Test Appsense Application-/Environment-Manager
Ohne Mut zur Lücke
Appsense ist vor allem für Managementlösungen aus dem Terminalserverumfeld bekannt. Mit der "Appsense Management-Suite" möchte der Hersteller nun die "Lücke zwischen dem optimalen und dem tatsächlichen Zustand eines Systems" schließen. Das soll dem Administrator helfen, den Rechnerpark seines Unternehmens funktionsfähig und frei von Sicherheitsproblemen zu halten. Besonders in größeren Umgebungen dürfte sich dieser Ansatz als nützlich erweisen.
Der "Appsense Application-Manager" soll sicherstellen, dass auf einem System nur die dafür
vorgesehene Software zur Ausführung kommt: Ziel ist es, den beabsichtigten oder versehentlichen
Aufruf unbekannter oder gefährlicher Programme verhindern. Ergänzend dazu repariert der "
Environment-Manager" problematische Änderungen am System, so das Löschen einer wichtigen
Programmdatei, umgehend und automatisch.
Übersichtliche Konsole
Wir testeten diese beiden Werkzeuge in der Version 6.0 (Appsense Management Suite Service-Pack
1) unter Windows 2000 SP4. Nach der zügigen Installation der Management Suite auf dem
Administratorrechner starteten wir die "Appsense Application-Manager Console". Diese präsentiert
sich in der vertrauten Optik der Microsoft Management Console. Grafische Elemente strukturieren
dabei die einzelnen Dialoge übersichtlich.
Zunächst gilt es, die Client-Software auf den zu überwachenden Rechnern zu installieren,
selbstverständlich ferngesteuert über das Netz. Dazu teilt der Administrator die Rechner zunächst
in Gruppen ein und versieht sie mit dem "Deployment-Agent"-Dienst, der dann die weiteren
Installationen ausführt. So erhält jeder Rechner die Agentensoftware für Application-Manager,
Environment-Manager und das Auditing.
Für den Application-Manager lassen sich nun Sätze von Regeln zusammenstellen, nach denen der
Agent erlaubte und verbotene Anwendungen unterscheidet. Das Tool gibt eine Reihe von
Basiseinstellungen vor, die der Systemverwalter mit spezifischen Regeln für Benutzergruppen,
einzelne Benutzer und Geräte verfeinern kann. Zu den Basiseinstellungen zählt zum Beispiel, ob ein
System die von vertrauenswürdigen Administratoren installierte Software standardmäßig ausführen
darf.
Drei Sicherheitsstufen
Weitere Regeln dienen der Festlegung einer von drei Sicherheitsstufen. Bei der hohen Stufe darf
ein Benutzer nur erlaubte Anwendungen ausführen, andere Programme blockiert das Tool. Kompetenten
Anwendern darf man die niedrige Sicherheitsstufe zugestehen; hier erscheint beim Aufruf einer nicht
erlaubten Anwendung ein Dialog, über den der Benutzer selbst entscheidet, ob er den Start dieser
Software riskieren möchte. Für Administratoren ist die dritte Stufe vorgesehen, in denen alle
Anwendungen ohne Warnung starten. Listen von "Accessible Items" (zugänglichen Objekten) und "
Prohibited Items" (verbotenen Objekten) zählen die einzelnen Dateien auf und zeigen an, welche
erlaubt und welche verboten sind. Das Tool erkennt Dateien entweder an ihrem Namen (auch mit
vollständigem Dateipfad) oder aber unabhängig vom Namen an ihrer Signatur.
Grundlage des Sicherheitskonzepts ist die Überprüfung des "Owners" (Eigentümers) jeder
Programmdatei. Daher empfiehlt sich dringend die Verwendung des NTFS-Dateisystems. Damit ist vom
Administrator installierte Software als vertrauenswürdig erkennbar, während die unter dem Namen
eines Benutzers aufgespielten Programmdateien als verdächtig gelten.
Insgesamt ist das Regelwerk logisch aufgebaut. Es lässt sich nach kurzer Übung leicht
nachvollziehen und beherrschen. Allerdings muss der Benutzer in Erinnerung behalten, dass auf das
Ändern und Abspeichern eines Regelsatzes immer auch die Verteilung der neuen Daten durch den
Deployment-Manager folgen muss.
