Denken Sie an Ihren letzten Sicherheitsvorfall zurück. War Ihr Team davon überzeugt, dass nichts übersehen wurde? Gab es Fragen dazu, wo sonst noch Persistenz hinterlassen worden sein könnte? Meistens bleibt uns nichts anderes übrig, als im Ungewissen zu bleiben. Diese Unsicherheit kann bei jedem schwerwiegenden Vorfall zum Tragen kommen. Es wird ein Alarm ausgelöst, das SOC reagiert. Die unmittelbare Gefahr scheint eingedämmt zu sein. Und dann schwebt diese unangenehme Frage in der Luft: Sind wir uns sicher, dass das schon alles ist?
Wo sich EDR auszeichnet und wo die Teams erste Defizite erkennen
Tools zur Endpunktüberwachung und -reaktion (EDR) bilden die Grundlage moderner Sicherheitsprogramme. Sie sind äußerst effektiv bei der Erkennung bekannter und modellierter Bedrohungen, der Identifizierung typischer Angriffsmuster und der Generierung von Warnmeldungen mit hoher Zuverlässigkeit in großem Maßstab. In den meisten Unternehmen ist EDR aus guten Gründen fest in den täglichen SOC-Betrieb integriert.
EDR-Tools sind jedoch in erster Linie für die Erkennung konzipiert.
Die Grenzen dieses Ansatzes treten in der Regel zutage, wenn Teams über die bloße Reaktion auf Warnmeldungen hinausgehen und mit der Untersuchung, der Bestimmung des Umfangs und der Behebung von Problemen beginnen. Genau dann stoßen Sicherheitsteams auf die altbekannten Schwierigkeiten:
- Die Transparenz beschränkt sich auf die Telemetriedaten, die im Vorfeld konfiguriert und erfasst wurden
- Zentralisierte Log-Pipelines opfern Vollständigkeit zugunsten von Kosten und Leistung
- Das Tool ist für Warnmeldungen optimiert, nicht für offene Fragen oder umfassende Abhilfemaßnahmen.
Selbst bei einem hervorragenden Endpoint-Schutz sind Teams nach wie vor dadurch eingeschränkt, was das Tool in der Vergangenheit beobachtet und aufgezeichnet hat, und nicht durch das, was zum Zeitpunkt der Ausführung tatsächlich geschieht.
Sobald ein Alarm ausgelöst wird, müssen die Einsatzkräfte daher schnell Fragen stellen, für deren Beantwortung ihr EDR-System nicht ausgelegt ist:
- Passiert das auch anderswo?
- Handelt es sich um einen Einzelfall oder um Teil eines größeren Musters?
- Was befindet sich derzeit tatsächlich auf den Endgeräten, und nicht nur das, was wir gestern oder letzte Woche protokolliert haben?
Stellen Sie sich einen durch Phishing ausgelösten PowerShell-Download vor, der kurzzeitig auf einer Handvoll Systemen ausgeführt wird. EDR mag das anfängliche Verhalten zwar kennzeichnen und blockieren, doch damit ist die Untersuchung in der Regel noch nicht abgeschlossen. Die Teams müssen weiterhin wissen, ob etwas zurückgelassen wurde: geplante Aufgaben, neue Konten, deaktivierte Kontrollmechanismen oder damit verbundene Aktivitäten auf Systemen, die niemals einen Alarm ausgelöst haben.
Die Untersuchung von Vorfällen anhand von Protokollen, die bereits mehrere Tage alt sind, gleicht dem Eintreffen an einem Tatort, nachdem dieser bereits gesäubert wurde. Die Artefakte sind unvollständig. Es fehlt der Kontext. Gewissheit lässt sich nur schwer erlangen.
Das Problem sind nicht die Warnmeldungen, sondern der Mangel an Echtzeit-Endpunktinformationen und Kontext
In den vergangenen Jahren haben Sicherheitsteams erhebliche Anstrengungen unternommen, um die Qualität der Erkennung zu verbessern. Weitere Regeln. Bessere Analysen. Mehr Abwechslung.
Dennoch sind die Reaktionszeiten bei Vorfällen nach wie vor lang. Die Ermittlungen kommen nach wie vor nicht voran. Viele Vorfälle werden abgeschlossen, ohne dass die volle Gewissheit besteht, dass eine Bedrohung tatsächlich beseitigt wurde.
Das Problem ist nicht ein Mangel an Warnmeldungen.
Das Problem besteht darin, dass die meisten Erkennungsprozesse naturgemäß selektiv ausgelegt sind. Die Telemetriedaten werden im Verlauf des Prozesses normalisiert, zusammengefasst, abgefragt oder verworfen. Bis die Ereignisse ein SIEM erreichen, ist der Kontext, der erforderlich ist, um das Geschehen vollständig zu verstehen und entschlossen zu handeln, möglicherweise bereits verloren gegangen.
