PDQ Deploy & Inventory – Leitfaden zur Produktsicherheit
Wir bei PDQ wissen, wie wichtig die Sicherheit unserer Produkte ist. Aus diesem Grund geht es bei jeder Entscheidung, die wir mit PDQ Deploy & Inventory getroffen haben, darum, sicherzustellen, dass das Produkt bei der Verwaltung Ihrer Geräte sicher verwendet werden kann. Von der Verschlüsselung von Daten während der Übertragung und im Ruhezustand bis hin zur Integrität der Paketbibliothek und mehr – PDQ Deploy & Inventory ist darauf ausgelegt, Ihre Geräte richtig schnell sicher zu verwalten.
Überblick über die Architektur
Einführung in PDQ Deploy & Inventory
PDQ Deploy & Inventory ist ein Desktop-/Server-basiertes Geräteverwaltungstool. IT-Experten und Systemadministratoren verwenden PDQ Deploy & Inventory, um die Geräte in ihrer Organisation zu verwalten. IT-Experten führen Aktionen wie das Scannen von Endpunkten nach Geräteinformationen, das Organisieren von Geräten in Sammlungen, das Erstellen von Berichten, das Aktualisieren von Software und das Ausführen von Skripts auf Geräten aus – alles über ihr lokales Netzwerk.
Produktarchitektur
Zur Fernverwaltung von Geräten verwendet PDQ Deploy & Inventory ein agentenloses Client/Server-Modell für die Interaktion mit Endpunkten. Die standardmäßige Windows-Authentifizierung wird verwendet, um einen temporären Service auf dem Client zu erstellen, um Software bereitzustellen oder einen Inventar-Scan durchzuführen. Sobald der Vorgang abgeschlossen ist, werden die temporären Dateien und der Dienst gelöscht.
PDQ Deploy & Inventory Admin-Konsole
Administratoren verwenden die PDQ Deploy & Inventory Admin-Konsole, um Computer zu konfigurieren, Pakete zu erstellen und Computer zu aktualisieren. Die Admin-Konsole ist Teil der PDQ-Bereitstellungs- und Bestandsanwendungen.
In der Konsole können Administratoren Informationen zu den von ihnen verwalteten Geräten anzeigen sowie Paketbereitstellungen erstellen und beobachten. Wenn Pakete auf Geräten bereitgestellt werden, werden die Einrichtungs- und Konfigurationsoptionen dieser Bereitstellung über SMB an Geräte gesendet, wie in der Produktarchitektur beschrieben.
Datensicherheit
Verschlüsselung
Im Ruhezustand:
PDQ verschlüsselt alle vertraulichen Informationen (Kennwörter), die in den PDQ-Datenbanken gespeichert sind, die intern im Netzwerk deines Unternehmens gespeichert sind. Wir verwenden die branchenübliche AES-Verschlüsselung mit drei separaten Schlüsseln, um deine Daten zu schützen. Ein Schlüssel ist in die Anwendung integriert, ein Schlüssel wird in der Datenbank gespeichert und der dritte in der Registrierung gespeichert. Diese letzten beiden Schlüssel werden bei der Installation der Anwendung generiert und gelten nur für dein System. Der Rest der Daten wird in den lokalen SQLite-Datenbanken entschlüsselt gespeichert.
Während der Übermittlung:
Der PDQ-Server verwendet ein agentenloses Client-/Servermodell, um mit Endgeräten zu interagieren. Die standardmäßige Windows-Authentifizierung wird verwendet, um einen temporären Service auf dem Client zu erstellen, um Software bereitzustellen oder einen Inventar-Scan durchzuführen. Sobald der Vorgang abgeschlossen ist, werden die temporären Dateien und der Dienst gelöscht.
Externer Traffic
PDQ-Bereitstellung und Inventar greifen regelmäßig auf das Internet zu, um die Paketbibliothek, die Sammlungsbibliothek, die Tool-Bibliothek und die Systemvariablen (in Sammlungen verwendet) zu aktualisieren. Darüber hinaus prüfen PDQ-Produkte auf Programmaktualisierungen, Informationen zum Ablauf der Lizenz sowie allgemeine Informationsmeldungen von PDQ.com (Webcast-Hinweise, Beta-Hinweise usw.). Dies geschieht alles über HTTPS.
