Center wird auf einem x64 System jetzt nach \Program Files\CenterTools\DriveLock Control Center installiert (und nicht mehr nach \Program Files (x86)). Gegenüber der Vorgängerversion wurden folgende Fehler behoben: Der Device Scanner (x64) konnte bei einem Scan von über Computerkonten aus dem Active Directory, oder wenn direkt die Domäne als Quelle ausgewählt wurde, abstürzen. Im Einsteigermodus der DriveLock Management Konsole, wurde u.u. keine Hauptzertifikate angezeigt, wenn die Hauptzertifikate schon im erweiterten Modus erstellt wurden. Beim Löschen einer White-List Regel im Einsteigermodus konnte die Management Konsole abstürzen. Das Deinstallationskennwort wurde nicht verwendet, wenn die Konfiguration als Konfigurationsdatei verteilt wurde. Verschlüsselte Microsoft Office 2007 Dokumente wurde vom Dateifilter geblockt, obwohl sie hätten zugelassen sein sollen. In den Konfigurationsprofilen unter Netzwerkprofile, konnten keine verschiedenen Proxyserver für die einzelnen Protokolle verwendet werden. 19 Version

20 In den Konfigurationsprofilen unter Netzwerkprofile, konnte die Regeln nicht abgespeichert werden, wenn der Proxyserver leer war. Das Kommandozeilen-Tool DLImport -? hatte keine Hilfe angezeigt. Eine temporäre Freigabe über die Agenten-Fernkontrolle wurde nicht über einen Neustart hinaus gespeichert. Bei der erzwungenen Verschlüsselung konnte man beim Laden nicht die Laufwerksbuchstaben A:\ und B:\ auswählen. Standardmäßig generiert die DriveLock Management Konsole Ereignisse, die an den DES übermittelt werden, obwohl diese Option nicht aktiviert ist. Das Entfernen einer Lizenz im erweiterten Modus der DriveLock Management Konsole hat nicht funktioniert. Wenn im Device Scanner ein zu scannender Bereich ausgewählt wurde, wurde die letzte Adresse nicht gescannt. Benutzerdefinierte Skripte konnten in bestimmten Konfigurationen nicht im Benutzerkontext starten. Diverse Fehler im holländischen Einsteigermodus behoben. Weitere kleinere Bugfixes. 20 Version