Использование управления привилегиями конечной точки с Microsoft Intune

С помощью Microsoft Intune Управление привилегиями на конечных точках (EPM) пользователи вашей организации могут работать как обычные пользователи (без прав администратора) и выполнять задачи, требующие повышенных прав. К задачам, которые обычно требуют прав администратора, относятся установка приложений (например, приложений Microsoft 365), обновление драйверов устройств и выполнение определенных видов диагностики Windows.

Управление привилегиями на конечных точках поддерживает переход к модели "Никому не доверяй", помогая организации охватить широкую базу пользователей с минимальными привилегиями, при этом повышая права выбранных задач, когда это необходимо для сохранения продуктивности. Дополнительные сведения см. в статье "Никому не доверяй" с Microsoft Intune.

В этом обзоре содержатся сведения о EPM, включая преимущества, принципы работы этой модели и способы начала работы.

Применимо к:

  • Windows

Основные функции и преимущества

✅ Узнайте о ключевых функциях и преимуществах EPM

  • Standard пользователей по умолчанию. Пользователи могут выполнять свои задачи без прав локального администратора.
  • Поддержка повышения прав "точно в срок". Пользователи могут запускать определенные утвержденные ИТ-отделом двоичные файлы или сценарии для временного повышения прав.
  • Управление на основе политик. Администраторы определяют параметры и правила для управления условиями и поведением повышенных прав, с подробными возможностями создания правил в соответствии с потребностями организации.
  • Аудит ведения журналов и отчетности. Intune регистрирует каждое повышение с подробными метаданными.
  • Соответствие принципам "Никому не доверяй" за счет предоставления доступа с наименьшими привилегиями и минимизации рисков горизонтального перемещения.

Основы EPM

✅ Принцип работы EPM

Повышение EPM можно вызвать двумя способами:

  • Автоматически, или;
  • Инициировано пользователем.

EPM можно настроить с помощью трех типов политик, которые могут быть ориентированы на группы пользователей или устройств:

Чтобы повысить права на устройстве, служба EPM для большинства типов повышения прав использует виртуальную учетную запись, которая изолирована от учетной записи вошедших в систему пользователей. Ни одна из этих учетных записей не добавляется в локальную группу администраторов. Исключением из использования виртуальной учетной записи является тип повышенных прав для текущего пользователя , который более подробно описан в следующем разделе.

Клиент EPM устанавливается автоматически, если политика параметров повышения прав назначена устройствам или пользователям. Клиент EPM использует службу "Служба агента Microsoft EPM" и сохраняет его двоичные файлы в каталоге "C:\Program Files\Microsoft EPM Agent" .

На следующей схеме показана высокоуровневая архитектура запуска клиента EPM, проверки на наличие правил и упрощения повышения прав.

Схема, представляющая, как начинается повышение прав EPM, сопоставляется с правилом, а затем повышается повышение.

Типы высот

✅ Управление тем, как EPM повышает права файлов

EPM позволяет пользователям без прав администратора запускать процессы в контексте администрирования. При создании правила повышения прав оно позволяет EPM передавать целевой объект этого правила для выполнения с правами администратора на устройстве. В результате приложение получает все возможности администрирования на устройстве.

За исключением повышения прав в качестве текущего типа пользователя , EPM использует виртуальную учетную запись для повышения прав процессов. Использование виртуальной учетной записи изолирует повышенные действия из профиля пользователя, уменьшая подверженность определенным пользователям данным и снижая риск повышения привилегий.

При использовании управления привилегиями на конечных точках существует несколько вариантов поведения при повышении прав:

  • Автоматический. При использовании правил автоматического повышения прав EPM автоматически повышает права для этих приложений без участия пользователя. Общие правила этой категории могут оказывать значительное влияние на состояние безопасности организации.

  • Подтвержденный пользователь. При использовании правил подтверждения пользователя конечные пользователи используют новое контекстное меню, вызываемое правой кнопкой мыши Запуск с повышенными правами доступа. Администраторы могут потребовать от пользователя выполнить дополнительную проверку с помощью запроса на проверку подлинности, бизнес-обоснования или того и другого.

    Снимок экрана: запрос, который получает пользователь при использовании подтвержденного повышения прав.

