Microsoft Edge per Gruppenrichtlinie und Intune härten

Im Browser begegnen Benutzer dem Internet: Phishing-Seiten, bösartige Downloads, betrügerische Erweiterungen, die jede Seite mitlesen, und Exploits, die auf den Renderer zielen. Microsoft Edge bringt gute Schutzmaßnahmen mit, doch die meisten sind entweder vom Benutzer steuerbar oder standardmäßig aus. Unternehmensrichtlinien machen daraus etwas, das Sie erzwingen und nachweisen können.

Dieser Leitfaden behandelt die sicherheitsrelevantesten Richtlinien. Er gehört zur Reihe Reduzierung der Angriffsfläche und ergänzt den Exploit-Schutz, der andere Anwendungen so härtet, wie Edge sich selbst härtet.

Voraussetzungen

• Edge-ADMX-Vorlagen (msedge.admx und msedgeupdate.admx für Updates) von der Downloadseite für Microsoft Edge for Business, in den zentralen Speicher kopiert. Aktualisieren Sie sie mit jeder Hauptversion von Edge, denn regelmäßig kommen neue Richtlinien hinzu.
• Die Einstellungen erscheinen unter Computer Configuration > Policies > Administrative Templates > Microsoft Edge und werden nach HKLM\SOFTWARE\Policies\Microsoft\Edge geschrieben.
• Intune: Der Einstellungskatalog hat eine Kategorie Microsoft Edge, und Endpoint security > Security baselines enthält eine Microsoft-Edge-Baseline als Ausgangspunkt.

Verwenden Sie für Sicherheitseinstellungen den oben genannten verbindlichen Ordner. Der Ordner Microsoft Edge - Default Settings (users can override) ist für Voreinstellungen gedacht, nicht für Kontrollen.

Schritt 1: SmartScreen erzwingen

SmartScreen blockiert bekannte Phishing- und Malware-Websites und warnt bei unbekannten Downloads. Entscheidend ist, dass Benutzer die Warnungen nicht wegklicken können.

Aktivieren Sie im selben Bereich außerdem die Typosquatting-Prüfung (TyposquattingCheckerEnabled = 1). Das Blockieren des Übergehens bei Downloads erzeugt die meisten Tickets: Entwickler und Admins, die neue Werkzeuge herunterladen, stoßen auf Warnungen zu unbekannter Reputation. Lösen Sie das über einen geordneten Weg für Softwareanfragen, statt das Übergehen für alle offen zu lassen.

Schritt 2: Riskante Downloads einschränken

Microsoft Edge > Allow download restrictions (DownloadRestrictions):

Der Wert 1 ist ein sinnvoller Flottenstandard; 2 passt zu Rollen mit hohem Risiko. Kombinieren Sie das mit der Makrohärtung für Office, damit Dokumente, die dennoch durchkommen, mit Mark of the Web ankommen und in der geschützten Ansicht landen.

Schritt 3: Erweiterungen kontrollieren

Erweiterungen laufen mit weitreichendem Zugriff auf die Seiten, die Benutzer besuchen, einschließlich Sitzungscookies. Eine bösartige oder weiterverkaufte Erweiterung ist faktisch ein Credential Stealer, der sich selbst aktualisiert. Wechseln Sie zu einer Allowlist:

1. Erheben. Listen Sie auf einer Stichprobe von Geräten die installierten Erweiterungen über edge://extensions oder aus den Ordnern Extensions unter jedem Profil in %LOCALAPPDATA%\Microsoft\Edge\User Data auf. Ihr EDR- oder Inventarwerkzeug meldet sie womöglich bereits.
2. Genehmigen. Führen Sie eine kurze Liste von Erweiterungs-IDs mit Verantwortlichem und geschäftlicher Begründung.
3. Erzwingen. Unter Microsoft Edge > Extensions:
   • Control which extensions cannot be installed (ExtensionInstallBlocklist) = *
   • Allow specific extensions to be installed (ExtensionInstallAllowlist) = die genehmigten IDs
   • Control which extensions are installed silently (ExtensionInstallForcelist) für die Erweiterungen, die alle brauchen, etwa Ihren Kennwortmanager
   • Blocks external extensions from being installed (BlockExternalExtensions) = Enabled

Für eine feinere Steuerung nimmt Configure extension management settings (ExtensionSettings) JSON entgegen und kann Erweiterungen blockieren, die bestimmte Berechtigungen anfordern, oder Installationsquellen einschränken. Sind beide gesetzt, überschreibt sie die einfacheren Richtlinien; entscheiden Sie sich also für einen Ansatz und dokumentieren Sie ihn.

Schritt 4: Den erweiterten Sicherheitsmodus aktivieren

Der erweiterte Sicherheitsmodus deaktiviert auf unbekannten Websites den JavaScript-JIT und schaltet Betriebssystem-Schutzmaßnahmen wie Arbitrary Code Guard und, auf unterstützten CPUs, den hardwaregestützten Stapelschutz für den Renderer ein. Das beseitigt eine große Klasse von Browser-Exploits.

Microsoft Edge > Enhance the security state in Microsoft Edge (EnhanceSecurityMode):

Verwenden Sie Balanced für die Flotte und Strict für Administratoren und die Finanzabteilung. Wird eine interne Webanwendung zu langsam, nehmen Sie sie mit Configure the list of domains for which enhance security mode will not be enforced (EnhanceSecurityModeBypassListDomains) aus, statt den Modus für alle abzusenken. Die Erzwingungsliste bewirkt das Gegenteil für Websites, die Sie als riskant einstufen.

