Die meisten Programme zur Endpunktsicherheit nach dem „ “-Ansatz scheitern nicht daran, dass es den Unternehmen an Tools mangelt. Sie scheitern, weil es keinen Rahmen gibt, um zu entscheiden, was Priorität hat, wer für was verantwortlich ist und wie nachgewiesen werden kann, dass die Strategie funktioniert.
Wenn Endpunkte sowohl verwaltete Geräte als auch nicht verwaltete OT-Systeme und Cloud-Workloads umfassen, führt die uneinheitliche Zuständigkeit dazu, dass jeder Vorfall zu einem Koordinationsproblem wird. In diesem Artikel wird erläutert, wie Sie Endpoint-Sicherheitsfunktionen aufeinander abstimmen, eine gemeinsame Verantwortlichkeit zwischen den Teams gestalten, relevante Ergebnisse messen und die Strategie an veränderte Rahmenbedingungen anpassen können.
Warum Endgerätesicherheitsprogramme scheitern, bevor sie überhaupt beginnen
Eine Endgerätesicherheitsstrategie ist ein strukturierter Plan, der festlegt, wie ein Unternehmen Endgerätesicherheitslösungen auswählt und einsetzt, um alle Geräte, die eine Verbindung zu seinem Netzwerk herstellen, zu schützen, zu überwachen und zu verwalten.
Der Plan umfasst in der Regel Richtlinien für den Gerätezugriff, die Erkennung von Bedrohungen, das Schwachstellenmanagement sowie die Reaktion auf Vorfälle im Bereich „ “ (). Ziel ist es, Risiken bei Laptops, Servern, Mobilgeräten, Cloud-Workloads und Systemen der Betriebstechnik (OT) zu minimieren.
Das Muster ist immer dasselbe: Die Investitionen in „ “-Tools übertreffen den Aufbau der organisatorischen Rahmenbedingungen, die für deren effektive Nutzung erforderlich sind.
In großen Unternehmen treten drei Fehlerarten immer wieder auf:
- Zersplitterte Zuständigkeiten für die Tools: Der IT-Betrieb ist für das Patch-Management und das Konfigurationsmanagement zuständig. Die Sicherheitsabteilung ist für die Erkennung und Reaktion zuständig.
- Keine Priorisierungslogik: Funktionen werden bereitgestellt, ohne dass eine klare Begründung dafür vorliegt, welche zuerst entwickelt werden sollten.
- Fehlender Bewertungsrahmen: Es werden Investitionen getätigt, doch niemand kann nachweisen, dass die Strategie das Risiko verringert.
In einer Infrastruktur dieser Größenordnung (verwaltete Windows-Geräte, nicht verwaltete OT-Systeme sowie Cloud-Workloads) wird jede Lücke in der Transparenz oder Zuständigkeit zu einem potenziellen Angriffspunkt – sei es durch Phishing, ungepatchte Sicherheitslücken oder falsch konfigurierte Systeme, die Angreifer ausnutzen können, bevor die Teams die Aktivitäten bemerken. Schon ein einziger erfolgreicher Phishing-Angriff kann einem Angreifer einen Zugang zu einem nicht überwachten Endgerät verschaffen. Von dort aus wird die seitliche Fortbewegung in der gesamten Umgebung deutlich einfacher.
Im weiteren Verlauf dieses Artikels wird auf die einzelnen Fehlerquellen direkt eingegangen, beginnend mit der Herausforderung hinsichtlich der Organisationsgestaltung, die die meisten Programme untergräbt, bevor sie richtig in Gang kommen.
Das Problem der Organisationsgestaltung
Die Endpunktsicherheit wird beeinträchtigt, wenn IT-Betriebs- und Sicherheitsteams unabhängig voneinander arbeiten. Die IT-Abteilung ist für die Installation von Patches, die Softwarebereitstellung und die Konfiguration zuständig. Die Sicherheitsabteilung ist zuständig für die Erkennung von Bedrohungen ( ), die Erkennung von Bedrohungen in Echtzeit ( ) sowie die Reaktion auf Sicherheitsvorfälle.
