Marktübersicht: Neue Techniken der Endpoint-Security

Endpoint-Security ist ein Thema mit einer langen Geschichte, und dennoch ist es derzeit aktueller als in den letzten 15 Jahren. Von vielen Herstellern werden Produkte als „Next Generation“-Antivirus (AV), Anti-Malware oder schlicht „Endpoint-Security“ angeboten. In den letzten Jahren hat hier ein technischer Wandel stattgefunden, der von neuen Herstellern getrieben wurde, aber auch die etablierten dazu gebracht hat, ihre Lösungen stark zu erweitern. Wie überall in der IT spielen dabei Buzzwords wie „künstliche Intelligenz“, „maschinelles Lernen“ oder schlicht „Cloud“ eine wichtige Rolle.

Der größte Treiber des aktuellen Wandels ist die Diskussion über APTs (Ad­vanced Persistent Threats), also gezielte professionelle Angriffe, die man mit klassischen signaturbasierten Antivirus-­Techniken nicht verhindern kann. Viele Organisationen haben erkannt, dass si­gna­turbasierter Virenschutz zu langsam und immer weniger wirksam geworden ist.

In Unternehmen ist Endgerätesicherheit heute mehr als nur der Schutz vor Malware. Auch die sichere Verbindung in ein Unternehmensnetzwerk über ein VPN, die Verschlüsselung lokal gespeicherter Daten, der Versuch, Datenabfluss zu verhindern, die Kontrolle von Schnittstellen wie USB oder die Kontrolle eingehender Kommunikation mit Firewall-Funktionen gehören neben vielen weiteren Sicherheitsfunktionen typischerweise zu Produkten in diesem Bereich dazu.

Die Ursprünge des Marktes für Endgerätesicherheit gehen dabei in die 80er-Jahre zurück, als Firmen wie McAfee, Symantec, Norman, Avira, G DATA und einige mehr erste Produkte zum Virenschutz entwickelt haben. Teilweise waren es auch einzelne Personen wie John McAfee oder ­Eugene Kaspersky, deren Namen schon damals mit Virenschutz assoziiert wurden.

Die Suche nach dem Muster

Die wichtigste Technik war ursprünglich die Suche nach bestimmten Mustern („Signaturen“) in Dateien. Diese Grundtechnik ist nach wie vor ein wesentlicher Bestandteil fast aller Virenscanner. Ihre Probleme liegen vor allem im technischen Fortschritt: Mit dem Wachstum des Internets und der zunehmenden weltweiten IT-Kompetenz gibt es auch immer mehr Kriminelle, die die IT und das Internet für sich entdeckt haben. Entsprechend gibt es immer mehr Malware, die täglich aufs Neue angreift. Gleichzeitig sind die Bandbreiten im Internet immer weiter angewachsen, was die Verbreitung von Malware beschleunigt. Beides führt dazu, dass die Listen mit Signaturen, die ein Virenscanner benötigt, immer größer werden und eine neue Malware schneller verbreitet werden kann, als die Hersteller von AV-Lösungen ihre Signatur-Updates zu den Kunden bringen.

Klassischer signaturbasierter Virenschutz ist dadurch nicht generell schlecht, aber oft zu langsam. Malware wird dann weder zum Zeitpunkt der Infektion erkannt noch kann die Infektion verhindert werden. Auch der Ressourcenbedarf eines solchen AV-Systems wird durch das Wachstum der Signaturlisten größer, da immer mehr Signaturen vorgehalten und verglichen werden müssen.

Schon früh kamen erste Hersteller deshalb auf die Idee, andere, ergänzende Techniken in ein Schutzprodukt einzubauen oder komplementäre Produkte auf den Markt zu bringen. Der Versuch, Malware ergänzend zu Signaturen mit Heuristiken zu erkennen, ist ein Beispiel dafür. Bei dieser Methode wird eine Datei auf verdächtige, viren­typische Eigenschaften überprüft.

Eine recht interessante Alternative kam um die Jahrtausendwende auf den Markt. Firmen wie Okena oder Platform Logic haben Produkte entwickelt, die jeden Zugriff eines Programms auf Ressourcen wie die Festplatte, die Registry, Netzwerk­kommunikation, das Starten neuer Pro­zesse etc. überwachen und mit einem Regelwerk kontrollieren. Die Regeln definieren beispielsweise, dass ein Internetbrowser keine beliebigen anderen ­Pro­gramme starten darf, nur in bestimmte Verzeichnisse und Registry-Bereiche schreiben darf und so weiter. Diese Lösungen wurden „Host-based Intrusion Prevention System (HIPS)“ genannt.