Dadurch entsteht eine bekannte Spannung: Die Teams vertrauen den angezeigten Warnmeldungen, haben jedoch kein volles Vertrauen in ihr Verständnis der Umgebung selbst.
Um diese Lücke zu schließen, ist es nicht erforderlich, die Erkennungsinstrumente zu ersetzen. Dazu ist es erforderlich, diese durch eine Möglichkeit zu ergänzen, die Realität in Echtzeit über die gesamte Endgeräteflotte hinweg zu überprüfen.
Von der Feststellung bis zur Gewissheit
Anstatt ständig mehr Daten „für alle Fälle“ zu sammeln, gehen viele Sicherheitsteams zunehmend zu einem operativen Ansatz über: Sie rufen genau die Informationen ab, die sie benötigen – und zwar genau dann, wenn sie diese benötigen –, direkt von den Endgeräten.
Wenn EDR als „Erkennungszentrum“ fungiert, benötigen die Teams zudem etwas, das einem lebenden Nervensystem näherkommt. Eine Funktion, die es ihnen ermöglicht, bei Bedarf neue Fragen zu stellen und schnell kontrollierte Maßnahmen über Tausende von Endgeräten hinweg zu ergreifen. Dieser Ansatz bietet die Flexibilität, neu auftretende Bedrohungen zu untersuchen und in Echtzeit darauf zu reagieren, anstatt sich ausschließlich auf bereits vorhandene Protokolle und Warnmeldungen zu verlassen. Durch die Kombination der Erkennungsstärken von EDR mit der Fähigkeit, direkt mit Endgeräten zu interagieren, erhalten Sicherheitsteams ein dynamisches und reaktionsschnelles Rahmenwerk für das Management von Vorfällen, sobald diese auftreten.
An dieser Stelle ergänzt Tanium die EDR-Lösung.
In Kombination tragen EDR und die „ “-Plattform von Tanium dazu bei, Unsicherheiten vor, während und nach einem Alarm zu verringern. Nicht durch die Einführung einer weiteren isolierten Konsole, sondern durch die Verkürzung der Zeitspanne zwischen Erkennung, Untersuchung und Reaktion.
So sieht das in der Praxis aus.
1. Stellen Sie neue Fragen, ohne auf neue Daten zu warten
EDR basiert auf vordefinierten Telemetriedaten. Die Plattform von Tanium ermöglicht es Teams, in Echtzeit neue Abfragen über alle Endgeräte hinweg durchzuführen, selbst wenn diese Daten zuvor noch nie erfasst oder protokolliert wurden.
Teams können den Status von Endpunkten abfragen – in Echtzeit über Prozesse, Dienste, Dateien, Registrierungsschlüssel, geplante Aufgaben und Netzwerkverbindungen hinweg –, um zu erfassen, was derzeit vorhanden ist, und nicht, was zuvor erfasst wurde.
Untersuchungen gehen oft von der Frage aus: „Gibt es dazu Protokolle?“ zu einer sinnvolleren Frage: „Was ist gerade wahr?“
Wenn ein Angreifer beispielsweise eine legitime Binärdatei umbenennt und sie an einem unerwarteten Ort einsetzt – eine gängige „Living-off-the-Land“-Technik –, wird möglicherweise kein Alarm ausgelöst. Mit Tanium können Teams überprüfen, ob ausführbare Dateien mit ihren signierten Herausgebern und den erwarteten Pfaden in der gesamten Umgebung übereinstimmen, und anschließend das damit verbundene Netzwerkverhalten untersuchen. Dies sind die Arten von Fragen, die sich allein anhand festgelegter Log-Streams nur schwer beantworten lassen.
2. Nutzen Sie Bedrohungsinformationen schneller
Die meisten Sicherheitsteams haben Zugang zu hochwertigen Bedrohungsinformationen: IOCs, YARA-Regeln und gemeinsam genutzte Forschungsergebnisse aus vertrauenswürdigen Quellen. Die Herausforderung liegt nicht in der Relevanz, sondern in den betrieblichen Reibungsverlusten.
Um neue Erkenntnisse in konkrete Maßnahmen umzusetzen, ist es oft erforderlich, Protokollquellen hinzuzufügen, die Datenerfassung zu erhöhen, die Erkennungsalgorithmen zu optimieren und das Risiko von Störsignalen in Kauf zu nehmen. Infolgedessen werden wertvolle Informationen häufig verzögert oder vernachlässigt.
Tanium verringert diese Reibungsverluste, indem es Teams ermöglicht, diese Bedrohungsinformationen direkt auf dem Endgerät bereitzustellen und zu testen. Wenn neue Ransomware-Indikatoren veröffentlicht werden, können die Teams die Umgebung umgehend scannen, die Ergebnisse überprüfen und Maßnahmen ergreifen, ohne auf Änderungen an der Pipeline oder geplante Inhaltsaktualisierungen warten zu müssen.
