Mit der Blocker-Funktion von AutoElevate können Sie über 200 native Windows-Anwendungen, Binärdateien und DLL-Dateien blockieren, die typischerweise als Angriffsvektoren für Living Off the Land (LOTL) verwendet werden. Fileless Malware, Malware-frei oder Living Off The Land beziehen sich auf Cyberangriffstechniken Dabei nutzt der Cyberkriminelle native, legitime Tools im System des Opfers, um einen Angriff aufrechtzuerhalten und voranzutreiben .

Diese Funktion ist für 64-Bit-Windows-Workstations, einschließlich der Versionen 10 und 11, konzipiert und wird für diese unterstützt. Ihre Agenten müssen auf Version 2.8 oder höher laufen, damit diese Funktion verfügbar ist.

Schnellstart

• Wählen Sie auf dem Bildschirm „Computer“ den/die Computer aus, den/die Sie aktivieren möchten, indem Sie auf das Quadrat neben dem aufgelisteten Computernamen klicken.
  
• Klicken Sie oben auf dem Bildschirm auf das Menü „Aktionen “ und dann im Abschnitt „ Blockermodus“ auf „Auf Prüfen einstellen“ .
  
• Nach der Aktivierung empfehlen wir, den Überwachungsmodus etwa einen Monat oder länger beizubehalten, damit der Agent Daten sammeln und analysieren und empfohlene Regeln bereitstellen kann.
  
• Empfohlene Blockregeln in Echtzeit finden Sie im Bildschirm „Blocker-Empfehlungen“ des Portals. Sie haben die Möglichkeit, ANWENDUNGEN ANZEIGEN, um weitere Informationen zu erhalten, und BLOCKREGELN HINZUFÜGEN, um die empfohlenen Regeln automatisch hinzuzufügen.
  
• Wenn genügend Zeit vergangen ist und die gewünschten Blockierungsregeln erstellt wurden, kehren Sie zum Bildschirm „Computer“ zurück, wählen Sie den/die Computer aus, klicken Sie auf das Menü „Aktionen“ und dann im Abschnitt „Blockierungsmodus“ auf „Auf Live setzen “.
  

Blockermodi definiert

• Deaktiviert – Der Filtertreiber des Agenten ist nicht installiert oder wurde deinstalliert, falls er bereits installiert war. Daher wird in diesem Zustand kein Windows-Prozess überwacht und keine vorhandene Blocker-Regel angewendet. Da der Blocker deaktiviert ist, ändert sich das Benutzererlebnis nicht.
  
• Audit – Der Filtertreiber des Agenten ist installiert. Windows-Prozesse für Binärdateien, die bei LOTL-Angriffen verwendet werden, werden überwacht und ihre Nutzung analysiert, um Blocker-Empfehlungen zu generieren. Der AE-Agent wendet keine definierten Blocker-Regeln an, daher ändert sich das Benutzererlebnis nicht.
  
• Live – Der Filtertreiber des Agenten ist installiert. Windows-Prozesse für Binärdateien, die bei LOTL-Angriffen verwendet werden, werden überwacht und ihre Nutzung analysiert, um Blocker-Empfehlungen zu generieren. Der AE-Agent blockiert oder erlaubt Windows-Prozesse basierend auf definierten Blocker-Regeln.

Manuelles Erstellen von Blockregeln

• Wählen Sie oben auf der Seite im Bildschirm „ Blockerregeln“ das Symbol „+“ aus.
  
• Aktivieren Sie das Kontrollkästchen neben dem Prozessnamen, für den Sie eine Regel hinzufügen möchten. Weitere Informationen erhalten Sie, indem Sie auf den Quelllink neben dem Prozessnamen klicken, der die Empfehlung enthält, warum Sie den Prozess blockieren sollten.
  
• Wählen Sie oben im Menü „Aktionen “ die Option „Regel hinzufügen“ , wählen Sie nach Bedarf „Ebene“ , „ Standort“ und „Computer“ und bestätigen Sie mit „OK“ .

