Was ist ein EDR? (Endpoint Detection & Response)

Der Schutz von Endpunkten in Infrastrukturen (Workstations, Server, Mobilgeräte usw.) entwickelt sich zu einem zentralen Pfeiler der Cybersicherheit, bei dem herkömmliche Antivirensoftware allein kaum noch ausreicht: wenn Agenten EDR auf den Plan treten, um die aktuellen technischen Bedrohungen wirksam zu bekämpfen…

Seit Jahrzehnten beobachten wir eine Zunahme und stetige Verbesserung der Methoden und Werkzeuge, die eingesetzt werden, um in die Endpunkte von IT-Infrastrukturen einzudringen: die Endpoints. In vielen großen Infrastrukturen konzentrieren sich die Verteidigungskräfte primär auf den Perimeterschutz, um den Feind direkt abzuwehren: Firewalls, WAFs, Proxys usw. Doch wie eine Maginot-Linie, die von spezialisierten Einheiten umgangen wird, werden diese Elemente bei Angriffen, die hinter diesen ersten Verteidigungslinien stattfinden, zunehmend umgangen. Das Ergebnis ist eine Flut von Bedrohungen: Malware, Backdoors, interne Sprungpunkte usw. Wie kann man sich dagegen wehren und verteidigen? Die lokalen Sicherheitsfunktionen von Betriebssystemen und Anwendungen sowie spezifische Tools wie die klassische Antivirensoftware sind zwar einsatzbereit. Aber was passiert, wenn die Bedrohung neu, unbekannt, heimlich, aggressiv, hartnäckig, intelligent oder sogar adaptiv ist? Erinnern wir uns an einige bekannte Beispiele: Wannacry, NotPetya usw. In diesem Artikel befassen wir uns mit dem Thema EDR-Agenten und ihren ergänzenden Methoden zur Erkennung, zum Schutz und zur Reaktion: der Defense-in-Depth-Strategie.

1. Der Unterschied zwischen einem traditionellen und einem ganzheitlichen Ansatz der Cybersicherheit
2. Schwächen bei der Entwicklung einer umfassenden Cybersicherheitsstrategie
   • Mangelnde Struktur
   • Mangelnde Klarheit
   • Fehlende konsistente Echtzeitdaten
3. Die Schritte zur Entwicklung einer ganzheitlichen Cybersicherheitsstrategie
   • Einbindung der Geschäftsführung sicherstellen
   • Fokus auf Risiken mit hoher Priorität
   • Silodenken aufbrechen
   • Zusammenarbeit fördern
   • Sicherstellen, dass Cybersicherheit kein Innovationshemmnis darstellt
   • In Cybersicherheit investieren
4. Voraussetzungen für einen ganzheitlichen Cybersicherheitsansatz
5. Ganzheitliche Technologien für einen umfassenden Ansatz

Über EDR

Kontext

Es wäre unmöglich, alle Aspekte des Endpunktschutzes einer IT-Infrastruktur hier in einem einzigen Artikel abzudecken. Um jedoch das Interesse derjenigen zu wecken, die tiefer in die Materie eintauchen möchten, konzentrieren wir uns vorrangig auf EDR-Agenten. Dies soll Lesern, die mit diesen taktisch und strategisch interessanten Punkten noch nicht vertraut sind, einen ersten Einblick ermöglichen.

Wer bereits über fundiertes Wissen in diesem Bereich verfügt, möge dem Autor verzeihen, dass er nicht auf jedes Detail eingehen kann.

Möchten Sie Ihr SOC/CSIRT mit Tools ausstatten, die weit über die reine Protokollsammlung (SIEM) oder die Datenstromanalyse (NIDS) hinausgehen, um den Kampf gegen die in Ihren Betriebssystemen verborgenen Feinde aufzunehmen? Dann könnten EDR-Lösungen für Sie von Interesse sein. Wir möchten Ihnen hier einige Ansätze zur Orientierung bieten. Manche operativ ausgerichtete Verantwortliche ziehen es mittlerweile vor, EDR (HIPS++) anstelle von NIDS oder SIEM einzusetzen und ihre Ressourcen so gezielt auf die tatsächlich gefährdeten und angegriffenen Einheiten zu konzentrieren.

