Endpoint Prevention & Response (EPR) Test 2023

Endpoint Prevention und Response (EPR)-Produkte werden in Unternehmen eingesetzt, um gezielte Angriffe wie Advanced Persistent Threats (APTs) zu erkennen, zu verhindern, zu analysieren und zu bekämpfen. Während von Endpunktsicherheitsprodukten erwartet wird, dass sie Malware und Netzwerkangriffe auf einzelnen Workstations erkennen und blockieren, müssen EPR-Produkte mit mehrstufigen Angriffen fertig werden, die darauf abzielen, das gesamte Netzwerk eines Unternehmens zu infiltrieren. Von Endpoint-Prevention- und Response-Systemen wird erwartet, dass sie nicht nur einzelne Geräte schützen, sondern auch eine detaillierte Analyse des Ursprungs, der Methoden und der Ziele eines Angriffs liefern. So kann das Sicherheitspersonal die Art der Bedrohung verstehen, ihre Ausbreitung verhindern, entstandene Schäden beheben und Vorkehrungen treffen, um ähnliche Angriffe in Zukunft zu verhindern.

Der Endpoint Prevention & Response Test von AV-Comparatives ist der umfassendste Test von EPR-Produkten, der jemals durchgeführt wurde. Die 12 getesteten Produkte wurden 50 verschiedenen gezielten Angriffsszenarien unterzogen, bei denen eine Vielzahl unterschiedlicher Techniken zum Einsatz kam. Ungeprüft durchliefen die Angriffe drei verschiedene Phasen: Endpoint Compromise and Foothold; Internal Propagation; Asset Breach. In jeder Phase wurde im Rahmen des Tests der gesamten Angriffskette ermittelt, ob das Produkt automatisch Maßnahmen ergriff, um die Bedrohung zu blockieren (aktive Reaktion), oder ob es Informationen über den Angriff lieferte, die der Administrator nutzen konnte, um selbst Maßnahmen zu ergreifen (passive Reaktion). Konnte ein EPR-Produkt einen Angriff in einer Phase nicht abwehren, wurde der Angriff in der nächsten Phase fortgesetzt, und die Reaktion des Produkts in dieser Phase wurde vermerkt.

Dieser Bericht enthält die Ergebnisse der Tests, aus denen hervorgeht, in welchem Stadium (wenn überhaupt) jedes Produkt eine aktive oder passive Reaktion auf jede Bedrohung bietet. Es werden jedoch auch eine Reihe anderer Faktoren berücksichtigt. Die Fähigkeit der einzelnen Produkte, Abhilfemaßnahmen zu ergreifen, wurde festgestellt. Ebenfalls berücksichtigt wurde die Fähigkeit jedes Produkts, Informationen über Indikatoren für eine Gefährdung zu sammeln und in einer leicht zugänglichen Form darzustellen.

Wir haben einen Enterprise EPR CyberRisk Quadrant entwickelt, der die Effektivität jedes Produkts bei der Verhinderung von Sicherheitsverletzungen, die berechneten Einsparungen, die sich daraus ergeben, die Anschaffungskosten des Produkts, die Kosten für die operative Genauigkeit des Produkts und die Kosten für die Verzögerung des Arbeitsablaufs berücksichtigt. Für diese Berechnung haben wir ein Unternehmen mit 5.000 Client-PCs über einen Zeitraum von 5 Jahren angenommen.

In unserem ständigen Bemühen, unseren Enterprise EPR CyberRisk Quadrant zu verbessern, haben wir in diesem Jahr einige Verfeinerungen vorgenommen. Zu unseren Bewertungsfaktoren gehören nach wie vor die Effektivität bei der Vermeidung von Sicherheitsverletzungen, die Kosteneffizienz, die operative Genauigkeit und die Effizienz der Arbeitsabläufe. Unsere Präsentation hat sich jedoch weiterentwickelt, um mehr Klarheit und Einfachheit zu schaffen. Die Produkte werden nun auf der Grundlage ihres Leistungsniveaus innerhalb des Quadranten kategorisiert, während unser Auszeichnungssymbol nun entweder "Zertifiziert" oder "Nicht zertifiziert" anzeigt. Diese Anpassung ermöglicht es uns, eine aufschlussreiche Kategorisierung zu liefern und bietet gleichzeitig ein unkompliziertes Erkennungssystem.