Bei unseren Tests setzte der Application-Manager die Sicherheitsregeln auf dem Client-System
korrekt um. Wie erwartet ließ sich das Verbot eines bestimmten Dateinamens durch Umbenennen der
Datei umgehen. Mit der Umstellung auf die Erkennung per Signatur indentifizierte das Programm die
Datei dann aber auch unter falschem Namen zuverlässig und sperrte deren Ausführung. Als einziges
Manko fiel uns auf, dass bei fehlendem Lizenzschlüssel die Anwendung zwar oberflächlich betrachtet
zu funktionieren scheint, aber die Sicherheitsfunktionen auf dem Client-Rechner letztlich nicht zur
Ausführung kommen. Hier wäre eine deutliche Fehlermeldung wünschenswert.
Einstellungen vor Manipulation schützen
Aufgabe des Environment-Managers ist es, die vorgesehene Systemkonfiguration zu erhalten und sie
vor schädlichen Änderungen zu schützen. Dazu lässt sich eine Reihe von Aktionen definieren, die
dann bei einer Benutzeranmeldung ablaufen. Möglich sind hier beispielsweise das Erzeugen von
Verknüpfungssymbolen auf dem Desktop, das Einrichten bestimmter Verzeichnisse sowie die Ausführung
oder Löschung von Registry-Einträgen. So kann der Administrator sicherstellen, dass ein Anwender
stets die gewohnte Systemkonfiguration vorfindet und nicht beispielsweise durch fehlende
Verknüpfungen irritiert wird. Ebenso kann er Aktionen an die Abmeldung des Benutzers koppeln, etwa
um ein temporäres Verzeichnis aufzuräumen oder eine Log-Datei zu löschen.
Mit der "Self-Healing"-Funktion geschützte Elemente überwacht das Tool laufend. Bei Löschung
stellt es sie sofort wieder her. Dies funktioniert nicht nur für Dateien und Registry-Einträge,
sondern auch für Prozesse und Dienste. Eine "Lockdown"-Funktion gestattet sogar direkte Eingriffe
in die Dialoge von Windows-Anwendungen. Dialogelemente, die ungewollte Funktionen auslösen, lassen
sich kurzerhand sperren. Beim Anwender erscheint dann der entsprechende Programmdialog ohne die
gesperrten Elemente.
Für alle Aktionen kann der Systembetreuer Bedingungen definieren, um die Aktionen beispielsweise
auf bestimmte Benutzergruppen oder einzelne Rechner zu beschränken. Wie beim Application-Manager
editiert er die Konfigurationen mit der Management-Konsole und verteilt sie dann mit dem
Deployment-Manager auf die Client-Systeme. Im Test war auch der Environment-Manager nach kurzer
Einarbeitung problemlos zu bedienen. Der Agent auf dem Client-Rechner setzte die Vorgaben stets
korrekt um, wobei gelegentlich eine kurze Verzögerung erkennbar war.
Das in der Appsense Management Suite verwirklichte Sicherheitskonzept empfiehlt sich
hauptsächlich für Unternehmen, in denen eine größere Anzahl von Rechnern mit ähnlicher
Softwareausstattung für gleichartige Aufgaben zum Einsatz kommt. Dort lohnt sich der Zeitaufwand
für die Aufstellung der Sicherheitsregeln und Konfigurationselemente. Dies führt langfristig zu
höherer Sicherheit und einer Entlastung von Administration und Helpdesk.
Auf www.appsense.com ist die Suite für einen 21-tägigen Test kostenlos erhältlich. Für eine
Client-Lizenz des Application-Managers (Desktop-Version) wie auch des Environment-Managers
empfiehlt die deutsche Niederlassung des Herstellers einen Preis von 30 Euro. Für die
Managementkonsole und den Deployment-Manager falllen keine weiteren Lizenzkosten an.
Info: Appsense Tel.: 089/60768530 Web: www.appsense.com
Lesen Sie mehr zum Thema