Mit geeigneten Regeln kann ein HIPS verhindern, dass eine Malware Schaden auf einem Endgerät anrichtet und sich weiterverbreitet. Die Regeln müssen dabei auf die tatsächlich benötigten Programme angepasst werden. Signaturen oder Anpassungen an neue Malware sind dagegen nicht notwendig. Somit bietet ein HIPS einen tatsächlich proaktiven und auch starken Schutz der Endgeräte.

Aus HIPS wird Verhaltenskontrolle

Problematisch ist allerdings die Komplexität und Menge der in der Praxis benötigten Regeln. Zudem kam die Technik zu einer Zeit auf den Markt, als noch Windows 98 und später Windows XP verbreitet waren. Diese Betriebssysteme hatten keine klaren Schnittstellen für derartige Sicherheitsprodukte, sodass sich ein HIPS mit Tricks an vielen Stellen in das Betriebssystem einklinken musste, was der Stabilität nicht gerade zuträglich war.

2003 wurde die Firma Okena von Cisco übernommen, die aus dem ursprünglichen Produkt den „Cisco Security Agent“ machte, letztlich damit aber nicht erfolgreich war und ihn später einstellte. Platform Logic wurde von Symantec gekauft und teilweise in die existierende Lösung für Arbeitsplätze integriert. Für Server wurde daraus das Produkt „Symantec Critical System Protection“. Auch McAfee kaufte einen HIPS-Player, die Firma Entercept.

Heute sind die Ideen von HIPS in vielen AV-Produkten integriert. Manchmal wird dafür auch noch der Name HIPS verwendet, manchmal ist nur von Verhaltenskontrolle die Rede. Auch Microsoft bietet für Windows 10 ähnliche Funktionen unter dem Namen „Attack Surface Reduction“ an. Sie sind vor allem Bestandteil von „Windows Defender Advanced Threat Protection“ und damit erst für Kunden mit einer E5-Lizenz, einer Unternehmensvolumenlizenz von Micro­soft, verfügbar. Ein kleinerer Teil steht auch schon mit der günstigeren Microsoft-E3-Lizenz zur Verfügung.

Noch älter als HIPS ist die Idee des „Application Whitelisting“. Pioniere in diesem Bereich waren beispielsweise die Firmen SecureWave in den 90er-Jahren (heute Ivanti) und Bit9 (2002 gegründet, heute CarbonBlack). Ein Application-­Whitelisting-System gestattet ausschließlich das Ausführen von Programmen, die explizit erlaubt (in einer Whitelist enthalten) sind. Der dadurch erreichbare Schutz vor Malware ist durchaus hoch, zumindest wenn die Malware als ausführbares Programm konzipiert ist oder ein solches nachlädt. Der Betriebsaufwand ist bei ­einer solchen Implementation aber auch sehr hoch.

Vom Whitelisting zur Signatur

Entsprechend hat sich die Technik weiterentwickelt und Bit9 war einer der ersten Anbieter, die das Ausführen von Programmen automatisch anhand sinnvoller Kriterien erlaubt haben. Kriterien waren dabei die digitale Signatur eines vertrauenswürdigen Herstellers oder der Weg, über den die Software installiert wurde.

Eine andere Umsetzungsvariante listet nicht mehr jedes zulässige Programm einzeln auf, sondern erlaubt nur noch das Starten von Programmen aus bestimmten Verzeichnisbäumen, die für den normalen Anwender nicht schreibbar sind. Somit kann ein Anwender eine aus dem Internet heruntergeladene Software nicht mehr starten, währen die normalen Programme unter C:\Programme etc. meist ohne Einschränkungen funktionieren.

Umsetzbar ist dieser Ansatz beispielsweise mit der AppLocker-Komponente von Microsoft, die seit Windows 7 kostenlos im Betriebssystem enthalten ist und von vielen Organisationen verwendet wird. Aber auch bei Windows XP gab es unter dem Namen Software Restriction Policies schon einen Vorläufer von AppLocker.

