Übermäßige Berechtigungen und böswillige Benutzer

IBM® MaaS360® Endpoint Threat Management schützt Geräte vor böswilligen Benutzern, die mit eingeschränkten Berechtigungen auf das Netzwerk zugreifen oder Sicherheitsprobleme im Unternehmen verursachen.

Die Privilegien-Einstellung gewährleistet die Sicherheit eines Endpunkts, indem sie Benutzerkonten erkennt und entfernt, die mit eingeschränkten Benutzerrechten auf das Netzwerk zugreifen und ernsthafte Sicherheitsbedrohungen für das Unternehmen darstellen können. Das Risiko des Benutzergeräts wird auf der Basis der Anzahl der Verstöße berechnet, die auf dem Gerät auftreten.

Unterstützte Geräte
  • Windows
  • macOS
Voraussetzungen
  • Für Windows muss der MES-Agent auf der Benutzereinheit installiert sein. Der Administrator muss die Geräte registrieren und die MaaS360 App oder den Agenten auf dem Gerät installieren.

Erkennung der Gültigkeit von Privilegien für ein Benutzerkonto auf einem Gerät oder einem Endpunkt (Prüfung, ob Admin-Rechte beeinträchtigt sind und ob ein Angreifer mit diesen Rechten auf das Netzwerk zugreifen kann)

Administrative Berechtigungen sind die höchsten Berechtigungsstufen, die einem Administrator-Benutzer gewährt werden. Diese Berechtigungen umfassen Berechtigungen für den Zugriff auf fast alle Netz-und Systembereiche einer Organisation. Der Administrator erteilt Standardbenutzern nur die erforderlichen Berechtigungen und beschränkt bestimmte Berechtigungen, die es Benutzern ermöglichen, Aktionen auszuführen, die Bedrohungen für das Gerät, die Unternehmensdaten und das Netz verursachen.

Ein Standardbenutzer könnte sich durch Malware absichtlich oder unabsichtlich Zugang zu bestimmten eingeschränkten Rechten verschaffen und Aktionen durchführen, die ernsthafte Sicherheitsbedrohungen für das Unternehmen darstellen könnten. In diesem Fall konfigurieren Sie diese Einstellung so, dass Benutzer mit übermäßigen Rechten erkannt werden, wie z. B. die Verfolgung von Standardbenutzern mit Administratorrechten oder die Auswahl aus einer Gruppe von Rechten, in der Benutzer diese Rechte haben, und dann eine Abhilfemaßnahme eingeleitet wird.

Wenn der Benutzer versucht, eine privilegierte Operation auszuführen, überprüft das System das Zugriffstoken des Benutzers, um festzustellen, ob der Benutzer über die erforderlichen Berechtigungen verfügt. Ist dies der Fall, überprüft das System, ob die Berechtigungen aktiviert sind. Wenn der Benutzer diese Tests nicht besteht, führt das System die Operation nicht aus.

Erkennung der Gültigkeit eines Benutzerkontos auf einem Gerät/Endpunkt (Überprüfung, ob ein Angreifer sich als Benutzer ausgibt, um Zugang zum Netz zu erhalten - bösartige Benutzernamen)

Wenn ein Administrator vermutet, dass ein bestimmter Benutzername Probleme im Unternehmen verursacht, kann er MaaS360 verwenden, um nach diesem Benutzerkonto (nach Benutzername oder Regex-Muster) auf Windows- oder macOS -Geräten zu suchen und dann gegen diesen Benutzer vorzugehen.

Der Administrator kann die folgenden Korrekturaktionen einleiten:
  • Melden Sie den Benutzer der Windows-oder macOS -Geräte.
  • Blockieren Sie den Benutzer, wenn sich der Benutzer nicht erneut am Gerät anmelden kann.
  • Löschen Sie den Benutzer vom Gerät und entfernen Sie den Benutzerdatensatz aus dem MaaS360 -Portal.

EPS-Richtlinie für Berechtigungen und heimtückische Benutzer konfigurieren

Sie können EPS-Richtlinien konfigurieren und durchsetzen, um sowohl Benutzer mit eingeschränkten Rechten als auch böswillige Benutzer zu erkennen und dann auf verwalteten Geräten zu agieren.

