Innholdsfortegnelse
Til stede
- Alexander Hjelton Kvam
- Espen Grøndahl
- Martin Bore
- Ernesto Gonzalez-Benitez
- Anders Vinger
- Tor Fuglerud
- Kim Roar Kristensen
- Øyvin Wormnæs
- Teemu Kuivala (SoftwareOne)
Saksliste:
Sak 1: App Portal SCCM-integrasjon
Man har testet installasjon av softwaren på testinstansen av SCCM. Dette har ført til noen oppfølgingsspørsmål.
- Hvilken konto skal kjøre installeren?
- Det opprettes en IIS site og en application pool. Denne kjører som LocalSystem, hvorfor benyttes ikke servicekontoen?
- Dokumentasjon sier at installeren oppretter en kolleksjon. Dette er ikke tilfellet, det opprettes to mapper under:
- User Collections
- Device Collections
- Pga. installasjons dokumentasjonen fra Flexera er uklar, kan det være andre ting som ikke kommer frem.
Oppfølging:
- Installeres med servicekonto, som betyr at den må få nok rettigheter til å utføre installasjonen
- Tester på nytt, sjekker om det opprettes en system service som kjøres av servicekonto (ref. AppPool kjøres som LocalSystem)
- SoftwareOne følger opp punktene som angitt
- Hvilken rolle er det avklart at skal benyttes, Application Deployment Manager, eller Application Administrator. Application Administrator har for mye rettigheter til at vi vil benytte dette.
- Hvorfor kjører webservice som LocalSystem og ikke servicekonto
- Feil i dokumentasjon ref. opprettelse av Collection
- En tydelig prosedyre for installasjon og hvilke rettigheter som må være på plass
Sak 2: FNMS Agenten
Et par aspekter skaper sikkerhetsbekymringer og følges opp internt og sammen med Flexera/SoftwareOne.
- Agenten har mulighet til å kjøre custom script, dette må sperres i en eller annen form
- Forsikre at bruker ikke får mulighet til å kjøre ting som administrator uten sikring via agenten (ettersom agenten kjører som LocalSystem/root)
- Hvilke brukere har tilgang til å kjøre de eksekverbare filene?
Oppfølging:
- InventorySettings.xml inneholder proprietere Oracle script og er derfor kryptert og kan ikke tukles med.
- Det er kun Flexera som sitter på de ukrypterte dataene.
- InventorySettings.xml endres/oppdateres kun ved systemoppgraderinger.
- IT-sikkerhet vil ved anledning ta en nærmere titt på dokumentasjon og InventorySettings.xml
- SoftwareOne skal undersøke resultater fra tidligere penetrasjons test i forhold til bekymringer rundt exploits. Blant annet muligheter for brukere eller andre som har skaffet seg tilgang til en maskin å utnytte klienten til å skaffe seg høyere adgangsnivå.
- Hvis vi må redusere eller kontrollere tilgangene for klienten er det et par muligheter for dette.
- RunInsideLimitedJob. Verktøy laget av Didier Stevens for å begrense antall prosesser som kan kjøre.
- Windows Defender Application Control (WDAC)
- Benytte de verktøyene vi har for å begrense tilganger og sette på deteksjon og varsling.
Annet
- Genrelt noe bekymringer rundt Flexera sin dokumentasjon. Om det er feil her, kan det være andre problemer som ikke er avdekket.
- WS1 integrasjon er snart på plass, får koblet til database.