Eine gewisse Ähnlichkeit mit den früheren HIPS-Ideen haben moderne Ansätze zur Überwachung des Prozessverhaltens auf den Endgeräten. Bei ihnen überwacht ein Agent jede Aktivität eines laufenden Programms, jede Kommunikation und jeden Zugriff auf Ressourcen wie zum Beispiel Dateien oder Registry-Einträge. Im Gegensatz zu einem HIPS werden diese Aktivitäten jedoch nicht anhand einer Policy einzeln erlaubt oder blockiert, sondern das Verhalten wird im Verlauf analysiert, um bösartige Aktivitäten zu entdecken und dann darauf reagieren zu können.

KI bewertet Verhaltensmuster

Es geht dabei nicht um das Verhalten von Benutzern, sondern um technisches Verhalten der Prozesse. Wenn beispielsweise ein Prozess eine Datei aus dem Internet lädt, diese in einem Temp-Verzeichnis speichert, sie dann startet und wenn dann diese neu gestartete Datei noch Office-­Dokumente verändert, dann wird es sich vermutlich um Malware handeln. Die Bewertung der Verhaltensmuster erfolgt oft mit KI-Methoden.

Bekannte Hersteller mit diesem Fokus sind beispielsweise SentinelOne, Sophos (durch Aufkauf von Invincea), Cybereason, CrowdStrike oder CarbonBlack. Auch Micro­soft bietet eine Lösung zur Analyse des Prozessverhaltens unter dem Namen Defender ATP, die allerdings erst in einer E5-Lizenz enthalten ist. Bei manchen Produkten läuft das zentrale Management und die Analyse der einzelnen Events nur in der Cloud des Herstellers (beispielsweise bei Microsoft oder auch Crowd­Strike), während andere wie SentinelOne diese Funktion lokal im Netzwerk des Kunden vorhalten.

Analysten bezeichnen derlei Produkte meist als „Endpoint Detection and Re­s­ponse“-Lösungen (EDR), denn neben der Erkennung von Vorfällen spielt auch die Reaktion darauf eine wichtige Rolle. Einige Produkte können bösartiges Verhalten nicht nur erkennen, sondern bieten automatisches Reagieren wie das Stoppen des bösartigen Prozesses oder das Zurückrollen aller Änderungen, die der Prozess am System durchgeführt hat. ­Einige Hersteller bieten dem Sicherheitsexperten dann auch einen interaktiven Zugriff auf das System, um den Vorfall weiter zu untersuchen oder die Kompromittierung aufzuhalten.

Manche Produkte suchen aktiv nach weiteren kompromittierten Systemen anhand sogenannter „Indicators of Compromise“ (IoCs). Man spricht dabei meist von „Threat Hunting“. Solche Produkte helfen den Sicherheitsexperten bei der Suche, indem sie es beispielsweise sehr einfach und schnell im gesamten Netzwerk ermöglichen, weitere Systeme aufzuspüren, auf denen eine bestimmte Datei vorhanden oder ein bestimmter Registry-Key gesetzt ist.

Die Gefahren isolieren

Einen ganz anderen Weg gehen Isolations­techniken. Inspiriert von der ursprünglichen Idee, dass Internetnutzung auf einem dafür dedizierten zweiten PC neben dem normalen Arbeitsplatz stattfindet, haben sich verschiedene Techniken entwickelt (siehe Abbildung 1). Dabei benötigt man heute natürlich keinen zusätzlichen PC mehr. Stattdessen sollen potenziell gefährliche Aktivitäten per Software von den internen Applikationen und Daten isoliert werden. Dazu gehört das Surfen mit einem Webbrowser, aber oft auch das Öffnen von Dokumenten, die nicht aus dem eigenen Unternehmen stammen, sondern beispielsweise als Mailanhang von einem externen Absender empfangen wurden.

Eine schon recht lange existierende Isolationstechnik sind Sandboxes (siehe Abbildung 2). Eine Sandbox ist zunächst ein Bereich innerhalb des Betriebssystems, der Programme oder Prozesse isoliert und vom restlichen System abschottet. Das soll verhindern, dass Schadcode das Betriebssystem manipuliert. Man kennt Sandboxes heute vor allem vom Java-Interpreter, von Android und iOS. Auch in der IT-Sicherheit gab es schon vor über 15 Jahren Sicherheitslösungen für Windows-Arbeitsplätze, die das Surfen im Internet oder das Verarbeiten von Mails dauerhaft innerhalb einer Sandbox isolierten.

