Patchen, Sicherheit und Automatisierung zusammen denken UEM – Treiber hinter automatisierter IT-Administration

Anbieter zum Thema

Aagon GmbH

Vorgänge möglichst automatisieren, User in die Administration mit einbeziehen und Sicherheitsaspekte mit dem Unified Endpoint Management verknüpfen – so können IT-Abteilungen auch mit begrenztem Personal anspruchsvolle Aufgaben effektiv bewältigen.

Bei IT-Admins hat er vor einiger Zeit für Aufregung gesorgt: der Windows RE Bug. Kriminelle konnten dabei potenziell auf verschlüsselte Daten zugreifen, indem der BitLocker über die Windows-Wiederherstellungsumgebung (Windows RE) umgangen wurde. Die klassische CVD-ID erschien im September 2022, wurde registriert und als relativ kritisch eingestuft. Kurz darauf veröffentlichte Microsoft ein Bugfix. Es stellte sich jedoch heraus, dass das Update gar nicht angewendet worden war, denn das klassische Windows-Update wird nicht auf die Windows-RE-Umgebung angewendet. Die Lücke war also mitnichten geschlossen.

Der Fall ist ein gutes Beispiel dafür, wie durch Automatisierung Probleme dieser Art schneller und besser behoben werden könnten. Denn die Geschwindigkeit in der IT nimmt permanent zu. Anwendungen laufen vermehrt in der Cloud, die Kontrolle über Beschäftigte im Homeoffice gestaltet sich schwierig und täglich treten neue Schwachstellen auf, die entsprechende Patches erfordern. Angesichts dieser Herausforderungen wird es für Administrationsabteilungen zur Sisyphusaufgabe, alle Clients im Unternehmen manuell auf dem neuesten Stand und sicher zu halten. Die Automatisierung wird daher zu einem entscheidenden Faktor im Bereich des Unified Endpoint Managements (UEM).

Integration von BitLocker, Intune & Co. in das Unified Endpoint Management

Unified Endpoint Management bezeichnet die zentrale Steuerung und Sicherung verschiedener Geräte im IT-Netzwerk von einer einzigen Konsole aus. UEM-Lösungen ermöglichen die Inventarisierung, Verwaltung, Verteilung, Installation und Migration von Clients und Software. Sie sind in der Regel modular aufgebaut und bieten Funktionen wie Patch-, Asset- und Lizenzmanagement, Softwareverteilung und Betriebssysteminstallation. In jüngster Zeit gewinnt die Integration von IT-Sicherheitswerkzeugen wie Microsoft Defender, BitLocker oder Intune zunehmend an Bedeutung.

UEM-Lösungen ermöglichen es IT-Administrations-Abteilungen, einen wesentlichen Teil ihrer Routineaufgaben zu automatisieren. Clients werden dynamisch Gruppen und Containern zugewiesen, basierend auf bestimmten Eigenschaften, auf die sich dann automatisierte Jobs und Skripte anwenden lassen. Angesichts der wachsenden Vielfalt von IT-Aufgaben sind diese manuell kaum mehr zu bewältigen, insbesondere angesichts der dünnen Personaldecke in den Administrationsabteilungen. Stündlich melden sich User mit Problemen, Patches und neue Softwareversionen müssen verteilt werden, eine tägliche Kontrolle, was im Netzwerk geschieht, ist erforderlich.

IT-Admins müssen User in ihre Arbeit einbeziehen

Die moderne Arbeitskultur, insbesondere das vermehrte Arbeiten im Homeoffice, stellt eine zusätzliche Herausforderung dar. Sicherheitsmaßnahmen auf Endgeräten zu implementieren, wird schwieriger, da es längst keine festen Arbeitszeiten mehr gibt. Daher müssen IT-Administratoren die Benutzer stärker in ihre Arbeit einbeziehen. Self-Service-Optionen ermöglichen es diesen, selbst zu entscheiden, wann bestimmte Updates durchgeführt werden sollen. Die Perspektive verschiebt sich, weg von einer geräteorientierten, hin zu einer benutzerorientierten IT-Administration.

Gleichzeitig ist es wichtig, den Überblick über alle Aktivitäten zu behalten und sicherzustellen, dass zeitliche Vorgaben eingehalten werden. Manches Update muss dann doch „hart“ durchgeführt werden. Denn so viel der User auch entscheiden möchte: Nicht immer kann sich die IT danach richten – wenn er zum Beispiel zum geplanten Zeitpunkt gerade keine stabile Internetverbindung hat. 3GB-Patches über eine LTE-Verbindung bereitstellen, funktioniert in der Regel nicht. Solche Vorgänge müssen daher definiert und automatisiert werden.

Inventarisierung als erster Schritt

Das klassische UEM wächst heute immer mehr mit Security zusammen. Denn ohne Patches bringt das beste Antivirus-Programm gar nichts. Wichtigster erster Schritt ist dabei stets die Inventarisierung. Schützen lassen sich schließlich nur die Komponenten, von denen man weiß, dass sie existieren. Anschließend werden über das Vulnerability-Modul des UEM-Systems Schwachstellen gesucht, gefolgt vom Einspielen der Patches. Wo aber damit anfangen? Und funktioniert dies zu jeder Zeit? Dies wiederum ist abhängig vom User. Angesichts der enger werdenden Taktung von Schwachstellen und Patches ist es essenziell, dass das UEM-System diese Tätigkeiten automatisch durchführt. Nur so lässt sich direkt und zeitnah auf Sicherheitsvorfälle reagieren.

Auf das Fallbeispiel Windows RE Bug bezogen: Wer hier seine Rechner manuell patchen wollte, musste erst einmal wissen, welche Windows RE vorliegt, ob sie anfällig ist und welcher Patch benötigt würde. Der allgemeine Patch war in vielen Fällen zu groß. Es umfasste 780 MB und ließ sich daher gar nicht anwenden, denn die Standard-Windows-RE, wie sie beim Rollout angelegt wird, ist im Default bei Microsoft nur 512 MB groß.

UEM-Lösung sucht den richtigen Patch und führt ihn aus

Gefragt war also ein spezieller Patch für genau die eigene Version. Microsoft veröffentlichte deshalb ein Skript für die Inventarisierung, das Aufschluss über die jeweilige Windows-RE-Version geben sollte. Aagon hat es in sein UEM-System integriert, ebenso wie ein weiteres Skript für den eigentlichen Patch. Dieses hätte man nun an jedem Rechner einzeln ausführen können. Das UEM-System ermöglicht es hingegen, seinerseits ein Skript zu erstellen, das eigenständig erkennt, welche Windows-RE-Version vorliegt, ob sie gepatcht werden kann und wenn, mit welchem Patch. Dieser wird dann automatisch ausgeführt. Funktioniert dies nicht, erfolgt eine automatische Deaktivierung von Windows RE. Bei Aagon heißen diese Skripte „Client Commands“. Darunter versteht der UEM-Spezialist Routinen in seiner ACMP-Suite, über die sich detaillierte Parameter vorgeben lassen, wie die Installation im Einzelnen aussehen soll.

Patchen, Sicherheit und Automatisieren gehören heute also eng zusammen, das hat das Windows-RE-Problem exemplarisch gezeigt. Wenn es IT-Administrations-Abteilungen dann noch gelingt, die User in ihre Arbeit mit einzubeziehen, wird es ihnen auch künftig gelingen, die immer vielfältigeren Aufgaben in einer komplexer und unsicherer werdenden IT-Welt zu bewältigen.

Über den Autor

Sebastian Weber ist Head of Product Management beim UEM-Spezialisten Aagon.

(ID:49930882)