Jedes Team nutzt unterschiedliche Tools, hat Zugriff auf unterschiedliche Daten und berichtet an unterschiedliche Führungskräfte. In Unternehmen mit einem eigenen Security Operations Center (SOC) verschärft sich diese Fragmentierung noch, wenn den SOC-Analysten der Einblick in die Daten des IT-Betriebs fehlt. Sie können nicht feststellen, ob ein markierter Endpunkt gepatcht oder neu konfiguriert wurde.
Was nun folgt, ist vorhersehbar: Verzögerungen bei der Übergabe während eines Vorfalls. Auseinandersetzungen darüber, ob ein System auf dem neuesten Stand ist. Konkurrierende Prioritäten, die die Sanierung verzögern.
Um die Zersplitterung zu beheben, sind strukturelle Veränderungen erforderlich, nicht nur guter Wille. Die Vorteile einer „ “, bei der IT und Sicherheit zusammengeführt werden, sind hinreichend belegt. Die gemeinsame Verantwortung für gemeinsame Kennzahlen bedeutet, dass beide Teams für die Patch-Abdeckungsraten, die Endpunkt-Compliance-Werte und die durchschnittliche Zeit bis zur Behebung verantwortlich sind.
Wenn eine Kennzahl hinter den Erwartungen zurückbleibt, gehen beide Teams der Sache gemeinsam auf den Grund.
Gemeinsam genutzte Dashboards, die auf einer zentralisierten Ansicht der Endpunktdaten basieren, verhindern widersprüchliche Berichte. Wenn die IT-Abteilung einen bestimmten Patch-Status sieht und die Sicherheitsabteilung einen anderen, schwindet das Vertrauen. Eine einzige zuverlässige Informationsquelle beseitigt diese Reibungsverluste.
Auch festgelegte Eskalationswege für Prioritätskonflikte sind von Bedeutung. Wenn die Sicherheitsabteilung die sofortige Bereitstellung eines Notfall-Patches verlangt und die IT-Abteilung ein Änderungsfenster benötigt, um Betriebsunterbrechungen zu vermeiden, verhindert ein im Voraus vereinbarter Eskalationsprozess, dass diese Pattsituation die Reaktion verzögert.
Die Frage zur Organisationsgestaltung lautet nicht: „Wie können wir eine bessere Zusammenarbeit zwischen der IT-Abteilung und der Sicherheitsabteilung erreichen?“ Die Frage lautet: „Durch welches Eigentumsmodell, welche Datenarchitektur und welchen Eskalationsprozess wird Zusammenarbeit zur Standardvorgehensweise?“ Sobald diese Struktur etabliert ist, wird die Reihenfolge der Maßnahmen zur nächsten strategischen Entscheidung.
Ein Rahmenkonzept für die Abfolge von Fähigkeiten
Nicht alle Funktionen zur Endpunktsicherheit bieten in jeder Phase der Programmreife den gleichen Nutzen. Werden diese in der falschen Reihenfolge umgesetzt, entstehen Lücken, die spätere Investitionen untergraben. Das nachstehende Ablaufschema basiert auf einer Abhängigkeitslogik, bei der jede Funktion von der ihr vorausgehenden abhängt.
Rahmenkonzept für die Abfolge von Fähigkeiten
Was Sie nicht sehen können, können Sie auch nicht reparieren, überwachen oder schützen. Die Bestandserfassung identifiziert jeden Endpunkt, der eine Verbindung zu Ihrer Umgebung herstellt, einschließlich verwalteter Geräte, nicht verwalteter Systeme und Schatten-IT.
Auf Unternehmensebene bedeutet die Erfassung von Assets eine kontinuierliche Erfassung und keine periodischen Scans. Dazu gehören OT-Geräte und IoT-Geräte (von Sensoren in der Fertigung bis hin zu intelligenten Gebäudesystemen) sowie Smartphones, Container und kurzlebige Cloud-Workloads, die von herkömmlichen Tools häufig übersehen werden.
Dies gilt insbesondere für „Bring Your Own Device“ (BYOD)-Umgebungen, in denen private Geräte möglicherweise gar nicht in einem herkömmlichen Anlagenverwaltungssystem erfasst werden.