Technisch klinken sich solche Produkte in nahezu alle Betriebssystemaufrufe ein. Im Gegensatz zu einem HIPS werden unerwünschte Schreibzugriffe jedoch nicht blockiert, sondern so umgeleitet, dass die Änderungen in einem eigenen Speicherbereich der Sandbox vorge­halten werden. Das Programm innerhalb der Sandbox meint somit, dass es beliebige Änderungen am System und an ­Dateien durchführen kann. In Wahrheit werden die Änderungen jedoch nur simuliert und die echten Zieldaten bleiben ­unverändert.

Die Sandbox-Produkte von vor 15 Jahren wie beispielsweise eSafe Enterprise von der Firma Aladdin oder Surfin Shield Corporate von Finjan waren damals ihrer Zeit voraus, existieren schon lange nicht mehr und sind vermutlich in Vergessenheit geraten. Von Finjan gibt es jedoch noch eine Nachfolgefirma, die die Patente von damals besitzt und von Firmen, die heute Sandbox-Techniken vermarkten, Lizenzgebühren einfordert.

Angreifbare Sandboxes

Die Schwachstelle von Sandboxes auf dem Endgerät ist vor allem, dass ein professioneller Angreifer das „Hooking“, mit dem sich die Sandbox typischerweise in die Betriebssystemaufrufe der isolierten Programme einklinkt, rückgängig machen kann. Zudem können Schwachstellen im Betriebssystemkern zu einem Ausbruch aus der Sandbox verwendet werden. Die Wirksamkeit einer Sandbox gegen professionelle Angriffe ist damit begrenzt.

Ein ganz anderer Anwendungsfall von Sandboxes sind Systeme, die lokale oder im Netzwerk übertragene Dateien für ­einen kurzen Zeitraum innerhalb einer Sandbox analysieren, um dadurch Malware an ihrem Verhalten zu erkennen. Dabei findet keine dauerhafte Isolation bestimmter Programme statt, sondern die Sandbox ist nur ein Hilfsmittel für die Analyse. Professionelle Malware ist jedoch oft in der Lage, solche Systeme zu umgehen. Dazu kommt noch, dass die Sandbox-Analyse nur für einen kurzen Zeitraum läuft. Dadurch kann Malware, die in dieser Zeitspanne nicht als verdächtig auffällt, nach der Analysephase ohne Einschränkungen durch die Sandbox Schadfunktionen ausführen. Hier müssen dann andere Features der Sicherheitsprodukte einschreiten.

Eine sehr ähnliche Grundidee wie Sandboxes auf Endgeräten lässt sich mit Mikro­virtualisierung implementieren (siehe Abbildung 3). Dabei wird technisch jeder zu isolierende Task in einer eigenen virtuellen Maschine eingesperrt, die per „Copy on Write“ nur als Differenz zu einer Kopiervorlage im Hauptspeicher existiert. Die Isolation ist dadurch deutlich stärker als bei Sandboxes. Neben der Firma Bromium, die als Pionier dieser Technik gilt und im September 2019 von HP übernommen wurde, setzt auch Microsoft stark auf Mikro­virtualisierung und in Windows 10 erscheinen immer mehr Features auf dieser Grundlage.

Geräte unter Kontrolle

Einen ganz anderen Angriffsvektor adressiert die Device-Kontrolle, eine Technik, die sich auf bestimmte Schnittstellen konzentriert, vor allem USB, und diese Schnittstellen entweder vollständig sperrt oder selektiv für bestimmte Geräte oder Inhalte öffnet. So lässt sich unterbinden, dass fremde USB-Sticks an einen Arbeitsplatz angeschlossen werden und Malware über diesen Weg auf einen PC gelangt. Ebenso kann man verhindern, dass vertrauliche Daten auf einen USB-Stick kopiert werden. Je nach Hersteller ist dabei die Grenze zu DLP-Produkten (Data Leakage Preven­tion), die den Abfluss vertraulicher Daten auf mehreren Wegen verhindern wollen, fließend.

