Was ist EIP?

Das Endpoint Information Profile (EIP) ist ein Konzept des „ Versa “ (SASE ), das die Identität und den Sicherheitsstatus eines sich verbindenden Geräts – darunter Antivirenstatus, Festplattenverschlüsselung, Betriebssystemversion und mehr – erfasst und auswertet, bevor Netzwerkzugriff gewährt wird. EIP-Objekte definieren Übereinstimmungskriterien, EIP-Profile gruppieren Objekte zu Richtlinien, und EIP-Agentenprofile legen fest, welche Daten der „ SASE “-Client erfassen soll.

Die wichtigsten Erkenntnisse

• EIP überprüft den Sicherheitsstatus eines Geräts, bevor es Netzwerkzugang erhält.
• EIP-Objekte definieren Übereinstimmungskriterien; Profile fassen Objekte zu Richtlinien zusammen.
• Agentenprofile geben dem „ SASE “-Client vor, welche Endpunktdaten erfasst werden sollen.
• Die Kategorien umfassen Antivirenprogramme, Festplattenverschlüsselung, Betriebssystemversionen und vieles mehr.
• EIP-Profile werden mit Schutz-, Zugriffs- und Entschlüsselungsregeln verknüpft.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · EIP & Versa · Häufig gestellte Fragen

Warum ist EIP wichtig?

Unternehmensnutzer stellen Verbindungen über Laptops, Smartphones, Tablets und IoT-Geräte über Netzwerke her, die nicht unter der Kontrolle des Unternehmens stehen – und jeder dieser Endpunkte ist ein potenzieller Einstiegspunkt für Angreifer. Die Überprüfung der Identität eines Nutzers allein hat noch nie ausgereicht; ein gestohlener, aber gültiger Zugangsnachweis auf einem kompromittierten, nicht gepatchten Laptop stellt nach wie vor eine gefährdete Verbindung dar. Zero-Trust-Modelle schließen diese Lücke, indem sie nicht nur bei der Anmeldung, sondern kontinuierlich sowohl das Gerät als auch den Nutzer überprüfen.

EIP ist der Mechanismus von „ Versa“ für diese geräteseitige Überprüfung. Damit kann die Richtlinie prüfen, ob ein Endpunkt tatsächlich den Anforderungen entspricht – ob Patches installiert sind, eine Verschlüsselung vorliegt und die erforderliche Sicherheitssoftware ausgeführt wird –, bevor er Zugriff auf sensible Anwendungen erhält. Außerdem kann der Sicherheitsstatus während der gesamten Sitzung neu bewertet werden, anstatt sich auf eine einmalige Überprüfung zu verlassen. Dadurch wird die Zugriffskontrolle von einer reinen Identitätsprüfung zu einer durchgesetzten Compliance-Anforderung.

Was ist EIP?

Zunächst ein Hinweis zur Bezeichnung: In einigen Dokumenttiteln auf Versa wird EIP als „Endpoint Identity Profile“ wiedergegeben. Beide Bezeichnungen beziehen sich auf dasselbe Konfigurationsobjekt; in diesem Glossar wird „Endpoint Information Profile“ verwendet, die Bezeichnung, die in den Konfigurationsartikeln auf Versadurchgehend im Text verwendet wird.

EIP besteht aus drei Komponenten. EIP-Objekte sind die Übereinstimmungskriterien – eine Regel wie „Antivirenprogramm ist installiert und läuft“ oder „Festplatte ist verschlüsselt“ –, die die von einem Endpunkt gemeldeten Rohdaten zum Sicherheitsstatus filtern. EIP-Profile gruppieren Objekte zu einer Richtlinieneinheit: einer Reihe von Regeln, die gemeinsam ausgewertet werden, um zu entscheiden, ob ein Gerät den Anforderungen entspricht. EIP-Agentenprofile sind von EIP-Profilen getrennt – sie legen fest, welche Daten der „ SASE “-Client überhaupt vom Endpunkt erfasst und meldet, die der Agent dann zur Auswertung anhand eines Profils an das Gateway sendet.

Die Auswertung folgt einer festgelegten Logik: Objekte aus verschiedenen Kategorien innerhalb einer Regel werden mit „UND“ verknüpft (alle müssen übereinstimmen), Objekte derselben Kategorie werden mit „ODER“ verknüpft (eine Übereinstimmung reicht aus), mehrere Regeln werden von oben nach unten ausgewertet, wobei die erste Übereinstimmung maßgeblich ist, und mehrere Profile innerhalb einer Richtlinie werden mit „ODER“ miteinander verknüpft.

