Executables authorizations¶
Das Modul Executables authorizations ermöglicht es einem Administrator, Listen erlaubter oder verbotener Programme zu deklarieren und sie anschließend Benutzergruppen und Zielen (veröffentlichte Anwendungen oder Maschinen mit direktem Zugriff) zuzuordnen. Es dient dazu, während der Bastion-Sitzungen eine Anwendungskontrolle durchzusetzen: Es sind nur die ausführbaren Dateien einer weißen Liste erlaubt oder alle außer denen einer schwarzen Liste.
Der Hauptbildschirm bietet drei Registerkarten, nach Granularität der Kontrolle geordnet.
Diese Registerkarte listet die vorhandenen Listen ausführbarer Dateien in einer Spalte Name auf. Jeder Zeile ist ein Symbol vorangestellt, das ihren Typ angibt: ein grünes Häkchen für eine Liste White (zugelassene ausführbare Dateien) oder ein rotes Verbotszeichen für eine Liste Black (gesperrte ausführbare Dateien). Beim Aufklappen einer Zeile werden die ausführbaren Dateien angezeigt, aus denen die Liste besteht.
| Aktion | Details |
|---|---|
| Add | Schaltfläche +: öffnet das Fenster Add a list of executables (siehe folgende Tabelle). |
| Properties | Wählen Sie eine Zeile aus und klicken Sie auf das Symbol, oder doppelklicken Sie darauf. Das Fenster Edit a list of executables ist mit dem Fenster zum Erstellen identisch — nur das Feld List name wird schreibgeschützt. |
| Delete | Wählen Sie eine oder mehrere Zeilen aus und klicken Sie auf ×. Das Löschen verlangt eine Bestätigung. |
| Search | Suchfeld oben rechts. Filtert nach einem Teilstring des Namens. Die Suche wird 700 ms nach dem letzten Tastendruck oder sofort mit Enter ausgelöst. |
| Pagination | 15, 25 oder 50 Zeilen pro Seite (Standard 15). |
Felder des Fensters zum Hinzufügen:
| Feld | Beschreibung |
|---|---|
| List name | Pflichtfeld. Eine Zeichenfolge, die nur aus Leerzeichen besteht, wird abgewiesen. |
| List type | Optionsfelder White (Standard) oder Black. |
| Executable name | Eingabefeld, gefolgt von der Schaltfläche Add: jede ausführbare Datei wird in das darüberliegende Raster aufgenommen, dessen Spalte Name den Inhalt auflistet. Die Schaltfläche Delete entfernt die ausgewählte ausführbare Datei. Solange keine ausführbare Datei eingegeben wurde, zeigt das Raster No executable in the list an. |
Diese Registerkarte listet die Autorisierungsverträge auf, die eine oder mehrere Listen Benutzergruppen und veröffentlichten Anwendungen (nach Kategorie geordnet) zuordnen. Der Spalte Name ist ein Schlosssymbol vorangestellt.
Beim Aufklappen eines Vertrags werden die zugeordneten Listen (grünes Häkchen für weiße Listen, rotes Verbotszeichen für schwarze), die betroffenen Domänen und Gruppen und anschließend die Zielkategorien und Zielanwendungen angezeigt.
Das Fenster Add an authorization contract enthält ein Feld Name — beim Bearbeiten schreibgeschützt — und drei Registerkarten:
| Registerkarte | Inhalt |
|---|---|
| Groups | Eine Dropdown-Liste Domain und anschließend zwei Listen (verfügbare links, ausgewählte rechts) mit Suche. Schaltflächen Add everybody, Remove und Remove all. |
| Authorizations lists | Zwei Drag-and-drop-Listen, jede mit Select All. Wenn sie leer ist, zeigt die linke Liste No authorization list an. |
| Applications | Anwendungsbaum nach Kategorie; die Auswahl kann eine ganze Kategorie oder eine einzelne Anwendung umfassen. Ist keine Kategorie deklariert, zeigt der Baum No Categories an. |
Mit den Schaltflächen Previous und Next wechseln Sie zwischen den Registerkarten. Die Schaltfläche Validate wird erst aktiv, wenn der Vertrag mindestens eine Gruppe, eine Liste und ein Ziel enthält.
Die Aktionen Properties und Delete, die Suche und die Seitennummerierung verhalten sich wie in der ersten Registerkarte.
Diese Registerkarte listet die direkten Autorisierungsverträge auf — die Variante für Maschinen, auf die direkt zugegriffen wird, und nicht für veröffentlichte Anwendungen.
Beim Aufklappen eines Vertrags werden die zugeordneten Listen, die Benutzergruppen nach Domäne und die Zielmaschinen angezeigt.
Das Fenster Add a direct authorization contract enthält die Felder Name und Description und anschließend drei Registerkarten:
| Registerkarte | Inhalt |
|---|---|
| Groups | Eine Dropdown-Liste Domain und zwei Listen. Die Schaltfläche Manual entry öffnet das Fenster Addition of a custom group (Felder Name und Microsoft Domain); ein Duplikat wird mit This group is already in the list abgewiesen. Schaltflächen Select All, Remove und Remove all. |
| Authorizations lists | Zwei Drag-and-drop-Listen, wie bei einem gewöhnlichen Vertrag. |
| Machines | Zwei Drag-and-drop-Listen. Wenn sie leer ist, zeigt die linke Liste No available machine an. |
Auch hier verlangt Validate mindestens eine Gruppe, eine Liste und eine Maschine.
Weiße Liste / schwarze Liste
Eine Liste White erlaubt nur die ausführbaren Dateien, die sie enthält — jedes andere Programm wird während der Sitzung blockiert. Eine Liste Black erlaubt alle ausführbaren Dateien außer denen, die sie enthält.