Da viele Anwender USB-Sticks zum Austausch von Dateien regelmäßig benötigen, bringt das Sperren von USB-Ports jedoch auch Probleme mit sich. In der Praxis kann das dazu führen, dass es einerseits viele Ausnahmegenehmigungen gibt oder andererseits Anwender dazu verleitet werden, vertrauliche Dateien unverschlüsselt per Mail zu verschicken. Ein USB-Stick wäre dabei manchmal das kleinere Übel.

Cloud spart Zeit und Ressourcen

Eine Sonderfunktion, die nur wenige Hersteller anbieten, ist der Schutz vor Angriffen, bei denen ein vermeintlich harmloses USB-Gerät eine zusätzliche Tastatur simuliert und so bösartige Befehle an den Computer sendet. Die Malware ist dabei zum Beispiel Teil der Firmware eines USB-­Geräts. Um vor solchen Angriffen zu schützen, kann ein Endpoint-Security-Produkt zum Beispiel beim Anschluss einer zweiten Tastatur zunächst den Benutzer fragen, ob er bewusst eine weitere Tastatur angeschlossen hat oder eigentlich nur einen Speicherstick.

Ergänzend oder als Alternative zu den herkömmlichen signaturbasierten AV-Ansätzen nutzen immer mehr Hersteller Cloud-basierte Funktionen (Abbildung 4). Das ist im einfachsten Fall die Online­abfrage von Bewertungen beziehungs­weise Reputationen zu Dateien. Dabei fragt ein Agent auf dem Endgerät beispiels­weise mit dem Hashwert einer neuen Datei eine Datenbank in der Cloud ab. In dieser Datenbank steht dann eine Bewertung zu jeder bekannten Datei. Das Ergebnis wird lokal zwischengespeichert, sodass sich der Kommunikationsbedarf in Grenzen hält.

Im Vergleich zu einer klassischen Signa­turprüfung benötigt der Agent auf den Endgeräten auf diese Art sehr viel weniger Ressourcen. Statt riesige Mengen von Mustern zu vergleichen und regel­mäßig herunterzuladen, reicht eine Abfrage in der Cloud-­Datenbank, die anders als eine Signaturliste enorm groß sein kann. Da sich Malware teilweise mehrmals am Tag ändert, ist so auch eine schnellere Reaktion möglich, als wenn jedes Mal erst eine Signatur erstellt und verteilt werden muss. Aber nicht nur Reputationen zu Dateien können mit so einem Mechanismus in einer Cloud-Datenbank abgefragt werden. Viele Produkte verarbeiten auf diesem Weg auch Reputationen zu IP-Adressen, Domänen oder URLs.

Weiter gehende Funktionen sind die Analyse von Metadaten verdächtiger Dateien in der Cloud oder sogar das Hoch­laden von Dateien, die dann in einer speziellen Sandbox-Analyseumgebung in der Cloud geöffnet und beobachtet werden. Die Ergebnisse solcher Analysen werden dann natürlich meist wieder in der Reputationsdatenbank gespeichert.

Mit künstlicher Intelligenz

Wie auch in anderen Bereichen der IT versuchen immer mehr Hersteller, Funktionen aus dem Bereich der künstlichen Intelligenz und des maschinellen Lernens für Malwareschutz anzuwenden. Die KI-Komponente kann dabei entweder in der Cloud des Herstellers oder auf dem Endgerät selbst liegen.

Die Aufgabe der KI ist meistens, Dateien als mutmaßlich gutartig oder bösartig zu klassifizieren. Firmen wie Cylance, Deep­Instinct oder SparkCognition trainieren dafür in ihren Rechenzentren ein neuronales Netzwerk mit Millionen von bereits bekannten Malwaredateien und ebenso vielen gutartigen Dateien. Das Ergebnis ist ein neuronales Netz, das auch neue unbekannte Dateien mit einer sehr guten Trefferrate klassifizieren kann. Dieses trainierte Netzwerk wird dann den Kunden in Form eines Agenten zur Verfügung gestellt oder im Rahmen der Analyse von Dateien in der Cloud verwendet. Man kann es sich als mathematisches Modell vorstellen, das aus Eigenschaften von Dateien berechnet, ob eine Datei vermutlich schädlich ist.