Arten von EIP

Versa Es umfasst rund 156 vordefinierte EIP-Objekte in etwa 19 Kategorien, und Administratoren können eigene Objekte definieren. Die meisten Kategorien bewerten den Sicherheitsstatus der Software: Malware-Schutz, Phishing-Schutz, Endpunkt-Sicherheitssuiten (einschließlich namentlicher Unterstützung für CrowdStrike Falcon und SentinelOne), Firewall, Festplattenverschlüsselung, Festplattensicherung, Schutz vor Datenverlust, Patch-Management und zugehörige agentenbasierte Schutzmaßnahmen. Eine Kategorie „Allgemein“ überprüft die Geräteidentität – Hostname, Host-ID, Windows-Domäne, Benutzername sowie Hersteller, Produkt und Version des Betriebssystems. Eine Kategorie „Mobil“ fügt telefonspezifische Prüfungen hinzu: Passcode, Unterstützung biometrischer Authentifizierung, Jailbreak-Status und mobile Festplattenverschlüsselung. Der Verwaltungsstatus bestätigt, ob ein Gerät in die Unternehmensverwaltung eingebunden ist, und eine Kategorie „Benutzerdefiniert“ gleicht beliebige Prozessnamen, Dateipfade oder Windows-Registrierungswerte ab, falls die vordefinierten Kategorien dies nicht abdecken.

EIP & Versa

EIP wird in Concerto pro Mandant unter „Konfigurieren > Security Service Edge > Profile und Konnektoren > Endpunkt-Informationsprofil (EIP)“ konfiguriert, wo Administratoren EIP-Objekte, Profile und Agent-Profile aus vordefinierten oder benutzerdefinierten Bausteinen erstellen. EIP-Profile werden anschließend mit Regeln für den Internetschutz, für den sicheren clientbasierten Zugriff und für die TLS-Entschlüsselung verknüpft, sodass dieselbe Sicherheitsüberprüfung den Webzugriff, VPN-ähnliche Verbindungen oder die Entschlüsselung des Datenverkehrs zur Überprüfung steuern kann. EIP-Agentenprofile werden separat an die Richtlinie für den sicheren Zugriff angehängt und steuern, welche Daten der „ SASE “-Client vom Endpunkt extrahiert; wie oft diese Daten aktualisiert werden, richtet sich nach dem im Profil für den sicheren Zugriff konfigurierten Intervall für die Sicherheitsüberprüfung.

VersaIn den Schritt-für-Schritt-Konfigurationsanleitungen wird EIP als Teil des umfassenderen Zero-Trust-Konzepts dargestellt: Es arbeitet mit „ Versa “ und „Secure Private Access“ (VSPA) zusammen, um einen auf dem Prinzip der geringsten Berechtigungen basierenden, kontinuierlich überprüften Zugriff sowohl für verwaltete als auch für nicht verwaltete Geräte zu gewährleisten – anstelle einer einmaligen Anmeldeprüfung.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem EIP-Objekt, einem EIP-Profil und einem EIP-Agentenprofil?

Ein EIP-Objekt ist ein Übereinstimmungskriterium, beispielsweise „Antivirenprogramm ist installiert“. Ein EIP-Profil fasst Objekte zu einem Satz von Richtlinienregeln zusammen, die zum Zeitpunkt der Verbindung ausgewertet werden. Ein EIP-Agentenprofil ist davon getrennt – es legt fest, welche Daten der „ SASE “-Client tatsächlich vom Endpunkt erfasst, um sie anhand der Kriterien zu bewerten.

Wie funktioniert die Auswertungslogik der EIP-Regeln?

Innerhalb einer Regel gelten für Objekte aus verschiedenen Kategorien die UND-Logik – alle müssen übereinstimmen. Für Objekte derselben Kategorie gilt die ODER-Logik – eine Übereinstimmung reicht aus. Mehrere Regeln in einem Profil werden von oben nach unten ausgewertet, wobei die erste Übereinstimmung maßgeblich ist, und mehrere Profile in einer Richtlinie werden miteinander verknüpft (ODER).

Welche Arten von Endpunkt-Sicherheitsstatus kann EIP überprüfen?

EIP umfasst etwa 19 Kategorien: Sicherheitssoftware wie Anti-Malware, Firewall und Festplattenverschlüsselung; allgemeine Geräteinformationen wie Hostname und Betriebssystemversion; mobilgerätespezifische Prüfungen wie Jailbreak und biometrischer Status; Verwaltungsregistrierung; sowie eine benutzerdefinierte Kategorie für beliebige Übereinstimmungen bei Prozessen, Dateien oder der Registrierungsdatenbank.

Wo werden EIP-Profile durchgesetzt?

EIP-Profile sind in Concerto mit Regeln zum Internetschutz, zu sicherem clientbasiertem Zugriff und zur TLS-Entschlüsselung verknüpft. Dadurch kann dieselbe Sicherheitsbewertung den allgemeinen Webzugriff, den clientbasierten Fernzugriff sowie die Entscheidung darüber steuern, ob der Datenverkehr einer Sitzung für die TLS-Entschlüsselung ausgewählt wird.

Wie oft werden die Daten zum Sicherheitsstatus der Endgeräte aktualisiert?

Der „ SASE “-Client erfasst und meldet Endpunktdaten nicht nur einmalig bei der Verbindungsherstellung, sondern nach einem Zeitplan, der durch das Intervall der Zustandsprüfung im Secure-Access-Profil festgelegt ist. So kann EIP den Zugriff widerrufen oder einschränken, falls sich der Compliance-Status eines Geräts während der Sitzung ändert.

Mehr zum EIP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über EIP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.