AppSense Privilege Management

Transkript

1 AppSense Privilege

2 Inhalt Zusammenfassung 2 Gründe für ein umfassendes Privilege 3 Privilege in der physischen und/oder mobilen Umgebung 3 Privilege in der virtuellen Welt 3 Bewertung durch Analysten 4 Empfehlungen von Analysten 4 Welche Funktionen bieten die Privilege--Lösungen von AppSense? 5 Einsatzszenarien 6 Empfehlungen für die Bereitstellung 6 Fazit 7 Zusammenfassung IT-Abteilungen haben die Aufgabe, sichere und unternehmenskonforme Desktops bereitzustellen. Die Anwender dagegen fordern mehr Flexibilität beim Zugriff auf Anwendungen, die sie für ihre tägliche Arbeit benötigen. Schließlich sollen Anwender produktiv sein. Die Privilege--Lösung von AppSense für Unternehmen bietet der IT einen praktikablen und kostengünstigen Weg, diese gegensätzlichen Anforderungen miteinander in Einklang zu bringen. Hier werden Benutzerberechtigungen für einzelne Anwendungen oder Aufgaben dynamisch gesteuert. Es können minimale Berechtigungen zugewiesen und zugleich Produktivität und Sicherheit erhöht und die Desktop-TCO erheblich gesenkt werden. Nach Einschätzung des führenden IT-Branchenanalysten Gartner kann eine Organisation mit einer effizienten Privilege- -Lösung pro Jahr und Desktop bis zu $ sparen. Dadurch wird sichergestellt, dass die Benutzer nur die Rechte und Berechtigungen haben, die sie für ihre Arbeit und den Zugriff auf die dazu erforderlichen Anwendungen und Funktionalitäten benötigen, und nichts anderes bei garantierter Desktop-Stabilität, Sicherheit und Produktivität und reduzierten Gesamtbetriebskosten (TCO) für Desktops. Diese auf den Bedarf von Unternehmen abgestimmte Funktionalität stellt AppSense über den AppSense Application Manager, eine Komponente von DesktopNow, bereit. Für weniger komplexe Anforderungen wurde die Application Manager User Rights Edition konzipiert. 2

3 Gründe für ein umfassendes Privilege Sobald Benutzer lokale Administratorrechte für ihren Desktop erhalten, haben sie Zugriff auf Desktop- Bereiche, in denen ein Missbrauch zu hohen Supportkosten und einem beeinträchtigtem Benutzerkomfort führen kann. Oftmals beeinträchtigen dann Datenverlust oder Angriffe durch Schadprogramme die Sicherheit. Allerdings benötigen Mitarbeiter, um effizient arbeiten zu können, in vielen Szenarien lokale Administratorrechte. Viele Anwendungen, auch neuere, lassen Änderungen der Einstellungen für Hardware oder Netzwerkadapter zu. Dazu werden Administratorrechte benötigt. Dies trifft auch für Systemaktualisierungen, für die Installation von Active-X-Komponenten, Adobe/ Flash- und Java-Updates und die Synchronisierung von Endgeräten zu. Für jede dieser häufig anfallenden Aufgaben benötigt ein Mitarbeiter lokale Administrationsrechte auf seinem Desktop. In Windows 7 wurde versucht, diesen neuralgischen Punkt durch Einführung der Benutzerkontensteuerung zu lösen. Dem granularen Verwaltungsbedarf der Unternehmen wird dieses Modell jedoch nicht gerecht. Wenn die IT die Benutzerberechtigungen während der Benutzersitzung kontrolliert, kann sie den Benutzern die Zugriffsstufe zuweisen, die Sie für ihre Aufgaben benötigen. Damit kann sie zugleich den Desktop in seiner jeweiligen Umgebung schützen und die Kosten für die Desktop-Verwaltung senken. Privilege in der physischen und/oder mobilen Umgebung Viele Mitarbeiter werden mit einem Laptop und entweder mit einem gesperrtem Standard-Benutzerkonto oder einem lokalem Administratorkonto ausgerüstet. Ganz besonders mobile Anwender benötigen einen Grad an Flexibilität, den ein Standard-Benutzerkonto (mit minimalen Berechtigungen) nicht unbedingt bietet. Ohne die Granularität, die AppSense Application Manager bietet, wird der Benutzer viele wichtige, im Arbeitsalltag anfallenden Aufgaben nicht erledigen können. Privilege in der virtuellen Welt Eine Virtual Desktop Infrastructure (VDI) erweist sich in den unterschiedlichsten Einsatzszenarien als äußerst vorteilhaft beispielsweise für standortferne oder auf Vertragsbasis angebundene Benutzer. Diese Art virtueller Desktops ist typischerweise mehrschichtig aufgebaut. Betriebssystem, Anwendungen und benutzereigene Informationen werden separat gestreamt und zu einem individuellen Desktop für den Benutzer zusammengeführt. Für den Anwender ist dieser Vorgang transparent. Verwaltungstechnisch gesehen bietet dieses Konzept jedoch unglaubliche Flexibilität und praktische Vorteile. Erhält ein Mitarbeiter nämlich Zugriff auf alle Anwendungen, Desktop- Funktionen und -Steuerelemente, mag das zwar zu einer hohen Akzeptanz führen. Die Kosten jedoch geraten schnell außer Kontrolle genau wie in einer physischen Desktop-Umgebung. Den Einsatz der kostengünstigeren virtuellen Desktops bei dennoch hoher Akzeptanz ermöglicht eine ausgewogene Zugriffsregelung für die Benutzer. 3