Isolierung von Daten
Alle Daten in den PDQ-Bereitstellungs- und Bestandsdatenbanken werden lokal in deinem Netzwerk gespeichert. Du kannst den Speicherort der Datenbank in den Einstellungen ändern.
Backups von Daten
Die Datenbanksicherung wird durch die Einstellungen in den Präferenzen gesteuert; der Ort und die Häufigkeit der Sicherung sind dem Endbenutzer überlassen.
Unterstützung
Unser Support-Personal bittet dich möglicherweise, deine Datenbanken einzureichen, damit wir weitere Informationen zur Behebung deines Problems erhalten können. Wenn du deine Datenbanken übermittelst, gehören dazu PDQ-Datenbanken, Protokolldateien und Fehler im Windows-Ereignisprotokoll sowie PDQ-Server-Konfigurationsinformationen.
Wir haben keinen Zugriff auf Kundendatenbanken, es sei denn, du reichst sie manuell als Teil eines Supporttickets ein. Wenn wir diese Datenbanken erhalten, haben wir keinen Zugriff auf die gespeicherten Passwörter des Kunden. Wir haben jedoch Zugriff auf Hardware- und Software-Inventarinformationen, die Computernamen, IP- und MAC-Adressen sowie angemeldete Benutzernamen enthalten können.
Wir haben keine formelle Aufbewahrungsrichtlinie, denn manchmal schließen wir ein Ticket und der Kunde benötigt weitere Unterstützung und öffnet den Fall erneut. Es geht eher darum, Platz für neue Ticket-Uploads zu schaffen, was in der Regel etwa drei bis sechs Monate dauert. Wenn ein Kunde ausdrücklich die Löschung seiner Daten verlangt, kommt der Support-Techniker dieser Bitte umgehend nach.
Identität und Authentifizierung
Übersicht über Identität und Authentifizierung
PDQ Deploy & Inventory sind Desktop-/Serveranwendungen und verfügen daher derzeit nicht über eine Authentifizierung. Der gesamte Zugriff wird durch die vorhandene Windows-Authentifizierung gesteuert.
Passwort-Anforderungen
Die Passwortanforderungen werden von der Organisation vorgegeben, da Deploy & Inventory vorhandene Zugangsdaten zur Authentifizierung bei Maschinen verwendet.
Betriebssicherheit
Vorbeugung von Schwachstellen
PDQ hat ein Programm zur Überwachung und zum Scannen von Schwachstellen eingerichtet, das darauf ausgelegt ist, mindestens wöchentlich (oder eher zufällig) interne und externe Schwachstellen in Systemen und gehosteten Anwendungen zu identifizieren, zu quantifizieren und zu priorisieren. PDQ identifiziert und implementiert außerdem Code-Analysetools in der Entwicklungspipeline des Unternehmens, um regelmäßig sowohl statische als auch dynamische Codebasen zu scannen, um nach Schwachstellen zu suchen. Die Prozesse stellen sicher, dass der Umfang jeder Schwachstelle definiert und dokumentiert wird, bevor eine Schwachstellenbewertung eingeleitet wird.
PDQ stellt außerdem sicher, dass alle Ergebnisse aus Schwachstellenscans wöchentlich analysiert und dokumentiert und gemäß der Risikotoleranz des Unternehmens behoben werden. PDQ gibt die aus der Schwachstellenüberwachung und den Kontrollbewertungen gewonnenen Informationen an die wichtigsten Beteiligten weiter, um ähnliche Schwachstellen in anderen Systemen zu beseitigen.