CyberRisk Quadrant Key Metrics - basierend auf 5000 Clients

Erläuterung des EPR CyberRisk Quadranten

Der Quadrant zeigt die Levels von hoch bis niedrig: Strategic Leader, CyberRisk Visionary, Strong Challenger, Not Certified. Diese Levels bieten einen umfassenden Überblick über die Gesamtleistung eines Produkts. Sie geben den Anbietern wertvolle Einblicke in bestimmte Aspekte ihres Angebots, die von einer Weiterentwicklung profitieren könnten. Während das Prädikat "Zertifiziert" für hervorragende Leistungen steht, dienen die Unterkategorien den Anbietern als Wegweiser für kontinuierliche Innovationen und Verbesserungen. Unser Ziel ist es, nicht nur herausragende Produkte anzuerkennen, sondern auch das kontinuierliche Streben nach Spitzenleistungen in der Cybersicherheitslandschaft zu fördern.

Strategic Leaders
EPR-Produkte, die als Strategic Leaders eingestuft sind, bieten eine außergewöhnliche Investitionsrendite, die zu deutlich geringeren Gesamtbetriebskosten (TCO) führt. Ihre bemerkenswerten technischen Fähigkeiten, gepaart mit einer fehlerfreien Leistung, halten die Kosten im Zaum. Diese Produkte zeichnen sich durchgängig durch hervorragende Leistungen in den Bereichen Prävention, Erkennung, Reaktion und Berichterstattung aus und bieten gleichzeitig optimale Workflow-Funktionen für Systemadministratoren und den Betrieb.
In Zukunft könnten wir ein Produkt herabstufen, wenn es nicht richtig funktioniert.

CyberRisk Visionaries
EPR-Produkte, die als CyberRisk Visionaries eingestuft werden, bieten eine hohe Investitionsrendite und niedrige Gesamtbetriebskosten, indem sie beeindruckende technische Fähigkeiten in Kombination mit hervorragenden betrieblichen und Workflow-Funktionen für Systemadministratoren bieten. Diese Produkte wiesen im Allgemeinen ausgezeichnete Präventions-, Erkennungs-, Reaktions- und Berichterstattungsfunktionen sowie überdurchschnittliche Betriebs- und Systemadministrator-Workflow-Funktionen auf.

Strong Challengers
EPR-Produkte, die als starke Herausforderer eingestuft werden, bieten eine zufriedenstellende Investitionsrendite und damit akzeptable Gesamtbetriebskosten. Sie bieten im Allgemeinen wirksame Präventions-, Erkennungs-, Reaktions- und Berichterstattungsfunktionen sowie kompetente operative und systemadministrative Workflow-Funktionen.  

Nicht zertifiziert
Produkte mit einem kombinierten aktiven und passiven Ansprechverhalten von weniger als 90% und/oder anderen Kosten, die die TCO zu hoch werden lassen, werden nicht zertifiziert.

Welches Produkt ist das richtige für mein Unternehmen?
Die Tatsache, dass ein Produkt hier im obersten Bereich des Quadranten angezeigt wird, bedeutet nicht unbedingt, dass es das beste Produkt für die Anforderungen Ihres Unternehmens ist. Produkte in niedrigeren Bereichen des Quadranten können Funktionen aufweisen, die sie für Ihre spezielle Umgebung gut geeignet machen.

