Bedrohungsereignisse verstehen

​

Informationen zu Bedrohungsereignissen

Endpoint Detection and Response (EDR) erstellt ein Bedrohungsereignis, wenn es Malware oder potenziell unerwünschte Programme (PUPs) auf einem Gerät erkennt. Jedes Bedrohungsereignis enthält Details wie den Namen der Bedrohung, die Klassifizierung, den beteiligten Prozess, das Erkennungsdatum und den aktuellen Status. Alle Bedrohungsereignisse für Geräte, die mit Blueprints mit EDR verknüpft sind, finden Sie auf der Seite Detections. Darüber hinaus können diese Ereignisse in den einzelnen Geräteeinträgen angezeigt werden.

​

Funktionsweise

Die Bedrohungsereignisse werden automatisch erstellt, wenn Iru Endpoint EDR potenzielle Sicherheitsrisiken auf verwalteten Geräten erkennt. Das System organisiert Bedrohungsereignisse in einer bedrohungszentrierten Tabellenansicht und gruppiert Ereignisse bei Dateierkennungen nach Datei-Hash und bei verhaltensbasierten Erkennungen nach Erkennungsregel. Diese Struktur vereinfacht die Bewertung der Auswirkungen einer Bedrohung auf Ihre Mac-Flotte. Jedes gruppierte Ereignis enthält ein Seitenpanel mit detaillierten Einblicken in die Bedrohung, sodass Sicherheitsteams Umfang und Schwere erkannter Bedrohungen schnell erfassen können.

​

Ereignisinformationen verstehen

Jedes Bedrohungsereignis in der bedrohungszentrierten Tabellenansicht liefert wesentliche Informationen, die InfoSec-Teams bei der Untersuchung von Bedrohungen unterstützen.

• Threat ID: Zeigt den SHA-256-Hash-Wert der erkannten Bedrohung an
• Process: Zeigt den zuletzt erkannten Prozess an, der für die Bedrohung verantwortlich ist
• Classification: Gibt die Klassifizierungskategorie des Bedrohungsereignisses an
• Detection Date: Erfasst das Datum, an dem EDR die Bedrohung erkannt hat
• Geräte: Gibt die Gesamtzahl der vom Bedrohungsereignis betroffenen Mac-Geräte an
• Threat Status: Anzahl der Status Detected, Remediated und Released über alle Geräte hinweg für das gruppierte Bedrohungsereignis

​

Schweregrade von Erkennungen verstehen

Iru Endpoint EDR enthält eine Schweregradbewertung, die InfoSec-Teams hilft, die Kritikalität erkannter Bedrohungen schnell einzuschätzen. Jedem Erkennungsereignis wird einer von fünf Schweregraden zugewiesen: Critical, High, Medium, Low und Informational. Die Erkennungstabelle enthält eine Spalte Severity, die den entsprechenden Schweregrad für jede Erkennung anzeigt. Sie können Erkennungen sowohl bei Dateierkennungen als auch bei verhaltensbasierten Erkennungen nach Schweregrad sortieren und filtern. Die Seite Detections enthält außerdem ein Kreisdiagramm Detections By Severity, das eine visuelle Aufschlüsselung der Erkennungen nach Schweregrad bietet.

​

Bedrohungsklassifizierungen verstehen

Iru Endpoint EDR klassifiziert Bedrohungen bei Dateierkennungen in vier Kategorien (Malware, potenziell unerwünschtes Programm (PUP), harmlos und unbekannt) und bei verhaltensbasierten Erkennungen in zwei Kategorien: bösartig und verdächtig.

​

Klassifizierungen bei Dateierkennungen

• Malware: Dieser Begriff bezeichnet bösartige Software, die darauf ausgelegt ist, Geräten, Personen oder Organisationen zu schaden
• Potenziell unerwünschtes Programm (PUP): Dies sind Anwendungen, die auf einem Gerät möglicherweise unerwünscht sind. PUPs beanspruchen oft viele Systemressourcen, beeinträchtigen die Leistung, zeigen unerwünschte Werbung an und sammeln persönliche Informationen. Im Gegensatz zu Malware sollen PUPs keinen Schaden anrichten und werden in der Regel unbeabsichtigt zusammen mit anderer Software installiert, häufig in gebündelten Paketen
• Harmlos (Benign): Diese Klassifizierung gilt für Dateien, die zunächst als bösartig markiert, nach weiterer Analyse jedoch als nicht bösartig eingestuft wurden. Wenn Sie auf harmlose Bedrohungsereignisse stoßen, kann dies daran liegen, dass sich das Element zum Zeitpunkt der Erkennung oder Quarantäne auf der Sperrliste Ihres EDR Library Item befand
• Unbekannt (Unknown): Diese Kategorie gilt für Dateien, die Iru Endpoint EDR anhand der verfügbaren Daten nicht eindeutig als bösartig oder harmlos klassifizieren kann. Die Klassifizierung kann sich ändern, wenn weitere Informationen verfügbar werden oder die Datei erneut analysiert wird.

