Endpoint Privilege Management: Eine neue Generation 007

Anders als oft angenommen, sind Cyberangriffe nicht immer ein massiver Versuch, eine Infrastruktur zu übernehmen oder lahmzulegen. Zwar kann ein breit angelegter DDoS-Angriff als Ablenkungsmanöver dienen – die eigentliche Arbeit erfolgt jedoch subtiler und gezielter. Stell Dir zum Beispiel einen James-Bond-Film vor: Der Bösewicht infiltriert die Organisation still und leise, identifiziert ihre Schwachstellen und versucht nach und nach, Kontrolle zu erlangen, um seinen finsteren Plan umzusetzen.

Genau wie in diesen Filmen reicht ein starker äußerer Schutz nicht aus – meist greifen Gegenmaßnahmen zu spät, um eine Infiltration noch zu stoppen. Das gilt besonders für dezentral aufgestellte Unternehmen mit vielen externen Dienstleistern oder Mitarbeitenden im Homeoffice. Ist der Angreifer einmal drin, fällt die ganze Organisation. Und da 69 % aller Sicherheitsvorfälle auf externe Akteure wie organisierte Kriminelle oder staatlich unterstützte Gruppen zurückgehen, braucht es jemanden wie 007, um den Ernstfall zu verhindern.

Endpoint-Schutz im Wandel

Endpunkte wie Workstations und Server sind ideale Angriffspunkte für eine erfolgreiche Infiltration. Besonders gefährdet sind sie, wenn sie außerhalb des Unternehmensnetzwerks betrieben werden – denn dann fehlt der klassische Perimeterschutz.

Früher konzentrierten sich Antivirenlösungen auf das Erkennen von Malware-Signaturen und arbeiteten mit Blacklists und Whitelists. Doch dieser Ansatz stößt schnell an seine Grenzen – aus einem einfachen Grund: Er basiert auf bekannten Schwachstellen. Das bedeutet, dass Systeme immer wieder durch sogenannte Zero-Day-Exploits angreifbar sind, weil ständig neue Bedrohungen entstehen.

Als sich Angriffsvektoren weiterentwickelten, reagierten Softwarehersteller mit einer neuen Generation von Schutzmechanismen – dem Next Generation Antivirus (NGAV), der unter anderem auf folgende Technologien setzt:

• Maschinelles Lernen, um unbekannte Bedrohungen zu erkennen und neuartige Angriffe zu verhindern
• Endpoint Detection and Response (EDR), das Ereignisse korreliert und verdächtige Aktivitäten aufdeckt

Allerdings liegt auch hier der Fokus weiterhin auf der Erkennung von Bedrohungen – nicht auf einem inneren Schutzmechanismus. Es bleibt also ein reaktiver statt proaktiver Ansatz.

Schutz von innen heraus

Endpoint Privilege Management (EPM) ist eine neue Generation des Cyberschutzes, die auf eine Art „Immunabwehr“ für Endgeräte setzt. Anstatt Angriffe zu erkennen und zu blockieren, wird alles unterbunden, was nicht zum „natürlichen“ Verhalten des Systems gehört.

Mit anderen Worten: Nur legitime Aktionen dürfen auf dem System ausgeführt werden.

Gerade für Endpunkte, die außerhalb des Unternehmensnetzwerks betrieben werden – etwa von Drittanbietern oder mobilen Mitarbeitenden – ist dieser Ansatz besonders interessant. Er geht davon aus, dass Systeme grundsätzlich kompromittiert werden könnten, schützt sie aber so von innen, dass selbst im Ernstfall kein Schaden entsteht. Selbst außerhalb der Unternehmensgrenzen bleibt der Schutz bestehen.
EPM folgt dabei dem Prinzip der minimalen Rechtevergabe: Ohne lokale Administratorrechte kann ein Angreifer oder eine Malware nicht die nötigen Rechte erlangen, um Prozesse oder Anwendungen auszuführen.

Die Durchsetzung des Prinzips der minimalen Rechtevergabe bringt zusätzliche Vorteile mit sich:

• Vermeidung überprivilegierter Nutzer auf Endgeräten, sodass Schadsoftware keine kritischen Daten stehlen oder Systeme beschädigen kann
• Entfernung aller lokalen Administratorenkonten, um die Verteidigungslinien zu stärken
• Blockieren von Crypto-APIs, um zu verhindern, dass Ransomware Systeme als Geiseln nimmt
• Gezielte Rechtevergabe an die richtigen Nutzer im richtigen Kontext

Das ist ein guter erster Schritt – aber er konzentriert sich noch immer auf den „externen Agenten“: den Nutzer und seine Rechte. In der Praxis reicht das nicht aus, um Endgeräte umfassend zu schützen. Systeme müssen sich selbst verteidigen können. Deshalb gehen moderne EPM-Lösungen noch einen Schritt weiter.

Rechte auf Prozessebene statt auf Nutzerebene

Die leistungsfähigsten und innovativsten EPM-Lösungen vergeben Zugriffsrechte nicht mehr auf Ebene der Nutzer, sondern auf Ebene von Prozessen und Anwendungen.

Das ist ein grundlegender Paradigmenwechsel in der Cybersicherheit: Lokale Systeme werden nicht mehr nur vor Bedrohungen oder einzelnen Nutzern geschützt – die Verteidigung findet auf Ebene der Anwendung oder des Prozesses statt. Das ermöglicht eine präzisere und kontextbezogene Kontrolle.

In vielen Unternehmen basiert das Anwendungsmanagement noch immer auf einer binären Entscheidung: Ein Nutzer darf eine Anwendung nutzen – oder nicht. Eine Software ist erlaubt – oder eben nicht. Solche Regeln sollen verhindern, dass Anwendungen dem System schaden. Doch sie beeinträchtigen die Produktivität, wenn Nutzer für jede legitime Installation erst den IT-Support kontaktieren müssen.

Werden Anwendungen jedoch vorab genehmigt – inklusive bestimmter erlaubter oder verbotener Aktionen innerhalb dieser Programme – wird die Verwaltung der Endgerätesicherheit deutlich einfacher. Prozesse und Anwendungen dürfen dann nur mit exakt definierten Rechten in genau definierten Kontexten ausgeführt werden. Ohne lokale Adminrechte und mit gesperrter Rechteeskalation können Prozesse nicht missbraucht werden, um schadhafte Operationen durchzuführen.

Ein so granularer Schutz auf Prozessebene ermöglicht es den Nutzern, effizient und selbstständig mit allen benötigten Werkzeugen zu arbeiten – während gleichzeitig sichergestellt ist, dass keine Software das System beschädigen kann, selbst wenn ein Angreifer ins Netzwerk eindringt.

—

James Bond zu rufen, um die Situation zu retten, ist leider nicht immer eine Option. Mit EPM lassen sich Bedrohungen an der Wurzel bekämpfen – von innen heraus: über Prozesse und Anwendungen. Das gilt besonders für Endgeräte wie Mitarbeiter-PCs, die externen Gefahren ausgesetzt sind.

Eine konsequente Umsetzung des Prinzips der minimalen Rechtevergabe verhindert, dass eingeschleuste Angreifer die Kontrolle über Systeme übernehmen – schlicht, weil sie keine Berechtigungen haben, die über das hinausgehen, was Mitarbeitenden für ihre konkreten Aufgaben zur Verfügung steht.