Application Control FAQ

FAQ für die Securepoint Application Control

Neu bei Securepoint: 10.2026

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

-

Technische Fragen

Funktionsweise der Application Control

Wie funktioniert die Application Control?

Antwort

Auf jedem Windows Client läuft der Agent, der die Ausführung von Code überwacht. Der Agent verbindet sich mit der im Netz des Kunden stehenden Appliance, die auch die Allowlist der erlaubten Hashes hält. Diese Appliance wendet sich beim Versuch, eine Software zu starten, die auf der lokalen Allowlist des Kunden noch nicht bekannt ist, an die TrustLevel-Datenbank (TLDB), um von dort den TrustLevel der fraglichen Software zu erfragen. Ist der TrustLevel positiv, wird die Software automatisch gelernt und der lokalen Datenbank hinzugefügt. Die TLDB steht in der Cloud und wird von unseren Mitarbeitern gepflegt.

Schutz vor Skripten

Schützt die Application Control auch vor Schadsoftware in Skripten von Makros?

Antwort

VBS (z.B. Word-Makro) Schadsoftware bringt eine PayLoad mit, die von der Application Control erkannt und geblockt wird. PowerShell ist jedoch eine Windows-Komponente, die an sich vertrauenswürdig ist, aber aufgrund ihrer Mächtigkeit grundsätzlich für schadhafte Zwecke missbraucht werden kann. Es ist daher empfehlenswert, im AdminWizard die Ausführung von PowerShell auf Benutzergruppen zu beschränken, für die dies auch wirklich unverzichtbar ist.

Prüfung bereits installierter Software

Wird auch bereits vor dem Agent installierte Software geprüft?

Antwort

Auch bereits installierter Code wird vor jeder Ausführung jedes Mal neu geprüft. Damit werden auch Veränderungen von Software auf der Festplatte erkannt und zuverlässig blockiert. Die Stelle der Prüfung ist der Moment, in dem der Kernel RAM für die Ausführung von Code alloziert. Eine Ausführung von Code ist grundsätzlich nicht möglich, ohne dass RAM dazu zugewiesen wird.

Application Control Appliance

Aktivierung der Application Control Appliance

Wie aktiviert man die Application Control Appliance?

Antwort

Die Application Control Appliance muss lizenzrechtlich einmalig freigeschaltet werden. Dies geschieht über den AdminWizard. Für die Aktivierung werden Parameter der Netzwerkumgebung der Application Control Appliance ausgewertet. Es wird daher empfohlen, die MAC-Adresse der Netzwerkkarte der Application Control Appliance statisch zu konfigurieren. Ändern sich nach der Aktivierung zu viele Parameter der Netzwerkumgebung, ist eine erneute Aktivierung erforderlich.

Vorgehen bei vollen Partitionen

Was tun, wenn Partitionen der Application Control Appliance voll sind?

Antwort

Die Konsole der Application Control Appliance enthält die Information über den Füllstand der Partitionen der Application Control Appliance (“Diskspace r/t/l/d”). Keiner der Werte (root, tmp, logs, DB) sollte über 80% liegen.

Sollte die Logs-Partition bei über 80% liegen, den Server neustarten und die Option „Logs bereinigen“ im Konsolen-Menü nutzen.

Bei einer über 80% belegten DB-Partition, die Application Control Appliance auf Werkseinstellungen zurücksetzen. Anschließend sicherstellen, dass die automatische DB-Bereinigung korrekt konfiguriert ist.

Alle Komponenten sollten stets die aktuellsten Versionen haben!

Application Control Appliance ist nicht mehr erreichbar

Was tun, wenn die Application Control Appliance nicht mehr erreichbar ist?

Antwort

Sollte die Application Control Appliance nicht erreichbar sein:

Prüfen, dass keine TLS-Verbindungen zwischen Agents/AdminWizard und der Application Control Appliance (z. B. durch Proxies oder Firewalls) aufgebrochen oder blockiert werden
Virtuelle Maschine, auf der die Application Control Appliance läuft, sauber herunterfahren (nicht ausschalten), die (virtuelle) Netzwerkkarte entfernen, die (virtuelle) Netzwerkkarte neu hinzufügen (VMXNET3) und das richtige VLAN auswählen

Vorgehen bei unbehebbaren Fehlern

Wie kann man vorgehen, wenn die Application Control Appliance einen unbehebbaren Fehler aufweist?

