SafeGuard PnP Management

Transkript

1 SafeGuard PnP Management Unterstützte Betriebssysteme: Windows 2000/XP Professional Überwachbare Ports: USB, COM/LPT (aktuelle Liste siehe Liesmich.txt) Administration: Erweiterungs Snap-In PnP Management in der MMC N =páåüéêüéáíëêáëáâç=çìêåü=mäìö=~åç=mä~ó=déê íé PnP-Geräte bergen wegen der einfachen Handhabung ein erhebliches Gefahrenpotential für die Sicherheitspolitik eines Unternehmens. Jeder Benutzer kann einen USB-Stick, externe Festplattenlaufwerke, MP3- Player etc. problemlos an seinen PC anschließen. Die Geräte sind wenige Minuten nach dem Kauf einsatzbereit, da das Betriebssystem viele Geräte automatisch (Plug and Play) beim Anschluss an den Computer erkennt und deren Treiber ohne Benutzerinteraktion installiert. Utimaco bietet zum Schutz von mobilen Umgebungen und zur Durchsetzung von Sicherheitsrichtlinien mit dem PnP Management nun ein Modul zur Kontrolle von PnP-Geräten an. Gefahren Unerlaubter Datentransfer Import von schadhafter Software aus Speichermedien (Einschleusen von Viren, Spiele) Export auf Speichermedien (sicherheitsrelevante Firmendaten, Softwarelizenzverletzungen) Machtloser Administrator Keine zentral gesteuerten Kontrollmechanismen Systemverwalter weiß nicht, was Benutzer mit unerlaubten Speichermedien im Unternehmen machen. Lösung durch PnP Management Überwachung der PnP Geräte Überwacht einzelne Geräte und komplette Geräteklassen. Garantiert mit Enforced Drive Mapping Kontrolle über zugelassene Speichermedien Zentrale Steuerung Administration der PnP Geräte von einer zentralen Stelle durch bekannte Windows- Mechanismen. Positiver Nebeneffekt: Keine zusätzlichen Schulungskosten für Administratoren, die mit den Windows-Verwaltungswerkzeugen vertraut sind. N

2 O =påüåéääëí~êí OKN ^ìñö~äé In einer Active-Directory Umgebung sollen alle Speichermedien generell für Benutzer gesperrt werden, ausgenommen ein USB-Stick, von dem jedoch keine Programme ausgeführt/gelesen werden dürfen. OKO sçêäéêéáíìåö=~ã=^çãáåáëíê~íçêjm` PnP Gerät(e) an den PC anschließen SGAS-PnP_DE.msi installieren OKP déê íéjsçêä~öéå=áã=dêìéééåêáåüíäáåáéåçäàéâí= p~ñédì~êçqéãéä~íédml=éêëíéääéå Im Ordner Vorlagen der SafeGuardTemplateGPO werden die Geräte registriert, für die PnP-Regeln angewandt werden sollen. Im Handbuch erfahren Sie, wie das Gruppenrichtlinienobjekt SafeGuardTemplateGPO erstellt wird. Vorgehensweise: Gruppenrichtlinienobjekt SafeGuardTemplateGPO öffnen. Für Evaluierungsszwecke an einem Einzelplatz-PC einfach das Snap- In Gruppenrichtlinien für den Lokalen Computer in der MMC öffnen. PnP Geräte unter Computerkonfiguration / Windows- Einstellungen / SafeGuard / Vorlagen / PnP Vorlagen registrieren. O

3 Aus den angezeigten Angeschlossenen Geräten eines auswählen, linke Maustaste gedrückt halten und das Gerät per drag&drop auf die Seite der registrierten Geräte ziehen. Mehrfachauswahl ist über die gewohnten Windows-Mechanismen möglich (STRG gedrückt halten + Geräte auswählen). Speichern der Einstellungen über. OKQ båñçêåéç=aêáîé=j~ééáåö=eåìê=ñωê=pééáåüéêãéçáéåf Das Enforced Drive Mapping legt fest, dass der Zugriff auf freigegebene Speichermedien nur über bestimmte Laufwerksbuchstaben eines PCs erlaubt ist. Im Beispiel werden angeschlossenen Speichermedien die Laufwerke E und/oder F zugeordnet. Zuweisen P

4 OKR _ÉåìíòÉêëéÉòáÑáëÅÜÉ=dmlJhçåÑáÖìê~íáçå In der Benutzer-GPO, im Beispiel SG PnP GPO, werden die in SafeGuardTemplateGPO erstellten Vorlagen zur Verfügung gestellt und festgelegt, ob die Geräte für Benutzer freigegeben oder gesperrt werden. Vorgehensweise: Das Gruppenrichtlinienobjekt SG PnP GPO erstellen und öffnen. Bei der Arbeit mit lokalen Richtlinien müssen Sie kein SG PnP GPO erstellen. In der Benutzerkonfiguration über Windows-Einstellungen / SafeGuard / PnP Einstellungen Zugriffsrechte vergeben. Einzelnes Gerät oder eine komplette Gerätegruppe (z.b. Speichermedien, Eingabegeräte) mit einfachem Mausklick in der Spalte Zugriff freigeben oder sperren. Regel: Freigaben/Verbote für einzelne Geräte haben Vorrang vor Einstellungen für die gesamte Gerätegruppe! Speichern der Einstellungen mit und SG PnP GPO einer Organisationseinheit zuweisen. Q

5 OKS hçåíêçääé=ωäéê=ñêéáöéöéäéåé=pééáåüéêãéçáéå=çìêåü=p~ñédì~êç=^p^o= Nach erfolgreichem Enforced Drive Mapping bestimmt SafeGuard ASAR, welche Daten auf E und F gelesen, ausgeführt etc. werden dürfen (vorausgesetzt die SafeGuard-Module Base und ASAR sind installiert). Um die Kombination von Enforced Drive Mapping und ASAR so schnell wie möglich zu testen, müssen Sie die auf der Produkt-CD mitgelieferte Beispielkonfiguration von SafeGuard ASAR importieren (Verzeichnis XXX/Dateiname YYY) und die Einstellungen des Enforced Drive Mapping entsprechend anpassen. ASAR-Daten importieren Unter Computerkonfiguration das Kontextmenü des Ordners SafeGuard öffnen, den Befehl Daten importieren wählen und die Datei XXX aus dem Verzeichnis YYY öffnen. Unter Benutzerkonfiguration das Kontextmenü des Ordners SafeGuard öffnen, den Befehl Daten importieren wählen und die Datei XXX aus dem Verzeichnis YYY öffnen. Diese Konfiguration stellt sicher, dass ausführbare Dateien nicht importiert werden können, Viren außen vor bleiben und es zu keinen Lizenzrechtsverletzungen kommt. P =téáíéêé=cìåâíáçåéå=îçå=p~ñédì~êç=måm=j~å~öéãéåí Der Befehl Daten exportieren im Kontextmenü von PnP Vorlagen und PnP Einstellungen speichert die aktuelle PnP- Konfiguration in einer XML-Datei. SafeGuard Protokollierung zeichnet ausgewählte, vom PnP Management ausgelöste Ereignisse auf. Detaillierte Informationen siehe Handbuch SGLOG.pdf im Verzeichnis \DOC auf der Produkt-CD. R