SecTepe Endpoint– EDR, das Ihre Firmengeräte schützt

Ein kleines Programm auf jedem Gerät meldet Programmstarts, Dateiänderungen und Netzverbindungen. Unter Windows zeichnet es auch Anmeldungen und Zugriffe auf Dateifreigaben auf.

Beispiel: Ein Angreifer meldet sich nachts mit einem gestohlenen Konto an und springt von Rechner zu Rechner. Die Grundüberwachung macht diese Spur sichtbar.

Er prüft neue Dateien. Zuerst fragt er unsere Threat Intelligence, ob die Datei schon als gut oder böse bekannt ist. Sonst prüft er sie mit einem Virenscanner und eigenen Suchmustern. Unter Linux stoppt er schädliche Programme vor dem Start. Unter Windows schiebt er sie direkt nach dem Speichern in die Quarantäne.

Beispiel: Ein Mitarbeiter lädt eine gefälschte Rechnung mit Schadprogramm herunter. Der Virenschutz erkennt die Datei und sperrt sie weg.

Gut zu wissen: Er startet im Modus „nur melden“. So sehen Sie erst, was er sperren würde.

Kennt niemand eine neue Programmdatei, schickt SecTepe Endpoint sie an unsere Sandbox. Das ist ein abgeschotteter Testrechner. Dort startet die Datei und zeigt, was sie tut. Das Gerät wartet nicht darauf. Ist das Urteil „schädlich“, greift der Virenschutz beim nächsten Mal sofort.

Beispiel: Ein ganz neues Schadprogramm, das noch kein Virenscanner kennt, wird so trotzdem erkannt.

Er legt versteckte Köderdateien an, sogenannte Kanarien-Dateien. Ändert ein Programm sie, schlägt er sofort Alarm. Er merkt auch, wenn ein Programm in kurzer Zeit viele Dateien verschlüsselt. Dann beendet er das Programm. Alle 30 Minuten und bei jedem Alarm legt er einen Snapshot an. Das ist eine Sicherungskopie des Dateistands. Unter Windows stoppt er außerdem Befehle, die diese Kopien löschen wollen.

Beispiel: Ein Schadprogramm beginnt nachts, Ihren Ordner mit Verträgen zu verschlüsseln. Der Schutz stoppt es, und Sie holen die Dateien zurück.

Gut zu wissen: Er darf sofort handeln, ohne zweite Freigabe. Sie können ihn auch auf „nur melden“ stellen. Unter Linux hängt der Snapshot vom Dateisystem ab. Sonst gibt es eine zuschaltbare Kopie-Variante.

Er sperrt bekannte gefährliche Internetadressen direkt auf dem Gerät. Die Liste kommt aus unserer Threat Intelligence und wird jede Stunde erneuert. Die Sperre gilt für alle Programme, auch für den Browser. Sie wirkt auch außerhalb des Firmennetzes.

Beispiel: Ein Mitarbeiter klickt im Homeoffice auf einen Link zu einer gefälschten Anmeldeseite. Die Seite öffnet sich nicht.

Sie sperrt USB-Sticks und externe Festplatten. Geräte, die Sie freigeben, bleiben nutzbar. Tastatur, Maus und andere Geräte sind nie betroffen.

Beispiel: Jemand steckt einen gefundenen USB-Stick ein. Der Rechner nimmt ihn nicht an, und Sie erhalten eine Meldung.

Sie legen fest, welche Programme nicht starten dürfen. Unter Windows kann sie auch Programme aus dem Download-Ordner sperren. Sie beginnt im Modus „nur melden“. Passt alles, schalten Sie die Sperre scharf.

Beispiel: Ein Programm, das in Ihrer Firma verboten ist, startet einfach nicht.

Gut zu wissen: Unter Windows sperrt sie sicher nur in den Ausgaben Enterprise und Education. Unter Windows Pro sind nur die Meldungen verlässlich.

Nur vertrauenswürdige Programme dürfen in geschützte Ordner schreiben. Windows setzt diese Sperre selbst durch. Ab Werk wird nur protokolliert, was gesperrt würde.

Beispiel: Ein unbekanntes Programm will Ihre Dokumente überschreiben. Windows lässt es nicht zu.

Gut zu wissen: Er braucht den eingebauten Virenschutz von Windows im aktiven Betrieb. Fehlt dieser, meldet SecTepe Endpoint das als eigenen Alarm.