Weitere Sicherheitsthemen
Drittanbieter
PDQ Deploy & Inventory nutzt eine Handvoll Dienste, die für die Bereitstellung von Produktfunktionen erforderlich sind. Diese Drittanbieter verarbeiten Daten für PDQ:
Anbieter | Service | Hinweise |
|---|---|---|
Mixpanel | Nachverfolgung der Nutzung | Dient zur Verfolgung der Nutzung von Funktionen in PDQ Deploy & Inventory. (Optional) |
Sentry | Protokollierung | Wird zum Identifizieren und Protokollieren von Fehlern oder anderen Produktproblemen verwendet. (Optional) |
Sicherheitsprüfungen
PDQ führt jährlich menschenbasierte und wöchentliche automatisierte Penetrationstests durch, um Schwachstellen zu identifizieren, die ausgenutzt werden könnten, um Zugang zu seiner Produktionsumgebung zu erhalten. PDQ stellt sicher, dass die untersuchten Anlagen vor Beginn eines Penetrationstests dokumentiert werden. Das interne Deploy & Inventory-Team von PDQ hat sich zu einem internen SLA verpflichtet, um bei diesen Tests festgestellte Probleme zu beheben.
Darüber hinaus hat PDQ ein externes Bug-Bounty-Programm ins Leben gerufen, das Zahlungen für nicht öffentlich gemeldete Sicherheitslücken vorsieht.
Bescheinigungen
PDQ nimmt Sicherheit ernst und erkennt den Wert unabhängig geprüfter Sicherheitszertifizierungen. Wir sind SOC 2-konform und werden weiterhin routinemäßige Audits für aktualisierte Berichte durchführen.
Paket-Bibliothek
PDQ Deploy & Inventory bietet eine optionale Funktion namens Paketbibliothek. Mit dieser Funktion können Unternehmen Pakete für beliebte Anwendungen aus PDQ abrufen – ohne die Pakete selbst verwalten zu müssen. PDQ hält beispielsweise die neueste Version von Chrome in der Paketbibliothek bereit, sodass Unternehmen die neueste Browserversion problemlos auf Zielgeräten bereitstellen können.
Dies ist eine optionale Funktion, die in PDQ Deploy & Inventory enthalten ist. Organisationen können sich entscheiden, diese Funktion nicht zu nutzen und Pakete stattdessen manuell zu erstellen.
Prozess der Paketerstellung
Um ein Softwarepaket zu erstellen, scannt ein proprietäres PDQ-System Softwareanbieter regelmäßig nach neuen Updates und lädt sie in das PDQ-Paket-Repository herunter. Soweit verfügbar, übermittelt PDQ die Hashes für diese Produkte zur Reputationsanalyse an eine Drittanbieter-Website, die mehrere Antiviren-Engines nutzt.
Alle Pakete werden mithilfe einer gesicherten virtuellen Maschine erstellt, die für die Erstellung von Paketen vorgesehen ist. Nachdem ein Paket erstellt wurde, wird es manuell mit einer Gruppe von virtuellen Computern getestet, wobei jeweils eine andere Version von Windows installiert ist. Anschließend wird jede Maschine analysiert, um eine erfolgreiche Bereitstellung sicherzustellen. Darüber hinaus wird jedes Paket auf einem zusätzlichen Gerät getestet, das sowohl Antivirensignaturen als auch verhaltensbasiertes Scannen verwendet, um sicherzustellen, dass jedes Paket sicher und virenfrei ist.
Dieser Prozess wird von einem sekundären Ingenieur zur Qualitätssicherung manuell überprüft. Zu keinem Zeitpunkt kann ein einzelner Ingenieur erstellen und in der Bibliothek veröffentlichen. Sobald das Paket die sekundäre Validierung besteht, wird das Paket in die Paketbibliothek hochgeladen und in PDQ-Produkten verfügbar gemacht.
Maßgeschneiderte Pakete
Kunden können optional ihre eigenen Pakete erstellen und ihre eigene Software in PDQ Deploy & Inventory hochladen. PDQ gibt die von einem Kunden erstellten benutzerdefinierten Pakete nicht an andere PDQ Deploy & Inventory-Kunden weiter und stellt sie auch nicht auf andere Weise zur Verfügung. Der Kunde ist dafür verantwortlich, dass die von ihm erstellten Pakete sicher sind.