Damit benötigt man keine Signaturen mehr und das ständige Aktualisieren von Signaturlisten kann entfallen. Das neuronale Netz selbst wird nur noch im Abstand von mehreren Monaten aktualisiert. Dadurch, dass diese KI auch unbekannte Malware erkennen kann, für die es noch keine Signaturen gibt, kommt ein solches System in Summe auf beeindruckende Erkennungsraten.

Natürlich hat aber auch diese Technik ihre Schattenseiten. In der Praxis ver­wenden die meisten Hersteller ihre KI-Kom­ponente bisher nur zum Klassifizieren ausführbarer Programme. Für Office-Dokumente, Bilddateien oder Power­Shell-Skripte ist sie meist nicht anwendbar, da man hierfür eigene Modelle mit anderen Eingangseigenschaften bräuchte. Auf Endgeräten, die sich bereits durch Application Whitelisting vor bösartigen Programmen schützen, ist der Mehrwert einer solchen KI-Komponente deshalb begrenzt, denn unbekannte Programme können ohnehin nicht ausgeführt werden.

KI: Segen, aber auch Fluch

Ein weiterer Nachteil besteht darin, dass man die KI umgehen oder auch angreifen kann. Ein professioneller Angreifer kann mit vertretbarem Aufwand seine Malware so gestalten oder umcodieren, dass die heute am Markt verfügbaren KI-Techniken sie nicht mehr erkennen können. Dann werden auch die langen Zeiträume zwischen den Updates des Modells zum Problem, denn mit Signaturen oder Reputationsabfragen kann eine solche Malware schnell blockiert werden, wenn sie dann doch einmal aufgefallen ist. Bis zum nächsten Update des KI-Agenten kann es aber Monate dauern, da der Vorgang des Trainierens eines neuronalen Netzwerks mit Millionen von Dateien so rechenaufwendig ist, dass der Hersteller hierfür viel Zeit benötigt.

Manche Hersteller verwenden die KI deshalb nicht als primären Erkennungsmechanismus im laufenden Betrieb, sondern im Backend, um neue Dateien im Rechenzentrum des Herstellers schnell zu bewerten und daraus dann automatisiert Signaturen oder Einträge in einer Reputationsdatenbank zu erstellen.

Ein ganz anderer Weg zum Schutz vor Malware ist die sogenannte Exploit Mitigation. Diese Technik versucht nicht, Malware vor ihrer Ausführung zu erkennen, sondern konzentriert sich darauf, das Ausnutzen von Softwareschwachstellen zu verhindern. Durch zufällige Anordnung von Bereichen im Hauptspeicher, Markierung des Stacks als nicht ausführbar und viele weitere Techniken macht man es dem Angreifer schwer, seinen Exploit-Code erfolgreich zur Ausführung zu bringen. Viele dieser Techniken sind bereits Bestandteil moderner Betriebssysteme oder werden beim Kompilieren von Applikationen für das jeweilige Programm aktiviert. Einige müssen jedoch explizit für einzelne Programme konfiguriert und aktiviert werden. Schon unter Windows 7 gab es dafür das „Enhanced Mitigation Experience Toolkit“ (EMET), das Microsoft kostenlos zur Verfügung gestellt hat. Unter Windows 10 gibt es seit der Release 1709 den Windows Defender Exploit Guard und als Teil davon die Exploit Protection. Das Werkzeug ist nach wie vor kostenlos, muss aber vom Administrator konfiguriert werden.

Das ursprüngliche Produkt der Firma Cyvera, die 2014 von Palo Alto übernommen wurde, basierte in großen Teilen auf Exploit-Mitigation-Techniken. Palo Alto hat daraus das Produkt Traps gemacht und einige zusätzliche Funktionen eingebaut. Aber auch viele klassische AV-Hersteller haben Exploit-Mitigation-Funktionen in ihre modernen AV-Suiten integriert. Leider sind die Hersteller hier mit ihren Begriffen nicht immer eindeutig. Einige bieten Exploit-­Protection-Funktionen, die nicht das Ausnutzen einer Schwachstelle erschweren, sondern danach Auffälligkeiten im Ver­halten eines per Exploit manipulierten Pro­zesses erkennen und darauf reagieren.