Über Endpunkte

Doch was genau sind die Endpunkte, auf denen der Einsatz von Sicherheitsagenten dringend empfohlen wird? Die Begriffe entwickeln sich ständig weiter und vermischen sich. Meist sind damit Komponenten gemeint, die Daten am Ende einer Infrastruktur verarbeiten und über einen Prozessor verfügen: Laptops, Workstations, Server, Smartphones, Tablets, IoT-Geräte, Automatisierungssysteme usw.

Es ist eine gewaltige Aufgabe, die Sicherheit einer Komponente in einer Industrie-4.0-Anlage, eines vernetzten Autos, des neuesten Smartphones, eines Unternehmens-Webservers und der Laptops, die ständig in die Räumlichkeiten ein- und ausgehen, zu vereinheitlichen. Die Bedrohungen unterscheiden sich je nach Kontext erheblich. Moderne Betriebssysteme hosten Anwendungen und Daten nicht immer sauber, ganz zu schweigen von den Risiken auf Hardwareebene. Eine Softwarepräsenz auf niedriger Ebene scheint daher notwendig, um Erkennung, Schutz oder sogar das technische Incident-Management sicherzustellen.

EDR-Infrastruktur

Diese Aufgabe wird von EDR-Agenten übernommen. Diese sind in der Regel an eine Client-Server-Infrastruktur angebunden, mit Agenten auf den zu schützenden Endpunkten und einer Appliance-Komponente zur Verwaltung und/oder zum Empfang der Warnmeldungen: Cloud-Lösungen, On-Premise-Systeme, hybride Modelle oder sogar Air-Gap-Modi für geschlossene Netzwerke.

Das Institut [AV-TEST] verzeichnet derzeit täglich 350.000 neue Schadprogramme. Das manuelle Schreiben generischer, täglicher Antiviren-Regeln wäre daher ein komplexes Unterfangen. Angesichts der Dynamik in der Welt der Cyberangriffe setzen viele moderne Infrastrukturen auf EDR-Lösungen im SaaS-Modus, die eine Interaktivität bieten, die vom Arbeitsplatzrechner bis hin zu zentralen Sicherheitsdiensten reicht. So können beispielsweise alle unbekannten Binärdateien mithilfe von Software-Robotern zur Analyse in Cloud-Sandboxes gesendet werden.

Rechtliche (LPM etc.), finanzielle (Lizenzen etc.) und technische Argumente fließen in die Überlegungen zur Infrastruktur ein, bevor EDR-Lösungen implementiert werden können. Betreiben Sie weltweit zahlreiche kleine Niederlassungen mit vielen schmalbandigen DSL-Leitungen, die eher einen Cloud-Ansatz erfordern, anstatt an jedem kleinen Standort Appliances zu installieren? Haben Sie ein Werk oder einen strategisch wichtigen Standort, der etwas abgelegen liegt und bei dem das Risiko von Ausfällen den Einsatz einer Appliance erforderlich macht? On-Premiseum bei Verbindungsunterbrechungen betriebsbereit zu bleiben? Haben Sie Bandbreitenbeschränkungen, etwa durch Satellitenverbindungen oder Ähnliches, die ebenfalls Überlegungen zur Positionierung und Konfiguration der Komponenten erfordern, um die zu übertragenden Datenströme (Warnmeldungen, Analysen etc.) zu begrenzen und zu optimieren?

Bei den am häufigsten nachgefragten Betriebssystemen finden sich – auch wenn die Liste noch länger sein könnte – die Klassiker Microsoft Windows, Linux und Apple macOS, aber im Mobilbereich zumindest auch Android. Bei Apple iOS, etwa auf iPhone und iPad, sind die Möglichkeiten zur Implementierung von Schutzmechanismen generell geringer, da Apple darauf ausgerichtet ist, ein bereits bereinigtes und sicheres Produkt zu verkaufen, was den Spielraum für Entwicklungen einschränkt: Auf einem normalen iOS-Gerät (ohne Jailbreak) ist es daher schwierig, eine direkte Fernanalyse des Geräts durchzuführen.