Antwort 1

Die Application Control Appliance kann in dem Fall neu aufgesetzt werden:

Application Control Appliance herunterfahren
Neue Application Control Appliance aus derselben Vorlage erstellen
Beim Booten der neuen Application Control Appliance eine freie, bisher unbenutzte IP-Adresse eingeben
Falls ein Update angeboten wird, dieses durchführen
Datensicherung der Allowlist zurücklesen, die vom Automatismus des AdminWizards erstellt wurde (Default unter C:\ProgramData\SecuLution\AdminWizard\automatism\backups)
Reboot der Application Control Appliance und die IP-Adresse wieder auf die alte IP-Adresse ändern

Antwort 2

Die Application Control Appliance kann auch in den Auslieferungszustand zurückgesetzt werden:

Application Control Appliance neustarten und mit virtueller Konsole verbinden
Enter-Taste dabei drücken, um in das Boot-Menü zu gelangen
Zurücksetzen auf Werkseinstellungen auswählen
Alle Daten werden gelöscht und die Application Control Appliance bootet leer im Lernmodus
Konsole beobachten und die Lastspitze (Syslog-Load) abwarten, die durch die eingehenden Agent-Verbindungen entsteht
Ist die Last wieder unter 1, die vorhandene Datensicherung einspielen und Lernmodus deaktivieren

DNS Status <failed> in der Konsole

Was bedeutet DNS Status <failed> in der Konsole der Application Control Appliance?

Antwort

Die Application Control Appliance testet beim Booten die Funktion des DNS-Servers, indem eine Reverse Auflösung der IP-Adresse zu einem DNS-Namen getestet wird. Funktioniert dies nicht (DNS-IP falsch oder kein Name für die IP hinterlegt), wird dieser Fehler angezeigt

MultiServer-Instanzen nicht synchronisiert

Warum sind MultiServer-Instanzen nicht synchronisiert?

Antwort

Obwohl die Datenbank-Synchronisation der verwendeten Datenbank den weitaus größten Teil der auftretenden Synchronisationsfehler abfangen und beheben kann, lassen sich Synchronisationsfehler bei Datenbanken, die auf mehrere Instanzen (Cluster) verteilt sind, grundsätzlich nicht vermeiden. Das ApplicationControl-System berücksichtigt dies, indem es die Synchronisation überwacht und eventuelle Fehler im AdminWizard anzeigt

Lösung

Sicherstellen, dass alle Application Control Appliances vom Hypervisor die gleiche Zeit erhalten (NTP Sync) Falls Synchronisationsfehler nicht automatisch behoben werden können, kann ein manueller Eingriff notwendig sein. Dazu reicht es aus, eine erneute Synchronisation der Datenbanken durch Neustart der Server nacheinander zu initiieren. Der nächste Server sollte erst dann neu gestartet werden, wenn der vorherige Server den Abschluss der Synchronisation auf der Konsole bestätigt hat.

TrustLevel Service (TLDB)

TLDB nicht erreichbar

Warum ist die TrustLevel Service Datenbank nicht erreichbar?

Antwort

Dafür kann es verschiedene Gründe geben:

Mithilfe der Debug-Logs testenAgent prüft laufende Programme gegen die Allo
- Im AdminWizard unter “Application Control Appliance” die “Log Level Einstellung” temporär auf “6 - Information” stellen
- Im AdminWizard unter “Lern-Quellen” → “TrustLevel Service (TLDB)” ausschalten
- 5 Sekunden warten
- Im AdminWizard unter “Lern-Quellen” → “TrustLevel Service (TLDB)” wieder einschalten
- Im AdminWizard unter “Application Control Appliance” die “Log Level Einstellung” wieder zurück auf “5 - Nachricht” stellen
- Im AdminWizard unter "Log" die Debug Logs aufrufen
Ports überprüfen: AdminWizard und Application Control Appliance benötigen ungehinderten Zugang über Port 443 auf die Hosts *.4ss.de und *.seculution.com
Proxies zwischen den Komponenten entfernen, da die Verbindung zwischen den Komponenten über TLS gesichert ist und der Einsatz eines Proxies weder Sicherheit noch Stabilität zur Verbindung hinzufügen würde
Zertifikatsprüfung: In den Logs nach "Invalid server-fingerprint" suchen. Sind solche Meldungen zu finden, ist davon auszugehen, dass eine Netzwerkkomponente den TLS Verkehr aufbricht. TLS-Verbindungen zwischen der Application Control Appliance und dem TLDB Server werden durch CertificatePinning validiert. Wird in diesen Verkehr eingegriffen, gilt er als nicht mehr sicher und wird daher abgebrochen.
TLDB-Cache prüfen, da Hashes abgelehnter Anfragen im "TLDB-Deny-Cache" der Application Control Appliance zwischengespeichert werden. Für diese Zeit wird der Hash weiterhin abgelehnt. Der "TLDB-Deny-Cache" kann durch Aus- und Wiedereinschalten der TLDB geleert werden (Lern-Quellen → TrustLevel Service (TLDB))