Platzierung der Punkte
Die Platzierung des "Punktes" des Anbieters auf der Y-Achse des Quadranten richtete sich danach, wie gut die aktiven oder passiven Antwortmöglichkeiten waren. Diese Punktzahl wirkt sich auch auf die X-Achse aus; ein Produkt mit einer hohen aktiven Reaktionsrate hat eine niedrigere TCO, da die Reaktionskosten geringer sind. Außerdem verursachen Produkte, die einen Angriff in einer früheren Phase stoppen, auch weniger Kosten. Weitere Faktoren bei der TCO-Berechnung sind der Anschaffungspreis, die betriebliche Genauigkeit und Verzögerungen im Arbeitsablauf, die z. B. durch Sandbox-Analysen verursacht werden. Nachstehend finden Sie eine ausführliche Erläuterung, wie aktive und passive Reaktionen den Anbietern gutgeschrieben wurden.

EPR CyberRisk Quadrant Übersicht

Wir haben einen Enterprise EPR CyberRisk Quadrant entwickelt, der die Effektivität jedes Produkts bei der Verhinderung von Sicherheitsverstößen, die daraus resultierenden Einsparungen, die Anschaffungskosten des Produkts und die Kosten für die Genauigkeit des Produkts (aufgrund von Fehlalarmen) berücksichtigt.

Eines der größten Probleme, die durch eine Sicherheitsverletzung verursacht werden, sind die finanziellen Kosten, die der betroffenen Organisation entstehen. Nach Angaben von IBM belaufen sich die durchschnittlichen Kosten einer Sicherheitsverletzung auf 4,45 Millionen USD. Daher kann der Kauf eines wirksamen EPR-Produkts, das die negativen Auswirkungen eines Angriffs minimiert, eine gute Investition sein. Wenn ein Unternehmen im Falle eines erfolgreichen Angriffs einen Verlust von 2 Mio. USD zu beklagen hat, sind selbst 1,5 Mio. USD für Sicherheitsmaßnahmen eine sinnvolle Investition, ganz abgesehen von allen anderen Überlegungen.

In diesem Abschnitt betrachten wir die Gesamtkosten, die mit dem Einsatz der getesteten Sicherheitsprodukte verbunden sind, und ihre Wirksamkeit bei der Verhinderung von Sicherheitsverletzungen. Auf diese Weise können wir berechnen, inwieweit sich jedes der Produkte finanziell lohnt. Ausgehend von der IBM-Schätzung von 4,45 Mio. USD als Verlust für das Unternehmen im Falle eines erfolgreichen Angriffs berechnen wir, wie viel das Unternehmen durch den Kauf jedes der getesteten EPR-Produkte sparen könnte. Die Zahlen zeigen, dass alle getesteten Produkte wirksam sind und dass ihre kombinierten aktiven und passiven Reaktionswerte die große Mehrheit der Angriffe abdecken. Allerdings sind einige Produkte in dieser Hinsicht eindeutig besser als andere. Je effektiver ein Produkt bei der Verhinderung von Sicherheitsverletzungen ist, desto geringer sind die zu erwartenden Kosten für die Behebung von Sicherheitsverletzungen.

Die nachstehende Grafik zeigt die Formel, mit der die Gesamtbetriebskosten für ein Produkt ermittelt werden, wobei folgende Faktoren berücksichtigt werden. Zunächst ist da der Preis, den der Hersteller für das Produkt und die damit verbundenen Service- und Supportkosten zahlt. Als Nächstes kommen die Kosten in Verbindung mit durch das Produkt verursachten Over-Blocking/Over-Reporting hinzu, die im Folgenden als Kosten für die Betriebsgenauigkeit definiert werden. Diese Fälle müssen untersucht und behoben werden. Im Jahr 2015 schätzte das Ponemon’s Institute , dass Unternehmen jährlich etwa 1,3 Millionen USD aufgrund ungenauer oder fehlerhafter Informationen verschwenden. Berücksichtigt man die Inflation der letzten acht Jahre, so ergibt sich für das Jahr 2023 eine vernünftige Schätzung von 1,72 Mio. USD. Dies sind die zusätzlichen jährlichen Kosten, die Sie für ein Produkt zu erwarten haben, das in diesem Jahr unsere Validierung der operationellen Genauigkeit nicht besteht. Die Kosten, die durch eine unzureichende operationelle Genauigkeit entstehen, werden bestraft, und die Kosten, die durch Verzögerungen im Arbeitsablauf entstehen, werden ebenfalls berücksichtigt. Wenn also ein Benutzer z. B. durch die Funktionen, Richtlinien oder das Verhalten eines Produkts in seinem Betrieb beeinträchtigt wird, schlägt sich dies auch in der Bewertung des EPR-CyberRisk-Quadranten nieder.