Unter Windows müssen EDR-Agenten die Neuerungen von Microsoft verfolgen oder sogar vorwegnehmen, um nicht durch neue Systemebenen gestört zu werden. Ein Beispiel: Bei einem zukünftigen Windows 10, das einen Teil der Festplatte im MS-Cloud-Modus mit sogenannten „Hydratisierungs“-Mechanismen nutzt, wäre es kaum hinnehmbar, wenn ein EDR (oder Antivirus) die eigentlich entfernte Festplatte über diese für den Benutzer transparenten Einbindungen scannen (und damit herunterladen) würde. Ganz abgesehen von aktuellen Windows-Versionen benötigen viele Unternehmen weiterhin Unterstützung für ältere Systeme wie Windows XP oder Windows Server 2003. Diese sind in Fabriken und in der operativen Produktion, die keine speziellen Updates oder Ausfallzeiten verträgt, nach wie vor weit verbreitet. Wie Sie sehen, müssen EDR-Agenten heute möglichst vielseitig, hochwirksam gegen unbekannte Bedrohungen, einfach bereitzustellen und zu konfigurieren, kosteneffizient und vertrauenswürdig sein.

Erkennung

Antivirus und/oder EDR?

Antivirenprogramme bieten bereits die bestmögliche Barriere durch bekannte und bewährte traditionelle Methoden. Dank ihrer Signaturdatenbanken und ergänzender Funktionen wie Heuristiken können Antivirenprogramme auf Endpunkten einen Großteil der Angriffe abwehren, indem sie bekannte Bedrohungen und deren eng verwandte Varianten erkennen. Diese Schutzschilde sind das beste Mittel gegen „Standardbedrohungen“ wie den aktuellen Dridex, die Ransomware des Monats oder einen infizierten USB-Stick.

Betrachtet man Tests von Antivirenprodukten, erreichen einige beeindruckende Werte um die 100 %. Doch im Gespräch mit Sicherheitsexperten und Pentestern hört man immer wieder, dass Antivirenprogramme in der Regel leicht zu umgehen sind. Dennoch wird jeder dazu raten, sie beizubehalten, da sie ein praktisches Mittel zur Beseitigung grundlegender Bedrohungen darstellen.

Darüber hinaus verfügen einige Antivirenprogramme über hochentwickelte Funktionen, wie die vollständige Bereinigung von schädlicher Adware und anderen Programmen, die zwar nicht eindeutig bösartig sind, sich aber im Graubereich bewegen, um insbesondere auf Windows-Stationen unentdeckt zu bleiben. Die Frage, die sich oft stellt, lautet daher: Muss man sich zwischen einem Antivirus und einem EDR entscheiden?

Das ist sicherlich diskussionswürdig und es gibt viele mögliche Antworten. Um es zu vereinfachen, sind wir nach zahlreichen Penetrationstests der Ansicht, dass es derzeit besser ist, beide Technologien beizubehalten. Das Antivirenprogramm filtert die Masse der grundlegenden Bedrohungen, während das EDR die Aufgabe hat, die Erkennung und Reaktion auf Vorfälle zu vertiefen, um komplexe Fragen zu beantworten: Wer hat was, wann, wie und warum ausgeführt, mit welchem Verhalten, auf welchen Teilen des Netzwerks usw.?

Ein gewissenhafter Systemadministrator wird sich fragen, welche Auswirkungen ein EDR auf ein System hat, wenn man bedenkt, dass Antivirenprogramme bereits eine hohe CPU-Last verursachen können. Eine zusätzliche Lizenz zu bezahlen, obwohl das Antivirenprogramm bisher als ausreichend galt, und zudem CPU- und RAM-Ressourcen zu beanspruchen, wäre ein erheblicher Aufwand. In der Realität überwachen EDR-Agenten bei Ein-/Ausgabevorgängen, etwa auf der Festplatte, meist weniger als Antivirenprogramme. Während ein Antivirus Hunderttausende von Signaturen mit zahlreichen Schreibblöcken vergleicht, setzt der EDR-Agent auf feinere, aber dennoch effektive Analysen oder auf einen intelligenten, ressourcenschonenden Blockiermodus.

