Autorisierungsliste pflegen: Software erlauben, einschränken oder verbieten

Nicht jede Software auf Ihren Geräten ist erlaubt. Ein Fernwartungsprogramm aus dem Internet kann Fremden den Zugriff auf einen Server öffnen. Ein ungeprüftes Cloud-Werkzeug kann Daten aus dem Unternehmen tragen. knooing folgt deshalb einem einfachen Grundsatz: Erlaubt ist nur, was eine Regel erlaubt. Alles andere ist nicht autorisiert und wird gemeldet. Welche Software erlaubt ist, steht in der Autorisierungsliste im Bestand der Konfigurationsverwaltung. Die Regeln entstehen aus den Apps, die Microsoft Intune auf Ihre Geräte verteilt, und aus Ihren eigenen Einträgen.

Die Anleitung ist für alle, die im IT-Betrieb oder in der IT-Sicherheit über erlaubte Software entscheiden. Sie zeigt, wie Sie die Liste lesen, eigene Regeln anlegen und die Meldung von Software ohne Freigabe steuern. Am Ende ist jede Installation entweder erlaubt oder steht als Fund in der Liste.

Die Anleitung hat vier Teile: 1. Autorisierungsliste pflegen (diese Seite), 2. Neue Software erkennen und melden, 3. Funde zu nicht autorisierter Software bearbeiten, 4. Nicht lizenzierte Software erkennen.

Die wichtigsten Begriffe

Diese Begriffe gelten für alle vier Teile.

• Programm: eine Software, etwa ein Fernwartungswerkzeug. In den Spalten der App heißt es Produkt.
• Installation: eine Zeile im Reiter Software, also ein Programm in einer Version auf einem Gerät. Beispiel: Tourenplaner 3.0 auf srv-dispo01 und auf srv-lager02 sind zwei Installationen.
• Autorisierungsliste: Ihre Regeln für Software, im Reiter Autorisierung. In der App heißt eine Regel auch „Eintrag“.
• Quelle einer Regel: Intune heißt: Die Regel entsteht aus einer App, die Microsoft Intune als Erforderlich oder Verfügbar auf Geräte verteilt. Sie ist immer Erlaubt und ändert sich nur mit Intune. Eigene Regel heißt: Sie haben die Regel angelegt. Eigene Regeln gehen den Regeln aus Intune vor.
• Produktmuster: der Programmname, auf den eine Regel passt. Ein Stern * steht für beliebige Zeichen, er darf an jeder Stelle stehen. Groß- und Kleinschreibung spielen keine Rolle. Beispiel: Fernwartung* passt auf „Fernwartung 7“ und „Fernwartung Free“, aber nicht auf „Mobile Fernwartung“. Ohne Stern muss der Name genau stimmen.
• Hersteller: in einer Regel nur nötig, wenn sie für einen einzigen Hersteller gelten soll. Eine Regel mit Hersteller geht einer Regel ohne Hersteller vor.
• Autorisierung: die Entscheidung einer Regel. Erlaubt heißt: Das Programm darf laufen. Eingeschränkt heißt: nur mit Freigabe, etwa der IT-Sicherheit. Verboten heißt: Das Programm darf nicht laufen. Passt keine Regel Erlaubt, steht an der Installation Ohne Freigabe.
• Fund: eine Installation, die nicht autorisiert ist. Die Spalte Anlass nennt den Grund: Verboten, Eingeschränkt oder Ohne Freigabe. Beispiel: Ein verbotenes Programm auf zwei Geräten ergibt zwei Funde.
• Software ohne Freigabe: eine Einstellung im Reiter Autorisierung. Als nicht autorisiert melden (Standard) macht aus jeder Installation ohne erlaubende Regel einen Fund. Nur kennzeichnen, nicht melden zeigt sie nur im Reiter Software mit Ohne Freigabe, ohne Fund. Verbotene und eingeschränkte Software meldet knooing immer.
• Abgleich: knooing prüft alle Installationen gegen die aktuellen Regeln. Das geschieht nach jeder Änderung der Liste oder der Einstellung, nach jedem Import, nach jedem Abgleich mit Intune und einmal am Tag. Eine Regel gilt also auch für Software, die schon vorher im Bestand stand.
• Status eines Fundes: Gemeldet heißt neu. In Bearbeitung heißt: Jemand kümmert sich. Bestätigt heißt: Eine Person hat bestätigt, dass es ein echter Verstoß ist. Behoben (verifiziert) heißt: Der Abgleich findet den Verstoß nicht mehr. Kein echter Verstoß heißt: Eine Person hat entschieden, dass kein Verstoß vorliegt. Wie Sie den Status ändern, steht in Funde zu nicht autorisierter Software bearbeiten.
• Benachrichtigung: ein Eintrag in der Glocke oben rechts. knooing schickt sie zu jedem neuen Fund. Mehrere neue Funde ohne Freigabe aus einem Abgleich kommen in einer Benachrichtigung, siehe Neue Software erkennen und melden.
• Lizenz-Überhang: der unterste Abschnitt im Reiter Autorisierung. Er zeigt Programme, für die Lizenzen fehlen, und hängt nicht an Ihren Regeln, siehe Nicht lizenzierte Software erkennen.