Als Nächstes folgen die Kosten im Zusammenhang mit Sicherheitsverletzungen, wobei ein Produkt, das theoretisch 100% Angriffe abwehren kann, hier keine Kosten verursacht, während ein Produkt, das keine Angriffe abwehrt, die vollen Kosten einer Sicherheitsverletzung verursacht.

Die Kosten für einen Angriff wurden für jedes Produkt pro Szenario berechnet, basierend auf der Fähigkeit des EPR-Produkts, zum Zeitpunkt der Ausführung aktiv und passiv zu reagieren. Das Verfahren, das wir für die Berechnung der Kosten für einen Breach im Jahr 2023 verwendet haben, wird im Folgenden dargestellt:

1. Wenn es eine aktive Reaktion in Phase 1 gab (d. h. der Angriff wurde automatisch erfolgreich gestoppt und berichtet), dann wurde 0% der Gesamtkosten für die Verletzung für das Szenario hinzugefügt.
2. Wenn es in Phase 1 KEINE aktive Reaktion gab, aber das Produkt in Phase 1 passive Reaktionsfähigkeiten zeigte, wurden für das Szenario nur 12,5% der Gesamtkosten der Sicherheitsverletzung addiert.
3. Wenn es in Phase 2 eine aktive Reaktion gab, wurden für das Szenario 25% der Gesamtkosten für die Sicherheitsverletzung hinzugefügt.
4. Wenn es in Phase 2 KEINE aktive Reaktion gab, aber das Produkt in Phase 2 passive Reaktionsmöglichkeiten aufzeigte, wurden 50% der Gesamtkosten für das Szenario hinzugefügt.
5. Wenn es in Phase 3 eine aktive Reaktion gab, wurden für das Szenario 75% der Gesamtkosten für die Sicherheitsverletzung hinzugefügt.
6. Wenn es in Phase 3 KEINE aktive Reaktion gab, aber das Produkt in Phase 3 passive Reaktionsfähigkeiten zeigte, dann wurden 95% der Gesamtkosten für das Szenario hinzugefügt.
7. Wenn es für das Szenario KEINE aktive oder passive Reaktion gab, wurden 100% der Gesamtkosten für die Sicherheitsverletzung für das Szenario addiert.

Zur Berechnung der X-Achse im EPR-CyberRisk-Quadranten haben wir den Listenpreis des Produkts, die Kosten für die operative Genauigkeit (z. B. false-positives/over-blocking/over-reporting), die Kosten für die Verzögerung des Arbeitsablaufs und die Kosteneinsparungen bei Sicherheitsverletzungen verwendet.

Die auf der X-Achse des Quadranten angezeigten Punktzahlen werden wie folgt berechnet. Für die aktive Reaktion nehmen wir die kumulativen Reaktionswerte für die Phasen 1, 2 und 3 und ermitteln den Durchschnitt dieser Werte. Das Gleiche gilt für die kumulative Bewertung der passiven Reaktion in den Phasen 1, 2 und 3. Schließlich wird der Durchschnitt dieser beiden Werte gebildet, um die Gesamtpunktzahl für die Reaktion zu erhalten.

