Endpoint Privilege Management: Leitfaden für das Deployment

Einleitung

Microsoft Endpoint Privilege Management (EPM) gehört zum Angebot der Intune Suite. Mit EPM führen Standardbenutzer Anwendungen mit erhöhten Rechten aus, ohne lokale Administratoren zu sein. Das ist ein grosser Sicherheitsgewinn und unterstützt deine Zero-Trust-Strategie. Im Kern kannst du mit EPM Folgendes tun:

• 📈 Benutzern erlauben, Apps, Dateien und Code anhand von Indicators mit erhöhten Rechten auszuführen
• 🔐 Das Prinzip des Just-Enough-Access einhalten und nur Code mit erhöhten Rechten zulassen, den du (als IT-Admin) gezielt konfigurierst

Use Cases

EPM deckt konkrete Use Cases ab, entlastet die IT und macht Endbenutzer produktiver und autonomer. Das sind typische Use Cases in Organisationen:

• Eine bestimmte Line-of-Business-Anwendung mit erhöhten Rechten ausführen
• Software, Treiber oder Tools mit erhöhten Berechtigungen installieren
• Erhöhte Berechtigungen (auch systemweit) vergeben, ohne Mitgliedschaft in der lokalen Administratorengruppe

Es gibt immer noch viele Anwendungen, die in irgendeiner Form privilegierte Rechte brauchen. Besonders die Installation von Software unter Windows im System-Kontext verlangt solche Rechte (aus gutem Grund). Grundsätzlich empfehle ich, alle Software zu paketieren und über Intune zu verteilen. Dann sind keine manuellen Installationen nötig.

EPM im Überblick

• ⬆️ Elevation Rules werden pro Datei definiert und über File Hash, Zertifikat und weitere Attribute identifiziert
• 🪶 Einfache Konfiguration in Intune: Der Agent wird automatisch verteilt, sobald eine EPM-Policy auf eine Benutzer- oder Gerätegruppe zielt
• 🧩 Integrierte Option im Kontextmenü («Rechtsklick») von Windows
• 🔍 Reports zu verwalteten und nicht verwalteten Elevations und weitere Filter in Intune
• 🛟 Mit dem Support-approved Mode können Endbenutzer Elevations für Apps anfragen, und Admins müssen sie genehmigen

Setup

Voraussetzungen

• Lizenzen: Intune Suite oder eigenständiges Add-on / du musst nur Benutzer lizenzieren, die EPM nutzen
• Du brauchst eine Intune-Administratorrolle, um alle Bereiche zu konfigurieren (eigene Intune-Rollen sind möglich)
• Aktuelle Windows-Version
• Das Gerät ist in Intune enrolled und Entra joined oder Entra hybrid joined (Windows 365 und Single-Session-VMs in Azure Virtual Desktop werden unterstützt)
• Prüfe, dass die nötigen Netzwerk-Endpoints erreichbar sind

Bevor du startest

• Du kannst eine Elevation Settings Policy konfigurieren, aber mehrere Elevation Rules (sie stehen nicht im Konflikt)
• Du kannst Benutzer- oder Gerätegruppen als Ziel wählen
• Verteile EPM-Policies nur an Benutzer mit EPM-Lizenz
• Eine Elevation Rules Policy kann eine oder mehrere Rules enthalten
• EPM unterstützt derzeit nur die Dateitypen '.exe', '.msi' und '.ps1'. Wenn du nach einem Weg drumherum suchst, lies meinen anderen Post:

Policies

Zwei Policy-Typen sind nötig, um die Funktionen von EPM auf deine Endpoints zu bringen:

• ⚙️ Elevation Settings Policy > das Verhalten von EPM auf den Systemen, enthält Reporting, Default Elevation Response und Validation
• 👮 Elevation Rules Policy > die Policies mit Einträgen für Dateien, die mit EPM elevaten dürfen

Um die Policies zu erstellen, gehe zu Intune > Endpoint Security > Endpoint Privilege Management

File Indicators in Elevation Rules

Wenn du Elevation Rules mit Indicators konfigurierst, die eine bestimmte Software identifizieren, beachte ein paar wichtige Grundsätze:

• 🎯 Beschreibe die Anwendung so genau wie möglich und definiere dafür möglichst viele Attribute
• 🤔 Denke an Dateiattribute, die sich ändern, etwa File Hash oder Version
• ⚠️ Überlege immer, wie jemand deine EPM Elevation Rules und Indicators umgehen könnte

Elevation Conditions

Für jede EPM-Rule definierst du Bedingungen, Verhalten und Einstellungen der Elevation pro App.

• Elevation type

-User confirmed = der Benutzer muss eine zusätzliche Validierung liefern

-Automatic = keine zusätzliche Validierung, die App öffnet automatisch
-Support approved = der Benutzer sendet eine Anfrage, danach kann der IT-Admin sie im Intune-Portal prüfen und genehmigen oder ablehnen

• Validation (nur beim Elevation type User confirmed)

-Business justification = Freitext, in dem der Endbenutzer eine Begründung angeben muss, die in den Intune-Admin-Reports erscheint

-Windows authentication = Anmeldedaten wie Windows Hello for Business oder Passwort zur zusätzlichen Verifizierung (vergleichbar mit MFA)

• Child process behavior

-Allow all child processes to run elevated = alle nachfolgenden Prozesse werden elevated (⚠️ Vorsicht damit)

-Require rule to elevate = eine andere EPM-Rule muss existieren, damit auch Child Processes elevated werden

-Deny all = keine nachfolgenden Prozesse werden elevated

Indicator-Optionen

Diese Indicators kannst du definieren, um Apps zu erfassen:

• File name
• File path
• Signature source von Publisher oder Certificate Authority (möglich über Reusable Settings, wo du das Zertifikat nur einmal hochlädst und für mehrere Policies nutzt)
• File hash
• Minimum version
• File description
• Product name
• Internal name

Indicators auslesen

Sobald die EPM Settings Policy auf einem Endpoint angekommen ist, kannst du das EPM-PowerShell-Modul für wichtige Aufgaben nutzen, zum Beispiel um Dateiinformationen auszulesen. Importiere das Modul mit:

Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'

Danach holst du damit die Informationen zu jeder beliebigen Datei:

Get-FileAttributes -FilePath "<insert path to app>"

Ein Zertifikat, mit dem eine App signiert ist, findest du über Properties > Digital Signatures > Details > View Certificate oder mit folgendem PowerShell-Code:

Get-AuthenticodeSignature <insert path to app> | Select-Object -ExpandProperty SignerCertificate | Export-Certificate -Type CERT -FilePath <path to output certificate.cer>

Support-approved Mode

Mit einem späteren Release von EPM kam der Support-approved Mode. Damit lässt sich EPM noch breiter einsetzen, und er bringt hilfreiche Ergänzungen bei der Elevation. Der Ablauf im Support-approved Mode sieht so aus:

1. Der Endbenutzer kann anfragen, dass eine bestimmte oder eine beliebige App mit erhöhten Berechtigungen öffnet (für «beliebig» musst du die EPM Settings Policy mit der Default Elevation Response konfigurieren). ❗Beachte den Unterschied: Es gibt den Knopf «Send» statt «Continue»
2. Der IT-Admin mit Berechtigungen in Intune prüft die Anfragen unter Endpoint Security > EPM > Elevation requests
3. Der IT-Admin genehmigt die Anfrage
4. Der Endbenutzer erhält innerhalb weniger Minuten eine Toast-Benachrichtigung und kann die App danach mit erhöhten Rechten ausführen. ❗Beachte den Knopf «Continue» statt «Send»
5. Der Benutzer kann die App bis 24 Stunden nach der Genehmigung mit erhöhten Rechten ausführen

Demo

Die folgenden Bilder zeigen, wie EPM aus Admin-Sicht aussieht: Elevation Settings Policy, Elevation Rules Policy und Reporting.

Der Endbenutzer kann jede Anwendung mit einem Rechtsklick öffnen, und im Kontextmenü erscheint die neue Option «Run with elevated access». Gibt es für die App eine Elevation Rules Policy, greift EPM und verlangt (falls konfiguriert) eine zusätzliche Validierung. Alle Client-Komponenten liegen unter 'C:\Program Files \Microsoft EPM Agent'.

Erfahrungen aus der Praxis

Vorgehen bei der Einführung

Es ist sinnvoll, zuerst zu analysieren, was deine Benutzer elevaten müssen. Dafür helfen dir:

• Eine EPM Settings Policy, die alle Elevations (verwaltet oder nicht verwaltet) ans Intune-Portal meldet
• Advanced-Hunting-Queries in Defender for Endpoint, um Elevations anzuzeigen
• Ein Drittanbieter-Tool, um Elevations auf den Endpoints auszuwerten
• Eine Erhebung im Unternehmen, was die Endbenutzer elevaten müssen

Systemweite Elevation

Für besondere Personas wie Entwickler können systemweite Elevation-Rechte nötig sein, damit sie beliebigen Code elevaten können. Das geht mit einer Endpoint Privilege Settings Policy, die so konfiguriert ist:

Schliessen

Policy-Design und Targeting

Ich empfehle, die Policies einer Benutzergruppe zuzuweisen. Die EPM-Lizenz kannst du derselben Benutzergruppe zuweisen. Filter werden noch nicht unterstützt.

Ausserdem würde ich pro Elevation Rules Policy nur eine Instanz erstellen und sie einer Benutzergruppe zuweisen, die genau diesen Use Case braucht. Auch das Vermischen von Policies und Use Cases ist so einfacher. Erstelle eine Gruppe und verknüpfe sie 1:1 mit einer EPM Rules Policy.

Was heisst das für Schweizer Firmen?

• EPM ist Teil der Intune Suite oder ein Add-on. Lizenzieren musst du nur die Benutzer, die EPM nutzen: Prüfe, ob das bei deinem Team ein kleiner Kreis ist, etwa IT-Support, Entwickler und Fachanwendungen mit Admin-Bedarf
• Für KMU und IT-Dienstleister ist der Support-approved Mode interessant: Der Servicedesk genehmigt Anfragen, ohne dass jemand dauerhaft lokale Adminrechte erhält
• Business Justifications und Elevation Reports liefern Nachweise, wer wann welche erhöhten Rechte genutzt hat. Das hilft bei den technischen und organisatorischen Massnahmen nach revDSG. Ob die Reports für deine Anforderungen reichen, klärst du mit deiner Datenschutz- und Security-Verantwortung

powered by

OceanleafTechnology blog on Microsoft Cloud. Learn about cutting edge tech, explained simply & straightforward in quality focused blog posts.Oceanleaf · Niklas Tinner