KOMMT IHNEN DAS BEKANNT VOR?

Sie leiten den IT-Sicherheitsbetrieb einer Behörde und sind immer häufiger in der Situation, entweder direkt durch Mitarbeiter oder über die IT-Infrastruktur Dateien, E-Mails oder URLs zu erhalten, bei denen nicht zweifelsfrei erkennbar ist, ob diese eine Bedrohung darstellen. Gerade per E-Mail versuchen es Cyberkriminelle immer wieder, gefährliche Dateien direkt oder über Links bis zum Anwender durchzuschleusen.

Der Anwender ist oft überfordert, wird geschickt ausgetrickst oder arbeitet unter Druck: Eine kurze Sekunde der Unaufmerksamkeit genügt und es ist passiert. Sollte dieser Fall eintreten, ist die Erwartungshaltung der Amtsleitung oder des Vorgesetzten oft, zeitnah oder sogar sofort eine Auskunft zu erhalten, wie nun weiter zu verfahren ist bzw. welches Risiko entstanden sein könnte.

WIE LÖSE ICH DAS PROBLEM?

Folgt man dem Assume-Breach-Paradigma, wie auch bereits vom BSI in seinem Lagebericht 2015 beschrieben, folgt daraus der Einsatz von Technologien wie EDR / XDR und/oder Detonationssandboxen. Eine Sandbox erlaubt es Ihnen, Dateien auszuführen und deren Verhalten aufzuzeichnen. Auf diesem Wege lässt sich sehr schnell und vollständig analysieren, inwiefern das Verhalten einer Datei vertrauenswürdig ist oder nicht. Auch kann man die so aufgezeichneten Ereignisse gegen Ereignisse anderer Systeme abgleichen und ermitteln, ob die verdächtige Datei bereits zuvor ausgeführt oder verbreitet wurde.

Einmal zentral in ihrer Organisation installiert, erlaubt es eine Sandbox darüber hinaus den Automatisierungsgrad deutlich zu erhöhen. Beispielsweise in dem man die Sandbox an einen Mailserver bindet. Sollten auf dem Mailserver verdächtige Dateien ankommen, werden diese automatisiert zur Detonation gebracht. Die Rückmeldung an den Mailserver wiederum kann zum Verschieben der Datei in eine Quarantäne führen und so effektiv Schaden minimieren. Ebenso lässt sich eine Verbindung zum Endpunkt oder zum Perimeter herstellen.

So steht – ohne manuellen Eingriff an verschieden Stellen einer IT-Infrastruktur – ein automatisiertes Analysewerkzeug zur Verfügung, das insbesondere bei unbekannten Daten und Bedrohungen schnelle Auskunft gibt und eine schnelle Reaktionsfähigkeit ermöglicht. Da sich die Lösung individuell anpassen läßt, können je nach Bedarf verschiedene Betriebssysteme simuliert werden. Es ist sogar möglich gezielt eine besonders verwundbare Umgebung aufzubauen, um noch genauer ihr Verhalten im Extremfall zu beobachten.