Application whitelisting

Hallo zusammen,

ich würde mir eine Funktion wünschen, mit der AppLocker zentral über das RMM verwaltet werden kann.

Der Hintergrund ist eine bessere Application Control bzw. Ausführungskontrolle auf Windows-Systemen.

Viele Kunden setzen bereits einen Virenschutz oder EDR ein, zum Beispiel Bitdefender, ESET, Sophos oder andere Lösungen. Trotzdem bleibt das Risiko, dass unbekannte oder unerwünschte Programme aus Bereichen wie Downloads, AppData, Temp, Desktop oder Benutzerprofilen gestartet werden.

Genau hier wäre AppLocker aus meiner Sicht ein sehr sinnvoller zusätzlicher Schutzbaustein. Es geht dabei nicht darum, den vorhandenen Virenschutz zu ersetzen, sondern die Ausführung nicht freigegebener Anwendungen grundsätzlich besser zu kontrollieren und typische Startpunkte von Schadsoftware oder Ransomware zusätzlich abzusichern.

Das RMM sollte AppLocker-Regeln zentral verwalten, verteilen und überwachen können.

Aktuell kann man AppLocker zwar über Windows-Bordmittel nutzen, die Verwaltung ist aber je nach Umgebung recht aufwendig. Gerade bei kleineren Kunden ohne Microsoft 365, Intune oder komplexe Security-Plattform wäre es ein großer Mehrwert, wenn das RMM diese Aufgabe übernehmen könnte.

Viele Kunden haben klassische Windows-Umgebungen mit Windows 11 Clients, Windows Servern und einem Drittanbieter-Virenschutz. Für genau solche Umgebungen wäre ein zentraler AppLocker-Workflow über das RMM sehr hilfreich.

Sinnvoll wäre aus meiner Sicht ein zentraler Audit- und Block-Modus.

Im Audit-Modus würde noch nichts blockiert. Das RMM würde aber erkennen und melden, welche Anwendungen später im Block-Modus verhindert würden. So könnte man die Umgebung zuerst sauber analysieren, ohne direkt den Betrieb zu stören.

Im Block-Modus würden nicht freigegebene Anwendungen aktiv verhindert.

Wichtig wäre ein sauberer Workflow:

• AppLocker-Regeln zentral im RMM verwalten

• Regeln auf einzelne Geräte, Gruppen oder alle Systeme verteilen

• Audit-Modus für Testphase

• Block-Modus für produktiven Schutz

• Pilotbetrieb für einzelne Geräte oder Kundengruppen

• blockierte oder auffällige Starts im RMM anzeigen

• optional Ticket oder Alarm erzeugen

• Freigabe legitimer Anwendungen zentral vornehmen

• geänderte Whitelist wieder auf alle passenden Systeme ausrollen

• Notfall-Rollback zurück in den Audit-Modus

Wenn eine nicht bekannte oder nicht freigegebene Anwendung gestartet wird, sollte das RMM die relevanten Informationen anzeigen, zum Beispiel:

• Gerät

• Benutzer

• Zeitpunkt

• Dateiname

• Dateipfad

• Publisher / Hersteller

• Hash-Wert

• Regeltyp

• Aktion: im Audit-Modus nur erkannt oder im Block-Modus wirklich blockiert

Der Techniker sollte dann entscheiden können, ob die Anwendung legitim ist und freigegeben werden soll.

Wichtig wäre mir dabei, dass Anwendungen nicht blind automatisch freigegeben werden. Das wäre aus Sicherheitsgründen problematisch. Das RMM könnte aber sehr gut Vorschläge liefern, die Prüfung erleichtern und nach Freigabe die Verteilung automatisieren.

AppLocker wäre aus meiner Sicht besonders interessant, weil es eine vorhandene Windows-Funktion ist und unabhängig vom eingesetzten Virenschutz genutzt werden kann.

Viele Kunden verwenden keinen Microsoft Defender als primären Virenschutz, sondern Drittanbieter-Lösungen wie Bitdefender, ESET, Sophos oder andere AV-/EDR-Produkte. Genau deshalb wäre eine AppLocker-basierte Funktion sehr wertvoll, weil sie nicht zwingend Microsoft Defender, Microsoft 365 oder Intune voraussetzt.

Der vorhandene Virenschutz würde weiterhin für Malware-Erkennung, Verhaltenserkennung und klassische Endpoint-Security zuständig bleiben. AppLocker würde zusätzlich verhindern, dass nicht freigegebene Programme überhaupt ausgeführt werden können.

Das wäre eine starke Kombination:

Virenschutz / EDR erkennt Bedrohungen.
AppLocker reduziert zusätzlich die Angriffsfläche, indem unbekannte oder unerwünschte Programme gar nicht erst starten dürfen.

Wenn ein Kunde Microsoft Defender nutzt, könnten ergänzend auch Defender-Funktionen wie Attack Surface Reduction Rules oder Controlled Folder Access eingebunden oder überwacht werden.

Das sollte aber aus meiner Sicht optional sein. Der Kern der Funktion sollte AppLocker sein, damit sie auch bei Kunden mit Drittanbieter-AV sinnvoll eingesetzt werden kann.

Für MSPs wäre das eine sehr praxisnahe Erweiterung, weil man damit einen echten zusätzlichen Security-Baustein anbieten kann, ohne dass der Kunde zwingend Microsoft 365, Intune oder eine große Security-Plattform benötigt.

Gerade bei kleinen und mittleren Kunden wäre das ein großer Vorteil. Man könnte mit überschaubarem Aufwand deutlich mehr Kontrolle darüber schaffen, was auf den Systemen ausgeführt werden darf.

Der Mehrwert wäre:

• bessere Kontrolle über Programmausführung

• zusätzlicher Schutz gegen typische Ransomware-Startpunkte

• weniger Risiko durch Programme aus AppData, Temp, Downloads oder Benutzerprofilen

• zentrale Kontrolle über erlaubte Anwendungen

• unabhängig vom eingesetzten Virenschutz

• nutzbar auch bei Kunden mit Bitdefender, ESET, Sophos usw.

• Audit-Modus ohne Betriebsunterbrechung

• kontrollierte Freigabe statt blindem Auto-Whitelisting

• bessere Nachvollziehbarkeit durch Events, Alarme und Tickets

• zusätzlicher Security-Service direkt aus dem RMM heraus

Meine 50 Cent noch…
Eine zentrale AppLocker-Verwaltung im RMM ein sehr starker Mehrwert für MSPs.

Damit ließe sich ein zusätzlicher Schutz gegen unerwünschte Programmausführung und typische Ransomware-Startpunkte anbieten, ohne dass Kunden zwingend Microsoft 365, Intune oder Defender einsetzen müssen.

Entscheidend wäre dabei nicht nur das reine Blockieren, sondern ein sauberer Workflow für Audit, Freigabe, Rollout und Monitoring.

Ende…