Endpunkterkennung beobachtet das Verhalten eines Geräts über die Zeit und stützt dort Untersuchung und Eindämmung im Betrieb.
Sie ist ein gerätebezogener Kreislauf aus Daten, Frage und Handlung und nicht die vorbeugende Suite, die vor allem bekannte unerwünschte Programme blockiert.
So funktioniert es
Die Aufzeichnung kann Prozesse, Verbindungen und Änderungen umfassen, damit eine Auswertung fragen kann, was ein Gerät vor einem Alarm getan hat.
Eindämmung auf diesem Gerät kann es vom Netz trennen oder einen Prozess stoppen, während die weitere Organisation Verständigung und Wiederherstellung trägt.
Der Wert hängt an jemandem, der die Aufzeichnung deuten kann, und an einem Umfang, der Datenschutz achtet.
Alles für immer zu sammeln, ohne eine Frage zu beantworten, erzeugt Kosten und Risiko und nicht Sicherheit.
Konkrete Beispiele
- Eine Auswertung verfolgt einen verdächtigen Prozess auf einem Laptop zu einem am Morgen geöffneten Dokument zurück und trennt den Laptop.
- Ein Server zeigt eine neue geplante Aufgabe, die kein Änderungsnachweis erklärt, und das Team dämmt den Rechner ein, bevor die Aufgabe wieder läuft.
- Eine Datenschutzprüfung begrenzt die Aufbewahrung von Gerätedaten auf die Frist, die Untersuchungen brauchen.
Schutzmaßnahmen
- Setzen Sie Auswertende ein, die Gerätedaten untersuchen können, und nicht nur ein Werkzeug, das sie speichert.
- Legen Sie Eindämmungshandlungen fest, die an einem Gerät erlaubt sind, und wer sie außerhalb der Bürozeit freigeben darf.
- Bewahren Sie die Daten nur so lange auf, wie Untersuchungen sie brauchen, und beschränken Sie, wer sie durchsuchen darf.
- Verbinden Sie Gerätebefunde mit dem weiteren Vorfallsablauf, damit eine Trennung nicht der letzte Schritt ist, von dem Sie jemandem erzählen.