Erklärung des TrustLevels

Was ist der TrustLevel?

Antwort

Der TrustLevel (TL) ist eine Metainformation zum Hash (der die Software repräsentiert). Das Allowlisting System beim Kunden basiert keine Erlaubt- oder Verboten-Entscheidungen auf TrustLevels. TrustLevels sind immer nur Metainformationen, können aber die Administration übersichtlicher machen. Fragt ein Agent einen noch unbekannten Hash an der Application Control Appliance des Kunden ab, so sendet die Application Control Appliance den Hash zur Analyse an die TLDB, die daraufhin einen TrustLevel zurückgibt. Ist dieser TrustLevel höher als der konfigurierte Mindest-Schwellenwert, fügt die Application Control Appliance den Hash automatisch der lokalen Allowlist hinzu. Damit steht der Hash als erlaubter Hash in der Allowlist des Kunden und ist somit im gesamten Netzwerk erlaubt.

Ermittlung des TrustLevels

Wie wird ein TrustLevel ermittelt?

Antwort

Der TrustLevel Service (auch bezeichnet als TLDB oder Cloud-basierte Allowlist) wird durch uns betrieben. Durch Partnerschaften mit verschiedenen Unternehmen wurde ein Verbund aus Datenquellen geschaffen, die zur Einschätzung des TrustLevels der Software herangezogen werden, die in der TLDB durch ihren Hash repräsentiert wird. Der TrustLevel basiert u. A. auf folgenden Informationen:

Ist die Software als vertrauenswürdig bekannt (z. B. Teile des Betriebssystems)?
Ist die Software signiert?
Stammt die Signatur von einem vertrauenswürdigen Herausgeber?
Stammt die Software aus einem Bundle mit anderer Software, der vertraut wird?
Ist die Software weit verbreitet, d. h. wird sie von vielen anderen Nutzern verwendet?
Wurde die Software von Virenscannern als Schadsoftware eingestuft?
Wurde die Software von Benutzern als vertrauenswürdig eingestuft?
Wurde die Software auditiert und als vertrauenswürdig eingestuft?

Je mehr der vorgenannten Kriterien positiv gewertet werden können, desto größer ist der TrustLevel. Je höher der TrustLevel ist, desto wahrscheinlicher ist es, dass es sich um eine erwünschte und benötigte Software handelt.

Anzahl bekannter Hashes in der TLDB

Wie viele Hashes kennt die TLDB?

Antwort

Die TLDB kennt Stand 03/2026 ca. 8 Millionen Hashes. Damit beantwortet die TLDB mehr als 95 % aller durch Kunden angefragten Hashes mit einem guten TrustLevel. Dennoch ist es prinzipiell nicht möglich, jegliche Software (also 100 %) zu kennen, die eingesetzt wird.

Schlechter TrustLevel trotz vertrauenswürdiger Software

Warum hat eine vertrauenswürdige Software einen schlechten TrustLevel?

Antwort

Die TLDB wird laufend automatisiert durch Algorithmen und manuell durch Mitarbeiter gepflegt, angepasst und erweitert. Die Sicherheit und Verlässlichkeit der Einträge in der TLDB hat dabei höchste Priorität und steht vor der schnellstmöglichen Aufnahme neuer Hashes in die Datenbank. Es kann daher nicht garantiert werden, dass alle neuen Releases von vertrauenswürdigen Herstellern sofort in der TLDB gelistet werden und so kann auch eine vertrauenswürdige Software einen schlechten TrustLevel erhalten.

Viele unbekannte Hashes bei Musterrechner-Import

Warum gibt es viele unbekannte Hashes bei einem Abgleich mit der TLDB nach einem Musterrechner-Import?

