Ransomware stoppen und Dateien zurückholen
Es ist Freitagnacht. Ein Schadprogramm beginnt, Ihre Angebote und Verträge zu verschlüsseln. Der Ransomware-Schutz in SecTepe Endpoint bemerkt das nach wenigen Dateien. Er stoppt das Programm und hält einen Snapshot bereit. Daraus holen Sie die betroffenen Dateien zurück. Der Schutz ist ein zuschaltbares Modul für Windows und Linux.
Demo anfragenSo erkennt der Schutz eine Verschlüsselung
Ransomwareverschlüsselt Ihre Dateien und verlangt Lösegeld. Der Schutz achtet auf zwei Anzeichen.
Kanarien-Dateien
In jedem überwachten Ordner legt der Schutz einen versteckten Ordner mit Köderdateien an. Sie sehen aus wie normale Dokumente. Kein Mensch und kein normales Programm hat einen Grund, sie zu ändern. Schreibt trotzdem ein Programm hinein, löst der Schutz sofort aus.
Massenverschlüsselung
Der Schutz beobachtet jedes schreibende Programm. Ändert es in wenigen Sekunden viele Dateien in mehreren Ordnern? Sehen die Dateien danach aus wie Datensalat? Tragen sie typische Endungen von Erpressersoftware? Legt das Programm eine Lösegeld-Notiz ab? Dann gilt es als verdächtig. Die Schwellen lassen sich anpassen.
Weniger Fehlalarme durch Ausnahmen
Auch ein Backup-Programm schreibt viele Dateien in kurzer Zeit. Darum gibt es eine Ausnahmeliste. Bekannte Backup-, Pack- und Sync-Programme meldet der Schutz nur als verdächtig. Er beendet sie nicht. Unter Linux lässt er Zwischenspeicher- und Paketordner ganz aus.
Drei Modi: Sie entscheiden, wie hart er eingreift
Den Modus wählen Sie pro Gerät. Er darf sofort handeln, ohne zweite Freigabe. Das ist die einzige Ausnahme vom Vier-Augen-Prinzip in SecTepe Endpoint. Bei Ransomware zählt jede Sekunde.
Nur melden
Der Schutz schreibt auf, welches Programm er beendet hätte. Nichts wird gestoppt. So finden Sie zuerst Ausnahmen, etwa Ihre Backup-Software.
Prozess beenden
Das ist die Voreinstellung, sobald Sie den Schutz einschalten. Er stoppt das Programm und alle Programme, die es gestartet hat. Die Programmdatei landet in der Quarantäne.
Beenden und isolieren
Zusätzlich trennt er das Gerät vom Netz. Nur die Verbindung zur Plattform bleibt offen. So kann sich der Angriff nicht auf Dateifreigaben ausbreiten.
Wichtige Teile des Betriebssystems und SecTepe Endpoint selbst beendet der Schutz nie. Das Aufheben einer Isolation braucht immer eine Freigabe durch eine zweite Person.
Snapshots: der Weg zurück zu Ihren Dateien
Ein Snapshot ist eine Sicherungskopie des Dateistands. Der Schutz legt alle 30 Minuten einen an. Bei jedem Treffer kommt sofort ein weiterer dazu. Er hebt bis zu 48 regelmäßige und 20 Treffer-Snapshots auf.
Unter Windows nutzt er dafür die Schattenkopien von Windows. Unter Linux hängt es vom Dateisystem ab. Unterstützt es keine Snapshots, gibt es eine zuschaltbare Kopie-Variante.
Wiederherstellung zuerst in einen eigenen Ordner
Sie holen Dateien über die Konsole zurück. Diese Aktion braucht eine zweite Freigabe. Die Dateien landen zuerst in einem eigenen Ordner. So prüfen Sie in Ruhe, ob alles stimmt. Ihre aktuellen Dateien überschreibt der Schutz nur, wenn Sie das ausdrücklich wollen.
Schutz der Schattenkopien unter Windows
Viele Erpresser löschen zuerst die Schattenkopien. Dann gibt es keinen Weg zurück. Der Schutz erkennt die Befehle dafür. Er beendet das Programm, das sie aufruft, und das Programm, das es gestartet hat. Ein Admin, der so einen Befehl selbst eintippt, verliert also sein Fenster. Diese Reaktion lässt sich abschalten. Die Meldung bleibt.
Ordnerschutz als zweite Schicht
Unter Windows gibt es zusätzlich den Ordnerschutz. Dann dürfen nur vertrauenswürdige Programme in geschützte Ordner schreiben. Windows setzt diese Sperre selbst durch. Ab Werk wird nur protokolliert. Der Ordnerschutz braucht den eingebauten Virenschutz von Windows im aktiven Betrieb.
Mehr über das Zusammenspiel aller Module lesen Sie im Glossar zuEndpoint Detection & Response.
Häufige Fragen zum Ransomware-Schutz
- Verhindert der Ransomware-Schutz jeden Angriff?
- Nein, eine Garantie gibt es nicht. Der Schutz greift ein, sobald die ersten Dateien betroffen sind. Darum gehören die Snapshots dazu. Aus ihnen holen Sie die ersten verschlüsselten Dateien zurück.
- Stört der Schutz meine Datensicherung?
- Er ist darauf vorbereitet. Bekannte Backup-, Pack- und Sync-Programme stehen auf einer Ausnahmeliste. Er meldet sie nur als verdächtig und beendet sie nicht. Läuft bei Ihnen eine Software, die noch nicht auf der Liste steht, starten Sie mit „nur melden“.
- Wie viel Speicherplatz brauchen die Snapshots unter Windows?
- Der Platz für Schattenkopien wird auf einen Anteil des Laufwerks begrenzt, ab Werk 15 Prozent. Ist das Limit erreicht, fallen die ältesten Kopien weg. Bei weniger als 10 Prozent freiem Platz legt der Schutz keine neue Kopie an und meldet das.
- Brauche ich trotzdem noch ein Backup?
- Ja. Die Snapshots liegen auf demselben Gerät. Sie helfen, wenn ein Angriff früh gestoppt wird. Ein getrenntes Backup ersetzen sie nicht. Ein Programm mit vollen Admin-Rechten kann Schattenkopien trotz Schutz zerstören. Der Schutz macht das nur deutlich schwerer.
Ransomware-Schutz in Ihrer Umgebung testen
Wir zeigen Ihnen, wie der Schutz auslöst und wie Sie Dateien zurückholen.
Demo anfragenSo arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.