Skip to main content
Diese Anleitung gilt für Mac-Computer
Für die Verwendung von Regelgruppen für die verhaltensbasierte Erkennung ist das Add-on Endpoint Detection and Response erforderlich.

​
Informationen zu Regelgruppen für die verhaltensbasierte Erkennung

Regelgruppen für die verhaltensbasierte Erkennung bieten eine fein abgestimmte Kontrolle über Ihre verhaltensbasierten EDR-Erkennungen. Mit dieser Funktion können Sie anpassen, welche Sicherheitsregeln Ihre Umgebung überwachen. So können Sie das Schutzniveau bei Bedarf erhöhen oder durch Anpassen der Empfindlichkeitseinstellungen das Alert-Aufkommen reduzieren.

​
Funktionsweise

Regelgruppen für die verhaltensbasierte Erkennung arbeiten mit konfigurierbaren Erkennungsstufen, die die Empfindlichkeit der Bedrohungsüberwachung bestimmen. Standardmäßig werden verhaltensbasierte Erkennungen im Modus Cautious ausgeführt, der sich auf die schwerwiegendsten Bedrohungen konzentriert und gleichzeitig Fehlalarme minimiert. Sie können die Sicherheitsstufen an die Risikotoleranz und die betrieblichen Anforderungen Ihrer Organisation anpassen.

​
Erkennungsstufen verstehen

Standardmäßig werden verhaltensbasierte Erkennungen im Modus Cautious ausgeführt. Das bedeutet, dass nur die schwerwiegendsten Bedrohungen Alerts auslösen. So werden Fehlalarme auf ein Minimum reduziert und dennoch die gefährlichsten Akteure erfasst. Sie können die Empfindlichkeit erhöhen, indem Sie Moderate oder Aggressive wählen:
  • Cautious: Konzentriert sich auf eindeutig bösartige Aktivitäten mit sehr wenigen Fehlalarmen
  • Moderate: Erfasst ein breiteres Spektrum, um mehr potenzielle Bedrohungen zu erkennen, bleibt dabei aber überschaubar
  • Aggressive: Höchste Empfindlichkeit; rechnen Sie mit mehr Alerts

​
Regelgruppen verstehen

Verhaltensbasierte Erkennungen sind in acht spezifische Kategorien unterteilt, von denen jede auf unterschiedliche Arten verdächtigen Verhaltens achtet. Sie können jede Gruppe unabhängig auf Cautious, Moderate oder Aggressive einstellen.
  • Discovery and Information Gathering: Erkennt verdächtige Erkundungsbefehle, z. B. solche, die Installationen von Sicherheitssoftware oder virtuelle Maschinen identifizieren
  • Exploit Detection: Erkennt Versuche, öffentlich bekannte oder privat offengelegte Schwachstellen auszunutzen
  • Obfuscation and Encryption Detection: Erkennt den Einsatz von Verschlüsselung und Verschleierung zum Verbergen von Daten oder Befehlen
  • Persistence Mechanisms: Überwacht das Erstellen oder Ändern von Launch Agents und Daemons, die darauf abzielen, Persistenz auf einem macOS-Host herzustellen
  • Privilege Escalation Detection: Überwacht Anzeichen dafür, dass jemand versucht, höhere Zugriffsrechte zu erlangen, z. B. durch Manipulation von Dateiberechtigungen oder Zugriff auf sensible Konfigurationsdateien
  • Script and Command Usage Monitoring: Identifiziert die Ausführung verdächtiger Befehle und Skripte
  • Security Tool and System Configuration Alterations: Erkennt das Ändern oder Deaktivieren von Sicherheitskonfigurationen und -tools, die macOS schützen sollen, wie Gatekeeper, Transparency Consent and Control (TCC) und Endpoint-Sicherheitsprodukte
  • User Account Alterations: Erkennt das Erstellen oder Manipulieren von Benutzerkonten, die vor normalen Benutzerinteraktionen oder der Systemadministration verborgen bleiben sollen

​
Regelgruppen konfigurieren

1

Zu Detections navigieren

Öffnen Sie die Seite Erkennungen in der linken Navigation (unter Endpoint).
2

Registerkarte Rules aufrufen

Wählen Sie die Registerkarte Rules.
Registerkarte Rules auf der Seite Detections
3

Globale Einstellungen konfigurieren

Um Regeln global festzulegen, wählen Sie die Rule detection level.
4

Gruppeneinstellungen konfigurieren

Um Regeln basierend auf der Regelgruppe festzulegen, wählen Sie Set detection level per rule group.
5

Erkennungsstufen festlegen

Wählen Sie unter jedem Regelgruppentyp die gewünschte Erkennungsstufe aus.
6

Konfiguration speichern

Wählen Sie abschließend Save detection settings.

