Richtlinien, Vererbung und Überschreibungen

Richtlinien für Kinder erben ihre Einstellungen von ihren übergeordneten Richtlinien. Dies ermöglicht es Ihnen, einen Richtlinienbaum zu erstellen, der mit einer Basis-Elternrichtlinie beginnt, die mit Einstellungen und Regeln konfiguriert ist, die für alle Computer gelten. Diese übergeordnete Richtlinie kann dann eine Reihe von Kinder- und weiteren Nachkommenrichtlinien haben, die schrittweise spezifischere gezielte Einstellungen haben. Ihre Richtlinienbäume können auf jedem Klassifizierungssystem basieren, das zu Ihrer Umgebung passt. Zum Beispiel hat der Richtlinienbaum, der mit Server- und Workload Protection geliefert wird, Zweige, die für bestimmte Betriebssysteme entwickelt wurden. Der Windows-Zweig hat weitere Kinderrichtlinien für verschiedene Untertypen von Windows-Betriebssystemen.

Im Windows-Richtlinien-Editor auf der Überblick-Seite können Sie sehen, dass die Windows-Richtlinie als untergeordnete Richtlinie von Base Policy erstellt wurde. Die Anti-Malware-Einstellung der Richtlinie ist Inherited (Off):

Dies bedeutet, dass die Einstellung vom übergeordneten Base Policy geerbt wird und dass, wenn Sie die Anti-Malware-Einstellung im Base Policy von Aus auf Aktiviert ändern würden, sich die Einstellung auch in der Windows-Richtlinie ändern würde. (Die Windows-Richtlinieneinstellung würde dann Inherited (On) lauten. Der Wert in Klammern zeigt Ihnen immer, was die aktuelle geerbte Einstellung ist.)

Die Seite Overrides zeigt Ihnen, wie viele Einstellungen auf dieser Richtlinien- oder spezifischen Computer-Ebene überschrieben wurden. Um die Überschreibungen auf dieser Ebene rückgängig zu machen, klicken Sie auf die Schaltfläche Entfernen.

In diesem Beispiel ist die Windows Server-Richtlinie eine untergeordnete Richtlinie der Windows-Richtlinie. Hier wird die Anti-Malware-Einstellung nicht mehr geerbt; sie wird überschrieben und fest auf Aktiviert gesetzt.

Die Regeln zum Eindringschutz, die in dieser Richtlinie enthalten sind, sind Kopien der von Server- und Workload Protection gespeicherten Regeln zum Eindringschutz, die für die Verwendung durch andere Richtlinien verfügbar sind. Wenn Sie die Eigenschaften einer bestimmten Regel ändern möchten, haben Sie zwei Möglichkeiten: Ändern Sie die Eigenschaften der Regel global, sodass die von Ihnen vorgenommenen Änderungen auf alle Instanzen angewendet werden, in denen die Regel verwendet wird, oder ändern Sie die Eigenschaften lokal, sodass die von Ihnen vorgenommenen Änderungen nur lokal gelten. Der Standardbearbeitungsmodus in einem Computer- oder Richtlinieneditor ist Lokal. Wenn Sie auf Eigenschaften in der Symbolleiste des Bereichs Assigned Intrusion Prevention Rules klicken, gelten alle Änderungen, die Sie im erscheinenden Eigenschaftenfenster vornehmen, nur lokal. (Einige Eigenschaften wie der Regelname können nicht lokal, sondern nur global bearbeitet werden.)

Ein Rechtsklick auf eine Regel zeigt ein Kontextmenü an, das Ihnen die zwei Optionen für den Bearbeitungsmodus der Eigenschaften bietet: Die Auswahl von Eigenschaften öffnet das lokale Editorfenster und Properties (Global) öffnet das globale Editorfenster.

Die meisten der gemeinsam genutzten Objekte in Server- und Workload Protection können auf jeder Ebene der Richtlinienhierarchie bis hinunter zur Ebene des einzelnen Computers überschrieben werden.

Sie können jederzeit zusätzliche Regeln auf jeder Richtlinien- oder Computerebene zuweisen. Regeln, die auf einer bestimmten Richtlinien- oder Computerebene wirksam sind, weil ihre Zuweisung von einer übergeordneten Richtlinie geerbt wurde, können jedoch nicht lokal aufgehoben werden. Sie müssen auf der Richtlinienebene aufgehoben werden, auf der sie ursprünglich zugewiesen wurden.

Sie können die Anzahl der Einstellungen, die in einer Richtlinie oder auf einem Computer überschrieben wurden, auf der Seite Overrides im Computer- oder Richtlinien-Editor einsehen:

Überschreibungen werden vom Schutzmodul angezeigt. Sie können System- oder Modulüberschreibungen rückgängig machen, indem Sie auf die Schaltfläche Entfernen klicken.