SOAR-Integration in das UEM-Ökosystem

Kriminelle erbeuten 25 Millionen US-Dollar von einem Unternehmen, indem sie unter Einsatz von KI dessen CFO imitieren – dieser Deepfake-Fall in Hongkong ging vor wenigen Wochen durch die Presse.

Er dürfte nicht der letzte seiner Art gewesen sein. Wieder einmal zeigte sich unheilvoll das Gewaltpotenzial, welches sich hinter den neuen Techniken der Künstlichen Intelligenz verbirgt.

Cyberkriminelle und Hacktivisten wissen sich deren Fähigkeiten in höchst kreativer Weise zu bedienen: Phishing-Mails werden unter Einsatz KI-gestützter Gestaltung noch originalgetreuer, die Kanäle durch automatisiertes Social Engineering präziser gewählt, und die Quantität der Angriffe wächst weiter: Laut Bundeskriminalamt steigen sowohl die durch Cyberkriminalität entstandenen Schäden stark an als auch die aus dem Ausland heraus begangenen Taten. Branchenübergreifend sind alle gleichermaßen betroffen: Kleinunternehmen, Mittelständler wie auch Großkonzerne. Im besonderen Fokus der Cyberkriminellen stehen der öffentliche Sektor und kritische Infrastrukturen.

Deshalb wird es immer wichtiger, Hard- und Software sowie physische als auch virtuelle Zugänge zu schützen. Dies muss von zwei Seiten aus angegangen werden: technische Minimierung von Angriffsflächen durch Umsetzung von SOAR-Konzepten (= Security Orchestration, Automation and Response) durch UEM-Plattformen auf der einen Seite und Sensibilisierung der „Schwachstelle Mensch“ auf der anderen.

Plattformen für Unified Endpoint Management bilden sämtliche Aufgaben der IT-Administration zentral mit Hilfe unterschiedlicher Module ab. Sie sind dadurch ein ideales Werkzeug zur Prävention. Angriffsflächen lassen sich mit ihnen minimieren und Schwachstellen klein halten beziehungsweise schnell schließen, wenn Updates verfügbar sind.

Microsoft Defender über UEM steuern

Über ein UEM-System können IT-Admins verschiedene Antivirenlösungen und Verschlüsselungsmethoden zentral verwalten. So beinhaltet die ACMP Suite von Aagon ein eigenes Modul (Defender Management) für die zentrale Steuerung des Microsoft Defenders auf allen Clients in der Netzwerkumgebung.

Seit einiger Zeit bereits hat sich der Defender auf die vordersten Plätze unter den Antivirus-Systemen vorgearbeitet und ist zudem kostenlos im Betriebssystem enthalten. Das UEM-System liefert hierbei voreingestellt aussagekräftige Reports über den Defender-Status, Scan-Historien, neueste Bedrohungen sowie Infos zum nächsten anstehenden Scan. Es bietet zudem eine Möglichkeit für Abfragen der genutzten / nicht genutzten Konfigurationsprofile.

Regelmäßig wird nach Funden, Bedrohungen und Updates gescannt – mit sofortigem Statusbericht. Das UEM-System liefert einen Überblick aller gefundenen Bedrohungen, fehlgeschlagenen Updates und sonstigen Ereignisse. Die Anzeige der Ereignisse lässt sich konfigurieren, veraltete lassen sich filtern, sortieren oder löschen. Aus einem Ereignis kann der Admin direkt aus der UEM-Konsole zum betroffenen Client navigieren. Zudem hat dieser die Möglichkeit, Quarantänedateien einzusehen, wiederherzustellen, Aktionen auf ihnen auszuführen sowie sie automatisiert nach Ablauf eines definierten Zeitraums zu löschen.

Das verlorengegangene Notebook

Das ACMP BitLocker Management integriert die Verwaltung des Microsoft Bit-Lockers in die Konsole der Aagon-Lösung und ergänzt dessen Funktion um zentrale Verwaltung und Überblick der Festplattenverschlüsselungen, Statusabfragen von Schlüsselschutzvorrichtungen, Überblick über BitLocker-fähige Clients sowie Monitoring- und Reporting-Funktionen für aussagekräftige Analysen. Das erhöht die IT-Security und schützt sensible Informationen zuverlässig vor Datendiebstahl.

