Ein kurzer Rückblick
Wenn man auf das Jahr 2015 zurückblickt, lässt sich kaum bestreiten, dass die Sicherheitsbranche mit Produkten für die Endpunkt-Erkennung und -Reaktion ( , EDR) überschwemmt wurde. Wenn Sie auf einer beliebigen Konferenz durch die Ausstellerhallen schlendern oder sich die Whitepaper und Marketingpräsentationen auf den Websites der Anbieter ansehen, werden Sie feststellen, dass sich dieselben Behauptungen bis zum Überdruss wiederholen: „Vorbeugen, Erkennen und Reagieren“ im „Unternehmensmaßstab“ und in „Echtzeit“. Fügen Sie zur Abrundung noch die obligatorischen Verweise auf „Anomalieerkennung“, „Bedrohungsinformationen“ und „APTs“ hinzu.
Es ist kein Wunder, dass so viele Unternehmen Schwierigkeiten haben, die Anbieter einzugrenzen und zu bewerten. Auf Ausschreibungen folgen vage oder übertriebene Antworten. Demos und kleine Proof-of-Concept-Versuche mit inszenierten Angriffsszenarien können jedes Produkt wirkungsvoll erscheinen lassen. Wie jede Unternehmenslösung zeigen auch EDR-Tools ihre wahren Stärken und Schwächen erst im Laufe der Zeit und erst dann, wenn sie vollständig in realen, komplexen und unübersichtlichen Netzwerken implementiert sind.
Meine Rolle bei Tanium lässt es möglicherweise nicht zu, dass ich einen wirklich herstellerneutralen Standpunkt einnehme; da ich jedoch über ein Jahrzehnt lang als Berater tätig war und Sicherheitsbewertungen, Untersuchungen im Rahmen der Incident Response sowie Abhilfemaßnahmen durchgeführt habe, versuche ich stets, die Kriterien im Blick zu behalten, die für mich als Praktiker am wichtigsten gewesen wären.
Ich möchte mich hier auf drei grundlegende Eigenschaften konzentrieren, die die Wirksamkeit jeder EDR-Lösung beeinflussen: den Umfang der bereitgestellten Daten, die Leistung und Skalierbarkeit sowie die Flexibilität.
Welchen Datenumfang bietet die Lösung?
Der Umfang und die Aktualität der Daten, die ein Endpunktprodukt durchsuchen, analysieren oder erfassen kann, bilden den absoluten Kern seiner Funktionen. Nahezu jedes EDR-Produkt wirbt mittlerweile mit einer „unternehmensweiten Suche“, doch die entscheidende Frage lautet: „Nach welchen Informationen?“ Bei vielen Lösungen werden erhebliche Kompromisse hinsichtlich des Umfangs der verfügbaren Daten eingegangen, um die Skalierbarkeit oder die Leistung zu verbessern. Stellen Sie sich vor, Google würde Nutzern nur erlauben, den Inhalt von Websites zu durchsuchen, die es in den letzten 30 Tagen indexiert hat; oder umgekehrt, wenn es einen unbegrenzten Suchzeitraum anbieten würde, jedoch nur für die Titel-Tags beliebter Webseiten?
Endpunktdaten lassen sich grob in zwei Bereiche unterteilen: historische Daten und Daten zum aktuellen Zustand. Warum sind beide wichtig? Produkte, die kontinuierlich Endpunkt-Telemetriedaten erfassen – wie beispielsweise Datei-E/A, Netzwerkverbindungen, Prozessausführung, Anmeldevorgänge oder Änderungen an der Registrierungsdatenbank –, erfreuen sich bei der Erkennung und Behebung von Vorfällen zunehmender Beliebtheit. Wie ich bereits anlässlich der Einführung von Tanium Trace in meinem Blog geschrieben habe, kann diese Funktion den Aufwand für die Einstufung eines Hinweises, die Generierung von Warnmeldungen oder die Untersuchung eines Systems beschleunigen und vereinfachen. Es bewahrt und ergänzt Artefakte, die andernfalls aufgrund von Lücken in den forensischen Beweisen verloren gehen könnten, und verringert die Häufigkeit der Datenabfrage, die zur Identifizierung und Aufzeichnung kurzlebiger Ereignisse erforderlich ist.
Sich jedoch ausschließlich auf ein gleitendes Fenster historischer Daten zu stützen, bringt erhebliche Einschränkungen mit sich – insbesondere bei der Suche in großem Maßstab. Solche Lösungen schränken sowohl den Zeitraum, über den Daten aufbewahrt werden, als auch den Umfang der für Warnmeldungen und Analysen verfügbaren Daten ein. Was nicht erfasst ist, können Sie nicht finden.
