EDR-Tools – ebenso wie die ihnen vorausgegangenen Produkte zur forensischen Analyse – lassen sich an zahlreiche Anwendungsfälle anpassen, in denen EPP an seine Grenzen stößt. Eine effektive Endpunktsicherheitsstrategie von umfasst jedoch eigenständige EDR- und EPP-Lösungen, damit Sie auf die Vielzahl von Vorfällen reagieren können, die in jeder Unternehmensumgebung häufig auftreten.
(Bild: Macedo Media/Pixabay)
Der heutige Markt für Endpunktsicherheit ist überfüllt mit Endpoint Protection Platform (EPP)-Lösungen, die in gewissem Umfang auch Funktionen der Endpoint Detection and Response (EDR) bieten, EDR-Lösungen , die in gewissem Umfang auch EPP-Funktionen abdecken, sowie „veralteten“ Antivirenlösungen, die darum ringen, ihre Position zu behaupten und mit neuen Wettbewerbern Schritt zu halten. Zwar planen laut 70 % der Unternehmen, ihre Ausgaben für Cybersicherheit zu erhöhen (wird in einem neuen Tab geöffnet), wobei die Endpunktsicherheit einen Schwerpunkt darstellt, doch führen der endlose Strom neu bekannt gewordener Angriffe in Verbindung mit kühnen und aggressiven Versprechungen der Anbieter zu Unsicherheit und Frustration. Genau diese Faktoren haben auch zur Entwicklung zahlreicher Sicherheitsprodukte geführt, bei denen wohl falsche Kompromisse hinsichtlich Design und Funktionalität eingegangen wurden, um zunächst die breite Masse anzusprechen.
Das Bestreben, die Endpunktsicherheit zu vereinfachen – und den architektonischen Einschränkungen vieler Tools Rechnung zu tragen – hat zu einer übermäßigen Abhängigkeit von forensischer Telemetrie geführt. Nahezu alle Produkte in diesem Bereich (einschließlich Tanium Threat Response) bieten eine clientseitige „Black Box“, die Ereignisse auf Betriebssystemebene kontinuierlich aufzeichnet: Prozessausführung, Netzwerkverbindungen, Dateioperationen und so weiter. Diese Art von Daten kann sowohl für die nachträgliche Untersuchung von Angriffen als auch für die Erkennung und Abwehr unerwünschter Aktivitäten von unschätzbarem Wert sein.
Endpunkte enthalten jedoch auch unzählige weitere Artefakte, die zwar außerhalb des Geltungsbereichs einer solchen Telemetrie liegen, für viele gängige Erkennungs- und Reaktionsverfahren jedoch nach wie vor von entscheidender Bedeutung sind. Bedenken Sie die Notwendigkeit, Protokolle dezentraler Anwendungen (beispielsweise solche, die von Webservern generiert werden) auf ein bestimmtes Angriffsmuster zu untersuchen oder eine umfassende Suche in großen Datenmengen durchzuführen, wie etwa in Dateien, die auf der Festplatte gespeichert sind. Effektive EDR-Tools kombinieren den unternehmensweiten Zugriff auf historische Telemetriedaten mit Informationen zum aktuellen Systemzustand, die systemübergreifend verteilt sind.
In der Praxis habe ich mehrere häufige Einschränkungen bei den EDR-Funktionen festgestellt, die von Tools bereitgestellt werden, die in erster Linie für EPP entwickelt wurden. Das erste tritt auf, wenn ein EPP-Tool in einer neuen Umgebung oder auf einer Reihe von Systemen eingesetzt wird, die bereits kompromittiert wurden. Endpunkt-Telemetrie, Warnmeldungen und präventionsbasierte Arbeitsabläufe helfen Ihnen lediglich bei wiederkehrenden oder neuen Ereignissen. Diese Tools bieten keine Unterstützung bei bereits vorhandenen Beweismitteln, die möglicherweise vom Betriebssystem und von Anwendungen nativ gespeichert werden. Möglicherweise müssen Sie die Ereignisprotokolle des Betriebssystems, Artefakte wie Prefetch-Datensätze oder bereits vor langer Zeit erstellte, ruhende Dateien durchsuchen. Ohne diese Fähigkeit besteht die Gefahr, dass Sie den Umfang eines Vorfalls falsch einschätzen.
