So verwenden Sie Tanium, um auf die australische PSPF-Richtlinie zu reagieren 002-2024 (Technology Stocktake)

Am 8. Juli 2024 erließ die australische Innenministerin Stephanie Foster im Rahmen des „Protective Security Policy Framework“ (PSPF) eine Reihe von formellen Anweisungen unter der Bezeichnung „ “ (), in denen sie jede Bundesbehörde anwies, potenzielle Cyberrisiken zu identifizieren und zu mindern, vor dem Hintergrund wachsender Bedenken hinsichtlich ausländischer Einmischung.

Die drei verbindlichen Richtlinien verpflichten die Behörden der australischen Regierung dazu,:

1. e Indikatoren für Risiken im Zusammenhang mit ausländischem Eigentum, ausländischer Kontrolle oder ausländischem Einfluss im Bereich der Beschaffung und Wartung von Technologieanlagen zu identifizieren und diese Risiken angemessen zu steuern und zu melden
2. Führen Sie Bestandsaufnahmen der Technologie-Assets im Rahmen von „ “ für alle Systeme oder Dienste mit Internetanbindung durch, um die Risiken zu identifizieren und aktiv zu steuern, die mit den von ihnen verwalteten anfälligen Technologien verbunden sind, einschließlich derer, die sie für andere Einrichtungen verwalten
3. Nehmen Sie am „Cyber Security Partnership Program“ des Australian Signals Directorate teil; dies gilt auch für diejenigen, die Plattformen zum Austausch von Bedrohungsinformationen nutzen, um Informationen über Cyberbedrohungen an das Australian Signals Directorate weiterzugeben.

Wie Tanium Ihnen helfen kann

Tanium ist eine leistungsstarke Plattform für das Endpunktmanagement in Echtzeit, die Echtzeit-Transparenz und -Kontrolle über IT-Umgebungen bietet. Tanium bietet ein breites Spektrum an Funktionen, darunter die folgenden Funktionsbereiche, die in direktem Zusammenhang mit den Zielen der PSPF-Richtlinie 002-2024 stehen.

• Ermittlung von Ressourcen: Dies ist eine grundlegende Maßnahme und unerlässlich für die Wirksamkeit jedes Verwaltungs- und Sicherheitskonzepts. Es ist zudem unerlässlich zu ermitteln, ob und wo sich risikoreiche Ressourcen und Dienste in Ihrem internen Netzwerk befinden.
• Verbessern Sie die Standards für die Cyberhygiene bei „ “: Echtzeit-Transparenz und -Kontrolle machen hier den Unterschied; es ist, als würden Sie in Ihrer Umgebung das Licht einschalten. Diese Maßnahme ist von größter Bedeutung, da sie die Angriffsfläche, nach der Angreifer suchen, um sich Zugang zu Ihrer Umgebung zu verschaffen, verringert und letztendlich beseitigt.
• zur Erkennung und Aufspürung: Sollte sich ein Angreifer Zugang zu Ihrer Umgebung verschafft haben, ist es wichtig, ihn schnell aufzuspüren, bevor er sich tiefer einnisten und seine böswilligen Absichten in die Tat umsetzen kann.
• für die Reaktion auf Sicherheitsvorfälle: Nachdem ein Sicherheitsvorfall festgestellt wurde, liegt der Schwerpunkt auf der Untersuchung zur Ermittlung des Ausmaßes, der Sicherung aller relevanten Beweismittel, der Quarantäne betroffener Endgeräte zur Eindämmung sowie schließlich auf der Behebung des Vorfalls, um den Eindringling zu entfernen und dessen bisherige Aktivitäten unwirksam zu machen.

Taniums innovative Ansätze zur PSPF-Richtlinie 002-2024

Ermitteln Sie Ihr gesamtes Vermögen (Machen Sie sich ein Bild von Ihrem Nachlass)

• Nutzen Sie dezentrale und zentralisierte Scanverfahren, um neu angeschlossene Anlagen innerhalb weniger Minuten zu identifizieren
• Gerätehersteller (einschließlich ausländischer oder sonstiger) ermitteln und kategorisieren
• Führen Sie jene Vermögenswerte in die Verwaltung ein, die verwaltet werden können. Sobald die Verwaltung eingerichtet ist, haben Sie folgende Möglichkeiten:
  • Verschaffen Sie sich einen endpunktorientierten Überblick über das Netzwerk aus Prozessen, Ports und Verbindungen (Quellen und Ziele)
  • Erfassen Sie alle Softwareanwendungen (Anbieter, Bezeichnungen, Versionen und deren Nutzung)
  • Nutzen Sie die Software-Stückliste (SBOM) von „ “ unter , um die zugrunde liegenden Softwarekomponenten einzusehen und so Risiken in der Lieferkette zu bewältigen.

Warum Tanium? Tanium verfügt über eine integrierte Erkennungsfunktion, mit der sich alle über IP verbundenen Geräte im Netzwerk äußerst effizient ermitteln lassen. Die verwalteten Ressourcen können dann in Echtzeit über den gesamten Bestand hinweg abgefragt werden, um sicherzustellen, dass stets ein aktueller Überblick über den Zustand aller Aspekte der Hardware und Software vorliegt. Die Abfrage der aktuellen (und historischen) Netzwerkverbindungen verwalteter Endpunkte bietet einen einzigartigen Einblick darin, wie verdächtige oder interessante Ressourcen innerhalb der Umgebung interagieren könnten, und trägt letztendlich dazu bei, deren Legitimität zu identifizieren und zu bestimmen.