Um Kompromittierungen von Endgeräten zu erkennen, ist in den letzten Jahren eine weitere neue Technik mit dem Namen Deception auf den Markt gekommen, die dem Angreifer Fallen stellt. Im Gegensatz zu klassischen Honeypots sind die Fallen dabei jedoch keine kompletten Systeme, sondern meist nur Fehlinformationen, die gezielt verteilt werden und für normale Anwender gar nicht sichtbar sind. Ein typisches Beispiel sind auf den Endgeräten gecachte administrative Credentials, die ein Angreifer mit Werkzeugen wie Mimikatz ausliest, um sie dann für einen Login auf anderen Systemen zu verwenden.

Deception: Dem Angreifer Fallen stellen

Ein Deception-Produkt würde unter anderem auf allen Arbeitsplätzen vorgetäuschte Credentials in diesen Speicherbereichen platzieren. Sobald ein Angreifer oder eine Malware diese ausliest und verwenden möchte, löst das Produkt Alarm aus. Besonders interessant an dieser Technik ist, dass sie in der Praxis so gut wie keine Fehlalarme erzeugt und damit der Betriebsaufwand minimal ist. Deception-­Techniken sieht man am Markt vor allem bei spezialisierten Anbietern wie Illusive Networks oder CyberTrap, deren Produkte sich auf verschiedene Varianten von Deception konzentrieren. Aber auch einzelne Hersteller von AV-Suiten oder EDR-Produkten (Endpoint Detection and Response) haben Deception-Techniken integriert.

Ein Randbereich in dieser Marktübersicht sind Funktionen zum Schutz vor ungewolltem Datenabfluss. Die übliche Bezeichnung dafür ist DLP für Data Loss Prevention, Data Loss Protection oder auch Data Leakage Protection. In den Jahren 2000 bis 2007 gab es einige Start-ups und Nischenplayer, die eigene Produkte zum Erkennen und Verhindern von Datenabfluss entwickelt hatten. Hersteller wie Vontu, Onigma oder PortAuthority versuchten mit Sensoren im Mail-Gateway, im internen Netzwerk oder eben auf dem End­gerät zu erkennen, wenn Daten mit bestimmten Inhalten oder aus bestimmten Quellen versendet wurden. Im Jahr 2007 begannen dann etablierte AV-Hersteller solche Firmen aufzukaufen.

Weitere Mittel an Bord

Auf Unternehmens-Notebooks findet man neben einem Malwareschutz in der Regel auch eine VPN-Software für die sichere Kommunikation zwischen dem Notebook und dem Unternehmensnetz sowie eine Festplattenverschlüsselung zum Schutz der Daten und der Integrität des Betriebssystems. Festplattenverschlüsselung war früher einmal ein eigener Produktbereich mit spezialisierten Anbietern. Diese sind jedoch meist von größeren Anbietern aus dem AV- oder Firewall-Bereich aufgekauft und integriert worden. Für Unternehmen hat das den Vorteil, dass sie die Anzahl der Sicherheitsprodukte, die gleichzeitig auf den PCs der Mitarbeiter laufen müssen, reduzieren können.

Seit Microsoft mit BitLocker eine Festplattenverschlüsselungslösung bereits in Windows integriert hat, verschiebt sich der Markt weiter und viele Firmen verzichten zugunsten von BitLocker auf zusätzliche Festplattenverschlüsselungsprodukte, die eventuell in einzelnen Funktionsbereichen oder beim Managen überlegen wären.

Beim Malwareschutz ist eine ähnliche Tendenz erkennbar. Seit Microsoft im Jahr 2017 den in Windows 10 eingebauten Virenscanner (Defender AV) stark erweitert hat und mit Exploit Guard, Credential Guard und AppLocker zahlreiche Sicherheits­features bereits kostenlos im Betriebs­system enthalten sind, ist der Markt stark in Bewegung.

Die Produktübersicht in der Tabelle

Die Marktübersicht enthält 27 Firmen, die Produkte im Bereich Endpoint-Security anbieten. Sie basiert auf der Auswertung von Fragebögen, die im Juli 2019 von der Redaktion an über 50 Hersteller versendet wurden. Ausgewählt wurden dafür Hersteller, die ein Produkt mit direktem Bezug zur Endgerätesicherheit von PCs anbieten. Leider haben nicht alle Hersteller an der Befragung teilgenommen, sodass einige Nischen­player oder Spezialisten für Teilbereiche der Endpoint-Sicherheit nicht in der Übersicht enthalten sind. Die von den Herstellern zurückgesendeten Fragebögen wurden nach bestem Wissen und Gewissen ausgewertet und plausibilisiert, jedoch fanden keine Tests der Produkte statt.

