Seit mehr als einem Jahrzehnt konzentriere ich mich auf eine Kombination aus der Konzeption sicherer Netzwerke, dem Testen von Sicherheitsmaßnahmen und der Untersuchung komplexer Sicherheitsverletzungen. In jeder dieser Funktionen hatte ich Schwierigkeiten, Tools zu finden, die die erforderliche Transparenz und Kontrolle über alle Endpunkte boten, um Sicherheitsvorfälle besser zu verhindern, zu erkennen und zu beheben. Deshalb war ich begeistert – und zunächst skeptisch –, als mir ein ehemaliger Kunde Tanium vorstellte. Nachdem ich mir die Demo angesehen hatte, wurde mir schnell klar, welche Leistungsfähigkeit die Plattform bietet und welche neuen Anwendungsmöglichkeiten sich daraus ergeben, die mit bestehenden Lösungen nicht realisierbar waren. Seit ich die Position des Chief Security Officer bei Tanium übernommen habe, habe ich aus nächster Nähe miterlebt, welche bahnbrechenden Möglichkeiten Tanium seinen Kunden bietet – und ich freue mich sehr, Ihnen unsere neueste Erweiterung dieser Technologie vorstellen zu dürfen.
Tanium Trace (Trace) ist unser neuestes Modul, das die Geschwindigkeit und Skalierbarkeit der Tanium-Plattform noch weiter steigert. It enables the agility to conduct immediate and in-depth forensic investigations on a single endpoint, as well as perform accurate enterprise-wide searches based on captured artifacts across millions of endpoints in 15-seconds — what previously took days or weeks. Unternehmen, die weiterhin auf veraltete Technologien setzen, mit denen sich dieses Maß an Geschwindigkeit und Transparenz nicht erreichen lässt, werden den Angreifern weit hinterherhinken und einem höheren Risiko ausgesetzt sein, in die Schlagzeilen zu geraten.
Wie ist das möglich? Trace zeichnet die Aktivitäten an den Endpunkten kontinuierlich auf, einschließlich Systemdaten, die von normalen Protokollierungsmechanismen nicht erfasst werden, wie beispielsweise kurzlebige Details zu Netzwerkverbindungen, Hash-Werte für ausgeführte Prozesse sowie das Erstellen, Löschen oder Ändern von Dateien und Registrierungsschlüsseln. Trace führt zudem eine zuverlässige Überwachung auf Kernel-Ebene durch und kann Rootkits oder andere ausgefeilte forensikabwehrende Techniken erkennen, die von Angreifern eingesetzt werden, um ihre Aktivitäten zu verbergen. Mit diesen Informationen haben Sicherheitsteams direkten Zugriff auf einen vollständigen Überblick über böswillige Aktivitäten, der unter normalen Umständen nicht vorliegen würde.
Wie Tanium Trace Unternehmen zugutekommt
Angesichts meiner bisherigen Erfahrungen bei der Bewältigung großer Sicherheitsvorfälle ist klar, dass meine Incident-Response-Teams in dreierlei Hinsicht erheblich von den Funktionen profitiert hätten, die Trace bietet.
Trace bietet Kunden die Möglichkeit, böswillige Aktivitäten zu erkennen.
In meiner früheren Position als Leiter von Incident-Response-Einsätzen erhielten wir kontinuierlich neue Erkenntnisse, die oft als „Indicators of Compromise“ (IOC) bezeichnet werden. Ebenso beziehen die meisten Organisationen IOCs aus einer Vielzahl von Quellen und suchen mithilfe unterschiedlicher Tools nach IOCs. In den meisten Fällen sind IOCs einfach (z. B. MD5, IP, Dateiname), und die Suche kann Stunden oder Tage dauern, sofern solche Informationen überhaupt verfügbar sind. Trace verändert dieses Modell, indem es Unternehmen ermöglicht, innerhalb von Sekunden in den aufgezeichneten Daten aller Endpunkte zu suchen. Das Modul kann zudem jede beliebige Kombination der von Trace erfassten Indikatoren kontinuierlich überwachen. Mithilfe der Tanium-Plattform können die von Tanium Trace generierten Warnmeldungen dazu genutzt werden, bestimmte Vorgänge zu automatisieren, wie beispielsweise das Hochladen einer Datei auf VirusTotal, die Weiterleitung von Informationen an ein SIEM oder die Erstellung eines Snapshots der Trace-Datenbank zur späteren Analyse.
Trace kann Unternehmen dabei unterstützen, das Ausmaß von Vorfällen genauer und schneller einzuschätzen.
Unternehmen werden häufig mit Sicherheitswarnungen überhäuft. Infolgedessen müssen Unternehmen entweder einen erheblichen Aufwand für die Analyse von Warnmeldungen betreiben oder sich dafür entscheiden, alle Systeme, bei denen die Gefahr einer Kompromittierung besteht, einfach neu aufzubauen. Beides sind unerwünschte Optionen. Die Untersuchung aller Vorfälle mithilfe herkömmlicher forensischer Methoden kann die ohnehin schon stark ausgelasteten Sicherheitsteams überlasten und erreicht nicht denselben Detaillierungsgrad, wie er von Trace erfasst wird. Der Wiederaufbau von Systemen ohne vorherige Analyse führt häufig zu unnötigen Kosten, wenn es sich bei der ursprünglichen Warnmeldung um einen Fehlalarm handelte, oder hindert die Analysten daran, einen weitaus größeren Sicherheitsverstoß aufzudecken. Trace bietet Analysten Zugriff auf eine Fülle forensisch relevanter Ereignisse, sodass Unternehmen jeden Vorfall schnell und umfassend richtig einschätzen können.
Trace kann Unternehmen zudem dabei unterstützen, Vorfälle präziser und effizienter zu beheben.
Nachdem der Umfang eines Vorfalls ordnungsgemäß ermittelt wurde, können Analysten die Tanium-Kernplattform nutzen, um Abhilfemaßnahmen einzuleiten, mit denen betroffene Systeme bereinigt und Spuren der Angreiferaktivitäten beseitigt werden. Dadurch werden der Untersuchungs- und Behebungsprozess miteinander verknüpft, wodurch die Auswirkungen auf Ihre Endnutzer sowie der Zeitaufwand für die Behebung eines Vorfalls begrenzt werden.
Trace folgt denselben Grundprinzipien wie der Rest der Tanium-Plattform, einschließlich der Möglichkeit, sofort einen umfassenden Überblick über Hunderttausende von Systemen zu erhalten. Daher ist es nicht erforderlich, zusätzliche Hardware oder Speicherressourcen bereitzustellen, unabhängig von der Anzahl der Endgeräte. Ebenso können Nutzer von Trace weiterhin die gesamte Leistungsfähigkeit der Tanium-Plattform nutzen, um innerhalb von Sekunden auf die vom Modul erfassten Daten zuzugreifen und diese zu durchsuchen.
Hätte ich Zugang zu solch detaillierten Daten gehabt, die von der Plattform gepflegt werden, sowie die Möglichkeit, die darin enthaltenen Informationen schnell und in großem Umfang zu durchsuchen, hätte dies mir – und den von mir geleiteten Teams – Tausende von Ermittlungsstunden ersparen können. In den kommenden Wochen werden wir weitere Neuigkeiten zu diesem Modul veröffentlichen, da unsere Kunden Trace weiterhin auf spannende und neue Weise implementieren und nutzen.
Falls Sie mehr über Trace erfahren oder eine Demo der Tanium Endpoint Platform ansehen möchten, klicken Sie bitte hier:.
David Damato, Sicherheitsleiter
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