3. Beweismaterial in voller Originaltreue, dort gesichert, wo es darauf ankommt
Zentrale Protokoll-Pipelines sind auf Effizienz ausgelegt. Diese Effizienz geht jedoch auf Kosten des Kontexts.
Tanium speichert präzise Endpunkt-Telemetriedaten in Echtzeit lokal, sodass Ermittler mit den nativen Systemdaten arbeiten können, wie sie auf den Endpunkten vorliegen. Teams können Aktivitäten mit weniger Annahmen und größerer Sicherheit rekonstruieren, insbesondere bei komplexen Ermittlungen.
4. Erfassen Sie Vorfälle unternehmensweit innerhalb weniger Minuten
Die Erfassung des Umfangs gehört nach wie vor zu den schwierigsten Aspekten der Reaktion auf Sicherheitsvorfälle. Auf einem System erscheint eine Warnmeldung, dann auf einem weiteren, und die Teams können nur raten, wie weit sich diese Aktivität erstreckt.
Mit Tanium können Sicherheitsmitarbeiter von einer einzelnen Warnmeldung auf die gesamte Endpunktinfrastruktur umschalten und Systeme in Echtzeit nach Indikatoren und Verhaltensmustern abfragen – einschließlich der Geräte, die niemals eine Warnmeldung auslösen. Dadurch verkürzt sich die Zeitspanne zwischen der Erkennung und dem Verständnis, wodurch in den kritischsten Momenten eines Vorfalls weniger auf Vermutungen zurückgegriffen werden muss.
5. Sicher und in großem Maßstab Abhilfemaßnahmen durchführen
EDR-Tools eignen sich gut dazu, Systeme zu isolieren oder Prozesse zu stoppen, häufig jeweils an einem Endpunkt nach dem anderen.
Tanium erweitert die Reaktionsmaßnahmen auf kontrollierte und nachweisbare Abhilfemaßnahmen in der gesamten Umgebung. Ganz gleich, ob es darum geht, schädliche Dateien zu entfernen, Fehlkonfigurationen zu beheben oder allgemeine Sicherheitslücken zu schließen. Dies ermöglicht es den Teams, von der Einstellung „Wir glauben, dass das Problem eingedämmt ist“ zu der Einstellung „Wir wissen, dass das Problem behoben ist“ überzugehen.
Gemeinsam besser – von Grund auf
Die Plattform von Tanium ist darauf ausgelegt, bestehende Sicherheitsinvestitionen zu ergänzen, nicht jedoch zu ersetzen.
EDR-Warnmeldungen werden zu Hypothesen, die unmittelbare, die gesamte Umgebung betreffende Fragen auslösen können. SIEM-Systeme erhalten Echtzeit-Kontextinformationen zu Endgeräten, anstatt sich ausschließlich auf historische Protokolle zu stützen. Reaktions-Workflows können in einem einzigen Schritt geregelte Aktionen über Tausende von Systemen hinweg ausführen.
Das Ergebnis sind weniger unzusammenhängende Arbeitsabläufe und ein klarerer Weg von der Meldung bis zum Abschluss.
Für Teams, denen ein auf Warnmeldungen ausgerichtetes Sicherheitskonzept nicht mehr ausreicht
Die Kombination aus Tanium und EDR findet großen Anklang bei Unternehmen, die bereits ausgereifte Sicherheitsprogramme mit leistungsstarken Tools betreiben, jedoch nach wie vor unter dem operativen Aufwand leiden, nachweisen zu müssen, was tatsächlich geschehen ist und was tatsächlich behoben wurde.
Dieser Druck zeigt sich am deutlichsten in Umgebungen, in denen:
- SOC- und IR-Teams, die schnell Antworten benötigen – und nicht erst Stunden oder Tage später
- Bestehende EDR- und SIEM-Implementierungen, die zwar Warnmeldungen anzeigen, jedoch Lücken im Erfassungsbereich aufweisen
- Geringe Toleranz gegenüber Unsicherheiten, wenn es um Vorfälle geht
Für diese Teams verursacht Tanium keinen zusätzlichen Aufwand. Das beseitigt jegliche Zweifel.
Abschließende Gedanken
EDR ist nach wie vor unverzichtbar. SIEMs spielen eine entscheidende unterstützende Rolle.
Gewissheit entsteht jedoch erst dadurch, dass Sie wissen, was tatsächlich auf Ihren Endgeräten vor sich geht, und dass Sie auf der Grundlage dieses Wissens selbstbewusst handeln können.
Tanium bietet eine gemeinsame Steuerungsebene, die auf Echtzeit-Endpunktdaten basiert und Teams dabei unterstützt, die Lücke zwischen Erkennung und Behebung zu schließen, wodurch Sicherheitsteams Gewissheit erhalten, wenn Warnmeldungen allein nicht ausreichen.
Weitere Informationen: https://www.tanium.com/solutions/continuous-endpoint-security