​

Klassifizierungen bei verhaltensbasierten Erkennungen

• Bösartig (Malicious): Eine Klassifizierung für Verhaltensaktivitäten, die darauf abzielen, Schaden anzurichten
• Verdächtig (Suspicious): Eine Klassifizierung für Verhaltensaktivitäten, die nicht unmittelbar auf Schaden hindeuten, aber eine weitere Untersuchung rechtfertigen

​

Bedrohungsstatus verstehen

Allen Bedrohungsereignissen ist ein Status zugeordnet. Folgende Status kann ein Bedrohungsereignis haben:

​

Status bei Dateierkennungen

• Quarantined: Eine erkannte Bedrohung, die in der Protect Posture automatisch unter Quarantäne gestellt wurde (macOS)
• Not Quarantined: Eine erkannte Bedrohung, die in der Detect Posture nicht unter Quarantäne gestellt wurde
• Released: Eine Bedrohung, die zunächst unter Quarantäne gestellt, später jedoch freigegeben und an ihrem ursprünglichen Speicherort wiederhergestellt wurde (macOS)
• Resolved: Eine erkannte Bedrohung, die sich nicht mehr am zuletzt erkannten Dateipfad befindet und nicht vom Agent unter Quarantäne gestellt wurde

​

Status bei verhaltensbasierten Erkennungen

• Detected: Bösartige Verhaltensaktivität wurde erkannt, aber nicht blockiert (Detect Posture)
• Blocked: Bösartige Verhaltensaktivität wurde erkannt und blockiert (Protect Posture)
• Informational: Verdächtige Verhaltensaktivität wurde erkannt und zur Transparenz markiert

​

Erkennungen anzeigen

​

Bedrohungsereignisse filtern

Sie können Bedrohungsereignisse sowohl bei Datei- als auch bei verhaltensbasierten Erkennungen nach ihrem Status filtern, um die Visualisierung und Behebung zu erleichtern.

​

Seitenpanel

Die bedrohungszentrierte Tabellenansicht bietet für jedes gruppierte Ereignis ein Seitenpanel, das Sie durch Auswahl einer Zeile mit einem Bedrohungsereignis öffnen können, um detaillierte Informationen zu dieser Bedrohung aufzurufen. Bei Dateierkennungen enthält das Seitenpanel:

• Den neuesten Dateinamen, der mit der Bedrohung verknüpft ist
• Eine globale Ansicht aller Bedrohungsstatus (Detected, Remediated und Released) für das gruppierte Bedrohungsereignis über alle Geräte hinweg
• Das erste und letzte Erkennungsdatum über alle Geräte hinweg
• Einblicke in alle eindeutigen Dateipfade, die im Zusammenhang mit der Bedrohung gefunden wurden

Bei verhaltensbasierten Erkennungen enthält das Seitenpanel:

• Den neuesten Prozessnamen, der mit dem gruppierten Ereignis verknüpft ist
• Eine globale Ansicht aller Bedrohungsstatus (Detected, Remediated und Released) über alle Geräte hinweg
• Eine Beschreibung der bösartigen oder verdächtigen Aktivität
• Die Malware-Familie, die mit der Verhaltensaktivität verknüpft ist
• Informative Tags, die zusätzlichen Kontext liefern
• Das erste und letzte Erkennungsdatum über alle Geräte hinweg

​

Gerätekarten

Die Gerätekarten im Seitenpanel stehen für Geräte, auf denen die bösartige Datei gefunden wurde. Über das Seitenpanel können Sie auch Reaktionsmaßnahmen durchführen, z. B. Geräte isolieren, um sie während aktiver Sicherheitsvorfälle vom Netzwerk getrennt unter Quarantäne zu stellen. Bei Dateierkennungen zeigen diese Karten Informationen wie:

• Gerätename
• Seriennummer
• Blueprint und Library Item
• Posture-Modus für Malware und PUP
• Umsetzbare Ereignisse
• Details zum Bedrohungsereignis:
  • Threat Status – Der aktuelle Status der Bedrohung auf dem Gerät.
  • Pfad – Der Dateipfad, in dem die Bedrohung erkannt wurde.
  • Benutzer – Der Benutzer, der dem Prozess zum Zeitpunkt der Erkennung der Bedrohung zugeordnet war.
  • Detection Date – Das Datum, an dem EDR die Bedrohung erkannt hat.
  • Quarantine Date – Das Datum, an dem EDR die Bedrohung unter Quarantäne gestellt hat.
  • Resolved Date – Das Datum, an dem die Bedrohung in der Web-App als behoben markiert wurde.
  • Release Date – Das Datum, an dem die Bedrohung auf dem Gerät aus der Quarantäne freigegeben wurde.
  • Application Bundle Path – Der Pfad zum Anwendungs-Bundle.