Das zweite Beispiel tritt auf, wenn die Aktivität eines Endpunkts untersucht wird, die keine Präventions- oder Warnregel ausgelöst hat. Viele EPP-Tools konzentrieren sich darauf, den Verlauf und den Kontext eines Erkennungsereignisses zu erfassen, wobei der Kompromiss darin besteht, dass weniger detaillierte Telemetriedaten (oder gar keine) gespeichert werden, wenn alles normal zu sein scheint. Dies ist insbesondere bei Produkten der Fall, bei denen alle Daten in der Cloud zentralisiert werden, da sich dies unmittelbar auf deren Betriebskosten auswirkt. Dies kann jedoch auch Ihre Fähigkeit beeinträchtigen, Endpunktdaten aus Systemen, die keinen Alarm ausgelöst haben, angemessen zu suchen oder zu erfassen – insbesondere, wenn Sie innerhalb weniger Minuten Antworten in großem Umfang benötigen.
EDR-Tools lassen sich flexibel an zahlreiche Anwendungsfälle anpassen
EDR-Tools – ebenso wie die ihnen vorausgegangenen Produkte zur forensischen Analyse – lassen sich an zahlreiche Anwendungsfälle anpassen. Ein flexibles Tool für die Endpunktsicherheit sollte Ihnen dabei helfen, auf die Vielzahl von Vorfällen zu reagieren, die in jeder Unternehmensumgebung häufig auftreten. Betrachten Sie die folgenden Szenarien:
- Fälle von Missbrauch oder Kündigung durch Mitarbeiter – „Welche Dateien hat Jane in der vergangenen Woche auf externe Laufwerke kopiert?“
- Unbeabsichtigte Datenlecks – „Jemand ist in den Besitz einer Gehaltstabelle gelangt und hat diese weitergegeben.“ „Bitte suchen Sie alle Systeme, auf denen sich diese Datei befindet.“
- Angriffe auf der Anwendungsebene – „Dieser Struts-Exploit hinterlässt einen charakteristischen Eintrag in den Webserver-Protokollen.“ „Suchen Sie alle Systeme, die diesen Eintrag enthalten.“
- Angriffe auf die Software-Lieferkette – „Ein von den meisten unserer Ingenieure genutzter Texteditor wurde gerade von einem bösartigen Update befallen, das von keinem Anti-Malware-Produkt erkannt wird.“ „Wer war betroffen, und gab es nach der Infektion irgendwelche Aktivitäten?“
- Fehlerbehebung – „Das IT-Team vermutet, dass eine Anwendung eines Drittanbieters die BSODs verursacht.“ „Ermitteln Sie alle Systeme mit Crash-Dump-Artefakten und stellen Sie fest, ob ein Zusammenhang besteht.“
Die meisten EPP-Produkte wurden nicht so flexibel konzipiert, dass sie auf Vorfälle dieser Art reagieren können. Sie sind darauf ausgerichtet, bestimmte Kategorien von Exploits, schädliche Binärdateien oder Aktivitäten auf Betriebssystemebene nach einer Kompromittierung zu unterbinden.
Wenn Sie den Umfang der von Ihnen erfassten und analysierten Daten einschränken, kann dies dazu führen, dass Sie neue Angriffstechniken übersehen, die von präventionsorientierten Tools noch nicht zuverlässig abgewehrt werden können. Ihre Erstreaktionskräfte müssen möglicherweise mit hochpräzisen Ereignissen arbeiten, doch Ihr Cyber-Incident-Response-Team (CIRT) und Ihr Hunting-Team müssen in der Lage sein, die gesamten Daten eines Endgeräts zu durchsuchen und zu analysieren – nicht nur diejenigen, die als verdächtig gekennzeichnet sind. Auf diese Weise können sie Referenzwerte für die Aktivitäten verschiedener Computergruppen und Benutzer ermitteln, neue Arten von Anomalien aufdecken und neue Erkennungsmechanismen etablieren, die künftig automatisiert werden können.
Angreifer entwickeln ihre Vorgehensweisen kontinuierlich weiter
Die Entwicklung von PowerShell-basierten Angriffen dient hier als gutes Beispiel. Angreifer haben ihre Vorgehensweisen weiterentwickelt: Anstelle der bloßen Ausführung bösartiger Skripte greifen sie mittlerweile auf verschiedene Methoden zurück, darunter „One-Liner“-Befehle, bei denen Skriptcode als Argumente übergeben wird, verdeckte Techniken, die das PowerShell-Automatisierungsframework nutzen, um die Erzeugung einer Shell zu umgehen, sowie Verschleierungstechniken, um einer auf Schlüsselwörtern basierenden Erkennung zu entgehen. Die Umgehung von Anwendungskontrollen durch die Nutzung von .NET und anderen Interpretern für nativen Code ist ein weiteres Beispiel für einen sich rasch entwickelnden Bereich der Angriffsforschung, in dem EPP-Tools Mühe haben, zuverlässig Schritt zu halten . Sollte Ihre Endpunkt-Sicherheitsstrategie auf „Black-Box“-Präventionsregeln beruhen, die auf den kleinsten gemeinsamen Nenner ausgerichtet sind, werden Sie neuen Angriffstechniken stets einen Schritt hinterherhinken.