- Verwaltete Geräte
- OT-/IoT-Systeme
- Cloud-Workloads
- BYOD
- Behälter
Warum Sequenzierung wichtig ist: Die Abdeckungsraten von Patches verlieren ihre Aussagekraft, wenn nicht 15 % der Endgeräte erfasst sind. Die nachgelagerten Funktionen sind auf diese Grundlage angewiesen: Ohne eine vollständige Bestandsaufnahme der „ “-Assets müssen sie letztendlich mit unvollständigen Daten arbeiten.
Jeder Schritt baut auf dem vorherigen auf. Die nicht sequenzielle Bereitstellung von Funktionen führt zu Lücken, die alles, was danach folgt, untergraben. Die richtige Reihenfolge entscheidet darüber, ob sich diese Investitionen gegenseitig verstärken oder behindern.
Nachdem die Funktionen nun aufeinander abgestimmt sind, besteht die nächste Herausforderung darin, sicherzustellen, dass die IT- und Sicherheitsteams auf der Grundlage derselben Daten arbeiten.
Schaffung gemeinsamer Verantwortung und einer einzigen zuverlässigen Informationsquelle
Das zuvor beschriebene Organisationsmodell funktioniert nur, wenn beide Teams auf der Grundlage derselben Daten arbeiten. „Ist es bereits gepatcht?“ Das sollte eine Tatsache sein, keine Debatte. Eine einzige Quelle der Wahrheit bedeutet eine einzige Endpunkt-Datenschicht, auf die beide Teams zugreifen.
Im Idealfall bietet eine zentralisierte Verwaltungskonsole dem IT-Betrieb und der IT-Sicherheit einen einheitlichen Überblick über den Status der Endgeräte, die Einhaltung von Richtlinien und aktive Warnmeldungen, ohne dass ein Wechsel zwischen verschiedenen Konsolen erforderlich ist. Durch den Einblick in den aktuellen Status der Endgeräte wird die Verzögerung zwischen „Wir haben den Patch bereitgestellt“ und „Wir haben die Installation bestätigt“ beseitigt.
In der Praxis bedeutet „gemeinsame Zuständigkeit“, dass die IT- und die Sicherheitsabteilung für jeden Endpunkt auf dieselben Daten zum aktuellen Status zugreifen können. Die automatisierte Installation von Patches, die Durchsetzung von Konfigurationen und die Weiterleitung von Warnmeldungen erfolgen gemäß den Richtlinien, auf die sich beide Teams geeinigt haben. Die Maßnahmen zur Behebung von Sicherheitslücken sind nachverfolgbar, sodass beide Teams überprüfen können, was wann geschehen ist.
Gemeinsam genutzte Daten ermöglichen eine gemeinsame Rechenschaftspflicht. Verantwortlichkeit setzt jedoch eine Messung voraus.
So überprüfen Sie, ob Ihre Strategie tatsächlich funktioniert
Der Einsatz von Kapazitäten ist nicht gleichbedeutend mit einer Risikominderung. Datenschutzverletzungen, behördliche Sanktionen und Betriebsstörungen sind die Folgen, die Vorstände und Führungskräfte zu verhindern versuchen. Metriken stellen eine Verbindung zwischen Ihrer technischen Arbeit und diesen geschäftlichen Belangen her.
Der Prozentsatz der Agentenbereitstellung ist die grundlegende Kennzahl. Liegt dieser Wert nicht über 95 %, basieren alle anderen Kennzahlen auf unvollständigen Daten. Sie können die Patch-Abdeckung auf Endgeräten, die Sie nicht sehen können, nicht messen.
Die Umsetzung technischer Kennzahlen in eine Sprache, die die Risikominderung verdeutlicht, erleichtert die Berichterstattung an die Geschäftsleitung. „Patch-Abdeckungsrate“ wird in einem Bericht an den Vorstand zu „Prozentsatz der bekannten Sicherheitslücken, die innerhalb der SLA behoben wurden“. „Die „Mean Time to Repair“ (MTTR)" wird zur „durchschnittlichen Zeit bis zur Eindämmung bestätigter Bedrohungen“.