Die so entstandene Feature-Matrix kann deshalb keine Aussage über die Qualität oder die erreichbare Schutzwirkung der Produkte machen. Man kann auch keinen „Gewinner“ daraus ableiten. Vielmehr soll sie einen Überblick über die relevanten Hersteller und die von ihnen abgedeckten Funktionsbereiche geben. Für den individuellen Einsatz in Unternehmen kann es sinnvoll sein, einen Anbieter mit möglichst großer Abdeckung auszuwählen oder aber gezielt einzelne Spezialisten zu kombinieren, die in ihrem Bereich eventuell besser sind als ein Hersteller, der fast alles in einem Produkt abdeckt.

Funktionen wurden nur dann als „vorhanden“ gewertet, wenn der Hersteller diese Funktion in einem eigenen und verfügbaren Produkt anbietet. Features, die erst durch Integration von Drittprodukten anderer Hersteller ermöglicht werden oder die noch auf der Roadmap stehen, wurden als „nicht vorhanden“ gewertet. In vielen Fällen ist es zudem schwer, ein bestimmtes Feature klar als „vorhanden“ oder „nicht vorhanden“ zu bewerten, da Hersteller ihr eigenes Produkt gerne so positiv wie möglich darstellen und dabei durchaus kreative Argumente finden, warum ein bestimmtes Feature in ihrem Fall nicht nur gestreift wird, sondern tatsächlich vorhanden ist. Für die Matrix wurde deshalb versucht, Features nur als vorhanden darzustellen, wenn die Hersteller plausibel machen konnten, dass das jeweilige Feature auch die im Artikel beschriebenen Funktionen weitgehend abdeckt.

In der Übersicht findet man offensichtlich unterschiedliche Gruppen von Herstellern. Die größte Gruppe sind dabei die etablierten Hersteller aus dem Antivirus-­Bereich wie McAfee, Symantec, Kas­persky, TrendMicro, F-Secure, G Data, ESET, Sophos oder Panda. Sie verkaufen in der Regel schon seit mehr als 20 Jahren Virenschutzprodukte und haben diese in den letzten Jahren stark erweitert. Sie decken so auch die neuen Funktionsbereiche ab, die zunächst nur von Nischenplayern angeboten wurden. Teilweise haben die Hersteller dafür solche Anbieter aufgekauft und sie in ihre Lösungen integriert.

Daneben gibt es die Firmen, die eher aus dem Netzwerk- oder Firewall-Bereich kommen, wie Cisco oder Palo Alto. Beide Firmen haben kleinere Sicherheitsfirmen aufgekauft, aus deren Produkten die heutigen Lösungen entstanden sind.

EDR – der neueste Hype

Noch eigenständige Spezialisten findet man vor allem mit Fokus auf EDR (Endpoint Discovery and Response). Darunter fallen beispielsweise FireEye, Crowd­Strike, SentinelOne oder auch Cybereason. EDR ist dabei der aktuelle Hype im Bereich der Endpoint-Security. Im Wesentlichen konzentrieren sich diese Anbieter auf die bessere Erkennung kompromittierter End­geräte und auf Features zur Analyse von Vorfällen, ihrer Eingrenzung und Reaktion darauf. Der tatsächliche Umfang der Detailfunktionen würde die Marktübersicht sprengen. Da der EDR-Markt zudem noch sehr jung und stark in Bewegung ist, wird dies ein Thema für eine zukünftige Marktübersicht.

Eine Sonderrolle in der Übersicht spielt offensichtlich Microsoft. Die Sicherheitsfunktionen, die Microsoft seit 2017 in Windows 10 eingebaut hat, sind umfangreich, überlappen sich an vielen Stellen mit den Features der klassischen AV-Hersteller, sind aber auch nicht alle kostenlos. Ins­besondere der Defender ATP ist bisher nur in einer deutlich teureren E5-Lizenz zu haben. Insgesamt sorgt das Engagement von Microsoft auf jeden Fall für einige Bewegung im Markt. (ur@ix.de)

Stefan Strobel

ist Buchautor sowie Gründer und Geschäftsführer des IT-Sicherheitshauses cirosec.