Antwort

Beim Import von Daten von einem Musterrechner werden alle vorhandenen Dateien erfasst, um zu verhindern, dass vertrauenswürdige Software blockiert wird. Die meisten dieser Dateien sind jedoch in der Praxis irrelevant, da sie in einer Standard-Windows-Installation nicht ausgeführt werden. Da solche Dateien der TLDB nicht bekannt sind, erhalten sie keinen guten TrustLevel (TL). Es ist daher nicht sinnvoll, Hashes, die über einen Musterrechnerimport importiert wurden, mit der TLDB zu vergleichen.

Bedeutung von TrustLevel 3

Was sollte man bei einem TrustLevel von 3 machen?

Antwort

Die Frage, ob der Software vertraut werden kann, liegt in der Verantwortung des Nutzers und wurde im Grunde bereits durch die Entscheidung für den Kauf der Software beantwortet. Eine Überprüfung durch einen Virenscanner liefert an dieser Stelle keine verlässliche Antwort, da die Ergebnisse von Virenscannern – unabhängig davon, ob sie die Software als sicher oder gefährlich einstuft – keine absolute Gewissheit bieten. Falls mehrere Virenscanner (beispielsweise über Plattformen wie VirusTotal) die Software als Malware klassifizieren, wird in der Regel auch die Trust Level Data Base (TLDB) einen Trust Level (TL) unter 3 melden. Die Herkunft der Software und die Vertrauenswürdigkeit des Herstellers sollten daher vor der Nutzung sorgfältig geprüft werden.

Schlechter TrustLevel trotz keines Befunds durch Virenscanner

Wieso hat eine Software einen schlechten TrustLevel, obwohl ein Virenscanner die Software als sauber einstuft?

Antwort

Ein Virenscanner kann nur auf bekannte Schadsoftware prüfen. Findet er also nichts, bedeutet das nicht, dass die Software keine Schadsoftware ist. Die TLDB bezieht auch die Informationen von VirusTotal in das Gesamtergebnis mit ein. Zeigt die TLDB für die betreffende Software (noch) keinen guten TrustLevel an, bedeutet dies, dass nach den Richtlinien unserer Sicherheitsexperten noch nicht genügend Merkmale vorliegen, um dieser Software das Vertrauen auszusprechen. Die Ergebnisse von VirusTotal bringen keine zusätzlichen, gesicherten Erkenntnisse zur Beurteilung der Vertrauenswürdigkeit einer Software, die nicht bereits im Ergebnis der TLDB enthalten sind.

Schlechter TrustLevel trotz Signatur

Wieso hat eine Software einen schlechten TrustLevel, obwohl sie digital signiert ist?

Antwort

Wenn der Signaturherausgeber nicht als vertrauenswürdig eingestuft wurde, erhält die Software einen schlechten TrustLevel. Die Signaturen von Herausgebern können in der Konfiguration hinzugefügt werden

Hersteller fehlt in TLDB

Warum ist der Softwarehersteller XY nicht in der TLDB?

Antwort

Softwareprodukte werden manuell in die TLDB-Datenbank aufgenommen, nachdem deren Übereinstimmung mit den Zertifizierungsregeln überprüft wurden. Dazu gehören unter anderem: öffentlich zugängliche Release Notes, Versionsnummern, https-Download-Quellen mit eindeutigen Versionsinformationen und Zugang zu einem Publikationsarchiv. Außerdem werden die Verbreitung des Produkts und die Qualität früherer Versionen geprüft. So kann sich ein Hersteller für die Aufnahme in die Liste der vertrauenswürdigen Anbieter qualifizieren.

VirusTotal

Warum reicht VirusTotal nicht aus?

Antwort

VirusTotal alleine reicht nicht aus, um Sicherheit zu erhalten, da nur auf bekannte Viren geprüft werden kann und Angreifer die so lange modifizieren, bis sie von den Virenscannern nicht mehr erkannt werden.

Schnittstelle für Third-Party-Produkte

Gibt es eine Schnittstelle für Third-Party-Produkte?

Antwort

Nein, die TrustLevel-Datenbank bietet keine API für Third-Party-Produkte an.

AdminWizard

Absturz bei Start

Warum stürzt der AdminWizard beim Start ab?

Antwort

Startet der AdminWizard nicht sauber, sollte zunächst der Status der Application Control Appliance geprüft werden. Der AdminWizard verwendet für jeden Benutzer eine individuelle Konfigurationsdatei und legt diese im Benutzerprofil ab. Ist diese Datei defekt, kann es vorkommen, dass der AdminWizard nicht mehr startet.