4 Bewertung durch Analysten Untersuchungen von Anaysten in diesem Bereich bestätigen, dass Unternehmen im Rahmen ihrer Desktop-Strategie eine effiziente Lösung für die Berechtigungsverwaltung einsetzen sollten. Angesehene IT-Analysten wie Gartner und Forrester Research haben Untersuchungsergebnisse veröffentlicht, die in Folgendem übereinstimmen: Organisationen mit einem einzigen, übergreifenden Konzept für das Privilege haben eine höhere Desktop-TCO als Organisationen, die den Zugriff auf Steuerelemente benutzerspezifisch optimieren. Eine der bemerkenswertesten Gartner-Beobachtungen: Die Zurücknahme von Administratorrechten reduziert den Arbeitsaufwand für IT und technischen Support um 24%. Ebenso stellt Gartner fest, dass Unternehmen, die sich mit der Verwaltung von Berechtigungen unter Windows auseinandersetzen, pro Jahr und Desktop bis zu $ sparen könnten Mitarbeiter mit weniger Benutzerrechten und -berechtigungen als zur Erfüllung ihrer Aufgaben nötig erhöhen die Support-Kosten, weil sie vom IT-Service Desk immer wieder den Zugriff auf benötigte Anwendungen oder Aufgaben anfordern. Das führt zu mehr Support- Anfragen und Produktivitäts-einbußen Microsoft Windows 7 beinhaltet zwar die Benutzerkontensteuerung und unterstützt somit die Zuteilung von minimalen Berechtigungen, umfasst aber keine skalierbaren und granularen Kontrollen zur Verwaltung von Anwendungen, die Administrator-berechtigungen erfordern. 4 Empfehlungen von Analysten Best Practices für das Privilege in Unternehmensumgebungen bestehen laut solchen Studien darin, Benutzer zu klassifizieren und dynamische Richtlinien auf der Grundlage der jeweiligen Rollen oder Benutzertypen zu erstellen, die verschiedene Kontrollebenen unterstützen. Gartner-Studien ergaben: Das Arbeiten mit mehreren Beschränkungs-Ebenen senkt die Desktop-TCO um 10 % bis 20 %. Die folgende Grafik zeigt, dass Richtlinien einschließlich Privilege auf der Grundlage von Benutzertypen -oder rollen konfiguriert werden sollten. Ein simples Pauschalkonzept, bei dem entweder Administratorkonten oder Standard-Benutzerkonten eingerichtet werden, verursacht eine unnötige Desktop-TCO. Organisationen, die aus gutem Grund gesperrte Benutzerkonten wieder entsperren, erhöhen die TCO des Unternehmens. Die direkten Kosten steigen um 9,7 %, die TCO aufgrund der ausgeführten Anwendungen oder Aufgaben, vermehrten Support-Anfragen und geringeren Produktivität um 36,3 %. Beschränkungsebenen-basierte Kostenkurve aus der Gartner-Studie Nr. G IT-Support- Instabile PCs - ab 2/3 äußerst kostspielig Support Allehaben uneingeschränkten Zugriff Mehrzahl der Benutzer hat eingeschränkten Zugriff Hohe Installationshäufigkeit Ergebnis: Produktivitätsverlust der Benutzer Alle für Administratoraktionen gesperrt