Schritt 1: Den Reiter Autorisierung öffnen

Klappen Sie in der Seitenleiste Konfigurationsverwaltung auf und wählen Sie darin Bestand. Wählen Sie oben den Reiter Autorisierung.

Oben steht ein blauer Hinweis: „Erlaubt ist, was eine Regel dieser Liste erlaubt. Die Regeln entstehen aus den über Microsoft Intune verteilten Apps und aus Ihren eigenen Einträgen; eigene Einträge gehen vor.“ Darunter folgen drei Abschnitte:

• Software ohne Freigabe mit der Einstellung, ob Installationen ohne Regel gemeldet werden (1). Voreingestellt ist Als nicht autorisiert melden (Standard).
• Autorisierungsliste mit dem Formular für eigene Regeln und den Regeln. Ist Intune angebunden, steht über dem Formular „Freigaben aus Microsoft Intune: …, zuletzt abgeglichen am …“. Regeln aus Intune tragen unter Quelle die Marke Intune und rechts den Vermerk aus Intune (2).
• Nicht autorisierte Software mit den Funden (3). Die Zahl in Klammern zählt alle Funde, auch geschlossene.

123

Steht unter Nicht autorisierte Software bei vielen Zeilen Ohne Freigabe, ist das kein Fehler: Für diese Programme gibt es noch keine erlaubende Regel. Die folgenden Schritte zeigen, wie Sie das ordnen.

Warum zuerst lesen? Die Regeln aus Intune decken meist schon den Großteil ab. Wer sie kennt, legt keine Regel doppelt an und sieht gleich, welche Programme noch eine Entscheidung brauchen.

Beispiel: Julia Beispiel arbeitet im IT-Betrieb der Beispiel GmbH, eines Logistikunternehmens. Intune verteilt den Tourenplaner und den PDF-Betrachter. Ohne Freigabe sind „Fernwartung 7“, „Fernwartung Free“, „Dateiablage Sync“ und „Bildbearbeitung Pro“.

Schritt 2: Während des Aufbaus nur kennzeichnen

Bauen Sie die Liste gerade erst auf, stellen Sie unter Software ohne Freigabe die Auswahl auf Nur kennzeichnen, nicht melden (1). Dieser Schritt ist freiwillig.

Es erscheint „Einstellung gespeichert. Der Bestand ist neu abgeglichen.“ Unter der Auswahl steht jetzt eine Erklärung: Software ohne Regel ergibt keinen Fund mehr. Die offenen Funde mit dem Anlass Ohne Freigabe stehen danach auf Behoben (verifiziert) (2). Das heißt hier nur: Ohne Meldung ist es kein Fund mehr. Die Software ist weiter installiert.

12

Warum erst kennzeichnen? Beim ersten Abgleich hat oft ein großer Teil des Bestands noch keine Regel. Jede Installation würde ein Fund, und alle Zuständigen bekämen Benachrichtigungen. Mit Nur kennzeichnen sammeln Sie erst die Regeln und schalten die Meldung danach ein (Schritt 7). Verbotene und eingeschränkte Software meldet knooing auch in dieser Zeit.

Beispiel: Julia Beispiel stellt Nur kennzeichnen, nicht melden ein, bevor sie mit der IT-Sicherheit die Liste durchgeht.