Lösung

In manchen Domänenumgebungen wird das Verzeichnis für das Benutzerprofil per Gruppenrichtlinie an einen anderen Ort umgeleitet. Den tatsächlichen Speicherort des Benutzerprofils ist über den PowerShell-Befehl zu finden

[Environment]::GetFolderPath([System.Environment+SpecialFolder]::MyDocuments)

Folgende Datei löschen:
%UserProfile%\Documents\SecuLution\AdminWizard\config.json

Sollte das Problem weiterhin bestehen, die Ordner löschen
%programdata%\SecuLution\AdminWizard %UserProfile%\AppData\Roaming\SecuLution\AdminWizard %UserProfile%\documents\SecuLution\AdminWizard

In diesem Fall müssen eventuell angelegte Automatismen neu angelegt werden.

AdminWizard fordert Zertifikat

Das AdminWizard Setup schlägt fehl und fordert ein Zertifikat

Antwort

Das Setup des Securepoint AdminWizards benötigt (im Gegensatz zu Updates) ein individuell ausgestelltes Zertifikat, um die TLS-Verbindungen zur Application Control Appliance abzusichern. Dieses Zertifikat wird mit dem Setup des AdminWizards ausgeliefert. Wird nur das Setup.exe ohne das dazugehörige Zertifikat an eine andere Stelle verschoben, kann das Setup die Installation nicht erfolgreich abschließen.

Benutzerverwaltung und Zugriff einschränken

Wie kann man den Zugriff des AdminWizards für andere Benutzer beschränken?

Antwort

Um für bestimmte Benutzer den Zugriff innerhalb des AdminWizards auf bestimmte Aktionen zu beschränken, muss im AD eine Benutzergruppe angelegt werden und die Benutzer-Accounts, für die diese Einschränkung gelten soll, dieser Gruppe als Mitglieder hinzugefügt werden. Im AdminWizard jetzt das AD replizieren (Menü Extras/Aktualisiere Active Directory Objekte). Unter Einstellungen / erweiterte Einstellungen / Eingeschränkter Zugriff im AdminWizard jetzt die Einstellungen konfigurieren

Logs

Logs fehlen

Warum werden keine Logs angezeigt?

Antwort

Die Standard-Ansicht des AdminWizards zeigt die Logs seit 00:00 Uhr des Vortags an. Das kann in den Details eingestellt werden

Unterschied zwischen Standard- und Debug-Logs

Was ist der Unterschied zwischen Standard- und Debug-Logs?

Antwort

Standard-Logs sind über eine Datenbank auf allen Application Control Appliances synchronisiert. Die Anzahl der Einträge ist auf 1000 begrenzt und sie werden nach 72 Stunden gelöscht. Debug-Logs laufen auf jedem Server individuell. Der AdminWizard zeigt die Debug-Logs der Application Control Appliance an, mit der er momentan verbunden ist

Bedeutung der Meldung "LOG_IS_FULL"

Was bedeutet die Meldung "LOG_IS_FULL"?

Antwort

Die Meldung erscheint, wenn die Standard-Log-Datenbank die maximale Anzahl von 1000 Einträgen erreicht hat. Ältere Einträge (über 72 Stunden alt) werden automatisch gelöscht.

Erklärung fehlender Duplikate in den Logs

Warum werden wiederholte Log-Einträge nicht mehrfach angezeigt?

Antwort

Die Application Control Appliance aktualisiert nur den Zeitstempel und Rechnernamen bei sich wiederholenden Log-Einträgen, um die Datenbank zu entlasten. Jeder Hash hat daher nur einen Eintrag, unabhängig davon, wie oft er abgelehnt wurde.

Einrichtung von Syslog für die Application Control Appliance

Wie richtet man Syslog für die Application Control Appliance ein?

Antwort

Die Application Control Appliance sendet Syslog-Meldungen auf Port 514 UDP an die konfigurierte IP-Adresse des Syslog-Servers. Die IP-Adresse des Syslog-Servers ist auf der Konsole der Application Control Appliance sichtbar.

Syslog-Meldungen werden nicht angezeigt

Warum werden Syslog-Meldungen nicht angezeigt?

