Zuletzt aktualisiert:
Microsoft hat die neue Security Baseline für Microsoft Edge 151 veröffentlicht.
Normalerweise klingt das erstmal nach:
Neue Version → neue ADMX → Baseline aktualisieren → fertig.
Diesmal würde ich bei Citrix- und RDS-Umgebungen aber etwas genauer hinschauen.
Microsoft nimmt mehrere neue Empfehlungen auf. Eine davon finde ich besonders interessant:
👉 Process Isolation
Was steckt dahinter?
Process Isolation soll verhindern, dass andere lokale Prozesse in Microsoft Edge eingreifen beziehungsweise Browserprozesse manipulieren.
Security-technisch absolut nachvollziehbar.
In Enterprise-Umgebungen gibt es allerdings genügend Software, die genau an dieser Stelle ansetzt.
Zum Beispiel:
DLP / Endpoint Security / SSO / Monitoring / Browser Integrations / Legacy Agents
Und jetzt wird es für Citrix interessant.
Auf einem normalen Client betrifft das einen Benutzer.
Auf einem Multi-Session VDA mit 30, 50 oder mehr Benutzern kann eine kleine Änderung an der Browser-Baseline plötzlich ziemlich viele Sessions gleichzeitig betreffen.
Typisches Szenario
Neue Edge ADMX werden ins Central Store übernommen.
Die neue Security Baseline wird auf die Citrix VDAs angewendet.
Edge startet.
Webseiten funktionieren.
Test erfolgreich?
Nicht unbedingt. 😉
Denn interessant wird es erst bei den Integrationen:
👉 Funktioniert SSO noch?
👉 Funktionieren DLP-/Security-Komponenten?
👉 Funktionieren Browser Extensions?
👉 Funktionieren interne Webanwendungen?
👉 Gibt es plötzlich Fehler oder ungewöhnliche Prozesse?
Noch ein Punkt: Automatic HTTPS
Microsoft empfiehlt außerdem, Automatic HTTPS zu evaluieren.
Auch das klingt erstmal sinnvoll.
Wer allerdings noch interne Anwendungen betreibt, die ausschließlich über HTTP erreichbar sind, sollte mit aggressiven Upgrade-Modi vorsichtig sein.
Gerade in älteren Citrix-Umgebungen findet man davon erfahrungsgemäß noch einige. 😎
Meine Empfehlung
Eine neue Browser Security Baseline gehört für mich deshalb nicht direkt auf das produktive Golden Image.
Erst:
Baseline Diff → Test-VDA → Security/SSO/DLP → interne WebApps → Multi-Session-Test → Produktion
Und wenn Process Isolation Probleme verursacht:
Nicht einfach die Policy wieder deaktivieren.
Erst herausfinden, welche Software eigentlich in den Browserprozess eingreifen möchte.
Denn vielleicht ist genau das das eigentliche Finding.
Fazit
Security Baselines sind keine Sammlung von Einstellungen, die man einfach auf Enabled stellt.
Gerade auf Citrix Multi-Session VDAs können kleine Browseränderungen eine ziemlich große Wirkung haben.
Hardening ohne Compatibility Testing ist eben auch nur eine andere Form von Troubleshooting-Vorbereitung. 😉