Prozessüberwachung

Eine der Hauptaufgaben eines EDR-Agenten besteht darin, alle ausgeführten Prozesse zu überwachen. Hierfür kommen in der Regel verschiedene Methoden zum Einsatz, wie Mechanismen vom Typ Load Library, regelmäßiges Polling der Prozesse, Funktionen zur Nachverfolgung von Systemaufrufen oder Low-Level-Interception, teilweise mit Optionen, verdächtige Ausführungen bis zum Abschluss einer tiefergehenden Analyse zu unterbrechen. EDR-Lösungen müssen sich zudem mit Prozessmigrationen und der Nachverfolgung von Ausführungen befassen, um festzustellen, wer was in welchem Kontext gestartet hat, um Neutralisierungs- oder Analysevorgänge zu vereinfachen.

ProzessmigrationVon: C:UsersAdminTempcarbanak.exe (3572)Zu: C:WindowsSystem32svchost.exe (2036)Durchgeführte Maßnahme: Remote-Thread beendet

Speicheranalyse

Wer hat nicht schon einmal davon geträumt, Mimikatz, Meterpreter oder sogar [PUPY] und andere Waffen im Arbeitsspeicher der Prozesse seiner gesamten Windows-Umgebung aufzuspüren? Einige EDR-Lösungen können diese zwar CPU-intensiven, aber für die Bekämpfung von „Fileless“-Angriffen praktischen Analysen durchführen.

Schädlicher Prozess gefunden

Speicherregel ausgelöst: hacking_tool_mimikatz
C:WINDOWSsystem32csrss.exe
NT AUTHORITYSYSTEM

Fortgeschrittene Bedrohungen

Die berüchtigten APTs (Advanced Persistent Threats) standen in den letzten Jahren im Mittelpunkt zahlreicher kommerzieller und technischer Publikationen, da viele Unternehmen und Einzelpersonen mit Methoden gehackt wurden, die einen dauerhaften Fernzugriff ermöglichen, ohne dabei groß aufzufallen. Manche Backdoors in Unternehmen werden erst Jahre nach der ursprünglichen Infektion entdeckt. Aber warum hat das Antivirenprogramm diese seit so langer Zeit versteckte Hintertür nicht erkannt? Weil das nicht seine Aufgabe ist und wir aufhören müssen, von ihm eine vollständige Sicherheitsabdeckung zu erwarten, wenn wir es mit offensiven Tools zu tun haben, die mitunter invasive und heimliche technologische Komponenten kombinieren. Wie lassen sich diese Bedrohungen erkennen? Eigentlich ganz einfach, ähnlich wie bei forensischen Untersuchungen: Man muss alle Einstiegspunkte einer Maschine überprüfen, um beim Booten, beim nächsten Login oder in einer Liste von Programmen, die punktuell oder regelmäßig ausgeführt werden, präsent zu sein.

Bedrohungen im Büroalltag

EDR-Lösungen verfügen oft über zahlreiche Funktionen zur Abwehr klassischer Bedrohungen im Büroalltag.

Im Bereich USB kann man beispielsweise die Nutzung der Anschlüsse im gesamten Netzwerk nachverfolgen oder sogar die Seriennummern bestimmter Geräte erfassen. Man kann USB-Speichergeräte direkt sperren oder nur im schreibgeschützten Modus zulassen. Zudem lässt sich der klassische Anschluss eines privaten Smartphones verhindern, das eigentlich nur geladen werden soll, aber durch die Freigabe seiner 4G-Verbindung einen internen Endpunkt ohne offiziellen Unternehmens-Proxy mit dem Internet verbindet.

Mobilgerät „GT-N7100“ erkannt!
Samsung Electronics Co., Ltd
GT-I9300 Phone [Galaxy S III] (Debugging-Modus)
Seriennummer: 6&21ab38g3&0&0000
Installationsdatum: 10.11.2017 14:35:39

Im Büroalltag sind Tools wie Webbrowser, Office- oder Adobe-Suiten sowie Produkte wie Java oder Flash bei Hackern sehr beliebt, da sie weit verbreitet sind und oft zahlreiche Schwachstellen enthalten, die sich direkt oder über anfällige Module aus der Ferne ausnutzen lassen.