Schritt 3: Das freigegebene Programm erlauben

Füllen Sie im Abschnitt Autorisierungsliste das Formular aus:

• Produktmuster (z. B. Firefox*): der Name des Programms, hier Fernwartung*.
• Hersteller (optional): der Hersteller, so geschrieben wie im Reiter Software in der Spalte Hersteller, hier Muster Service. Groß- und Kleinschreibung spielen keine Rolle. Steht dort unter dem Namen grau „geliefert: …“, tragen Sie diese Schreibweise ein, siehe „Wenn etwas nicht klappt“.
• Auswahl zwischen Hersteller und Begründung: Vorbelegt ist Verboten. Klicken Sie darauf und wählen Sie Erlaubt.
• Begründung (optional): warum die Regel gilt, hier Werkzeug des Servicepartners.

Klicken Sie dann auf Anlegen. Die Schaltfläche bleibt grau, solange Produktmuster leer ist.

Danach steht die Regel oben in der Tabelle: unter Autorisierung eine grüne Marke Erlaubt, unter Quelle „Eigene Regel“ und rechts Entfernen. Die Textfelder des Formulars sind wieder leer.

Warum zuerst die Ausnahme? Legen Sie zuerst das Verbot an (Schritt 4), trifft es kurz auch das erlaubte Werkzeug. Dann entsteht ein unnötiger Fund mit Benachrichtigung. Legen Sie die Ausnahme zuerst an, entsteht dieser Fund gar nicht.

Beispiel: Auf srv-dispo01 läuft „Fernwartung 7“ von Muster Service. Julia Beispiel trägt Fernwartung* und Muster Service ein, wählt Erlaubt, trägt Werkzeug des Servicepartners ein und klickt auf Anlegen.

Schritt 4: Alle anderen Programme dieser Art verbieten

Tragen Sie unter Produktmuster wieder Fernwartung* ein. Lassen Sie Hersteller (optional) leer. Stellen Sie die Auswahl auf Verboten. Tragen Sie unter Begründung (optional) den Grund ein, hier Fernwartung nur mit dem Werkzeug des Servicepartners. Klicken Sie auf Anlegen.

Danach steht die Regel mit „-“ unter Hersteller und einer roten Marke Verboten in der Tabelle. Unter Nicht autorisierte Software steht „Fernwartung Free“ auf srv-lager02 jetzt mit dem Anlass Verboten und dem Status Gemeldet. „Fernwartung 7“ bleibt geschlossen: Für Muster Service gilt die Regel mit Hersteller, und die erlaubt das Programm.

Warum ein Verbot, obwohl Software ohne Regel ohnehin gemeldet wird? Ein Verbot ist eine bewusste Entscheidung. Es gilt auch dann, wenn Intune später ein Programm mit passendem Namen verteilt, denn eigene Regeln gehen vor. Und es wird immer gemeldet, auch während Nur kennzeichnen eingestellt ist.

Beispiel: Julia Beispiel trägt Fernwartung* ein, wählt Verboten und trägt die Begründung ein. „Fernwartung Free“ hat in der Inventarliste keinen Hersteller, also greift das Verbot.

Schritt 5: Software nur mit Freigabe zulassen

Tragen Sie unter Produktmuster den Namen ein, hier Dateiablage*. Lassen Sie Hersteller (optional) leer. Stellen Sie die Auswahl auf Eingeschränkt. Tragen Sie unter Begründung (optional) den Grund ein, hier Nur mit Freigabe der IT-Sicherheit. Klicken Sie auf Anlegen.

Danach stehen Ihre drei Regeln mit der Quelle „Eigene Regel“ oben in der Liste (1). Unter Nicht autorisierte Software steht „Dateiablage Sync“ mit dem Anlass Eingeschränkt und dem Status Gemeldet, darüber „Fernwartung Free“ mit Verboten (2).

12

Warum eingeschränkt statt verboten? Manche Programme sind nicht grundsätzlich unerwünscht, brauchen aber eine Prüfung, etwa weil sie Daten in fremden Rechenzentren speichern. Eingeschränkt meldet jede Installation als Fund. Liegt die Freigabe vor, schließen Sie den Fund mit Kein Verstoß, siehe Funde zu nicht autorisierter Software bearbeiten. Für jede neue Installation entsteht wieder ein Fund.