Wir haben unsere Quadrantenberechnungen leicht verbessert. Diese Änderungen sind in erster Linie auf inflationsbedingte Kostensteigerungen und steigende Produktkosten zurückzuführen. Außerdem haben wir die TCO-Berechnung nur geringfügig verfeinert.

Wir sind fest entschlossen, die größtmögliche Relevanz der in dieser Bewertung verwendeten Metriken zu gewährleisten. Dafür haben wir die Rückmeldungen der Unternehmen geprüft und gegebenenfalls berücksichtigt. Dieser iterative Ansatz gewährleistet, dass sich unser Bewertungsprozess kontinuierlich an die sich ständig verändernde Unternehmenslandschaft anpasst.

EPR-Systeme zielen darauf ab, Bedrohungen zu verhindern, wo dies möglich ist, oder wirksame Erkennungs-/Reaktionsfunktionen bereitzustellen, wo dies nicht möglich ist. Endpunktprodukte, mit hoher Präventions Rate verursachen geringere Kosten, da kein operativer Aufwand für die Reaktion auf einen Angriff und die Behebung seiner Folgen erforderlich ist. Außerdem werden EPR-Produkte, mit einer hohen Erkennungs- Rate (Sichtbarkeit und forensische Details) Einsparungen erzielen, da das Produkt die für die Untersuchung des Angriffs erforderlichen Informationen liefert.

Aktive Reaktion (Prävention): Eine aktive Reaktion stoppt den Angriff automatisch und meldet ihn.

Passive Reaktion (Erkennung): Bei einer passiven Reaktion wird der Angriff nicht gestoppt, sondern verdächtige Aktivitäten gemeldet.

Endpoint Prevention Response im Vergleich zum MITRE ATT&CK Framework

Dieser EPR-Produktbericht ist eine umfassende Validierung der Funktionen, der Produktwirksamkeit und anderer relevanter Metriken, die Ihnen bei Ihrer Risikobewertung helfen. Die eingehenden Tests liefen über einen Zeitraum von vier Wochen. Insgesamt wurden 49 Szenarien mit realen Anwendungsfällen in Unternehmen durchgeführt. Diese Szenarien umfassten mehrere Präventions- und Erkennungs-Workflows, die unter normalen Betriebsbedingungen von verschiedenen Benutzer-Personas ausgeführt wurden. Die Ergebnisse der Validierung lassen sich effizient und effektiv auf die MITRE ATT&CK® Platform abbilden (© 2015-2023, The MITRE Corporation. MITRE ATT&CK und ATT&CK sind eingetragene Marken von The MITRE Gesellschaft) und der NIST-Plattform, so dass es einfacher wird, das Risiko in Bezug auf einen bestimmten Endpunkt zu operationalisieren.

AV-Comparatives hat einen Paradigmenwechsel in der Branche herbeigeführt, indem es eine EPR-Methode definiert hat, die die alltägliche Realität der Anwendungsfälle und Arbeitsabläufe in Unternehmen widerspiegelt und die Sichtbarkeit der Kill-Chain mit dem MITRE ATT&CK-Framework abbildet.

Wie in der folgenden Abbildung dargestellt, haben wir uns von "atomaren" Tests entfernt, d. h. Tests, die nur eine bestimmte Komponente des ATT&CK-Frameworks untersuchen, und stattdessen die EPR-Produkte im Kontext der gesamten Angriffskette bewertet, wobei die Arbeitsabläufe in jeder Phase von der anfänglichen Ausführung bis zur endgültigen Datenexfiltration/Sabotage miteinander verbunden sind.

EPR-Prüfungsablauf

Die nachstehende Grafik gibt einen vereinfachten Überblick über das verwendete Prüfverfahren:

Unternehmen EPR Arbeitsablauf Überblick

Prävention (aktive Reaktion)

Die beste Art und Weise, auf eine Bedrohung zu reagieren, besteht darin, sie so schnell wie möglich zu verhindern und effektiv darüber zu berichten. AV-Comparatives definiert Prävention als eine automatisierte, aktive Reaktion, die rund um die Uhr, 365 Tage im Jahr, ohne menschliches Eingreifen, aber mit quantifizierbaren Metriken und Berichtsdatenpunkten, die für eine effektive Analyse genutzt werden können, einsetzt.