In großen, heterogenen und verteilten Infrastrukturen mit komplexen Berechtigungsstrukturen und teils fehlender IT-Vereinheitlichung ist es notwendig, das Netzwerk zu scannen, um Rechner mit riskanten Versionen und entsprechenden Produkten zu identifizieren. Ein EDR kann diese Aufgabe übernehmen und einen globalen Überblick über die Sicherheit bieten. In der Regel kann es auch riskante Verhaltensweisen erkennen: Warum startet Java ein PowerShell-Skript, das versucht, seinen Code zu verschleiern? Warum startet Outlook ein Word-Dokument, das eine CMD.EXE aufruft, welche wiederum eine POWERSHELL.EXE startet, um eine unbekannte .EXE aus dem Internet herunterzuladen und auszuführen? Und warum enthält dieses Word-Dokument hochriskante Makros, die versuchen, auf Systemebene einzugreifen? Solche Fragen müssen auf Ebene der EDR-Lösungen behandelt werden, ganz zu schweigen von den TCP/IP-Spuren der Prozesse (z. B. wenn Word eine Verbindung zu einem C&C-Server aufbaut).

Kampf gegen Ransomware

Niemand möchte Opfer einer großflächigen Ransomware-Attacke werden, die sich wie ein Wurm durch das gesamte Unternehmen frisst. Die letzten Monate zeigen Veränderungen in der Struktur krimineller Gruppierungen und sogar bei der Anzahl der Angriffe, wobei ein Anstieg bei anderen Bedrohungen wie Cryptojacking zu verzeichnen ist. Doch wie lässt sich gegen diese Werkzeuge vorgehen, denen es selbst 2018 noch gelingt, ganze Stadtverwaltungen, Krankenhäuser oder Unternehmen lahmzulegen?

EDR-Lösungen, die in der Lage sind, die Ausführung unbekannter Binärdateien zu unterbinden, können den Start solcher Software verhindern. EDR-Systeme mit Verhaltensanalyse können erkennen, wenn eine Software massenhaft Dateien oder sogar speziell präparierte Köderdateien auf dem Datenträger zerstört. Oft ist es das Zusammenspiel mehrerer Verteidigungstechnologien, das den Schutz gegen die bösartigsten oder getarntesten Ransomware-Varianten (oder diverse Logikbomben, die nicht der Erpressung, sondern der Sabotage dienen) ermöglicht.

Neutralisierung einer PowerShell-Ransomware (Windows erkennt eine von Microsoft signierte Software):

Honeyfile c:userstestappdatafakepathfakefile1.docx wird modifiziert,
Auflistung des übergeordneten Ordners:
c:userstestappdatafakepath:
— fakefile1.docx
— fakefile2.xlsx
Informationen zum Quellprozess:
Sha256: 65554b6cabe23a726eadcb72b09204e63afc6a76277c997528ca28ea084c4b3d
Status der Überprüfung: Signiert
Signaturen: Microsoft WindowsMicrosoft Windows Production PCA 2011Microsoft Root Certificate Authority 2010
– (EVILtest) C:Windowsexplorer.exe (3232)
— (EVILtest) C:WindowsSystem32WindowsPowerShellv1.0powershell.exe (4216)
Sanierung:
Anwendungsrichtlinie/Ransomware-Aktivität, nicht durch Anwendungsrichtlinie autorisiert
Beendete Prozesse –> 4216

Angriffe über Drittanbieter-Tools (PowerShell...)

Viele Angreifer beherrschen den geschickten Einsatz von Schadsoftware oder legitimen Tools, die gezielt für schädliche Zwecke umfunktioniert wurden. In den letzten Jahren findet ein regelrechtes Wettrüsten statt, bei dem Angreifer ihre Kreativität steigern, um offensive Operationen durchzuführen, ohne dabei allzu sehr aufzufallen.

Zu diesem Zweck ist die Nutzung von Drittanbieter-Tools unter Windows eine effektive Methode, etwa wmic, mshta, rundll32, regsvr32, msbuild oder PowerShell. Letzteres ist bekannt (in Windows enthalten) und als Produkt eines vertrauenswürdigen Unternehmens (Microsoft) anerkannt. Es ist oft schwierig, dessen Nutzung vollständig zu unterbinden, insbesondere für die Fernverwaltung, auch wenn Signaturmechanismen existieren, um die Verwendung einzuschränken.