  • Повысить права до текущего пользователя: используйте этот тип повышения прав для приложений, для правильной работы которых требуется доступ к пользовательским ресурсам, таким как пути к профилям, переменные среды или предпочтения среды выполнения. В отличие от повышения прав, использующего виртуальную учетную запись, этот режим запускает процесс повышения прав под собственной учетной записью вошедшего пользователя, сохраняя совместимость со средствами и установщиками, которые полагаются на профиль активного пользователя. Сохраняя одинаковое удостоверение пользователя до и после повышения прав, этот подход обеспечивает согласованные и точные журналы аудита. Он также поддерживает проверку подлинности Windows, требуя от пользователя повторной проверки подлинности с помощью действительных учетных данных перед повышением прав.

    Однако, поскольку процесс с повышенными привилегиями наследует полный контекст пользователя, этот режим расширяет поверхность атаки и снижает изоляцию от данных пользователя.

    Ключевые вопросы

    • Потребность в совместимости. Используйте этот режим, только если повышение прав виртуальной учетной записи вызывает сбой приложения.
    • Узкий охват: ограничьте правила повышения прав доверенными двоичными файлами и путями для снижения риска.
    • Компромисс в вопросах безопасности: следует понимать, что этот режим повышает подверженность доступа к пользовательским данным.

    Совет

    Если проблема совместимости не является проблемой, отдавайте предпочтение методу, использующему повышение прав виртуальной учетной записи для повышения безопасности.

  • Одобрено поддержкой: для утвержденных правил конечные пользователи должны отправить запрос на запуск приложения с повышенными разрешениями. После отправки запроса администратор может утвердить его. После утверждения запроса пользователь уведомляется о том, что он может повторить попытку повышения прав на устройстве. Дополнительные сведения об использовании этого типа правил см. в разделе Поддержка утвержденных запросов на повышение прав.

    На этом снимке экрана показан запрос, который пользователь получает при запросе на запуск приложения от имени администратора с использованием утверждения службой поддержки.

  • Запретить: запрещающее правило идентифицирует файл, выполнение которого EPM блокирует в контексте повышенных прав. В некоторых сценариях запрещающие правила могут гарантировать, что известные файлы или потенциально вредоносное программное обеспечение не могут быть запущены в контексте.

Клиент EPM может быть настроен с откликом по высоте по умолчанию или с определенными правилами, которые разрешают указанный отклик на высоту.

Возможности правил

✅ Детализированное назначение файлов с целью повышения прав

Правила повышения прав EPM могут создаваться на основе одного или нескольких атрибутов, включая имя файла, путь и т. д. Некоторые примеры возможностей правил:

  • Элементы управления дочерними процессами — когда процессы получают повышенные права с помощью EPM, вы можете управлять тем, как создание дочерних процессов управляется EPM, что позволяет вам иметь детальный контроль над любыми подпроцессами, которые могут быть созданы вашим приложением с повышенными правами.

  • Поддержка аргументов — разрешить повышение только определенных параметров для приложений.

  • Поддержка хэшей файлов — сопоставление приложений на основе хэша файла.

  • Поддержка сертификатов издателя — создавайте правила, основанные на доверии к сертификату издателя приложения наряду с другими атрибутами.

Поддерживаемые типы файлов

EPM поддерживает повышение прав для файлов следующих типов:

  • Исполняемые файлы с расширением .exe .
  • Файлы установщика Windows с расширением .msi .
  • скрипты PowerShell с расширением .ps1 .

Reporting

✅ Отслеживание высот в среде

EPM включает отчеты, помогающие подготовиться, отслеживать и использовать службу. Отчеты предоставляются для неуправляемых и управляемых повышений прав:

  • Неуправляемое повышение прав: все повышения прав файлов, которые происходят без использования управления привилегиями на конечных точках. Эти повышения прав могут произойти, когда пользователь с правами администратора использует действие Windows по умолчанию "Запуск от имени администратора".

  • Управляемые права: любое повышение прав, обеспечиваемое с помощью управления привилегиями на конечных точках. Управляемые повышения прав включают все разрешения, которые EPM предоставляет обычному пользователю. Эти управляемые высоты могут включать в себя высоты, возникающие в результате правила повышения прав или в рамках действия по повышению прав по умолчанию.

Начало работы с управлением привилегиями на конечных точках

✅ Начало работы с EPM

Схема, показывающая жизненный цикл развертывания EPM путем лицензирования и планирования, развертывания и управления.

Управление привилегиями на конечных точках (EPM) администрируется центром Microsoft Intune Администратор. Приступая к работе с EPM, организации используют следующий высокоуровневый процесс:

Далее: Планирование EPM >

  • Последнее обновление: