Sicherheit

Last published : Nov 13, 2026
Related information
Konfigurationssätze

Anwendungssicherheit

Die Funktion zur Anwendungssicherheit ermöglicht es Ihnen, Regeln zu definieren, um zu steuern, welche Anwendungen und Dateien die Benutzer ausführen können. Sie können Anwendungssicherheitsregeln in der Webkonsole konfigurieren und ein Tool bereitstellen, um Informationen abzurufen, die für die Regelkonfiguration benötigt werden. Außerdem können Sie diese Funktion verwenden, um Zuweisungsgruppen mit Sicherheitsregeln zu erstellen.

Konfiguration

Wenn die Optionen Anwendungsregeln verarbeiten und DLL-Regeln verarbeiten aktiviert sind, ist der Modus Überschreiben standardmäßig aktiviert. Im Modus Überschreiben überschreiben die zuletzt verarbeiteten Regeln die zuvor verarbeiteten Regeln. Wir empfehlen, diesen Modus nur auf Einzel-Sitzungs-Maschinen anzuwenden. Diese Funktion ermöglicht Ihnen auch, die folgenden Regeln zu erstellen:
  • Ausführbare Regeln
  • Windows Installer-Regeln
  • Skriptregeln
  • Regeln für gepackte Apps
  • DLL-Regeln
Hinweis:
Bevor Sie Regeln erstellen, empfehlen wir, zuerst die Standardregeln hinzuzufügen, um sicherzustellen, dass wichtige Systemdateien ausgeführt werden können.
  • Anwendungsregeln verarbeiten. Wenn diese Option ausgewählt ist, werden die Steuerelemente der Registerkarte Anwendungssicherheit aktiviert, und der Agent verarbeitet Regeln im aktuellen Konfigurationssatz, wobei er diese in AppLocker-Regeln auf dem Agent-Host umwandelt. Wenn diese Option nicht ausgewählt ist, sind die Steuerelemente der Registerkarte Anwendungssicherheit deaktiviert.
    Hinweis:
    Diese Option ist nicht verfügbar, wenn die Workspace Environment Management™-Verwaltungskonsole unter Windows 7 SP1 oder Windows Server 2008 R2 SP1 (oder früheren Versionen) installiert ist.
  • DLL-Regeln verarbeiten. Wenn diese Option ausgewählt ist, verarbeitet der Agent DLL-Regeln im aktuellen Konfigurationssatz. Diese Option ist nur verfügbar, wenn Sie Anwendungssicherheitsregeln verarbeiten auswählen.
    Wichtig:
    Wenn Sie DLL-Regeln verwenden, müssen Sie für jede DLL, die von allen zugelassenen Apps verwendet wird, eine DLL-Regel mit der Berechtigung Zulassen erstellen.
    Achtung:
    Wenn Sie DLL-Regeln verwenden, kann es zu einer Leistungsminderung für die Benutzer kommen.
  • Die Einstellungen Überschreiben und Zusammenführen legen fest, wie der Agent Anwendungssicherheitsregeln verarbeitet.
    • Überschreiben. Ermöglicht das Überschreiben vorhandener Regeln. Wenn diese Option ausgewählt ist, überschreiben die zuletzt verarbeiteten Regeln die zuvor verarbeiteten Regeln. Wir empfehlen, diesen Modus nur auf Einzel-Sitzungs-Maschinen anzuwenden.
    • Zusammenführen. Ermöglicht das Zusammenführen von Regeln mit vorhandenen Regeln. Bei Konflikten überschreiben die zuletzt verarbeiteten Regeln die zuvor verarbeiteten Regeln. Wenn Sie die Einstellung zur Regeldurchsetzung während des Zusammenführens ändern müssen, verwenden Sie den Überschreibmodus, da der Zusammenführmodus den alten Wert beibehält, falls er abweicht.

Regelsammlungen

Jeder Sammlungsname gibt an, wie viele Regeln er enthält, zum Beispiel (12). Klicken Sie auf einen Sammlungsnamen, um die Regelliste nach einer der folgenden Sammlungen zu filtern:
  • Ausführbare Regeln. Regeln, die Dateien mit den Erweiterungen .exe und .com enthalten, die einer Anwendung zugeordnet sind.
  • Windows-Regeln. Regeln, die Installationsdateiformate (.msi, .msp, .mst) enthalten, die die Installation von Dateien auf Clientcomputern und Servern steuern.
  • Skriptregeln. Regeln, die Dateien der folgenden Formate enthalten: .ps1, .bat, .cmd, .vbs, .js.
  • Paketregeln. Regeln, die gepackte Apps, auch bekannt als universelle Windows-Apps, enthalten. In gepackten Apps teilen sich alle Dateien innerhalb des App-Pakets dieselbe Identität. Daher kann eine Regel die gesamte App steuern. Workspace Environment Management unterstützt nur Herausgeberregeln für gepackte Apps.
  • DLL-Regeln. Regeln, die Dateien der folgenden Formate enthalten: .dll, .ocx.
Wenn Sie die Regelliste nach einer Sammlung filtern, ist die Option Regeldurchsetzung verfügbar. Die folgenden Werte für die Regeldurchsetzung sind möglich:
Aus (Standard). Regeln werden erstellt und auf aus gesetzt, was bedeutet, dass sie nicht angewendet werden.
Ein. Regeln werden erstellt und auf durchsetzen gesetzt, was bedeutet, dass sie auf dem Agent-Host aktiv sind.
Überwachung. Regeln werden erstellt und auf überwachen gesetzt, was bedeutet, dass sie auf dem Agent-Host in einem inaktiven Zustand sind.

Windows-Installer-Regel erstellen

Dies umfasst zwei Menüpunkte: Grundlegende Informationen und Ausnahmen. Um eine Windows-Installer-Regel zu erstellen, führen Sie die folgenden Schritte unter Grundlegende Informationen und Ausnahmen aus:
  • Wenn Sie Regel erstellen auswählen, gelangen Sie zur Seite Windows-Installer-Regel erstellen.
  • Geben Sie den Namen und eine optionale Beschreibung ein.
  • Wählen Sie die gewünschte Aktion aus.
  • Wählen Sie den Kriterientyp wie Pfad, Herausgeber oder Dateihash aus der Dropdown-Liste aus.
  • Wenn Sie Dateiinfo-Viewer öffnen auswählen, werden Sie zum WEM Tool Hub weitergeleitet. Verwenden Sie den WEM Tool Hub** , um die erforderlichen Informationen schnell abzurufen. Weitere Informationen finden Sie unter Dateiinfo-Viewer.
  • Optional können Sie Ausnahmen hinzufügen, um Dateien einzuschließen, die normalerweise basierend auf den primären Kriterien in die Regel aufgenommen werden. Um diese Aufgabe auszuführen, wählen Sie Ausnahme hinzufügen.
  • Gehen Sie zum WEM Tool Hub, um Daten aus einem der angegebenen Kriterien unter Dateiinfo-Viewer zu kopieren, und klicken Sie dann auf Aus Dateiinfo-Viewer einfügen.
  • Klicken Sie auf Fertig.
  • Wählen Sie Mit Zuweisung fortfahren, um die Zuweisungen bei Bedarf auf der Seite Zuweisungen verwalten zu aktualisieren.
  • Wählen Sie Zuweisungsziele (Benutzer und Gruppen) aus, denen dieses Element zugewiesen werden soll. Verwenden Sie Filter, um die Zuweisung zu kontextualisieren. Von Ihnen angegebene Filter sind nur im Modus Überschreiben wirksam und werden nur auf Agent-Versionen 2406 oder höher unterstützt.
  • Geben Sie ein Sternchen ein, wenn eine bestimmte Regel auf alle Dateien angewendet werden soll.

Rechteausweitung

Diese Funktion definiert Regeln, um bestimmte Programme mit Administratorrechten auszuführen. Sie können die Berechtigungen von Nicht-Administratoren auf eine Administratorebene erhöhen, die für einige ausführbare Dateien erforderlich ist. Dadurch können die Benutzer diese ausführbaren Dateien starten, als wären sie Mitglieder der Administratorengruppe.

Optionen für die Rechteausweitung

  • Regeln zur Rechteausweitung verarbeiten: Wenn diese Option ausgewählt ist, können Agents die Einstellungen zur Rechteausweitung verarbeiten, und andere Optionen auf der Registerkarte „Rechteausweitung“ werden verfügbar.
  • Auf Windows Server-Betriebssysteme anwenden: Steuert, ob Einstellungen zur Rechteausweitung auf Windows Server-Betriebssysteme angewendet werden. Wenn diese Option ausgewählt ist, funktionieren den Benutzern zugewiesene Regeln auf Windows Server-Computern. Standardmäßig ist diese Option deaktiviert.
  • RunAsInvoker erzwingen: Steuert, ob alle ausführbaren Dateien gezwungen werden, unter dem aktuellen Windows-Konto ausgeführt zu werden. Wenn diese Option ausgewählt ist, werden Benutzer nicht aufgefordert, ausführbare Dateien als Administratoren auszuführen.
Dieser Bereich zeigt auch die vollständige Liste der von Ihnen konfigurierten Regeln an. Klicken Sie auf Ausführbare Regeln, Windows Installer-Regeln oder Selbst-Erhöhung, um die Regelliste nach einem bestimmten Regeltyp zu filtern. Sie können Find verwenden, um die Liste zu filtern. Die Spalte „Zugewiesen“ zeigt ein Häkchensymbol für zugewiesene Benutzer oder Benutzergruppen an.

Unterstützte Regeln

Sie können die Rechteerweiterung mithilfe von zwei Regeltypen konfigurieren: ausführbare Regeln und Windows Installer-Regeln.
  • Ausführbare Regeln: Regeln, die Dateien mit den Erweiterungen .exe und .com enthalten, die einer Anwendung zugeordnet sind.
  • Windows Installer-Regeln: Regeln, die Installationsdateien mit den Erweiterungen .msi und .msp enthalten, die einer Anwendung zugeordnet sind. Beachten Sie beim Hinzufügen von Windows Installer-Regeln das folgende Szenario:
    • Die Rechteerweiterung gilt nur für Microsofts msiexec.exe. Stellen Sie sicher, dass das Tool, das Sie zum Bereitstellen von .msi- und .msp-Windows Installer-Dateien verwenden, msiexec.exe ist.
    • Angenommen, ein Prozess stimmt mit einer angegebenen Windows Installer-Regel überein und sein übergeordneter Prozess stimmt mit einer angegebenen ausführbaren Regel überein. Der Prozess kann keine erhöhten Rechte erhalten, es sei denn, die Einstellung Auf untergeordnete Prozesse anwenden ist in der angegebenen ausführbaren Regel aktiviert.
  • Selbst-Erhöhung: Wenn diese Option aktiviert ist, ist die Option Als Administrator ausführen im Kontextmenü verfügbar, wenn Sie mit der rechten Maustaste auf eine Datei klicken. Nach Auswahl dieser Option werden Sie aufgefordert, einen Grund für die Erhöhung anzugeben. Die Erhöhung wird dann entweder zugelassen oder verweigert, basierend auf den von Ihnen angegebenen Kriterien. Um die Regel zu konfigurieren, können Sie den WEM Tool Hub > File Info Viewer verwenden, um schnell die erforderlichen Informationen wie Pfad, Herausgeber und Hash-Werte abzurufen. Sie können auch den Zeitraum angeben, den Wochentag auswählen und optional Kriterien festlegen, um die Computer zu bestimmen, auf denen die Regel wirksam ist. Wenn die Umschaltfläche Selbst-Erhöhung zum ersten Mal in einem Konfigurationssatz aktiviert wird, wird die Selbst-Erhöhungsregel erstellt und ist in der Regelliste zu finden, wenn Zuweisungen für ein Zuweisungsziel verwaltet werden. Die Regel wird nach der Erstellung niemals entfernt.
Sie können den Zeitraum angeben, in dem die Regel wirksam ist. Außerdem können Sie optional Kriterien festlegen, um zu bestimmen, auf welchen Computern die Regel angewendet wird. Sie können auswählen, ob alle oder beliebige der folgenden Kriterien übereinstimmen sollen:
  • Maschinenkatalogname
  • Bereitstellungsgruppenname
  • Gerätename
  • IP-Adresse
  • Betriebssystemplattformtyp
  • Betriebssystemversion
  • Status des persistenten Computers
Nachdem Sie die Regeln Ausführbare Regeln, Windows Installer-Regeln oder Selbst-Erhöhung ausgewählt haben, zeigt der Abschnitt Aktionen die folgenden verfügbaren Aktionen an:
  • Bearbeiten. Ermöglicht das Bearbeiten einer vorhandenen ausführbaren Regel.
  • Löschen. Ermöglicht das Löschen einer vorhandenen ausführbaren Regel.
  • Regel erstellen. Ermöglicht das Erstellen einer ausführbaren Regel. Um eine ausführbare Regel zu erstellen, folgen Sie den Anweisungen des Assistenten.