Beispiel: Julia Beispiel trägt Dateiablage* ein, wählt Eingeschränkt und trägt Nur mit Freigabe der IT-Sicherheit ein. Im Lager läuft „Dateiablage Sync“ auf srv-lager02.

Schritt 6: Software ohne Freigabe im Reiter Software finden

Wählen Sie oben den Reiter Software. Stellen Sie über der Liste die Auswahl Autorisierung auf Ohne Freigabe (1). Danach zeigt die Liste nur noch Installationen, für die keine Regel gilt, und darüber steht ihre Zahl, etwa „1 Installation(en)“. In der Spalte Autorisierung steht bei jeder Ohne Freigabe (2).

12

Gehen Sie die Liste mit der IT-Sicherheit durch. Für jedes Programm entscheiden Sie: erlauben (Schritt 3), verbieten (Schritt 4) oder einschränken (Schritt 5). Eine Installation, die bleiben darf, aber keine dauerhafte Regel bekommen soll, schließen Sie später als Fund mit Kein Verstoß. Mit Alle sehen Sie wieder alle Installationen. Die übrigen Spalten erklärt Softwareinventar prüfen.

Warum im Reiter Software? Im Reiter Autorisierung stehen nur Funde. Hier sehen Sie jede Installation mit ihrer Entscheidung, auch die erlaubten. So prüfen Sie, ob eine Ausnahme wirkt, und wo Ihre Liste noch Lücken hat.

Beispiel: Julia Beispiel findet „Bildbearbeitung Pro“ von Muster Grafik auf srv-dispo01. Die IT-Sicherheit hat das Programm nicht freigegeben. Julia legt keine Regel an: Es soll als Fund gemeldet werden.

Schritt 7: Die Liste scharf schalten

Wählen Sie wieder den Reiter Autorisierung. Stellen Sie unter Software ohne Freigabe die Auswahl auf Als nicht autorisiert melden (Standard) (1).

Es erscheint „Einstellung gespeichert. Der Bestand ist neu abgeglichen.“ Jede Installation ohne erlaubende Regel steht jetzt als Fund mit dem Anlass Ohne Freigabe und dem Status Gemeldet in der Liste (2). Ein früher geschlossener Fund öffnet sich dabei wieder. Die Zuständigen bekommen eine Benachrichtigung; mehrere neue Funde dieses Abgleichs kommen in einer.

12

Warum der Standard? Eine Liste, die nur Verbote kennt, übersieht jedes neue Programm, an das niemand gedacht hat. Mit dem Standard ist alles nicht autorisiert, was nicht ausdrücklich erlaubt ist. Neue Software fällt so sofort auf.

Beispiel: Julia Beispiel schaltet die Liste scharf. „Bildbearbeitung Pro“ steht als Fund da. Sie kümmert sich darum wie in Funde zu nicht autorisierter Software bearbeiten beschrieben.

Regeln aus Intune

Ist Microsoft Intune angebunden und der Schalter Verteilte Apps als Freigaben übernehmen an, legt knooing bei jedem Abgleich mit Intune die Regeln selbst an (Softwareverteilung anbinden). Jede App, die Intune als Erforderlich oder Verfügbar zuweist, wird eine Regel Erlaubt. Das Muster ist der App-Name ohne Versionsangabe mit Stern, etwa Tourenplaner* für „Tourenplaner 3.0“, der Hersteller ohne Rechtsform, etwa Muster Logistik*. So passt die Regel auch auf künftige Versionen.

• Eine Regel aus Intune lässt sich nicht entfernen oder ändern. Rechts steht statt Entfernen der Vermerk aus Intune. Sie verschwindet, sobald Intune die App nicht mehr zuweist.
• Wollen Sie eine solche Regel selbst bestimmen, legen Sie eine eigene Regel mit demselben Produktmuster und Hersteller an. Es erscheint „Die Freigabe aus Intune ist jetzt Ihre eigene Regel. Der Abgleich ändert sie nicht mehr.“
• Eine eigene Regel geht immer vor. Verbieten Sie ein Programm selbst, hilft auch eine Zuweisung in Intune nicht.

Eine eigene Regel ändern oder entfernen

Eine Regel lässt sich nicht bearbeiten. Um sie zu ändern, entfernen Sie sie und legen sie neu an. Klicken Sie dazu in der Zeile der Regel rechts auf Entfernen. knooing fragt nicht nach, die Regel verschwindet sofort.