Bei verhaltensbasierten Erkennungen zeigen diese Karten Informationen wie:

• Gerätename
• Seriennummer
• Blueprint und Library Item
• Informationen zum Posture-Modus für bösartige verhaltensbasierte Erkennungen
• Details zum Bedrohungsereignis:
  • Threat Status – Der aktuelle Status der Bedrohung auf dem Gerät.
  • Detection date – Das Datum, an dem EDR die Bedrohung erkannt hat.
  • Rule version – Aktuelle Regelversion
  • Informationen zum übergeordneten Prozess und Zielprozess:
    • Name des übergeordneten Prozesses und des Zielprozesses
    • ID des übergeordneten Prozesses und des Zielprozesses
    • Prozesseigentümer
    • Image-Pfade für übergeordneten Prozess und Zielprozess
    • Befehlszeilenargumente für übergeordneten Prozess und Zielprozess
    • SHA-256-Hash des übergeordneten Prozesses und des Zielprozesses

​

Bedrohungsereignisse im Seitenpanel anzeigen

​

Bei Dateierkennungen

​

Bei verhaltensbasierten Erkennungen

​

Status einer Bedrohung erneut prüfen

Wenn die Posture-Modi für Malware oder PUP auf Detect eingestellt sind, können Sie den Status einer Bedrohung im Seitenpanel manuell prüfen, um festzustellen, ob sie noch im Dateipfad vorhanden ist. Wenn die Bedrohung nicht mehr vorhanden ist, wird ihr Status von “Not quarantined” auf “Resolved” aktualisiert. Wenn die Bedrohung noch vorhanden ist, bleibt ihr Status unverändert.

​

Ein Bedrohungsereignis freigeben

Es kann Situationen geben, in denen InfoSec-Teams ein Bedrohungsereignis für bestimmte Dateien oder Anwendungen freigeben müssen, die fälschlicherweise unter Quarantäne gestellt wurden, z. B. ein Sicherheitstool oder eine Anwendung, die von der Organisation verwendet wird. Beim Freigeben eines Bedrohungsereignisses wird das Element zur Zulassungsliste des zugehörigen EDR Library Item hinzugefügt.

​

Eine VirusTotal-Suche durchführen

VirusTotal analysiert Dateien und URLs. Über ein Bedrohungsereignis können Sie den Hash in VirusTotal suchen, ohne die Iru Endpoint-Web-App zu verlassen.

​

Bedrohungsereignisse als CSV exportieren

Zusätzlich zur Verwendung der Iru Endpoint API können InfoSec- und IT-Teams die Liste der Bedrohungsereignisse direkt aus der Administrationskonsole exportieren. Das Exportsymbol in der bedrohungszentrierten Ansicht wendet die aktuellen Filtereinstellungen an und erzeugt eine CSV-Datei mit detaillierten Informationen zu jedem Bedrohungsereignis in separaten Spalten. Diese Funktion ist sowohl in der Hauptansicht des Moduls Detections als auch auf der Registerkarte Detections im Geräteeintrag verfügbar.

​

Überlegungen

• Bedrohungsklassifizierung: Machen Sie sich mit dem Unterschied zwischen den Klassifizierungen bei Dateierkennungen (Malware, PUP, harmlos, unbekannt) und bei verhaltensbasierten Erkennungen (bösartig, verdächtig) vertraut, um Bedrohungen richtig zu bewerten
• Statusverwaltung: Überprüfen und aktualisieren Sie Bedrohungsstatus regelmäßig, um einen genauen Sicherheitsstatus zu gewährleisten und eine ordnungsgemäße Nachverfolgung der Behebung sicherzustellen
• Priorisierung nach Schweregrad: Verwenden Sie Schweregrade (Critical, High, Medium, Low, Informational), um die Bedrohungsabwehr zu priorisieren und Ressourcen effektiv zuzuweisen
• Posture-Konfiguration: Stellen Sie unter macOS sicher, dass EDR Library Items entsprechend Ihren Sicherheitsanforderungen mit geeigneten Posture-Modi (Detect oder Protect) konfiguriert sind. Windows EDR verwendet für Dateierkennungen den Modus Detect.
• Bedrohungsuntersuchung: Verwenden Sie das Seitenpanel und die Gerätekarten für Dateipfade, Benutzerkontext und Erkennungszeitachsen
• Umgang mit Fehlalarmen: Seien Sie darauf vorbereitet, legitime Anwendungen, die möglicherweise fälschlicherweise unter Quarantäne gestellt wurden, über den Freigabeprozess mit ordnungsgemäßer Dokumentation freizugeben
• Externe Validierung: Nutzen Sie die VirusTotal-Integration, um Bedrohungsinformationen abzugleichen und Bedrohungsklassifizierungen zu validieren
• Datenexport: Verwenden Sie den CSV-Export für Bedrohungsanalysen, Berichte und die Integration mit anderen Sicherheitstools
• Massenvorgänge: Erwägen Sie den Einsatz von Massenaktionen für ein effizientes Bedrohungsmanagement bei weit verbreiteten Bedrohungen auf mehreren Geräten, einschließlich der Funktionen zur Massenisolierung von Geräten
• Regelmäßige Überwachung: Etablieren Sie regelmäßige Überprüfungsprozesse für Bedrohungsereignisse, um eine zeitnahe Reaktion und eine korrekte Klassifizierung von Sicherheitsvorfällen sicherzustellen