​
Umgang mit Regelausnahmen

Regelausnahmen sind nur für Regeln verfügbar, die nicht auf hochgradig bösartiges Verhalten abzielen. Kritische Sicherheitsregeln können nicht einzeln deaktiviert werden.
Gelegentlich müssen Sie möglicherweise eine bestimmte Regel deaktivieren, die übermäßig viele Alerts erzeugt, ohne die Einstellungen der gesamten Regelgruppe zu beeinflussen. Gehen Sie dazu wie folgt vor:
1

Registerkarte Detections öffnen

Wählen Sie auf der Seite Detections die Registerkarte Erkennungen.
2

Problematische Erkennungen auswählen

Wählen Sie die Erkennung(en), die unerwünschte Alerts erzeugen, über das Kontrollkästchen links neben der Bedrohung aus.
3

Aktionsmenü aufrufen

Wählen Sie die Auslassungspunkte in der unteren linken Ecke.
4

Regeln deaktivieren

Wählen Sie Disable suspicious rules.

​
Ihre Ausnahmen verwalten

Alle von Ihnen deaktivierten Regeln werden automatisch in der Liste Rule Exceptions auf der Registerkarte Rules Ihrer EDR-Konfiguration angezeigt. Dort können Sie:
  • Alle von Ihnen deaktivierten Regeln anzeigen
  • Regeln wieder aktivieren, wenn sich die Umstände ändern
  • Den Überblick darüber behalten, was nicht überwacht wird

​
Überlegungen

  • Ausgewogene Erkennungsstufen: Wählen Sie Erkennungsstufen, die Sicherheitsabdeckung und ein überschaubares Alert-Volumen in Einklang bringen, um Alert-Müdigkeit zu vermeiden
  • Anpassung der Regelgruppen: Konfigurieren Sie jede Regelgruppe unabhängig entsprechend den spezifischen Sicherheitsanforderungen und dem Risikoprofil Ihrer Organisation
  • Ausnahmeverwaltung: Überprüfen Sie deaktivierte Regeln regelmäßig, um sicherzustellen, dass sie weiterhin angemessen sind und keine Sicherheitslücken entstehen
  • Schutz kritischer Regeln: Beachten Sie, dass kritische Sicherheitsregeln nicht deaktiviert werden können, um eine grundlegende Sicherheitsabdeckung zu gewährleisten
  • Alert-Feinabstimmung: Setzen Sie Regelausnahmen gezielt ein, um Fehlalarme zu reduzieren und gleichzeitig die Sicherheitswirksamkeit zu erhalten
  • Regelmäßige Überprüfung: Bewerten Sie die Einstellungen und Ausnahmen der Regelgruppen regelmäßig, um sicherzustellen, dass sie der aktuellen Bedrohungslage und den Geschäftsanforderungen entsprechen
  • Dokumentation: Dokumentieren Sie Regelausnahmen und ihre Begründung für Compliance- und Auditzwecke
  • Tests und Validierung: Testen Sie Änderungen an Regelgruppen in einer kontrollierten Umgebung, bevor Sie sie in der Produktion bereitstellen
  • Auswirkungen auf die Leistung: Überwachen Sie die Systemleistung beim Anpassen der Erkennungsstufen, da aggressivere Einstellungen die Geräteleistung beeinträchtigen können
  • Teamschulung: Stellen Sie sicher, dass die Sicherheitsteams die Auswirkungen verschiedener Erkennungsstufen und Regelausnahmen verstehen
  • Incident Response: Berücksichtigen Sie, wie sich die Einstellungen der Regelgruppen auf die Workflows der Incident Response und die Prozesse der Bedrohungsuntersuchung auswirken, einschließlich Aktionen zur Geräteisolierung für kompromittierte Geräte.
  • Compliance-Anforderungen: Richten Sie die Konfigurationen der Regelgruppen an den regulatorischen und Compliance-Anforderungen Ihrer Branche aus