Danach gleicht knooing sofort ab. Installationen, auf die keine Regel mehr passt, stehen im Reiter Software auf Ohne Freigabe. Mit der Einstellung Als nicht autorisiert melden (Standard) werden sie zu Funden mit dem Anlass Ohne Freigabe. Eine Regel unterscheidet nicht nach Version: Sie gilt für alle Versionen eines Programms. Passen zwei Regeln ohne Hersteller auf dasselbe Programm, ist offen, welche gilt. Legen Sie solche Regeln deshalb nicht doppelt an.

Wenn etwas nicht klappt

• Konfigurationsverwaltung fehlt in der Seitenleiste. Ihnen fehlt das Recht, sie anzusehen. Bitten Sie Ihre knooing-Administration darum, siehe „Das brauchen Sie“.
• Der Reiter Autorisierung ist nicht zu sehen. Bei einem schmalen Fenster passen nicht alle Reiter in die Leiste. Klicken Sie rechts neben den Reitern auf den Pfeil.
• Anlegen bleibt grau. Das Feld Produktmuster ist leer. Tragen Sie einen Namen oder ein Muster ein.
• „Microsoft Intune ist nicht verbunden. Mit der Verbindung werden die über Intune verteilten Apps automatisch zu Freigaben.“ Es gibt keine Anbindung an Intune. Richten Sie sie ein, siehe Softwareverteilung anbinden, oder pflegen Sie alle Regeln selbst.
• „Microsoft Intune ist verbunden (…). Die Freigaben aus den verteilten Apps entstehen beim nächsten Abgleich.“ Intune ist angebunden, hat aber noch nicht abgeglichen. Starten Sie den Abgleich unter Einstellungen, Integrationen mit Synchronisieren oder warten Sie auf den Zeitplan.
• Eine Regel aus Intune fehlt, obwohl Intune die App verteilt. Die App ist in Intune keiner Gruppe als Erforderlich oder Verfügbar zugewiesen, oder der Schalter Verteilte Apps als Freigaben übernehmen ist aus. Bricht ein Abgleich mit Intune ab, lässt knooing die bisherigen Regeln stehen.
• Das Formular, Entfernen und die Knöpfe an den Funden fehlen. Ihnen fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Siehe „Das brauchen Sie“.
• „Zum Schreiben fehlt die Berechtigung.“ Ihr Recht wurde geändert, während die Seite offen war. Laden Sie die Seite neu.
• „Für „…“ von „…“ gibt es schon eine Regel. Ändern Sie diese.“ Eine eigene Regel mit diesem Muster und Hersteller gibt es schon. Entfernen Sie sie und legen Sie sie mit der neuen Entscheidung an.
• Die Installation bleibt auf Ohne Freigabe. Die Regel passt nicht auf den Namen. Ohne Stern muss der Name genau stimmen: Fernwartung passt nicht auf „Fernwartung 7“. Legen Sie die Regel mit Stern neu an und entfernen Sie die alte.
• Eine Regel mit Hersteller greift nicht. Prüfen Sie im Reiter Software die Spalte Hersteller:
  • Steht dort „-“, fehlt der Hersteller in der Inventarliste. Eine Regel mit Hersteller trifft die Installation dann nie.
  • Steht dort ein anderer Name, übernehmen Sie ihn genau so in die Regel.
  • Steht unter dem Namen grau „geliefert: … (gilt für die Autorisierungsliste)“, weicht die Schreibweise in Ihrer Inventarliste leicht ab. Die Regel prüft knooing gegen die gelieferte Schreibweise, damit ein falsch geschriebener Hersteller keine Ausnahme erschleicht. Tragen Sie die Schreibweise nach „geliefert:“ in die Regel ein, oder korrigieren Sie den Hersteller in Ihrer Softwareverteilung.
• Nach einer neuen Regel stehen sehr viele Funde da. Das Muster ist zu weit, etwa F*. Entfernen Sie die Regel und legen Sie ein genaueres Muster an. Die Funde stehen danach auf Behoben (verifiziert).
• Nach dem Umstellen auf den Standard stehen sehr viele Funde da. Für viele Programme fehlt noch eine Regel. Stellen Sie wieder Nur kennzeichnen, nicht melden ein und vervollständigen Sie die Liste (Schritt 6).