Ein EPR-Produkt sollte in der Lage sein, eine Bedrohung auf einem kompromittierten Computer zunächst zu erkennen und zu verhindern. Der Vorfall sollte von einem zentralen Verwaltungssystem aus erkannt, identifiziert, korreliert und durch eine wirksame passive Reaktionsstrategie (teilweise/vollständig automatisiert) behoben werden, idealerweise in Echtzeit. Darüber hinaus sollte der Systemadministrator in der Lage sein, eine Bedrohung auf der Grundlage der gesammelten und analysierten Daten zu klassifizieren und einzuteilen, und er sollte in der Lage sein, eine Reaktion mit Hilfe des EPR-Produkts mit einem spezifischen Workflow abzuschließen.

Eine aktive Reaktion, wie sie in diesem Test definiert wird, ist eine wirksame Reaktionsstrategie, die eine Erkennung mit wirksamen Präventions- und Berichtsfunktionen verbindet. Dies alles sollte auf automatisierte Weise und ohne manuelles Eingreifen geschehen. Dies kann durch eine Vielzahl von Technologien und Mechanismen geschehen, z. B.: signaturbasierte Modelle, verhaltensbasierte Modelle, ML-basierte Modelle, Transaktions-Rollbacks, isolationsbasierte Mechanismen usw. Diese Definition ist technologieunabhängig, da sie sich auf die Ergebnisse der verschiedenen Arbeitsabläufe und Szenarien der Systemadministratoren konzentriert und nicht auf die Technologie, die zur Vorbeugung, Erkennung oder Reaktion darauf eingesetzt wird.

Erkennung (Passive Reaktion)

Passive Reaktion, wie sie in diesem Test definiert wird, ist eine Reihe von Reaktionsmechanismen, die das Produkt mit kohärenten Erkennungs-, Korrelations-, Berichts- und Aktionsfähigkeiten bietet. Sobald sich ein Angreifer bereits in der Unternehmensumgebung befindet, kommen herkömmliche Reaktionsmechanismen zum Einsatz, z. B. IOC- und IOA-Korrelation, externe Bedrohungsinformationen und Jagd. AV-Comparatives definiert diese Reaktionsmechanismen als Passive Response. Die Voraussetzung für eine passive Reaktion ist die Erkennung einer potenziellen Bedrohung durch EPR-Produkte.

Von EPR-Produkten wird in der Regel erwartet, dass sie anfängliche und laufende Angriffe verhindern, ohne eine Triage vornehmen zu müssen, und gleichzeitig aktive Reaktions- und Berichtsfunktionen bieten. Wird der Angriff verpasst oder nicht verhindert, sollten EPR-Produkte in der Lage sein, Angriffe zu bewerten und darauf zu reagieren, wodurch die Ressourcen (Personal/Automatisierung) weniger belastet werden und langfristig eine bessere Rendite erzielt wird.

Die Bandbreite der verfügbaren Reaktionsmöglichkeiten eines EPR-Produkts ist äußerst wichtig für Unternehmen, die Bedrohungen/Kompromittierungen auf mehreren Rechnern an mehreren Standorten überprüfen müssen. Ein EPR-Produkt sollte in der Lage sein, anhand der dem Systemadministrator zur Verfügung gestellten Informationsdaten nach bestimmten Bedrohungen zu suchen. Sobald die Bedrohungen identifiziert sind, sollte der Systemadministrator in der Lage sein, mit dem EPR-Produkt Reaktionen auf der Grundlage der Art der Infektion einzuleiten. AV-Comparatives erwartet, dass EPR-Produkte nicht-automatische oder halbautomatische passive Reaktionsmechanismen haben.

