Advanced Persistent Threats
Last updated
Was this helpful?
Last updated
Was this helpful?
Mit der Überwachung von Advanced Persistent Threats (APT) können Sie Bedrohungen frühzeitig erkennen und darauf reagieren. Im Gegensatz zu herkömmlicher Antivirensoftware (AV), die Gefahren erkennt und dabei priorisiert, dass das System nicht zu sehr belastet wird, durchsucht APT gezielt alle Dateien nach auffälligen Mustern (Patterns), die fragwürdig erscheinen. Dadurch identifiziert APT auch potenzielle Gefahren, die durch klassische AV-Lösungen oft unentdeckt bleiben.
Sie erhalten eine detaillierte Analyse aktueller Bedrohungen und können regelmäßig Scans durchführen, um Schwachstellen zu identifizieren. Sicherheitspläne ermöglichen eine strukturierte Reaktion auf Angriffe, während die Anpassung von Regelwerken dafür sorgt, dass Ihr System kontinuierlich vor neuen Bedrohungen geschützt bleibt. Durch die Verwaltung von Whitelists können Sie vertrauenswürdige Quellen von potenziellen Risiken unterscheiden, was Ihre Sicherheitsmaßnahmen effizienter und gezielter macht.
Die Advanced Persistent Threats Komponente basiert aktuell auf ca. 7000 vorgefilterten Regeln von führenden Herstellern, welche täglich live aktualisiert und erweitert werden.
Beachten Sie zwingend, dass ein Host nur gescannt werden kann, wenn Sie dies zuvor in den Host-Einstellungen aktiviert haben. Setzen Sie hierfür ein Häkchen bei den Host Einstellungen unter den Core Features bei Advanced Persistent Threats.
Das Dashboard bietet Ihnen eine Übersicht über die wichtigsten Erkenntnisse rund um Ihre Advanced Persistent Threats. Erfassen Sie auf nur einen Blick alle Informationen rund um Bedrohungen, Scans sowie Erkennungen und machen Sie schnell Handlungsbedarf ausfindig.
In dieser Ansicht finden Sie die Ergebnisse der Malware-Erkennung. Anhand der bereitgestellten Informationen zu Schweregrad, betroffenen Pfaden und Hosts können Sie schnell priorisieren und gezielt Maßnahmen ergreifen. Durch Klick auf einen Eintrag gelangen Sie in die Erkennungsanalyse. Hier finden Sie alle relevanten Daten rund um die Detektion, sehen welche Regel die Bedrohung aufgedeckt hat und können Prüfen, ob sich hinter auffälligen Dateien eine Bedrohung verbirgt.
Weiterhin haben Sie die Möglichkeit direkt aus der Übersicht heraus Whitelists zu erstellen. Klicken Sie hierfür auf den entsprechenden Button hinter einem Eintrag und füllen Sie das Popup Fenster mit den entsprechenden Angaben.
Vergeben Sie einen Namen und eine kurze Beschreibung.
Legen Sie nun zugeordnete Hosts aus der Dropdown Liste fest.
Abschließend können Sie der Whitelist weitere Dateipfade hinzufügen.
Speichern Sie Ihre Konfiguration mit der Schaltfläche Whitelist hinzufügen.
Sobald ein Threat nicht mehr gefunden wird, taucht er nicht weiter in der Ansicht auf. Dies kann einerseits durch das löschen oder aber whitelisten einer entsprechenden Datei und einem anschließenden erneuten Scan geschehen.
Durch Klick auf einen Eintrag gelangen Sie in die Bedrohungsansicht, wo Sie alle Details rund um die Detektion finden.
Unter Scans finden Sie eine Auflistung aller bisher durchgeführter Malware Detection Scans inklusive Findings. Diese dienen Ihnen als Nachweis in Compliance-Themen und bietet Ihnen selbst einen ausführlichen Überblick über mögliche ToDos.
Nutzen Sie die Freitextsuche um gezielt nach Scans aus der Liste zu suchen. Durch Klick auf einen Scan erhalten Sie genaue Insights in den Umfang der Erkennung, inklusive Schweregraden, Bedrohung und Regelwerk.
Bei der Durchführung eines Advanced Persistent Threat Scans auf einem Host ist die maximale Anzahl auf 100 Detections begrenzt. Wird diese Grenze erreicht, bricht der Scan automatisch ab.
Durch diese Maßnahmen wird sichergestellt, dass nur relevante und aussagekräftige Detections in die Analyse einfließen. Diese Begrenzung dient dazu, die Datenbank nicht zu überlasten und die Effizienz der Analyse zu gewährleisten.
Beachten Sie, dass die Durchführung eines Scans mehrere Stunden in Anspruch nehmen kann.
Durch Klick auf einen spezifischen Scan gelangen Sie in die Detail Ansicht, wo Sie alle Findings strukturiert aufbereitet finden. Nutzen Sie die Möglichkeit direkt aus der Ansicht heraus Whitelsits zu erstellen und filtern Sie Ihre Ergebnisse, nach für Sie relevanten Informationen mit Hilfe der Freitextsuche oder der Filter.
Pläne dienen zur Definition und Steuerung von Scans. Sie legen fest, welche Hosts wann gescannt werden, mit welchen Regelwerken die Überprüfung erfolgt und – optional – welche Pfade auf den Hosts einbezogen werden.
