Endpoint Security
Vom Virenscanner über Patch Management bis zur zentralen Auswertung
Endpunkt ist jedes Gerät, an dem gearbeitet wird oder das Daten verarbeitet: Arbeitsplätze, Notebooks, Server, Tablets, zunehmend auch Kassensysteme und Steuerrechner. Sie sind das häufigste Einfallstor, weil dort Dateien geöffnet, Seiten aufgerufen und Datenträger angeschlossen werden.
Vom Virenscanner zur Verhaltenserkennung
Klassische Virenscanner vergleichen Dateien mit bekannten Signaturen. Das erkennt Verbreitetes zuverlässig, versagt aber bei Schadsoftware, die für einen einzelnen Angriff erzeugt oder bei jedem Abruf verändert wird.
Aktuelle Schutzprogramme bewerten deshalb zusätzlich das Verhalten: Ein Programm, das beginnt, massenhaft Dateien zu verschlüsseln, Schattenkopien zu löschen oder sich in den Autostart einzutragen, wird gestoppt – unabhängig davon, ob es bekannt ist. Diese Erkennung arbeitet mit Wahrscheinlichkeiten und erzeugt gelegentlich Fehlalarme, die bewertet werden müssen.
Patch Management
Ein erheblicher Anteil erfolgreicher Angriffe nutzt Lücken, für die längst ein Update verfügbar ist. Zwischen der Veröffentlichung einer Schwachstelle und den ersten Angriffen darauf liegen häufig nur Tage.
Patch Management ist deshalb ein Ablauf und keine Einstellung:
- Bestand – bekannt ist, welche Geräte und welche Programme überhaupt vorhanden sind
- Bewertung – kritische Lücken werden vorgezogen, unkritische gebündelt
- Erprobung – Updates laufen zuerst auf einer kleinen Gruppe, bevor sie in die Fläche gehen
- Verteilung – geplant außerhalb der Arbeitszeit, gestaffelt statt gleichzeitig
- Kontrolle – geprüft wird das Ergebnis, nicht der Start des Vorgangs
Einbezogen sind neben dem Betriebssystem auch Browser, PDF-Programme, Laufzeitumgebungen und Fachanwendungen. Genau diese Programme bleiben in der Praxis am häufigsten unberücksichtigt.
Zentrale Auswertung und SIEM
Jedes Gerät erzeugt Protokolle: Anmeldungen, Rechteänderungen, blockierte Zugriffe, Funde des Schutzprogramms. Einzeln betrachtet ist der größte Teil davon belanglos.
Ein SIEM – Security Information and Event Management – sammelt diese Meldungen aus Endgeräten, Servern und Netzwerkkomponenten an einer Stelle und setzt sie in Beziehung. Auffällig wird dadurch das Muster, nicht das Einzelereignis: eine fehlgeschlagene Anmeldung ist normal, mehrere hundert innerhalb weniger Minuten, gefolgt von einer erfolgreichen, sind es nicht.
Zwei Punkte entscheiden über den Nutzen. Erstens die Aufbewahrungsdauer – wer einen Vorfall erst nach Wochen bemerkt, braucht Protokolle, die so weit zurückreichen. Zweitens die Abstimmung der Regeln: Ein System, das täglich zahlreiche folgenlose Warnungen erzeugt, wird nach kurzer Zeit ignoriert.
Häufige Fehler
Wiederkehrende Muster in der Praxis:
- Installiert, aber nicht ausgewertet – der Schutz meldet, doch niemand liest die Meldungen
- Dauerhafte Ausnahmen – einmal gesetzte Freigaben für eine Anwendung bleiben jahrelang bestehen
- Nur das Betriebssystem gepatcht – Drittprogramme bleiben auf altem Stand
- Verwaltungsrechte im Alltag – Schadsoftware erhält damit sofort volle Berechtigungen
- Unbekannte Geräte – ohne Inventar bleibt offen, ob wirklich alle Systeme geschützt sind
- Zu kurze Protokollaufbewahrung – im Ernstfall lässt sich der Hergang nicht mehr rekonstruieren
Kontakt
EHOS IT betreut diesen Bereich für Gewerbe und Privatkunden im Raum Braunschweig, Salzgitter, Wolfenbüttel, Hildesheim und Goslar.