Schwachstellenmanagement

Ein Schwachstellenmanagement spürt zudem kritische Sicherheitslücken in der Netzwerkumgebung auf, legt vom IT-Administrator voreingestellte und automatisierte Reaktionsroutinen fest und beseitigt Risiken mithilfe CVSS- und CVE-zertifizierter Handlungsempfehlungen. Die dafür notwendigen Sicherheits-Scans werden so geplant und durchgeführt, dass die einzelne Arbeitskraft vor ihrem PC davon nichts mitbekommt und auch nicht beeinträchtigt wird. Schließlich beinhaltet das UEM-System von Aagon Module für Windows Update Management, Managed Software und Desktop Automation, die sich an das Schwachstellenmanagement anschließen bzw. darauf reagieren.

Automatisierung der Cybersicherheit durch SOAR

Für das gebündelte Erkennen, Priorisieren und Beheben möglicher Sicherheitsprobleme hat sich seit einiger Zeit der Terminus SOAR (Security Orchestration, Automation and Response) etabliert. Darunter versammeln sich alle Funktionen, die darauf abzielen, durch Standardisierung und Priorisierung automatisiert und damit effizient auf erkannte Bedrohungen zu reagieren. Genau dies ist mit einer UEM-Lösung möglich.

Reine SOAR-Werkzeuge sind oft auf Enterprise-Umgebungen hin zugeschnitten und decken Schwachstellen über die ganze Bandbreite möglicher Sicherheitslücken ab: Clients, Server, Firewalls etc. Für viele Mittelständler ist ein solcher Ansatz zu aufwändig und teuer. Angesichts der Tatsache, dass die Endpoints ohnehin Haupteinfallstor für Cyber-Attacken sind, liegt es nahe, ein SOAR-Konzept mit der vorhandenen UEM-Lösung umzusetzen. Sie enthält bereits die drei grundlegenden SOAR-Bausteine: Case- und Workflow-Management, Aufgabenautomatisierung sowie eine zentrale Methode, um Bedrohungsinformationen (Threat Intelligence) aufzurufen, zu durchsuchen und zu teilen.

Unter dem Schlagwort „Human Centered Security“ werden Maßnahmen zusammengefasst, die für die Risiken, die vom einzelnen User ausgehen, sensibilisieren sollen.

Sebastian Weber, Aagon GmbH

Das UEM-System kann damit bereits viel. Nicht zu seinen Aufgaben zählt es dagegen, Schulungen zum Verhalten der Beschäftigten anzubieten oder durchzuführen. Was zur „Schwachstelle Mensch“ als zweitem Ansatzpunkt für Prävention führt. Durch fortschreitende Technik, den Anstieg von Mobile Work und ungünstige äußere Umstände wie steigende Arbeitsdichte und Informationsflut sind Unternehmen auch weiterhin nicht davor gefeit, dass viele Sicherheitslücken sich durch den Menschen erst öffnen.

Phishing-Mails: nur einmal unaufmerksam geklickt

Unter dem Schlagwort „Human Centered Security“ werden deshalb Maßnahmen zusammengefasst, die für die Risiken, die vom einzelnen User ausgehen, sensibilisieren sollen. Es geht darum, Verhaltens- und Denkmuster in der IT-Sicherheit zu ändern und herauszufinden, wann und unter welchen Umständen menschliches Verhalten Sicherheitsrisiken provoziert. Diese gilt es in der Folge strategisch, technologisch und psychologisch zu vermeiden.

Instrument dafür sind spezielle Schulungen, die Verhaltensgrundsätze wie den Umgang mit Zugangsdaten sowie Hardware, Erkennungskriterien von Phishing- Mails und grundsätzliche mit dem Datenschutz verbundene Inhalte lehren. Denn insbesondere durch KI sind Phishing-Mails heute so raffiniert, dass eben doch immer wieder jemand darauf hereinfällt und aus Unaufmerksamkeit den fatalen Button klickt.

Ergebnis dieser Sensibilisierung soll es sein, dass die vermittelten theoretischen Verhaltensweisen auch wirklich eingehalten und nicht, gesteuert durch Emotionen, kognitive Diversität sowie Verzerrungen, unterminiert werden. Damit – und durch UEM-Technologie – ist dann schon viel gewonnen auf dem Weg zu höherer Cyber-Security.

Wer gerne eine UEM-Lösung ausprobieren möchte, kann eine kostenlose und unverbindliche Testversion der ACMP Suite hier anfragen.