Updating eines Virenscanners ohne Adminrechte - offline

Hi.

Kurzer Lösungsvorschlag für folgendes Szenario:

-Wir haben einen Rechner auszuliefern, der nicht vernetzt sein wird und auch keinen Internetzugang bekommt
-der Nutzer bekommt keine Adminrechte
-der Nutzer soll einen on-access-Virenscanner zur Verfügung haben, der mit Systemrechten läuft
-der Scanner soll vom Benutzer mittels Patterndatei vom Wechseldatenträger aktuell gehalten werden können

Wer diese 4 Punkte schon einmal selbst verwirklichen wollte, wird merken, dass das nicht ohne weiteres geht. Alle portablen Scanner, die ein Nutzer vom Wechseldatenträger aktuell aufspielen könnte, laufen mit Nutzerrechten und sind somit nur begrenzt handlungsfähig.

Lösung: man nehme Microsoft Security Essentials, bzw. auf win8.x/10 den Windows Defender.
Hier gibt es die offline-Patterndatei von https://www.microsoft.com/security/portal/definitions/adl.aspx
Damit ein Schuh draus wird, erstellen wir einen vom Nutzer startbaren geplanten Task, der eben diese Patterndatei mit Systemrechten silent ausführt aus einem definierten Ordner, in den der Nutzer das Ding kopieren kann. Bingo.

Damit es jetzt auch sicherheitstechnisch vollkommen wasserdicht ist, muss man sicherstellen, dass der Nutzer da nicht irgendetwas reinlegt. Somit müssen wir noch Applocker zur Hand nehmen und nur von Microsoft Zertifiziertes was auf diesen Namen "mpam-fe.exe" (im Falle der Security Essentials) hört, starten lassen.
Mittels software restriction policies (auf non-enterprise) wird die Umsetzung nicht genau so gelingen, da hier keine Regelgenauigkeit (Kombination von Zertifikat und Namen des Executables) wie bei Applocker erreicht werden kann. Immerhin kann man aber auch damit nur von MS Zertifiziertes zulassen.