Geräte, Server und Netzwerk absichern.

Die Bestandsaufnahme betrifft Endgeräte, physische oder virtualisierte Server, Netzwerkgeräte, gehostete Dienste und Fernzugänge. Privilegierte Konten, Software ohne Support und Sicherungen werden ebenfalls betrachtet.

Dringende Korrekturen werden von planbaren Verbesserungen getrennt. Das Angebot nennt nötige Korrekturen, erhaltbare Elemente und noch zu prüfende Punkte.

Gesamte Geräte- und Serververwaltung

Antivirus hilft, schädliche Aktivitäten zu verhindern und zu blockieren. Ein EDR bietet Beobachtung, Untersuchung und Reaktion auf betreuten Endgeräten und Servern. Funktionen überschneiden sich teilweise in einer Suite; tatsächlich aktivierte Module müssen geprüft werden.

Insbesondere lässt sich untersuchen, was einer Meldung vorausging und welche Geräte betroffen sind. Eine zusätzliche Lizenz bietet je nach Konfiguration, Abdeckung und Organisation der Meldungsbearbeitung jedoch nicht dieselbe Leistung.

Exposition und Folgen eines Vorfalls werden vor der Auswahl von Schutz und Betreuung untersucht.

Die Gerätezahl allein genügt nicht. Wenige Computer können sehr sensible Dossiers enthalten oder Zugang zu wesentlichen Diensten geben. Umgekehrt können bestimmte Konfigurationen besondere Installations- oder Verfügbarkeitsbedingungen mitbringen.

Untersucht werden Nutzung, Zugriffe, Daten, befürchtete Vorfälle und Reaktionsmöglichkeiten. Mögliche Anforderungen aus Verträgen, Kundenbeziehungen oder Versicherungen werden zur Prüfung aufgenommen.

Die Empfehlung kann ein EDR, die bessere Nutzung eines bestehenden Werkzeugs oder eine angepasste Kombination von Massnahmen betreffen. Beibehaltene und aufgegebene Fähigkeiten werden erläutert.

XDR verbindet mehrere Sicherheitsquellen, um einen Vorfall in einem grösseren Kontext zu untersuchen. Tatsächlich verfügbare Verbindungen hängen von Lösung, Sensoren und Lizenzen ab.

Der Nutzen wird anhand konkreter Fragen geprüft: Muss eine Endgerätemeldung mit einem Konto, einem gehosteten Dienst oder weiteren Geräten verbunden werden? Sind dafür Daten vorhanden? Wer untersucht das Ergebnis?

Breitere Erfassung soll Entscheidungen unterstützen. Unnötige Quellen, Duplikate und unbearbeitete Meldungen müssen bei Konfiguration und Betreuung erkannt werden.

Ein EDR kann durch eine Lösung ersetzt werden, deren Funktionen in Ihrer Umgebung verglichen wurden. Gewisse Fähigkeiten können bereits vorhanden sein, ohne ausgerollt oder richtig genutzt zu werden.

Firewall, zentrale Protokolle oder Verwaltungsagent ersetzen für sich allein kein EDR funktional. Sie wirken an anderen Stellen und liefern nicht zwingend dieselben Beobachtungen und Aktionen.

Kann kein Agent installiert werden, werden Segmentierung, Zugriffsbeschränkung und Netzwerküberwachung untersucht. Verbleibende Sichtbarkeitsgrenzen werden genannt. Diese Massnahmen werden nicht automatisch als gleichwertig dargestellt.

EDR und XDR: Nutzung, Auswahl und Grenzen FR

Konten, Fernzugänge, exponierte Dienste, Nachrichten und Kommunikationssysteme werden einbezogen. Rechte werden anhand der Nutzung geprüft, Personalwechsel mit der Zugriffsverwaltung verbunden.

Sicherungen und Wiederanlauf bleiben eigenständige Aufgaben. Angriffsschutz beweist nicht, dass ein Server oder Dossier wiederherstellbar ist. Benötigte Daten und Tests werden in der IT-Verwaltung festgelegt.

Empfehlungen von ANSSI und CISA dienen als Referenzen für ergänzende Massnahmen; die Umsetzung wird an die Installation angepasst.

NetWatch ist Karbonics eigener Agent auf einer Netzwerkstation. Er führt Befehle aus und liest Informationen kompatibler Schutzwerkzeuge. Die Koordination mit zentraler Verwaltung verbindet Sicherheitsbetreuung, Geräteverwaltung und Eingriffe.

NetWatch ergänzt Schutzwerkzeuge und wird nicht als eigenständiges EDR dargestellt. Zugänge, erlaubte Befehle und betroffene Geräte werden für Ihre Installation festgelegt.

Verantwortlichkeiten, Betreuungszeiten und Eskalationswege werden vereinbart. Automatische Aktionen bleiben auf einen definierten Umfang beschränkt. Situationen mit Entscheidungsbedarf werden identifiziert.

Eine Meldung wird im Kontext betrachtet: Gerät, Benutzerkonto, kürzliche Änderung, wesentlicher Dienst. Gewählte Aktion und Ergebnis müssen nachvollziehbar bleiben. Ein Morgenbericht hilft bei der Betreuung, ist aber für sich allein keine kontinuierliche Überwachung.

Erfordern Ihre Bedürfnisse eine permanente Betreuung, müssen die entsprechenden Mittel und Verpflichtungen ausdrücklich vereinbart werden.

Ein Vorfall, eine strittige Chronologie oder die Suche nach gelöschten Informationen kann eine vertiefte Analyse erfordern. Firewall-Protokolle, Systemaktivitäten, Computer und Telefone werden im autorisierten Umfang untersucht.

Befunde werden von Interpretationen getrennt. Fehlende Daten, Aufbewahrungsfristen und Wiederherstellungsgrenzen werden genannt. Standortspuren können beitragen, belegen aber nicht automatisch den Standort einer Person.

Digitale Untersuchung und Forensik

Aktuelle Installation, bereits bezahlte Werkzeuge und Schwierigkeiten bilden den Ausgangspunkt. Diagnose, Bereinigung, Lizenzen und laufende Betreuung werden im Angebot getrennt.

So entscheiden Sie auf verständlicher Grundlage: Abdeckung, Einsatzbedingungen, Grenzen und Betriebskosten.

ANSSI: Sicherheitsmassnahmen · CISA: Ressourcen für KMU