Folgen Sie diesen Schritten, um die Einstellungen zu konfigurieren.
  1. Gehen Sie auf der Startseite des Portals IBM MaaS360 zu Sicherheit > Policies.
  2. Öffnen Sie eine EPS-Richtlinie und klicken Sie anschließend auf Berechtigungen.
  3. Konfigurieren Sie die folgenden Einstellungen.
    Richtlinieneinstellung Beschreibung Unterstützte Geräte
    Zu viele Benutzerkontoberechtigungen erkennen (sofern aktiviert)
    Überhöhte Berechtigungen von Standardbenutzern erkennen Wählen Sie die Berechtigung aus, die Sie überprüfen möchten, um festzustellen, welchen Konten der Zugriff auf diese Berechtigungen gewährt wurde. Weitere Erläuterungen zu den Berechtigungen in dieser Liste finden Sie unter https://docs.microsoft.com/en-us/windows/win32/secauthz/privilege-constants.
    • Berechtigung für das Zuweisen primärer Token
    • Berechtigung für Prüfungen
    • Berechtigung für globales Erstellen
    • Backup-Berechtigung
    • Berechtigung für Erstellen von Auslagerungsdateien
    • Berechtigung für permanentes Erstellen
    • Berechtigung für Erstellen symbolischer Links
    • Berechtigung für Erstellen von Token
    • Debugberechtigung
    • Berechtigung für Delegierung des Annehmens einer Identität für eine Sitzung
    • Berechtigung für Aktivieren der Delegierung
    • Berechtigung für Annehmen einer Identität
    • Berechtigung für Erhöhen der Basispriorität
    • Berechtigung für Erhöhen des Kontingents
    • Berechtigung für Sperren des Speichers
    • Berechtigung für Laden von Treibern
    • Berechtigung für Maschinenkonten
    • Berechtigung für Verwalten von Datenträgern
    • Berechtigung für Profilerstellung für Einzelprozesse
    • Berechtigung für Zuordnung neuer Kennsätze
    • Berechtigung für Remote-Systemabschluss
    • Sicherheitsberechtigung
    • Restoreberechtigung
    • Berechtigung für Synchronisationsagenten
    • Berechtigung für Systemumgebung
    • Berechtigung für Systemprofil
    • Berechtigung für Systemzeit
    • Berechtigung für Übernahme des Eigentums
    • Tcb-Berechtigung
    • Berechtigung für Zugriff auf Trusted CredMan
    • Berechtigung für nicht angeforderte Eingaben
    		 Windows
    Korrekturaktion Konfigurieren Sie die Echtzeitaktion (widerrufen Sie die Berechtigung oder melden Sie den Benutzer dem Administrator), die Sie für den Benutzer ausführen möchten, wenn die konfigurierte Berechtigung für das Benutzerkonto erkannt wird.
    Erkennung schädlicher Benutzer nach Benutzername (sofern aktiviert)
    Lokale Benutzerkonten nach Namen erkennen Geben Sie die Benutzernamen der Benutzerkonten (any, admin, standard) ein, nach denen MaaS360 nach potenziellen Bedrohungen für das Unternehmen suchen soll.

    Verwenden Sie eine bestimmte Zeichenfolge oder einen regulären Ausdruck als Benutzernamen. Der reguläre Ausdruck unterstützt alle alphanumerischen Kombinationen (z. B. 123! #, abc, 123_23 *).

    		 Fenster, macOS
    Gehen Sie wie folgt vor, um nach Benutzerkonten mit mehreren Benutzern zu suchen (Einstellung "Andere Benutzer"):
    • Windows: EinstellungenAndere Benutzer
    • macOS: Apple-Menü > Systemeinstellungen > Benutzer und Gruppen > Andere Benutzer
    Korrekturaktion Konfigurieren Sie die Echtzeitaktion, die Sie für das erkannte schädliche Benutzerkonto ausführen möchten:
    • Keine Aktion: Verfolgt Geräte mit lokalen Benutzernamen, die den konfigurierten Benutzernamenskriterien entsprechen, und meldet sie.
    • Benutzer inaktivieren: Inaktiviert die Verwendung des Geräts durch den Benutzer.
    • Benutzer löschen: Entfernt den Benutzer vom Gerät.
    		 Fenster, macOS

Konfigurieren von Risikoregeln für Berechtigungen und heimtückische Benutzer

Wenn ein Risikovorfall erkannt wird, validiert MaaS360 diesen Risikovorfall anhand Ihrer Risikoregel, um den Schweregrad und die Risikobewertung für die Einheiten und Benutzer zu berechnen.

