Wenn Rechteerweiterungsregeln im Rahmen einer Echtzeit-Berechtigungsanforderung (entweder über die mobile AutoElevate Notify-App oder das Admin-Portal) erstellt werden, wird als Identifikationskriterium stets der MD5-Hash der Datei verwendet. Erweiterte Regeln können entwickelt werden, indem zusätzliche Identifikationskriterien für Datei- und Herausgeberzertifikate ausgewählt werden, wenn eine vorhandene MD5-Regel bearbeitet oder eine neue aus einem Ereignis erstellt wird.

• Bearbeiten Sie eine vorhandene Regel im Bildschirm „Erhöhungsregeln“ (im Admin-Portal – https://msp.autoelevate.com ), indem Sie neben der Regel auf „Bearbeiten “ (Bleistiftsymbol) klicken.
  
• Erstellen Sie eine neue Regel auf dem Bildschirm „Elevation-Ereignisse“ (im Admin-Portal – https://msp.autoelevate.com ), indem Sie das Kontrollkästchen neben einem Ereignis aktivieren und im Menü „ Aktionen“ die Option „In Regel konvertieren“ auswählen.
  

Verwenden von Kombinationen aus Datei- und Herausgeberzertifikatidentifizierungskriterien

Erweiterte Regeln können so eingerichtet werden, dass sie beliebig vielen Kombinationen der Identifizierungskriterien für Datei- und/oder Herausgeberzertifikate entsprechen. Aktivieren Sie dazu die Kontrollkästchen neben den Elementen des Ereignisses, auf die die Regel angewendet werden soll. Wird bei einem UAC-Ereignis eine Übereinstimmung gefunden, führt der AutoElevate Agent die definierte Aktion „ Genehmigt“, „Abgelehnt“ oder „Ignoriert“ aus. Damit die Regel auf ein Ereignis angewendet werden kann, muss sie ALLE ausgewählten Identifizierungskriterien erfüllen.

Kriterien zur Dateiidentifizierung

Dateiidentifizierungskriterien können in beliebiger Kombination aus fünf Optionen ausgewählt werden: Produktname, Dateipfad, Dateiname, Originaldateiname, MD5-Hash . Die Standardwerte dieser Kriterien entsprechen den gelesenen Daten aus der Datei des lokalen Computers, auf dem das ursprüngliche Ereignis aufgetreten ist. Platzhalterzeichen können dynamische Elemente angeben (* ? [az]).

• Produktname: Ein vom Softwarehersteller angegebener und in die Binärdatei eingebetteter Wert. Dieser Wert kann leer sein, wenn die Datei keine Versionsinformationen enthält.
  
• Dateipfad: Der vollständige Pfad zum Speicherort der Datei auf dem lokalen Rechner, einschließlich des Dateinamens. Der Agent erweitert bei der Verarbeitung des Dateipfads alle Windows-Umgebungsvariablen. Klicken Sie HIER für weitere Informationen zu Windows-Umgebungsvariablen.
  • Derzeit kann der Agent keine Umgebungsvariablen verarbeiten, die lokale Benutzerinformationen enthalten (z. B. %LOCALAPPDATA%, %USERPROFILE% usw.).
    
• Dateiname: Der aus dem Pfad extrahierte Dateiname.
  
• Ursprünglicher Dateiname: Der Name, unter dem die Datei erstellt wurde. Das Feld kann leer bleiben, wenn die Datei keine Versionsinformationen enthält.
  
• MD5-Hash: Der MD5-Hash der Datei.
  

Kriterien zur Herausgeberidentifizierung

Die Kriterien zur Herausgeberidentifizierung können auf eine von zwei Optionen eingestellt werden: „Subject Elements“ oder „Certificate Hash“ .

• Subjektelemente: Dies sind die verschiedenen Teile des Subjekt-DN im Herausgeberzertifikat. Die Elemente können beliebig kombiniert werden. Beachten Sie jedoch, dass jeder Softwareherausgeber mehrere Zertifikate verwenden kann. Durch die Auswahl weniger Subjektelemente können Sie eine größere Auswahl an Software finden, die den ausgewählten Identifikationskriterien entspricht.
  
• Zertifikat-Hash: Dies ist der Fingerabdruck des Zertifikats, mit dem die Datei signiert wurde. Er ist ausschließlich auf dieses Zertifikat beschränkt. Herausgeberzertifikate laufen in der Regel nach ein bis zwei Jahren ab. Daher benötigen Herausgeber regelmäßig neue Zertifikate mit neuen Fingerabdrücken. Die Verwendung des Zertifikat-Hashs kann dazu führen, dass Sie neue Regeln erstellen müssen, um diese neuen Zertifikate bei ihrer Ausstellung zu berücksichtigen.
  

Die definierten Regeln werden bei jedem Check-in verschlüsselt und in einem sicheren Registrierungsbereich gespeichert und funktionieren weiterhin mit oder ohne Verbindung zum Internet und/oder unseren Diensten.

Wir greifen standardmäßig auf eine Sicherheitsposition zurück und lassen zu, dass die Benutzerkontensteuerung für alles aufgerufen wird, wofür es keine Regel gibt.

Für solche seltenen Fälle empfehlen wir außerdem, auf jedem System einen lokalen Break-the-Glass-Administrator einzurichten (möglicherweise hat nur das Management Zugriff auf die Anmeldeinformationen).

Fehlerbehebung:

• Stellen Sie sicher, dass Ihre Agenten Version 2.4 oder höher verwenden. Nur Ereignisse, die von einem Rechner mit Agent Version 2.4 oder höher generiert werden, können eine Regel mit Herausgeberzertifikat und Dateiinformationen definieren. Für die Erstellung von Herausgeberzertifikatsregeln sind zusätzliche Informationen erforderlich, die von den vorherigen Agentenversionen nicht erfasst wurden. Nur Agentenversionen ab 2.4 können die in diesen neuen Regeln festgelegten Identifikationskriterien interpretieren und verarbeiten.
  
• Wenn die Agenten immer noch auf Version 2.3.8 hängen, überprüfen Sie, ob sie mindestens die erforderliche Version .NET 4.7 haben. Wenn die Maschine nicht über Version 4.7 verfügt, wird der Agent nicht installiert und sollte auf der vorherigen Version verbleiben.
  
• Zur Verarbeitung von Regeln mit Platzhalterzeichen ist außerdem Powershell v3.0+ erforderlich.
  
• Nur Benutzer in den Rollen „Administratoren“ und „Techniker“ (Stufe 3) haben die Berechtigung, die Identifikationskriterien für Regeln zu bearbeiten und festzulegen.