Um diesen enger gefassten Informationsumfang zu ergänzen, erfordert eine effektive Erkennung und Reaktion auf Vorfälle zudem den bedarfsgerechten Zugriff auf aktuelle Zustandsdaten aller Systeme. Das bedeutet, dass man in der Lage sein muss, flüchtige Artefakte, die gerade auftreten, zu suchen oder zu erfassen. Es gibt unzählige Beispiele, auf die ich bei meinen Ermittlungen gestoßen bin: Wo ist ein kompromittiertes lokales Administratorkonto derzeit angemeldet? Auf welchen Systemen ist derzeit eine schädliche DLL im Speicher geladen?
Zu den Daten zum aktuellen Zustand gehören auch latente Artefakte, die sich in letzter Zeit nicht verändert haben oder die nicht unter den Geltungsbereich der historischen Aufbewahrung fielen, jedoch für die Abgrenzung eines Vorfalls von entscheidender Bedeutung sein können. Stellen Sie sich vor, Sie müssten die gesamte Umgebung nach beliebigen Dateitypen „im Ruhezustand“ anhand ihres Namens oder Hashwerts durchsuchen; nach einem Registrierungswert, der seit einem Jahr nicht mehr geändert wurde; oder nach einem eher seltenen forensischen Artefakt wie Daten im WMI-Repository. Was ist, wenn Sie die Lösung installieren müssen, nachdem die Systeme bereits kompromittiert wurden? Die Arbeit mit einem begrenzten Datenumfang führt unweigerlich zu blinden Flecken und Sackgassen bei den Ermittlungen.
Wie steht es um die Leistung und Skalierbarkeit der Lösung?
Nahezu jeder EDR-Anbieter verspricht eine Form von „Echtzeit“-Geschwindigkeit, die sich auf „Zehntausende“ von Endpunkten skalieren lässt. In der Praxis ist es leider leicht, durch geschickte Ausflüchte die tatsächlichen Leistungs- und Skalierbarkeitsgrenzen eines Produkts zu verschleiern, insbesondere wenn sich der Bewertungsprozess auf kleine Testlabore beschränkt. Wie kann ein Unternehmen sicherstellen, dass ein EDR-Produkt leistungsfähig genug ist, um seinen Anwendungsfällen gerecht zu werden? Entscheidend ist es, bei der Bewertung von Geschwindigkeit und Umfang einen ganzheitlicheren Ansatz zu verfolgen.
Betrachten Sie zunächst die Interaktionsmöglichkeiten, die die Lösung bietet. Zu den passiven Arbeitsabläufen gehören die Ad-hoc-Suche („Wo befindet sich dieser Hash?“), die Erkennung und Alarmierung („Wurde ein IOC erkannt oder eine Regel ausgelöst?“) sowie die Datenerfassung zur Anomalieanalyse („Alle Autoruns abrufen und nach Häufigkeit der Vorkommen sortieren.“) Aktive Workflows beinhalten Änderungen an Systemen, sei es die Verhängung einer Quarantäne, das Beenden eines Prozesses, das Entfernen von Schadsoftware oder die Behebung einer Konfigurationsschwachstelle.
Stellen Sie als Nächstes den Umfang der Daten dar, die für jede dieser Interaktionsarten zur Verfügung stehen. Umfasst dies auch historische Aktivitäten? Aktuelle Tätigkeit? Latente Dateien oder andere Artefakte im Ruhezustand? Bewerten Sie abschließend die Leistung und Skalierbarkeit der Lösung anhand jeder dieser Kriteriengruppen. Einige Lösungen bieten zwar unternehmensweiten Zugriff auf einen Bestand an historischen Daten, sind jedoch nicht in der Lage, aktuelle oder latente Daten in großem Maßstab problemlos zu verarbeiten (und umgekehrt). Dauern Abfragen oder Vorgänge bei manchen Aufgaben nur Sekunden, bei anderen hingegen Stunden?
Unternehmen sollten zudem den Platzbedarf der Infrastruktur sowie die Kosten bewerten, die für den Betrieb der Lösung auf dem gewünschten Leistungs- und Skalierungsniveau anfallen. Bei lokal installierten Lösungen, die horizontal skalierbar sind, steigen die Wartungskosten im Laufe der Zeit an, während die Effizienz abnimmt. Mehr Server bedeuten mehr potenzielle Ausfallstellen sowie die Notwendigkeit, die Architektur anzupassen und die Ressourcennutzung im Zuge des Wachstums der Umgebungen neu auszubalancieren.