Korrelation von Prozess, Endpunkt und Netzwerk

Das EPR-Produkt sollte in der Lage sein, Bedrohungen auf eine oder mehrere der folgenden Arten zu erkennen und darauf zu reagieren:

• Die Antwort basiert auf der erfolgreichen Identifizierung des Angriffs über die Benutzeroberfläche (UI) des Produkts, die die Angriffsquelle (http[s]/IP-basierter Link) auflistet, die die kompromittierte Website/IP hostet.)
• Exploit-Identifizierung (basierend auf CVE oder generischer Erkennung der Bedrohung)
• Heruntergeladene Malware-Datei
• Spawnen von Malware-Prozessen
• Befehls- und Kontrolltätigkeit als Teil der einheitlichen Angriffskette

Überblick über die EPR-Validierung

AV-Comparatives hat die folgende Topologie und Metrik entwickelt, um die Fähigkeiten von Endpoint Prevention and Response (EPR)-Produkten genau zu bewerten.

Die EPR-Produkte aller getesteten Anbieter wurden im Standalone-Modus implementiert und bewertet, wobei jeder Anbieter aktiv an der anfänglichen Einrichtung, Konfiguration und den Baselining-Aspekten beteiligt war. AV-Comparatives bewertete eine Liste von 50 Szenarien, wie sie häufig von Analysten und Unternehmen gefordert werden, und hob mehrere unternehmensbezogene Anwendungsfälle hervor. Jeder Anbieter durfte sein eigenes Produkt in dem Maße konfigurieren, wie es Unternehmen beim Einsatz in ihrer Infrastruktur tun können. Die Details der Konfigurationen sind am Anfang dieses Berichts enthalten.

Da diese Methodik auf die Präventions-, Erkennungs- und Reaktionsfähigkeiten zugeschnitten ist, haben alle Anbieter ihre Präventions- und Schutzfähigkeiten (Fähigkeit zum Blockieren) sowie die Erkennungs- und Reaktionsfähigkeiten aktiviert, so dass sie die realen Fähigkeiten dieser Produkte auf Unternehmensebene nachahmen.

Die Tests unterstützten EPR-Produktaktualisierungen und Konfigurationsänderungen, die über die Cloud-Management-Konsole oder den lokalen Netzwerkserver vorgenommen wurden. Wir haben so weit wie möglich alle Testszenarien von Anfang bis Ende durchlaufen und ausgeführt.

Ziel des Tests

Die folgende Bewertung wurde durchgeführt, um zu überprüfen, ob das EPR-Endpunktsicherheitsprodukt in der Lage ist, auf jedes Szenario angemessen zu reagieren.

• In welcher Angriffsphase fand die Verhinderung/Erkennung statt? Phase 1 (Endpoint Compromise and Foothold), Phase 2 (Internal Propagation) oder Phase 3 (Asset Breach)?
• Hat uns das EPR-Produkt eine angemessene Bedrohungsklassifizierung und Bedrohungseinstufung geliefert und einen genauen Bedrohungszeitplan der Angriffe mit relevanten Endpunkt- und Benutzerdaten aufgezeigt?
• Entstanden durch das EPR-Produkt zusätzliche Kosten aufgrund von unzureichender operativer Genauigkeit oder Verzögerungen im Arbeitsablauf?

Gezielte Use-Cases

Bei der emulierten Ereignisfolge handelte es sich um ein unternehmensbasiertes Szenario, bei dem der Benutzer auf Systemebene eine Datei in einem E-Mail-Anhang erhielt und sie ausführte. In einigen Fällen waren die E-Mails harmlos, in anderen wiederum nicht. Wenn die bösartigen E-Mail-Anhänge erfolgreich ausgeführt wurden, konnte ein Angreifer in der Umgebung Fuß fassen und weitere Schritte unternehmen, um seine Ziele zu erreichen.