Gehen Sie folgendermaßen vor, um Risikoregeln für Berechtigungen anzuzeigen oder zu konfigurieren.
  1. Gehen Sie auf der Startseite des Portals IBM MaaS360 zu Sicherheit > Sicherheitsmanagement > Risikoregelkonfigurator. Die folgenden vordefinierten Risikoregeln, die für Privilegien konfiguriert sind, werden im Risikoregelkonfigurator angezeigt.
    EPS-Richtlinientyp/-Einstellung Vordefinierte Risikoregel Beschreibung
    Berechtigungen/Zu viele Benutzerkontoberechtigungen erkennen Verstöße gegen Windows-Berechtigungen Diese Regel prüft, welchen Benutzerkonten bestimmte Administratorrechte auf Windows-Benutzergeräten gewährt wurden. Wenn konfigurierte Administratorberechtigungen für das Konto eines Standardbenutzers erkannt werden, wird der Vorfall an MaaS360gemeldet und auf der Basis dieser Risikoregelkonfiguration wird ein Risikovorfall mit hoher Wertigkeit erstellt und eine Risikobewertung hinzugefügt.
    Hinweis:
    • Diese Risikoregel gilt nur für Windows-Einheiten.
    • Damit diese Risikoregel funktioniert, muss der Endpoint Security-Service auf der Seite 'Services' aktiviert sein.
    • Der Regelsatz wird nach gerätebasierten Risikoregeln kategorisiert, da die Risikobewertung, die diesen Risikovorfällen zugeordnet ist, sofort abnimmt (null wird), wenn alle Windows-Berechtigungsverstöße, die dem Risikovorfall zugeordnet sind, im Benutzerkonto korrigiert und aus dem Sicherheitsdashboard entfernt werden.
    • Ein Risikovorfall wird für alle Windows-Berechtigungsverstöße erstellt, die für eine Endpoint Security-Richtlinie konfiguriert sind. Wenn eine oder mehrere Sicherheitsrichtlinien für Endpunkte konfiguriert sind und Windows-Berechtigungsverstöße erkannt werden, wird ein Risikovorfall für jede dieser Sicherheitsrichtlinien erstellt, für die Verstöße erkannt werden.
    Berechtigungen/böswillige Benutzer nach Benutzernamen erkennen Böswillige lokale Benutzer erkannt Diese Regel prüft bestimmte Benutzernamen in Windows-oder macOS -Benutzerkonten, von denen angenommen wird, dass sie böswillige Benutzer sind. Wenn der spezifische Benutzername im Konto erkannt wird, dann wird der Vorfall an MaaS360gemeldet und auf der Basis dieser Risikoregelkonfiguration wird ein Risikovorfall mit hoher Wertigkeit erstellt und eine Risikobewertung hinzugefügt.

Verstöße gegen Windows-Zugriffsrechte und böswillige Benutzervorfälle im Sicherheitsdashboard verfolgen

Zur Verfolgung von Verstößen und Vorfällen auf dem Security Dashboard.
  • Rufen Sie Sicherheit > Sicherheitsdashboard > Vorfälle mit dem höchsten Risikoauf.
    • Bei Verstößen gegen Windows-Rechte.
      1. Klicken Sie auf den Link Betroffene Geräte. Es werden die betroffenen Geräte mit Details angezeigt.
      2. Klicken Sie auf den Benutzernamen. Die Seite Benutzerübersicht wird angezeigt, die die Verletzung der Windows-Berechtigung für die angewandte EPS-Richtlinie enthält.
    • Für böswillige Benutzer.
      1. Klicken Sie auf den Link Betroffene Geräte nummeriert. Es werden die betroffenen Geräte mit Details angezeigt.
      2. Klicken Sie auf den Benutzernamen. Die Seite "Benutzerübersicht" wird angezeigt, die den Verstoß des böswilligen Benutzers für die angewandte EPS-Richtlinie enthält.

        Sie können auch auf den Gerätenamen im Abschnitt Gefährliche Geräte klicken, um Informationen über den Verstoß anzuzeigen.