Schritt 5: Die übrigen Türen schließen

Belassen Sie SitePerProcess, RendererAppContainerEnabled und AudioSandboxEnabled auf ihren sicheren Standardwerten und alarmieren Sie, falls eine Richtlinie sie abschaltet.

Schritt 6: Schnell aktualisieren und den Neustart erzwingen

Zero-Days in Browsern werden innerhalb von Tagen gepatcht. Edge aktualisiert sich selbst, das Update wirkt aber erst nach einem Neustart, und Benutzer lassen Browser wochenlang offen.

• Computer Configuration > Policies > Administrative Templates > Microsoft Edge Update > Applications > Update policy override default = Always allow updates (UpdateDefault = 1 unter HKLM\SOFTWARE\Policies\Microsoft\EdgeUpdate). Stellen Sie sicher, dass kein älteres GPO dies auf deaktiviert setzt.
• Microsoft Edge > Notify a user that a browser restart is recommended or required for pending updates (RelaunchNotification) = Required (2), mit Set the time period for update notifications (RelaunchNotificationPeriod) auf beispielsweise 86400000 ms (24 Stunden).
• Verteilen Sie Edge stattdessen über WSUS oder Configuration Manager, halten Sie Kanal und Genehmigungsrhythmus schnell; wöchentlich ist für aktiv ausgenutzte Browserfehler zu langsam.

Das Gesamtbild der Updates, einschließlich der Priorisierung von Browsern, finden Sie im Leitfaden zum Patching.

Andere Browser auf denselben Geräten

Edge zu härten bringt wenig, wenn Benutzer daneben einen unverwalteten Browser installieren und ausführen können. Legen Sie eine Liste unterstützter Browser fest und behandeln Sie jeden gleich:

• Chrome verwendet nahezu identische Richtliniennamen (ExtensionInstallBlocklist, ExtensionInstallAllowlist, DownloadRestrictions, RemoteDebuggingAllowed, SSLErrorOverrideAllowed) unter HKLM\SOFTWARE\Policies\Google\Chrome. Importieren Sie die ADMX-Vorlagen von Google und spiegeln Sie die Edge-Einstellungen.
• Firefox hat eine eigene Richtlinien-Engine (eine Datei policies.json oder ADMX-Vorlagen). Die Konzepte lassen sich übertragen, die Namen nicht.
• Nicht unterstützte Browser, die pro Benutzer in %LOCALAPPDATA% installiert werden, entziehen sich sowohl Richtlinien als auch Patching. Blockieren Sie sie mit der Anwendungssteuerung oder erkennen Sie sie zumindest über die Inventur.

Was immer Sie zulassen, muss so schnell gepatcht werden wie Edge. Der Leitfaden zum Patchen von Drittanbietersoftware zeigt, wie Sie Browser und ihre Laufzeitumgebungen außerhalb von Windows Update aktuell halten.

Was kaputtgeht

• Downloads neuer Werkzeuge, die SmartScreen ohne Übergehungsmöglichkeit blockiert. Stellen Sie einen Anfrageweg bereit.
• Erweiterungen, auf die sich Benutzer verlassen haben, verschwinden, sobald die Blockliste greift. Kündigen Sie es an, veröffentlichen Sie die genehmigte Liste und prüfen Sie Anfragen im ersten Monat wöchentlich.
• Interne Websites mit selbstsignierten oder abgelaufenen Zertifikaten sind nicht mehr erreichbar, sobald das Übergehen deaktiviert ist. Korrigieren Sie die Zertifikate; das ist ein Befund, kein Ärgernis.
• Schwergewichtige interne Webanwendungen werden im strikten erweiterten Sicherheitsmodus langsamer. Nutzen Sie die Ausnahmeliste.
• Webbasierte Admin-Konsolen mit Basic-Authentifizierung über HTTP authentifizieren nicht mehr.

Überprüfen

Öffnen Sie auf einem Gerät edge://policy. Jede konfigurierte Richtlinie sollte Status: OK und Source: Platform (Gruppenrichtlinie oder MDM) zeigen. Fehler dort bedeuten meist einen falschen Werttyp oder einen veralteten Richtliniennamen. edge://settings/help zeigt die Version.

Per PowerShell:

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge" |
  Select-Object SmartScreenEnabled, PreventSmartScreenPromptOverride,
    PreventSmartScreenPromptOverrideForFiles, DownloadRestrictions,
    EnhanceSecurityMode, SSLErrorOverrideAllowed, RemoteDebuggingAllowed

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallBlocklist"
(Get-Item "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe").VersionInfo.ProductVersion

Erfassen Sie die Edge-Version flottenweit und alarmieren Sie bei Geräten, die mehr als ein Stable-Release zurückliegen.

Checkliste

• Aktuelle ADMX-Vorlagen für Edge und Edge Update im zentralen Speicher oder Intune-Edge-Baseline im Einsatz
• SmartScreen erzwungen, Übergehen für Websites und Downloads blockiert, PUA-Blockierung aktiv
• Downloadbeschränkungen auf Blockieren gefährlicher Downloads oder strenger gesetzt
• Erweiterungs-Blockliste * mit geprüfter Allowlist und Verantwortlichem pro Erweiterung
• Erweiterter Sicherheitsmodus Balanced für alle, Strict für Rollen mit hohem Risiko
• Übergehen von Zertifikatfehlern und Remote-Debugging deaktiviert
• Automatische Updates zugelassen und Neustart innerhalb von 24 Stunden erzwungen
• edge://policy auf Pilotgeräten geprüft; Version flottenweit erfasst