Im Gegensatz dazu müssen bei cloudbasierten Lösungen die über das Internet übertragenen Datenmengen gesteuert werden. Dies führt dazu, dass man auf clientseitige Filter- und Auslösemechanismen angewiesen ist, die den Umfang der Endpunktdaten einschränken können, die auf Abruf oder rückwirkend verfügbar sind. Je nach den Anwendungsfällen in Ihrer Organisation könnten diese Zugeständnisse inakzeptabel sein.
Wie flexibel ist die Plattform?
Wir haben bereits betont, dass IR einen schnellen, skalierbaren Zugriff auf ein breites Spektrum an Endpunktdaten erfordert. Jedes EDR-Tool ist in der Lage, mit „zentralen“ forensischen Beweismitteln zu arbeiten: Prozessaktivitäten, Metadaten des Dateisystems, Netzwerkverbindungen, Kontoaktivitäten, betriebssystemspezifische Artefakte wie die Windows-Registrierung und so weiter. Doch ebenso wie sich die Angriffstechniken rasch weiterentwickeln, so verändern sich auch die Quellen für Beweismittel, die durch neue Betriebssystem-Updates, Anwendungen oder Entdeckungen von Forschern entstehen. Die Flexibilität einer EDR-Lösung wirkt sich unmittelbar darauf aus, wie schnell sie diese neuen Erkenntnisse einbeziehen kann.
Beim Vergleich von Produkten bitten viele Unternehmen lediglich um eine Auflistung der Funktionen und Leistungsmerkmale. Ich würde vorschlagen, noch einen Schritt weiter zu gehen, um zu verstehen, wie das Produkt in der Vergangenheit weiterentwickelt wurde und wie es sich voraussichtlich weiterentwickeln wird. Dazu kann die Beurteilung folgender Aspekte gehören:
- Bitten Sie darum, das Änderungsprotokoll des Produkts für das vergangene Jahr einzusehen, um das Entwicklungstempo einzuschätzen. Welche Arten von neuen Funktionen wurden hinzugefügt – und wie schnell?
- Überlegen Sie, wie die Software konzipiert ist und ob sich dadurch neue Datenquellen problemlos integrieren lassen oder neue Interaktionsmöglichkeiten mit Endgeräten entstehen. Wie viel Einfluss haben die Kunden? In welchen Fällen ist eine vom Hersteller bereitgestellte Agent-Aktualisierung erforderlich?
- Wie ist die Lage in der Nutzergemeinschaft? Gibt es andere Kunden, die Funktionen nutzen, die über die Standardfunktionen hinausgehen?
Überlegen Sie abschließend, inwieweit das Produkt den Aspekt „Response“ des Begriffs „EDR“ abdeckt. Taktische Abhilfemaßnahmen, wie das Beenden eines Prozesses oder die Isolierung eines Rechners im Netzwerk, sind bei den meisten Tools in diesem Bereich gang und gäbe (auch wenn sie sich hinsichtlich ihres Umfangs oder ihrer Fähigkeit zur Koordination solcher Maßnahmen unterscheiden mögen). Ebenso wichtig – und oft vernachlässigt – ist jedoch die Frage, ob die Lösung Systeme tatsächlich schützen, andere präventive Kontrollmaßnahmen ergänzen und die Angriffsfläche von Endgeräten verringern kann. Zu den wichtigsten Funktionen in diesem Bereich gehören die Durchsetzung von Kontrollen darüber, was über das Netzwerk ausgeführt oder übertragen werden darf, die Überprüfung und Absicherung von Sicherheitskonfigurationseinstellungen sowie die Aufrechterhaltung des Patch-Stands für Betriebssysteme und Anwendungen von Drittanbietern. Einfach ausgedrückt: Wenn eine EDR-Lösung Sie lediglich dabei unterstützt, Angriffe schneller zu erkennen und darauf zu reagieren, macht sie Ihr Unternehmen nicht wirklich widerstandsfähiger – sie hilft Ihnen nicht dabei, den Kreislauf wiederholter Sicherheitsverletzungen zu durchbrechen.
Das Testen, der Kauf und die Integration von Unternehmenssoftware sind niemals eine leichte Aufgabe. Zudem birgt jeder „Rip-and-Replace“-Vorgang bei einem Produkt, das die Erwartungen nicht erfüllt hat, erhebliche betriebliche Risiken und Kosten. Ich hoffe, dass einige der in diesem Blogbeitrag dargelegten Punkte Ihrem Unternehmen bei der Auswahl einer EDR-Lösung dabei helfen können, die richtigen Bewertungskriterien festzulegen, um das Produkt zu ermitteln, das Ihren Anforderungen am besten entspricht.
Ryan Kazanciyan, Chefarchitekt für Sicherheit
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