Die Kennzahlen belegen, dass die Strategie funktioniert. Zudem unterstützen sie die Compliance-Berichterstattung, bei der die Endgerätesicherheit mit den gesetzlichen Anforderungen in Verbindung steht.
Die Verknüpfung des Sicherheitsstatus von Endgeräten mit der Compliance
In Compliance-Rahmenwerken wird nicht gefragt: „Verfügen Sie über Tools zur Endpunktsicherheit?“ Sie fragen: „Können Sie nachweisen, dass konkrete Kontrollmaßnahmen vorhanden sind und wirksam funktionieren?“
Die Zuordnung von Endpunkt-Sicherheitsfunktionen zu den Kontrollmaßnahmen des Rahmenwerks vereinfacht die Vorbereitung auf Audits und die Berichterstattung an die Geschäftsleitung. Rahmenwerke für Cybersicherheit: Ein vereinfachter Leitfaden zur Einhaltung von Vorschriften erläutert, wie Kontrollmaßnahmen mit gängigen Standards in Einklang stehen. Das Patch-Management entspricht direkt der CIS-Kontrolle 7 (Continuous Vulnerability Management) in den CIS-Kontrollen v8, und ein ausgereiftes Patch-Management-Programm mit messbaren Abdeckungsraten erfüllt diese Kontrolle.
Die Prüfer erwarten Protokolle zur Bereitstellung von Patches, Abdeckungsquoten nach Schweregrad sowie dokumentierte Ausnahmen.
Die kontinuierliche Endpunktüberwachung „ “ entspricht der Funktion „Detect“ (DE.CM) des NIST Cybersecurity Framework (CSF). Die Echtzeit-Endpunkt-Telemetrie unterstützt die Kategorie „Kontinuierliche Überwachung“.
„Kontinuierlich“ bedeutet eine Echtzeitüberwachung des Endpunktstatus und keine periodischen Scans, bei denen Lücken zwischen den Erfassungsfenstern entstehen. Prüfer unterscheiden zwischen Tools, die Momentaufnahmen liefern, und Plattformen, die Daten zum aktuellen Stand bereitstellen.
Vorstände legen Wert auf Risikominderung, nicht auf den Bestand an Werkzeugen. Formulieren Sie Kennzahlen in geschäftlichen Begriffen: „In diesem Quartal haben wir 94 % der kritischen Sicherheitslücken innerhalb unserer 72-Stunden-SLA behoben.“ Oder: „Die durchschnittliche Zeit bis zur Eindämmung bestätigter Bedrohungen sank von 18 Stunden auf 6 Stunden.“
Die Lücke zwischen „eingesetzten Tools“ und „wirksamer Strategie“ ist der Bereich, in dem Verstöße gegen Compliance-Vorgaben auftreten und in dem Cyberangriffe Fuß fassen können. Durch die Messung wird diese Lücke geschlossen, indem den Teams die erforderlichen Belege an die Hand gegeben werden, um nachzuweisen, dass die Kontrollmaßnahmen nicht nur eingeführt, sondern auch wirksam sind. Die Compliance-Anforderungen entwickeln sich weiter, ebenso wie die Rahmenbedingungen. Der letzte Schritt besteht darin, eine Strategie zu entwickeln, die sich anpasst.
Wie Sie Ihre Strategie an veränderte Rahmenbedingungen anpassen können
Eine Strategie zur Endgerätesicherheit ist kein einmaliges Projekt. Umgebungen lassen sich skalieren. Cyberbedrohungen werden immer raffinierter und schneller. Die regulatorischen Anforderungen ändern sich. Die Strategie muss Schritt halten.
Strategieüberprüfungen sind mindestens einmal jährlich sinnvoll. Führen Sie diese außerdem nach schwerwiegenden Vorfällen, erheblichen Veränderungen der Rahmenbedingungen oder neuen gesetzlichen Anforderungen durch. e Vorgehensweisen im Bereich des Endpunktsicherheitsmanagements können als Orientierungshilfe dienen, welche Aspekte in den einzelnen Phasen zu überprüfen sind.