5 Welche Funktionen bieten die Privilege--Lösungen von AppSense? Das perfekte Gleichgewicht zwischen Benutzerproduktivität, Sicherheit und niedrigerer Desktop-TCO wird dann erreicht, wenn Benutzerberechtigungen nicht auf Sitzungs- oder Kontoebene, sondern stattdessen auf Anwendungs- oder Aufgabenebene kontrolliert werden. Mit AppSense Application Manager erfolgt der Zugriff auf Anwendungen und Aufgaben dynamisch: Die Benutzerrechte werden On-Demand aufgrund von Benutzeraktionen zugeteilt. Die Alternative ist, zur Zuteilung eines lokalen Administratorkontos zurückzukehren, was letztlich die Gesamt-Supportkosten erhöht, da ein Laptop Missbrauch, Schadprogrammen und benutzerseitigen Ausfallzeiten ausgesetzt ist. Bestimmten Benutzern oder Benutzergruppen können für festgelegte Anwendungen oder Systemsteuerungs-Applets weitreichende Berechtigungen eingeräumt werden; ebenso können die Rechte eines Benutzers mit Administratorrechten hier auf die eines Standard-Benutzerkontos eingeschränkt werden. Wenn die IT die Benutzer-berechtigungen während der Benutzer-sitzung kontrolliert, kann sie den Benutzern die Zugriffsstufe zuweisen, die Sie für ihre Aufgaben benötigen. Damit kann sie zugleich den Desktop in seiner jeweiligen Umgebung schützen und die Kosten für die Desktop-Verwaltung senken. Mit AppSense Privilege kann die Berechtigungsstufe von Benutzern, Gruppen oder Rollen für Anwendungen oder Systemsteuerungs-Applets erweitert oder eingeschränkt werden. Benutzer, die lediglich Standard-Benutzerzugriff auf ihren PC haben, können spezifische weitreichen-de Berechtigungen erhalten, um im Home-Office einen Druckertreiber hinzuzufügen (eine Aufgabe, die Administratorzugriff auf das Gerät erfordert). Umgekehrt lassen sich die Berechtigungen von Benutzern mit Administratorzugriff auf ihren Windows Desktop aufgrund der Virenschutz- Einstellungen einschränken. AppSense bietet hier zwei Lösungen für das Privilege an. Der Application Manager 8 mit dem vollen Funktionsumfang stellt eine Lösung dar, die in der Branche eine Spitzenposition einnimmt und folgende Möglichkeiten bietet: Granulare Kontrolle der Benutzerrechte und -berechtigungen Geregelter Zugriff auf Anwendungen Umsetzung von White- und Blacklisting Einrichtung einer endgerätebasierten Lizenzierung Sperrung von Software und Code mit dem Merkmal nicht vertrauenswürdig Eine Version mit reduzierter Funktionalität ist die AppSense Application Manager User Rights Edition, die eine Kontrolle der Benutzerrechte und -berechtigungen ermöglicht. Nähere Informationen und eine detaillierte Übersicht über spezifische Funktionen finden Sie unter: desktop/application-mgr-user-rightsmanagement/ 5

6 Einsatzszenarien Effizientes Privilege umfasst eine Vielzahl von Einsatzszenarien und behebt Probleme, die viele Unternehmen bislang nicht lösen konnten. Häufig vorkommende Szenarien in diesem Bereich sind: Organisationen, die ihren Mitarbeitern lokale Administratorkonten zuweisen, müssen ggf. Desktop-Elemente sperren, beispielsweise Add Hardware (Hardware hinzufügen) oder Programs and Features (Programme und Funktionen) in der Systemsteuerung. Durch die für spezifische Funktionalitäten angewandte dynamische Einschränk-ung der Benutzerkontenberechtig-ungen vom lokalen Administrator-status zum Standard-Benutzer wird verhindert, dass Mitarbeiter auf ein solches Steuerelement zugreifen und einen nicht erwünschten Prozess ausführen. Ältere vorhandene Anwendungen erfordern Administratorrechte, da diese Anwendungen selbst mit bestimmten Teilen des Betriebssystems oder der Registrierung interagieren die Organisation möchte jedoch keine lokalen Administratorkonten an Mitarbeiter vergeben. AppSense Application Manager kann für festgelegte Anwendungen die Benutzerrechte auf Administratorstatus erweitern, damit der jeweilige Mitarbeiter seine Anwendung ausführen kann und der Desktop geschützt bleibt. Etliche Anwendungen besitzen eine automatische Updatefunktion, die aber nur mit Administratorberechtigungen arbeitet. Wenn ein Benutzer mit Standard-Berechtigungen die Anwendung nutzt, werden keine Updates installiert. Application Manager kann für festgelegte Anwendungen die Benutzerrechte auf Administratorstatus erweitern, damit anstehende Updates installiert werden können. Für alle anderen Anwendungen gelten hingegen weiterhin die Standard- Benutzerrechte. Mobile Mitarbeiter müssen möglicherweise Aktionen ausführen, die normalerweise Administratorrechte erfordern. Um nur einige Beispiele zu nennen: Druckertreiber für im Hotel oder am Flughafen verwendete Drucker hinzufügen Zugelassene, über Internet installierte Anwendungen wie Silverlight und Adobe Flash oder Webkonferenz-Lösungen wie z. B. Cisco WebEx, Citrix GoToMeeting oder Microsoft Lync installieren oder aktualisieren Anwendungen die Firewall passieren lassen Nicht zugelassene Anwendungen sperren oder in die Blacklist eintragen Es können interne Application Stores eingerichtet werden, die Standard-Benutzern ohne lokale Administrator-berechtigungen die Installation von Anwendungen von bestimmten Laufwerken oder Netzwerkspeicher-orten gestatten. Dazu werden die für die Installation von dem autorisierten Speicherort notwendigen Berechtigungen entsprechend erweitert. 6