Er bewacht die Dateien, in denen Browser Passwörter und Anmeldedaten speichern. Liest ein fremdes Programm sie, gibt es Alarm. Auf Wunsch beendet er das Programm.

Beispiel: Ein Schadprogramm will die gespeicherten Passwörter aus dem Browser stehlen und verschicken.

Gut zu wissen: Er greift nach dem ersten Lesen ein. Die Daten sind dann womöglich gelesen, aber meist noch nicht verschickt.

Er erkennt unbekannte Schadsoftware an ihrem Verhalten. Dazu gehört etwa, Anmeldedaten aus dem Speicher von Windows zu lesen. Oder fremden Code in andere Programme zu schleusen. Er achtet auf Programme aus Benutzerordnern ohne bekannten Hersteller. Auf Wunsch beendet er sie.

Beispiel: Ein Programm aus dem Download-Ordner versucht, die Windows-Anmeldedaten abzugreifen.

Angreifer versuchen oft zuerst, den Schutz abzuschalten. Dieses Modul merkt sich den richtigen Zustand aller Schutzbausteine. Ändert jemand etwas, stellt es den alten Zustand wieder her und meldet das. Änderungen sind nur in einem Wartungsfenster erlaubt, das Sie in der Konsole freigeben.

Beispiel: Ein Angreifer beendet den Virenschutz. Kurz darauf läuft er wieder, und Sie haben einen Alarm.

Gut zu wissen: Wer volle Admin-Rechte hat, kann auch diesen Schutz stoppen. Jeder dieser Schritte löst aber einen Alarm aus.

Sie legen die Einstellungen einmal zentral fest. Alle Geräte holen sie alle 15 Minuten ab. Neue Vorgaben gehen auf Wunsch erst an wenige Testgeräte. Jede Vorgabe ist digital signiert und gilt nur für das richtige Gerät. Ist ein Gerät offline, bleibt die letzte Vorgabe aktiv.

Beispiel: Sie wollen USB-Sticks im ganzen Unternehmen sperren. Eine Änderung in der Konsole reicht.

Gut zu wissen: Sie können auch eine von drei Stufen wählen: nur beobachten, Schadprogramme stoppen oder zusätzlich das Gerät isolieren.

Unter Linux kann SecTepe Endpoint bestimmte Angriffe direkt im Kern des Betriebssystems stoppen. Ab Werk ist das aus. Ausgeliefert wird bisher eine eng gefasste Regel. Sie verhindert einen bekannten Trick, mit dem sich Schadsoftware in jeden Programmstart einklinkt.

Beispiel: Ein Angreifer will sich dauerhaft auf Ihrem Webserver einnisten. Der Kern lehnt den Schritt ab.

Gut zu wissen: Prüfen Sie jede neue Regel zuerst auf einem Testserver.

Sie können ein Gerät isolieren, ein Programm beenden oder eine Datei in Quarantäne legen. Sie können Dateien aus einem Snapshot zurückholen und Beweise sichern. Jede Aktion braucht eine zweite Freigabe.

Beispiel: Ein Laptop ist befallen. Sie nehmen ihn vom Netz, bevor sich der Angriff ausbreitet.

Gut zu wissen: Nach der Einrichtung läuft alles im Probelauf. Mehr dazu im nächsten Abschnitt.

Der Schutz steckt in der SecTepe-App. Sie laden Geräte über Ihre Mobilgeräteverwaltung (MDM) ein. Die App prüft regelmäßig den Zustand. Sie erkennt Geräte mit Root oder Jailbreak, also mit aufgebrochenem Schutz. Sie findet Spionage-Apps, sogenannte Stalkerware. Unter Android meldet sie auch bekannte Schad-Apps.

Beispiel: Auf einem Diensthandy liest heimlich eine App Nachrichten mit. Die App meldet den Fund.

Gut zu wissen: Unter iOS sieht die App keine Liste der installierten Apps. Apple erlaubt das nicht.

Auf Macs ab macOS 13 meldet SecTepe Endpoint, welche Programme starten. Verdächtige Muster fallen bei einer regelmäßigen Suche auf, nicht in Echtzeit. Schutzmodule und Reaktionen gibt es für macOS noch nicht.

Beispiel: Ein Skript schaltet auf einem Mac den eingebauten Schutz ab. Die Suche findet den Befehl.