Während der Tests haben wir uns in das EPR-Produktmanagement und die einzelnen Konsolen der Testsysteme eingeloggt, um zu beobachten, zu analysieren und zu dokumentieren, welche Art von Aktivität vom Produkt aufgezeichnet wird. Gibt es zum Beispiel bei einem Angriff irgendwelche Warnungen oder Ereignisse, und handelt es sich dabei um echte Positiv- oder Negativmeldungen?

Bei echten positiven Alarmen haben wir außerdem untersucht, ob die anschließende Reaktion in Form von Ereigniskorrelation, Triagen, Bedrohungsklassifizierung und Bedrohungszeitplan dem Systemadministrator zeitnah und klar zur Verfügung gestellt wurde. Wir testeten die von den getesteten Produkten zur Verfügung gestellten Antworten.

Der Test wurde im Sommer 2023 durchgeführt, wobei der Angreifer sich durch die Angriffsknoten bewegte, um schließlich sein Ziel zu erreichen. Die Benutzeraktivitäten wurden während des gesamten Tests simuliert, so dass sie einer realen Umgebung so nahe wie möglich kamen.

Alle Angriffe wurden mit Open-Source- und kommerziellen Tools/Frameworks erstellt und wurden mit internem Fachwissen entwickelt. Der Grund, warum wir commercial C2 frameworks aufgenommen haben, ist, dass diese häufig von Angreifern in realen APTs missbraucht werden; sie nicht zu verwenden, würde einen "blinden Fleck" verursachen und zu einem falschen Sicherheitsgefühl führen. Aufgrund von Lizenzvereinbarungen haben wir Maßnahmen ergriffen, um zu verhindern, dass von kommerziellen C2-Frameworks erstellte Beispiele an die EPR-Anbieter weitergegeben werden. Diese Beschränkungen sollen verhindern, dass sich die Anbieter auf die Tools und nicht auf die Techniken konzentrieren.

Zur Veranschaulichung des Testverfahrens geben wir im Folgenden ein Beispiel dafür, wie ein typischer gezielter Angriff ablaufen könnte. Der Angreifer sendet eine Skript-Nutzlast (die einige Verteidigungsumgehungstechniken wie DLL-Sideloading enthält) über eine Phishing-Mail an Netzwerkbenutzer A auf Arbeitsstation A. Nachdem er mit dem Benutzerkonto A im Zielnetz Fuß gefasst hat, wird eine interne Erkundung durchgeführt. Dies beinhaltet die Auflistung von Benutzerrechten, Benutzergruppen, installierten Sicherheitsprodukten usw. Dabei zeigt sich, dass das kompromittierte Benutzerkonto A Zugriff auf die C$-Freigabe auf Arbeitsstation B hat, was bedeutet, dass das Konto über lokale Administratorrechte auf dieser Arbeitsstation verfügt. Mit dem aus der internen Erkennung gewonnenen Wissen bewegt sich der Angreifer seitlich von Arbeitsstation A zu Arbeitsstation B. Anschließend setzt er die interne Erkennung auf Arbeitsstation B fort. Dadurch findet er die offene Benutzersitzung eines Netzwerkadministrators auf Arbeitsstation B. Um dies auszunutzen, führt der Angreifer den LSASS-Prozess aus und kann so die Anmeldeinformationen des Administrators stehlen. Auf diese Weise findet er heraus, dass das kompromittierte Administratorkonto Zugriff auf Server 1 hat. Der Angreifer verwendet dann dieses kompromittierte Administratorkonto, um sich seitlich von Arbeitsstation B zu Server 1 zu bewegen und diesen Server dann zu kompromittieren. Hier führt er weitere interne Erkundungen durch und nutzt auch einige Techniken zur Umgehung der Verteidigung, um das installierte Sicherheitsprodukt zu umgehen (z. B. durch Patchen von AMSI und ETW). Am Ende dieser Prozedur sind sie in der Lage, Kreditkartendaten auf Server 1 zu identifizieren, die sie über einen offenen C2-Kanal extrahieren.