Schließlich ist jede präventionsorientierte Sicherheitslösung nur so wirksam wie ihr Abdeckungsgrad – und ihre Fähigkeit, einen einwandfreien Betriebszustand und eine korrekte Konfiguration in der gesamten Umgebung aufrechtzuerhalten. Viele Unternehmen haben nach wie vor Schwierigkeiten sicherzustellen, dass ihr gesamter Endpunkt-Tool-Stack auf allen Systemen vollständig implementiert ist. Tanium stellt häufig fest, dass durchschnittlich 20 % der Systeme aufgrund von Problemen wie fehlenden oder „defekten“ Tools nicht ordnungsgemäß verwaltet werden.
Darüber hinaus entscheiden sich viele Organisationen dafür, die Empfindlichkeit ihrer Anti-Malware-Produkte zu verringern, um Fehlalarme zu vermeiden. Präventionsfunktionen werden dadurch zu Erkennungsfunktionen, die Warnmeldungen auslösen, die routinemäßig ignoriert werden – und somit zu weiteren blinden Flecken führen. Eine wirksame Endpunkt-Sicherheitslösung sollte die grundlegende Transparenz und Kontrolle bieten, die erforderlich sind, um die Abdeckung und Nutzung von Anti-Malware-Produkten sowie anderer Kontrollmaßnahmen wie Patches und „gehärtete“ Sicherheitseinstellungen zu maximieren.
Die Entwicklung des EPP-Produktbereichs aus dem breiter gefassten EDR-Bereich heraus ist eine natürliche Folge der fortgesetzten Bemühungen, Sicherheitsfunktionen zu automatisieren und zu vereinfachen, für die zuvor fortgeschrittenes Fachwissen erforderlich war. Allerdings beseitigt seine Einführung weder viele der grundlegenden Probleme im Bereich der Endpunktsicherheit, unter denen die meisten Unternehmen nach wie vor leiden , noch verdrängt sie viele der zentralen Anwendungsfälle, die den EDR-Markt überhaupt erst ins Leben gerufen haben, oder macht sie diese überflüssig. Da Unternehmen weiterhin in Endpunkttechnologien investieren, sollten sie bestrebt sein, ihr Portfolio mit Lösungen auszugleichen, die ein breites Spektrum an Sicherheitsherausforderungen abdecken und letztlich die eigentlichen Ursachen von Vorfällen angehen, die sich auf ihr Geschäft auswirken.
Haben Sie Fragen? Wir haben die Antworten. Nehmen Sie noch heute an der Diskussion teil und tauschen Sie sich mit Ihren Kollegen und den technischen Experten von Tanium in unserem „ “ () sowie in der Tanium-Anwender-Community () aus.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
Über den Autor: In seiner Funktion als Chief Security Architect bei Tanium bringt Ryan Kazanciyan mehr als 14 Jahre Erfahrung in den Bereichen Incident Response, forensische Analyse und Penetrationstests mit. Ryan ist für die Konzeption und die strategische Ausrichtung der Threat-Response-Lösungen von Tanium verantwortlich und leitet das Tanium-Team für Endpoint Detection and Response (EDR). Bevor er zu Tanium kam, leitete Ryan bei Mandiant die Ermittlungs- und Abhilfemaßnahmen und arbeitete dabei mit Dutzenden von Fortune- 500 -Unternehmen zusammen, die von gezielten Angriffen betroffen waren. Ryan hat als Ausbilder für Black Hat und die Cyber-Einheit des FBI Hunderte von Einsatzkräften geschult. Er ist Mitautor des Werks „Incident Response and Computer Forensics, 3. Auflage“ (McGraw-Hill, 2014). Ryan ist zudem als technischer Berater für die Fernsehserie „Mr. Robot“ tätig, wo er gemeinsam mit den Drehbuchautoren und dem Produktionsteam die in der Serie dargestellten Hackerangriffe konzipiert.