Hier finden Sie eine Übersicht aller bisher erstellten Pläne. Sie können direkt aus dieser Ansicht heraus Scans starten, Pläne bearbeiten oder löschen, um Ihre Scan-Strategie flexibel anzupassen.
Aufgrund der hohen Systemleistung empfehlen wir eine wöchentliche Ausführung zum Deepscan aller Dateien auf der Festplatte.
Durch Klick auf die Schaltfläche Plan hinzufügen gelangen Sie in die Konfigurationsansicht zum Erstellen eines neuen Plans.
Vergeben Sie einen Namen und eine kurze Beschreibung.
Definieren Sie zugeordnete Hosts. Wählen Sie hierfür einen oder mehrere Hosts aus der Liste aus oder nutzen Sie das Tag System für Ihren Plan. Sie haben weiterhin auch die Möglichkeit Host-Ausnahmen zu definieren, um Ihre Referenzen so granular wie Möglich zu bestimmen.
Wählen Sie nun ein zugeordnetes Regelwerk aus der Liste aus oder nutzen Sie auch hier das Tag System. Per default sind hier immer die Managed Regeln ausgewählt. Auch hier haben Sie die Möglichkeit Ausnahmen zu definieren.
Definieren Sie anschließend bei Bedarf Dateipfade, um festzulegen was und wo gescannt wird. Lassen Sie diese Angabe aus, so wird automatisch das Hauptverzeichnis des Hosts gescannt.
Weiterhin können Sie Dateiausnahmen festlegen, welche von dem Plan nicht berücksichtigt werden sollen.
Die erweiterten Einstellungen geben Ihnen die Möglichkeit die Systemauslastung zu bestimmen. Hier haben Sie die Wahl zwischen:
Minimum (1 Threat, max. 1CPU)
Ausbalanciert (25% Auslastung)
Hoch (50% Auslastung)
Maximum (alle verfügbaren CPUs, 100% Auslastung)
Auch haben Sie hier die Möglichkeit eine geplante Ausführung festzusetzen. Nutzen Sie hierfür entweder einen gültigen Cron-Ausdruck oder legen Sie den Rhythmus der Ausführungen über die jeweiligen Felder fest.
7. Fügen Sie abschließend Ihren Plan hinzu, um Ihre Konfiguration zu sichern.
Mit Regelwerken können Sie gezielt festlegen, welche Muster in Dateien als auffällig erkannt werden sollen. Dabei definieren Sie spezifische Zeichenfolgen oder Wortkombinationen, die in bestimmten Zusammenhängen als verdächtig gelten. Die Regelwerke funktionieren ähnlich wie reguläre Ausdrücke (Regex) und ermöglichen eine präzise Anpassung der Erkennungsmuster an Ihre Sicherheitsanforderungen.
Durch individuell anpassbare Regeln erhalten Sie eine detaillierte Kontrolle über Ihre Sicherheitsstrategie und minimieren gleichzeitig das Risiko von Fehlalarmen.
Klicken Sie auf die Schaltfläche Regelwerk hinzufügen, um ein neues Regelwerk zu erstellen.
Geben Sie einen Namen und eine kurze Beschreibung an.
Wählen Sie Tags aus dem Dropdown Menü aus, welche die Zuordnung zu Scans vereinfachen.
Legen Sie einen Schweregrad fest, der anzeigt, wie schwerwiegend es ist, wenn ein Host betroffen ist.
Nutzen Sie die Feld Eingabe, um nach Yara Syntax eigene Regeln zu definieren.
Schließen Sie Ihre Konfiguration ab, indem Sie das Regelwerk hinzufügen.
Mit Whitelists können Sie gezielt festlegen, welche Pfade oder Dateien von Scans ausgeschlossen werden. Dies gilt unabhängig davon, mit welchem Plan der Scan gestartet wurde. Dadurch können Sie verhindern, dass eine bereits überprüfte Datei wiederholt als Bedrohung erkannt wird.
Blockieren Sie effektiv unbefugte Zugriffe, reduzieren Sie Fehlalarme und erhöhen Sie die Effizienz Ihrer Sicherheitsmaßnahmen. Hier finden Sie alle erstellten Whitelists, rund um Advanced Persistent Threats, an einem Ort gesammelt. Bearbeiten oder löschen Sie Whitelists direkt aus der Ansicht heraus und nutzen Sie die Freitextsuche, um Einträge schnell zu finden.
Der edr.cache des Pulsars wird in jedem Scan als Threat erkannt. Aus diesem Grund empfehlen wir Ihnen diesen zu whitelisten.
Nutzen Sie die entsprechende Schaltfläche, um eine neue Whitelist hinzuzufügen.
Vergeben Sie einen Namen und eine kurze Beschreibung.
Legen Sie fest, ob die Whitelist nach Abschluss der Einrichtung aktiv sein soll.
Wählen Sie nun zugeordnete Hosts aus der Dropdown Liste aus oder nutzen Sie das Tag-System. Weiterhin können Sie auch hier Ausnahmen definieren.
Fügen Sie der Whitelist weitere Dateipfade hinzu, welche von Scans ausgeschlossen werden sollen.
Speichern Sie Ihre Konfiguration mit der Schaltfläche Whitelist hinzufügen.
