Welche Endgeräte sollten geschützt werden?
- Computer, Laptops, Thin Clients
- Mobilgeräte, z.B. Smartphones und Tablets
- Internet of Things (IoT)-Geräte, z.B. Drucker und VoIP-Telefone
- Point-of-Sale (PoS)-Geräte, z. B. Bezahlterminals
- Sonstige Geräte, die mit einem Netzwerk verbunden sind
Bisher gängige Verfahren:
Anti-Virus
• Signatur-Scan: Die AV-Software erkennt jedes Programms und vergleicht ihn mit den ihm bekannten Programmen. Sollte eine Signatur einer Software mit dem eines schädlichen Programms übereinstimmt, wird es blockiert, gelöscht oder unter Quarantäne gestellt.
• Heuristischer Scan: Der heuristische Scan ermöglicht es, neue Viren zu identifizieren, die noch nicht in den Datenbanken der AV-Anbieter registriert sind. Dieser Scan basiert auf dem vermuteten Verhalten eines Programms. Wenn ein Programm gestartet wird, wird dessen Verhalten analysiert. Wenn einige seiner Aktionen verdächtig sind (Löschen von Dateien, Starten mehrerer Prozesse), wird eine Warnung an den Benutzer gesendet.
• Integritäts-Scan: In regelmäßigen Abständen wird ein Scan gestartet, um sicherzustellen, dass keine Datei geändert oder durch bösartige Software beschädigt wurde.
Limitierung: Die Anti-Virus-Software schützt nur gegen bekannte bösartige Software und Verhalten.
Endpoint Protection Platform (EPP)
Bietet zusätzlich zu den vorhandenen AV-Technologien folgendes:
• Verhaltenserkennung: Die Software erkennt vom Standard abweichendes Verhalten.
• Speicherüberwachung: Die Schutzsoftware analysiert in Echtzeit während der Verwendung eines Programms, ob dieses den Speicher des Systems oder eines anderen Programms verändert.
• Kompromissindikatoren (IoC): Die EPP identifiziert auf dem Rechner jede Datei oder jeden Registrierungsschlüssel, die dank der Bedrohungsintelligenz (menschliche Suche nach den letzten bekannten Angriffstypen) mit einem Angriff in Verbindung gebracht werden könnten.
Limitierung: Zusätzliche Software, welche weiterhin nur auf bisher bekannte Angriffe reagiert und entsprechende Angriffsszenarien blockiert.
Vorteile von Endpoint Detection and Response gegenüber üblichen Produkten
Die EDR-Lösung bietet die bisher gängigen Techniken und kombiniert diese mit zusätzlichen Maschinellem Lernen (ML), Künstlicher Intelligenz (KI), dauerhafter Datenanalyse basierend auf dem MITRE ATT&CK framework.
- Automatisierte Datenkorrelation in Kombination mit lokalem, automatisiertem Erlernen von validem und bösartigem Verhalten
- Echtzeiterkennung: automatisiertes Reagieren und Beheben von Bedrohungen
- Timeline des vollständigen Kontextes des Vorfalls: Vom ersten Indikator bis zum endgültigen Abschluss