7 Empfehlungen für die Bereitstellung Application Manager fügt sich lückenlos in vorhandene Unternehmensumgebungen ein. Bezüglich der Bereitstellung stehen u. a. folgende Auswahlmöglichkeiten zur Verfügung: Fazit Bei bestehenden lokalen Standard-Benutzerkonten mit Administratorberechtigungen Viele Unternehmen arbeiten bereits mit lokalen Administratorkonten. Hier lässt sich Application Manager problemlos mit Konfigurationen installieren, die auf einer Einschränkung der Benutzerrechte basieren, um die lokalen Administratorberechtigungen für bestimmte Anwendungen, Systemsteuerungselemente und Systemaufgaben zurückzunehmen. Dies ist eine sehr schnelle und einfache Möglichkeit, um den Zugriff auf bestimmte Desktop- Funktionalitäten zu verhindern. Bei bestehenden Standard- Benutzerkonten ohne Administratorberechtigungen Für Organisationen, die Standard- Benutzer haben, die lokale Administratorrechte für bestimmte Anwendungen, Systemsteuerungs- Applets oder Systemaufgaben benötigen, kann ein Privilege mit Erweiterungskonzept implementiert werden: Hier legt die IT und/oder der für die Desktop-Sicherheit verantwortliche Administrator die Elemente fest, die mit Administratorberechtigungen versehen werden sollen. So können Anwender auf die benötigte Funktionalität zugreifen, auch ohne explizit über uneingeschränkte Administratorberechtigungen zu verfügen. Kombination aus erweiterten und eingeschränkten Berechtigungen Viele Organisationen nutzen die flexiblen Optionen, um Benutzerberechtigungen je nach Ziel, Benutzerkontext, Standort oder Endgerät zu erweitern oder einzuschränken. So lässt sich eine äußerst sichere und dynamische Privilege--Umgebung realisieren. Viele Sicherheitsberichte für die Branche darunter von Microsoft, empfehlen, lokale Administratorberechtigungen und -rechte zu entfernen. Führende internationale Marktforschungsunternehmen berichten*, dass mit einer effizienten Verwaltung von Berechtigungen deutliche Kosteneinsparungen realisierbar sind: Benutzer mit mehr als den erforderlichen Rechten und Berechtigungen verursachen 24 % höhere Supportkosten. Benutzer mit weniger als den benötigten Berechtigungen fragen mehr IT-Services und Supportleistungen nach. Dynamische Benutzerrichtlinien senken die TCO um 10 bis 20 %. Privilege ist eine äußerst leistungsstarke Funktion im Rahmen von AppSense DesktopNow. Es reduziert die TCO, macht die IT flexibler und versetzt sie in die Lage, Zugriffs- und Berechtigungsfragen auf granularer Basis zu lösen. Die erweiterten Kontrollmöglichkeiten senken die Kosten für die Desktop- Verwaltung, die Sicherheitsrisiken und auch die Zahl der Serviceanforderungen. Darüber hinaus verbessern sie das Benutzererlebnis und die Mitarbeiterproduktivität. Nähere Informationen finden Sie unter: 7

8 appsense.de us: Über AppSense AppSense ist Marktführer für Lösungen für Enterprise Workspace und ermöglicht damit produktivere Mitarbeiter über alle Desktops und mobilen Umgebungen hinweg. Die AppSense Workspace Suite ist bei mehr als Kunden weltweit im Einsatz und managet damit über 6 Mio Endgeräte. Unsere Lösungen DesktopNow, MobileNow und DataNow reduzieren die Komplexität der IT und verbessern gleichzeitig den Einsatz und die Verwaltung von Geräten, Applikationen und Daten im gesamten Unternehmen. Die Firma mit Hauptsitze in Sunnyvale, Kalifornien ist weltweit mit Niederlassungen vertreten. Für mehr Informationen zu unseren Lösungen besuchen Sie unsere Webseite appsense.de. 2014, AppSense Limited. AppSense ist eine eingetragene Marke von AppSense Limited in den USA, Großbritannien und anderen Ländern weltweit. Alle Rechte vorbehalten. Alle anderen Marken sind Eigentum der jeweiligen Inhaber. Die in diesem Dokument enthaltenen Angaben sind zum Zeitpunkt der Druckstellung als korrekt zu erachten. Wir übernehmen jedoch keine Verantwortung oder Haftung bezüglich ihrer Richtigkeit oder Vollständigkeit.