Wie lässt sich also feststellen, ob eine PS1-Datei in Wahrheit eine reine PowerShell-Ransomware oder ein Tool zur Injektion von Schadcode in den Arbeitsspeicher ist? Mit einer verhaltensbasierten Engine kann ein EDR-System eine missbräuchliche Nutzung erkennen. Die besten EDR-Lösungen können diese Angriffe nicht nur identifizieren, sondern auch blockieren und so verhindern, dass aus einer bloßen Erkennung ein Sicherheitsvorfall wird.

Komplexe Phasen

Die Boot-Phase ist kritisch, wenn es um lokale Angriffe (physischer Zugriff durch den Angreifer) oder auch Fernangriffe geht. Ein EDR allein kann kaum alle Sicherheitslücken schließen. Ein System ohne grundlegende Schutzmaßnahmen (wie z. B. FDE) läuft ohnehin Gefahr, kompromittiert zu werden.

Auf Server-Plattformen ist der Einsatz von FDE nicht allgemein üblich, und solche Systeme finden sich häufig in Cloud-Infrastrukturen, wo zahlreiche unbekannte Administratoren potenziell die Vertraulichkeit oder Integrität des Systems gefährden könnten. Bei Workstations hängt alles von der jeweiligen Situation ab, wobei Sicherheitsfragen bis hin zu BIOS- und/oder UEFI-Aspekten reichen können.

Windows bietet zudem den ELAM-Mechanismus (Early Launch Anti Malware), der in bestimmten Fällen die wenigen Sekunden während des Systemstarts überbrücken kann, in denen die Sicherheit noch nicht vollständig gewährleistet ist.

Sobald ein Angreifer die Kontrolle über ein System erlangt hat, wird er versuchen, EDR-Tools zu löschen, zu deaktivieren oder zu unterbrechen. Dies erfordert einen wirksamen Eigenschutz des Agenten, um zu überleben. Seine Resilienz ist daher ein entscheidender Punkt, auch wenn ein 100-prozentiger Schutz nicht garantiert werden kann, sobald das zugrunde liegende System bereits kompromittiert ist.

Künstliche Intelligenz

Man könnte ganze Artikel über KI und Cybersicherheit schreiben. Fassen wir das Konzept hier zusammen: KI-Tools sind in der Lage, ein Foto eines Tigers als Katze mit einer Konfidenz von 71 % zu identifizieren, nachdem sie mit ausreichend Bildern von Hunden und Katzen trainiert wurden. Durch die Zerlegung des Fotos analysiert die KI zahlreiche Eingabeparameter: Kanten, Farben, Formen, Größen usw. Dies geht über traditionelle mathematische Ansätze hinaus, bei denen man mittels Algorithmen – teils an der Grenze zu gewichteten Systemen oder Bayes-Filtern – komplexe Erkennungsmethoden, insbesondere mit neuronalen Netzen, aufbauen muss. Diese Mechanismen lassen sich auch zur Erkennung von Anomalien oder Schadsoftware nutzen.

Viele EDR-Lösungen integrieren diese Funktionen lokal oder in der Cloud, um Malware zu erkennen. Man gibt eine Windows-PE-Datei ein, und die KI zeigt mit einem Konfidenzwert an, ob es sich um Malware handelt.

KI ist zu einem kontroversen Thema geworden, das Debatten von wissenschaftlicher bis hin zu fantastischer Natur auslöst, in denen sie als magische Lösung angepriesen wird. In der Realität wird KI von Experten für digitale Spionageabwehr als ein zusätzliches Werkzeug betrachtet, jedoch nicht als die absolute Lösung.

Ein Antivirus sagt: „Ich sehe diesen Virus in dieser Binärdatei“, und man erhält zwei Informationen: Etwas scheint schädlich zu sein + der Name der Bedrohung. Manchmal weiß das Antivirus sogar, welcher Bereinigungsmechanismus für genau diese Bedrohung erforderlich ist.