Erstellen von Zulassungsregeln

• Wählen Sie auf dem Bildschirm „Blocker-Ereignisse“ das Ereignis aus, das Sie in eine Zulassungsregel umwandeln möchten, indem Sie das Kontrollkästchen neben dem Namen aktivieren.
  
• Klicken Sie oben auf dem Bildschirm auf das Menü „Aktionen“ und wählen Sie „In Regel konvertieren“ aus.

Verwenden von Prozess- und übergeordneten Prozessidentifizierungskriterienkombinationen

Zulassungsregeln können für beliebig viele Kombinationen der Identifikationskriterien Datei und/oder Herausgeberzertifikat eingerichtet werden. Aktivieren Sie dazu die Kontrollkästchen neben den Elementen des Ereignisses, auf die die Regel zutreffen soll. Wird während eines Ereignisses eine Übereinstimmung gefunden, führt der AutoElevate Agent die definierte Aktion „ Zugelassen“ aus. Damit die Regel auf ein Ereignis angewendet werden kann, muss sie ALLE ausgewählten Identifikationskriterien erfüllen .

Kriterien zur Prozessidentifizierung

Prozessidentifizierungskriterien können in einer beliebigen Kombination aus vier Optionen ausgewählt werden: Dateiname, Dateipfad, Name der übergeordneten Datei und MD5/SHA256-Hashes . Die Standardwerte dieser Kriterien entsprechen den Werten, die aus der Datei des lokalen Computers gelesen wurden, auf dem das ursprüngliche Ereignis aufgetreten ist. Platzhalterzeichen können dynamische Elemente angeben (* ? [az]).

• Dateiname: Der aus dem Pfad extrahierte Dateiname.
  
• Dateipfad: Der vollständige Pfad zum Speicherort der Datei auf dem lokalen Rechner, einschließlich des Dateinamens. Der Agent erweitert bei der Verarbeitung des Dateipfads alle Windows-Umgebungsvariablen. Klicken Sie HIER für weitere Informationen zu Windows-Umgebungsvariablen.
  • Derzeit kann der Agent keine Umgebungsvariablen verarbeiten, die lokale Benutzerinformationen enthalten (z. B. %LOCALAPPDATA%). Dies wird in einem zukünftigen Update angepasst.
    
• Name der übergeordneten Datei: Der aus dem Pfad extrahierte Name der übergeordneten Datei.
  
• MD5/SHA256-Hashes: Die MD5/SHA256-Hashes der übergeordneten Datei.
  

Kriterien zur Herausgeberidentifizierung

Die Kriterien zur Herausgeberidentifizierung können auf eine von zwei Optionen eingestellt werden: „Subject Elements“ oder „Certificate Hash“ .

• Subjektelemente: Dies sind die verschiedenen Teile des Subjekt-DN im Herausgeberzertifikat. Die Elemente können beliebig kombiniert werden. Beachten Sie jedoch, dass jeder Softwareherausgeber mehrere Zertifikate verwenden kann. Durch die Auswahl weniger Subjektelemente können Sie eine größere Auswahl an Software finden, die den ausgewählten Identifikationskriterien entspricht.
  
• Zertifikat-Hash: Dies ist der Fingerabdruck des Zertifikats, mit dem die Datei signiert wurde. Er ist ausschließlich auf dieses Zertifikat beschränkt. Herausgeberzertifikate laufen in der Regel nach ein bis zwei Jahren ab. Daher benötigen Herausgeber regelmäßig neue Zertifikate mit neuen Fingerabdrücken. Die Verwendung des Zertifikat-Hashs kann dazu führen, dass Sie neue Regeln erstellen müssen, um diese neuen Zertifikate bei ihrer Ausstellung zu berücksichtigen.
  

Die definierten Regeln werden bei jedem Check-in verschlüsselt und in einem sicheren Registrierungsbereich gespeichert und funktionieren weiterhin mit oder ohne Verbindung zum Internet und/oder unseren Diensten.