Die aus der Reaktion auf Vorfälle gewonnenen Erkenntnisse können dazu beitragen, die Prioritäten hinsichtlich der Fähigkeiten über die Aktualisierung von Playbooks hinaus anzupassen. Sollte sich bei einem Vorfall herausstellen, dass bei der Bestandsaufnahme eine Geräteklasse nicht erfasst wurde, handelt es sich dabei um eine Lücke in der Abfolge der Schritte und nicht lediglich um eine prozessbezogene Lücke.
Mit zunehmender Reife des Programms führen sich überschneidende Werkzeuge zu Komplexität, ohne einen entsprechenden Mehrwert zu schaffen. Prüfen Sie die Möglichkeit einer Konsolidierung, wenn mehrere Tools ähnliche Telemetriedaten liefern, ohne dass eine Integration vorhanden ist. Führen Sie zudem eine Konsolidierung durch, wenn Teams mehr Zeit damit verbringen, zwischen Konsolen zu wechseln, als mit der Untersuchung.
Kennzahlen in der Anfangsphase konzentrieren sich auf die Abdeckung (Prozentsatz der Agentenbereitstellung, Patch-Abdeckungsrate). Ausgereifte Programme erfassen Kennzahlen wie die durchschnittliche Zeit bis zur Erkennung ( , MTTD), die durchschnittliche Reparaturzeit (MTTR) sowie Trends bei der Dauer der Sicherheitslücken. Verlagern Sie den Schwerpunkt der Messung, sobald sich die Fähigkeiten weiterentwickeln.
Die Strategieentwicklung ist ein Steuerungsprozess mit festgelegten Verantwortlichen und einem festgelegten Rhythmus – und kein bloßes Ziel. Planen Sie Überprüfungen ein. Weisen Sie Verantwortlichkeiten zu. Halten Sie Entscheidungen schriftlich fest.
Wie Tanium eine Endgerätesicherheitsstrategie unterstützt, die auf Echtzeit-Informationen basiert
Eine solche Strategie hängt davon ab, dass mehrere Faktoren gleichzeitig günstig zusammenkommen. Teams benötigen einen genauen und aktuellen Überblick darüber, welche Prozesse in ihrer Umgebung in großem Maßstab ausgeführt werden. Der IT-Betrieb und die IT-Sicherheit müssen auf der Grundlage derselben Daten arbeiten, anstatt die Ergebnisse verschiedener Tools miteinander abzugleichen.
Die Kennzahlen, die belegen, dass die Strategie funktioniert, erfordern eine Datenquelle, die den tatsächlichen Zustand der Endgeräte widerspiegelt. Dazu gehören die Patch-Abdeckungsrate, die MTTD und die durchschnittliche Reaktionszeit. Sie sollten sich nicht auf die Daten des letzten planmäßigen Scans verlassen.
Die „ “ Tanium Autonomous IT Platform erfüllt diese Anforderungen durch eine einzige, einheitliche Plattform für die Verwaltung von Endgeräten ( ), das Risikomanagement (Exposure Management) und den Sicherheitsbetrieb (Security Operations). Es ermöglicht die Erfassung und Bestandsaufnahme von Ressourcen in Echtzeit und bietet den Teams damit eine aktuelle Übersicht darüber, was vorhanden ist, was läuft und in welchem Zustand sich die Ressourcen befinden. Da der IT-Betrieb und die IT-Sicherheit auf derselben Plattform und denselben Daten basieren, vermeiden die Teams Verzögerungen bei der Übergabe sowie widersprüchliche Informationen.
Drei zentrale Funktionen von Tanium tragen direkt dazu bei:
- Echtzeit-Transparenz als Ausgangspunkt: Die „Linear Chain Architecture“ von Tanium fragt Endgeräte innerhalb von Sekunden ab (keine Stichproben, keine veralteten Scans), sodass Teams den Zustand der Assets anhand von Live-Daten beurteilen können.
- Eine gemeinsame Plattform für IT-Betriebs- und Sicherheitsteams: Eine einzige Plattform verringert die Fragmentierung und beschleunigt die Reaktionszeiten, da die Teams auf der Grundlage derselben Daten arbeiten können.