Die KI sagt: „Ich halte diese Binärdatei mit diesem Konfidenzniveau für schädlich.“ Einige KI-Anbieter sind leider die größten Verursacher von Fehlalarmen, im Gegensatz zu Antivirenprogrammen, die präziser sind, aber bei unbekannten Bedrohungen (0-Day-Viren) eher blind agieren.

Fazit zu diesen Themen: KI-gestützte EDR-Lösungen haben absolut ihre Daseinsberechtigung, sollten aber nicht auf ein Podest gestellt werden. Sie sind umgehbar und machen ebenfalls Fehler. Da sie den Namen eines Virus nicht präzise angeben können, kennen sie das anzuwendende Verfahren nicht. Welchen Nutzen haben sie also? Sie dienen als zusätzlicher virtueller Mitstreiter, um den Kampf aufzunehmen und nichts zu übersehen, was herkömmliche signaturbasierte Lösungen verpasst hätten. Es ist besser, auf Nummer sicher zu gehen und sowohl eine KI als auch ein Antivirenprogramm einzusetzen (ganz zu schweigen von der gesamten Palette an EDR-Funktionen: Verhaltensanalyse, Heuristik, Erkennung von lateralen Bewegungen, 0-Day-Exploits, Privilegieneskalation usw.).

Reaktion auf Bedrohungen

Neutralisierung

Die grundlegenden Reaktionen bestehen natürlich darin, eine infizierte oder gefährdete Anwendung bzw. Anwendungsfamilie zu neutralisieren. Wenn beispielsweise ein Benutzer Word startet und durch ein bösartiges Dokument infiziert wird, das eine Backdoor herunterlädt und ausführt, sieht Windows, wie EXPLORER Word startet, welches wiederum eine BINÄRDATEL startet. Ein EDR, das die Maschine bereinigen will, müsste die BINÄRDATEL beenden. Aber warum nicht auch Word beenden, da dieses bereits infiziert ist? Man riskiert den Datenverlust für den Benutzer, der möglicherweise gerade an einem Dokument gearbeitet hat. Es wäre besser gewesen, die besagte INVOICE31337.DOC eines Unbekannten nicht zu öffnen. Einige EDR-Lösungen bieten zudem Quarantäne-Funktionen an, um zu verhindern, dass eine Binärdatei ständig neu gestartet wird.

Offline- und Online-Untersuchungen

Der kürzlich erschienene Artikel [ARCHÄOLOGIE] von MISC fasste die Konzepte rund um Threat Intelligence und Bedrohungsanalyse perfekt zusammen und behandelte zudem verschiedene Produkte, ob kommerziell oder nicht, die bei Untersuchungen unterstützen sollen. Zahlreiche Cybersicherheitsunternehmen mussten bereits heftige Krisen bewältigen, bei denen sie aus der Ferne auf Tausenden von Rechnern eingreifen mussten, um einen durch eine oder mehrere Bedrohungen kontaminierten Park zu bereinigen. In diesem Zusammenhang erinnert der Artikel [MEMENTO] an die Besonderheiten von EDR-Lösungen: Diese sind, je nach Stärken und integrierten Funktionen, eine unverzichtbare Waffe im Kampf gegen Angreifer im großen Stil.

Es gibt jedoch einige sensible Fragen: Wenn ein EDR in der Lage ist, den Arbeitsspeicher einer Maschine zu kopieren, um andernorts eine tiefgreifende digitale Untersuchung durchzuführen, was passiert dann, wenn das SOC-Team, das diesen Speicher-Dump nutzt, auch andere Informationen abgreift? Diese Frage ist nicht unbedeutend. Sie wird regelmäßig bei Großkunden gestellt, die EDR zum Schutz sensibler Arbeitsplätze einsetzen. Denken Sie an Administratoren mit zu vielen Rechten, an Mitglieder der Geschäftsleitung usw. Man erkennt schnell, dass es komplexe Fälle gibt, in denen niemand möchte, dass die aktuelle Strategiepräsentation durch ein Cybersicherheitstool kopierbar ist, das eigentlich der Spionageabwehr dienen soll. Manche Produkte haben hier unbegrenzte Rechte (oder erfordern Genehmigungen vom Endbenutzer, was für ein nicht technisch versiertes Publikum schwer zu erklären sein kann), während andere diese Funktion bewusst nicht anbieten, um einen solchen Missbrauch zu verhindern.