Hygiene (Verringerung der Angriffsfläche, um Angreifern den Zugriff zu verwehren)

• Echtzeit-Transparenz und -Kontrolle über die gesamte IT-Infrastruktur
• Standardisierung:
  
  • Es sollte nicht zu viele Versionen derselben Anwendung geben (z. B. 15 Versionen von Chrome oder Firefox im gesamten Netzwerk).
  • Es sollten keine einzelnen Ausreißer auftreten, wie beispielsweise Abweichungen von einer bekannten Basislinie (z. B. eine bestimmte Version von Chrome oder Firefox, die nur auf einem Endpunkt installiert ist).
• Nicht mehr verwendete Software entfernen
• Patching von Betriebssystemen und Anwendungen von Drittanbietern unter (sowie das Erkennen und Beheben von Sicherheitslücken)
• Zero-Day-Sicherheitslücken (Erkennen Sie Risiken in Echtzeit und leiten Sie umgehend Maßnahmen zur Risikominderung ein)
• -Schwachstellen in der Lieferkette erkennen und aufdecken

Warum Tanium? Tanium kann einen vollständigen, aktuellen und genauen Überblick über den aktuellen Zustand der Umgebung liefern. Alle Informationen, die von einem einzelnen Endpunkt abgerufen werden können, lassen sich in Echtzeit über die gesamte IT-Infrastruktur abfragen. Auf diese Weise werden Abweichungen und Ausreißer gegenüber einer Standard-Referenzlinie deutlich. Sobald die Abweichungen bekannt sind, können sie umgehend innerhalb von Tanium behoben werden, um sicherzustellen, dass die Standards eingehalten werden. Auch die Funktionen für das Patch-Management und das Schwachstellenmanagement profitieren vom Echtzeitzugriff auf Endgeräte, wodurch die Einhaltung von Vorschriften maximiert und die Angriffsfläche erheblich verringert werden kann.

Hunting (Suche nach Anzeichen dafür, dass sich Angreifer bereits im System befinden)

• Echtzeit-Übersicht über Treiber, DLLs, Prozesse, Datei-Hashes, Netzwerkverbindungen, DNS-Abfragen und Änderungen an der Registrierungsdatenbank (z. B. Erkennung des Vorhandenseins internationaler Zeichensätze)
• Schwerpunkt auf „ “ – MITRE ATT&CK-Phasen: Persistenz, laterale Bewegung und mehr (entsprechende Suchanfragen werden von Tanium standardmäßig bereitgestellt)
• Analyse von Ausreißern (z. B. einmaliger Hash-Wert von „scvhost.exe“ oder einer DLL)

Warum Tanium? Der Echtzeit-Zugriff von Tanium auf Endgeräte ermöglicht es den „Threat Hunters“, sowohl breit gefächert in der gesamten Infrastruktur nach relevanten Elementen und Aktivitäten zu suchen als auch tief in die Endgeräte einzudringen, um hochspezifische Details zu gewinnen. Die Transparenz ist umfassend und stellt sicher, dass ein Angreifer seine Anwesenheit nirgendwo verbergen kann.

Erkennung (Suche nach Angreifern, die bereits aktiv sind)

• Intel-basierte Erkennung: Tanium Signals/IOCs/YARA-Regeln
• Nutzen Sie Tanium-Signale, um Aktivitäten in Echtzeit zu erkennen (z. B. das Einrichten und die Nutzung von Web-Shells)

Warum Tanium? Tanium Signals ist ein leistungsstarker Informationsmechanismus, der eine effiziente Echtzeit-Erkennung von Aktivitäten auf Endgeräten ermöglicht. Zwar wurden viele Signale von Tanium definiert und werden standardmäßig in die Tanium-Plattform eingespeist, doch die Möglichkeit für Administratoren, Signale einfach anzupassen und neue zu erstellen, ermöglicht es Unternehmen, agil zu agieren und sich schnell an neue Bedrohungen anzupassen.

Reaktion auf Vorfälle (Erfassung, Eindämmung und Beseitigung)

• Alarme untersuchen (vollständiger Prozessverlauf, Chronologie und Herkunft)
• Beweismittel sichern (forensische Artefakte, Speicherauszüge und mehr)
• Endgeräte unter Quarantäne stellen (unter Beibehaltung der Verwaltungsfunktionen)
• Abhilfemaßnahmen ergreifen (Umstellung auf richtlinienbasierte und Ad-hoc-Maßnahmen)

Warum Tanium? Tanium bietet erstklassige Funktionen zur Reaktion auf Sicherheitsvorfälle. Sobald Bedrohungen identifiziert wurden, bietet Tanium die Möglichkeit, umgehend zu reagieren und Fragen zur Erfassung des Ausmaßes in der gesamten Infrastruktur zu stellen, um zu überprüfen, ob weitere Endgeräte betroffen sind. Forensische Beweismittel lassen sich problemlos abrufen und speichern, wodurch Eindämmungsmaßnahmen wie die Quarantäne durchgeführt werden können, ohne die Ermittlungsarbeiten zu behindern. Die Möglichkeit, Ad-hoc-Maßnahmen oder richtlinienbasierte Aktionen im gesamten Netzwerk durchzuführen, gewährleistet, dass die Betreiber in der Lage sind, Abwehrmaßnahmen zu ergreifen und sich gegen einen Angriff zu wehren.