- Kontinuierliche Daten für aussagekräftige Messungen: Echtzeit-Endpunktdaten ermöglichen präzise Messwerte ohne Verzögerungen beim Scanvorgang.
Und dies wirkt sich unmittelbar auf den Betrieb aus. So verwaltet beispielsweise Best Buy mithilfe von Tanium in Verbindung mit Microsoft rund 120 000 Endgeräte, wobei die durchschnittliche Zeit bis zur Behebung aktiver Vorfälle Berichten zufolge um fast 20 % reduziert werden konnte.
Auch wenn Endpunktumgebungen immer dezentraler werden, bleibt die Grundlage für jede wirksame Strategie dieselbe: aktuelle Daten und ein gemeinsamer Kontext. Diese Grundlage ist es, die „ “ – kontinuierliche Endpunkt-Sicherheit – vom Wunschziel zur betrieblichen Realität werden lässt. Die Möglichkeit, auf diese Daten zu reagieren, ohne die Konsole zu wechseln oder auf Scans zu warten, macht dies erst möglich.
Häufig gestellte Fragen zur Entwicklung einer wirksamen Endgerätesicherheitsstrategie
Die folgenden Fragen befassen sich mit typischen Entscheidungspunkten, die auftreten, wenn Unternehmen von der Planungsphase zur Umsetzungsphase übergehen. Sie konzentrieren sich auf die Reihenfolge der Schritte, die Auswahl der Werkzeuge und die Klärung von Begriffen, die in der Marketingkommunikation der Anbieter häufig verwechselt werden.
Was sind die drei wichtigsten Schritte der Endgerätesicherheit?
Die drei grundlegenden Schritte sind die Erfassung und Bestandsaufnahme von Systemressourcen, das Schwachstellen- und Patch-Management sowie die Durchsetzung von Konfigurationsvorgaben.
Was ist eine häufig verwendete Technik zur Endpunktsicherheit?
Endpoint Detection and Response (EDR) überwacht die Aktivitäten an Endgeräten in Echtzeit, um verdächtiges Verhalten zu erkennen und die Untersuchung zu unterstützen. Dies funktioniert am besten, wenn es auf einer lückenlosen Transparenz der Ressourcen und einer Verringerung der Angriffsfläche durch die Installation von Patches basiert.
Was ist der Unterschied zwischen EDR und XDR?
EDR überwacht die Aktivitäten an den Endgeräten, um Bedrohungen zu erkennen und darauf zu reagieren. XDR-Plattformen (Extended Detection and Response) integrieren Telemetriedaten von Endgeräten, Netzwerken und Cloud-Workloads, um eine umfassendere Korrelation von Bedrohungen zu ermöglichen.
Wie wählen Sie ein EDR-Tool aus?
Die Auswahl des Tools hängt davon ab, ob Ihr Unternehmen zuvor bereits ein vollständiges Bestandsverzeichnis der Anlagen und eine lückenlose Patch-Abdeckung erstellt hat. EDR funktioniert am besten, wenn es auf einer Grundlage präziser Transparenz und einer reduzierten Angriffsfläche aufbaut, und nicht als Ersatz für grundlegende Sicherheitsmaßnahmen.
Die Entwicklung einer Endpunkt-Sicherheitsstrategie, die auf Unternehmensebene funktioniert, erfordert mehr als nur die Einführung von Technologie. Dies erfordert die Fähigkeit zur Priorisierung, die Schaffung einer gemeinsamen Verantwortung zwischen IT und Sicherheit, die Messung der Ergebnisse sowie die Anpassung der Strategie an sich ändernde Rahmenbedingungen.
Unternehmen, denen dies gelingt, agieren mit größerer Zuversicht. Sie können nachweisen, dass ihre Strategie Risiken mindert und nicht lediglich das Budget belastet.
Vereinbaren Sie eine Demo unter , um zu erfahren, wie die Echtzeit-Transparenz und -Kontrolle von Tanium die Endpunktsicherheitsstrategie in großem Maßstab unterstützt.