Die Debatten werden in Zukunft nicht abreißen, zumal Indikatoren für eine Kompromittierung (IOCs) zu einem kommerziellen und/oder technischen Eldorado zu werden scheinen. Die Frage, die man sich stellen muss, lautet dann: Soll ich eine gewisse (sehr hohe) Summe für das Abonnement von mehr oder weniger außergewöhnlichen IOC-Feeds bezahlen? Kann ich mich auf offene Quellen beschränken? Kann ich mich auf Systeme verlassen, die so autonom sind, dass sie Angriffe letztlich selbst entdecken und IOC-Datenbanken ohne menschliches Eingreifen für offensichtliche Aktionen (im Sinne von ITIL Level 1) aufbauen? Geld, Zeit und Strategie werden wichtige Faktoren bei der Entscheidungsfindung sein.

Isolierung

Eine Technologie, die besonders seit dem Aufkommen bekannter Würmer (WannaCry, NotPetya) sehr geschätzt wird, besteht darin, einen oder mehrere Endpunkte vollständig vom Netzwerk zu isolieren. Man weist das EDR an, den Datenverkehr zum restlichen Netzwerk zu unterbinden, mit Ausnahme der EDR-Management-Maschinen. Dies verhindert die weitere Ausbreitung von Schadsoftware, insbesondere bei massiven Infektionen mit lateralen Bewegungen. Man kann dann fast in aller Ruhe aus der Ferne an den infizierten Maschinen arbeiten, um Sicherheitsanalysen durchzuführen, Bereinigungen vorzunehmen usw., ohne ein zusätzliches Risiko einzugehen, und hält die Maschine dabei eingeschaltet und für weitere Untersuchungen verfügbar.

Fazit

Manche beginnen zu glauben, dass das Fehlen eines EDR in einer IT-Umgebung dem Fehlen eines Antivirenprogramms vor einigen Jahrzehnten gleichkommt. Der Bedarf an fortschrittlichen Schutzmaßnahmen ist offensichtlich, wenn man die Schäden sieht, die durch recht einfache, aber unbekannte und ausreichend heimliche Tools an Infrastrukturen verursacht werden. Der Einsatz eines EDR erweist sich jedoch auch als wirkungsvoll für die kontinuierliche Verbesserung der Sicherheit, sei es bei der Suche nach verdächtigen Protokollen auf den Stationen, bei der Identifizierung vorhandener Schwachstellen oder einfach, um eine hohe Reaktionsfähigkeit bei der Fernüberprüfung von Verdachtsmomenten und forensisch orientierten Analysen zu gewährleisten. Je nach Ihren Mitteln können Sie damit beginnen, sich freie Lösungen anzusehen oder sogar dazu beizutragen, die EDR-ähnlich sind oder entsprechend angepasst werden könnten, um ähnliche Zwecke zu erfüllen ([OSQuery][OSSEC]). Die meisten umfangreicheren Angebote sind mittlerweile kommerziell und bieten zahlreiche Optionen mit unterschiedlichen Kosten und einer tatsächlichen technischen Effizienz, die es zu validieren gilt.

Referenzen

Artikel unter Lizenz (CC BY-NC-ND) – veröffentlicht im Magazin MISC Nr. 99 – November 2018

[OSQUERY] Performante Endpunkt-Sichtbarkeit: https://osquery.io

[OSSEC] Offizielle Website des OSSEC-Projekts, Open Source HIDS SECurity: http://www.ossec.net

[AV-TEST] Statistiken zu Schadsoftware: https://www.av-test.org/fr/statistiques/logiciels-malveillants/

[PUPY] Offizielle Website von PUPY für Ihre Penetrationstests: https://github.com/n1nj4sec/pupy

[ARCHÄOLOGIE] Guillaume Arcas, „DIGITALE ARCHÄOLOGIE“, MISC Nr. 97, Mai-Juni 2018

[MEMENTO] LinkedIn-Artikel „Memento Mori. Forensik-Strategie.“: https://www.linkedin.com/pulse/memento-mori-strat%C3%A9gie-forensics-laurent-oudot/