Antwort

Ursachen können sein:

UDP-Pakete gehen auf dem Weg verloren durch eine Firewall oder den Router
Der Syslog-Server nimmt eingehende Pakete nicht an (Konfiguration des Syslog Servers für eingehende Pakete, lokale Firewall)
Der Syslog-Server wertet die Facility "local7" nicht aus

Lösung

Folgende Tests sollten ausgeführt werden

Das Log-Level ändern auf "5 - Nachricht" (AdminWizard → Application Control Appliance → Log Level Einstellung)
Wechsel des Syslog Servers auf einen Server, der im gleichen Netz wie die Application Control Appliance steht
Verwendung eines Syslog Servers auf einem Windows Server, der im gleichen Netz wie die Application Control Appliance steht
Wireshark udp.port==514 auf einen Windows Server, der im gleichen Netz wie die Application Control Appliance steht

Bedeutung von "Defer" Meldungen

Was bedeuten Meldungen mit "Defer"?

Antwort

Beim Start der Application Control Appliance und nach einer signifikanten Anzahl von Änderungen an der Allowlist erstellt die Application Control Appliance eine Offline-Kopie der Allowlist, damit die Agents diese mit einem einfachen Download herunterladen können (RDMP Initialisierung). Solange dieser Vorgang nicht abgeschlossen ist, werden Anfragen von Agents zum Download der Offline-Kopie der Allowlist vom Server auf einen späteren Zeitpunkt verschoben (“deferred”). Dies ist normal und kein Fehler. Daher können Log-Einträge wie “RDMP defer, sending 302 because not initialized” kommen.

Bedeutung von "Incomplete Data" Meldungen

Was bedeuten Meldungen mit "Incomplete Data"?

Antwort

Log-Einträge wie “Incomplete data recovery found from host” bedeuten, dass das Einlesen der Datensicherung beim letzten Mal nicht erfolgreich verlaufen ist. Es ist notwendig, die Datensicherung erneut einzuspielen (Menü: Datei / Datensicherung wiederherstellen)

Import von WSUS Patches

Fehler beim Import von WSUS-Patches

Warum werden beim Import von WSUS-Patches nicht alle Dateien in die Allowlist aufgenommen?

Antwort

Ab Windows 10 Version 1809 hat Microsoft das Format der WSUS-Patches auf PSFX umgestellt. Dieses neue Format enthält keine vollständigen Binärdateien mehr, sondern nur noch die Unterschiede (Deltas) zwischen der Release-Version und den aktualisierten Updates. Daher werden beim Import des WSUS-Verzeichnisses nicht alle Dateien aus den Patches in die Allowlist übernommen. Der TLDB Service enthält die Hashes aller Dateien, die über das PSFX-Format aktualisiert werden.

Hashes

Hash Erklärung

Was ist ein Hash?

Antwort

Ein Hash ist eine Prüfsumme, mit der die Integrität von Daten überprüft werden kann. Da die Prüfsumme, ähnlich einer Quersumme aus einer großen Zahl, sich ändert, sobald nur ein Bit im Quellcode der Datei, aus der der Hash erzeugt wurde, verändert wird, kann man anhand von Hashes Software fälschungssicher identifizieren. Auf dieser Eigenschaft basiert die Funktion der Application Control Agent Software, die bei jedem Programmstart den Hash des Programms erzeugt und eindeutig auf der Allowlist gegenprüft.

Hash Erklärung

Gibt es Performance-Einbrüche bei der Hash-Abfrage?

Antwort

Nein. Die Abfrage eines Hashes, der vom Application Control Agent aus der jeweiligen Software erzeugt wird, dauert lediglich 30 Millisekunden. Das entspricht etwa der Zeit, die ein Ping benötigt. Aufgrund dieses Verhaltens und des sehr kleinen Datenpakets, welches gegen den Server geprüft wird, arbeitet die Application Control extrem ressourcenschonend. Eine Abfrage eines unbekannten Hashes an die TrustLevel-Datenbank dauert <2 Sekunden. Sie ist damit messbar, aber nicht wirklich spürbar

Hash Speicherort

Wo werden die Hashes aus dem eigenen Netzwerk gespeichert?

Antwort

Die Application Control Appliances laufen in einer virtuellen Maschine im eigenen Netzwerk und die Daten, die darauf gespeichert werden, bleiben auch dort. Sie werden nicht ins Internet übertragen.

Erstellung der Hashes

Wovon werden die Hashes erstellt?

Antwort

Jeder auszuführender Code (also z.B. .exe, .dll, .sys usw.) benötigt RAM Speicher, der vom Kernel verwaltet wird. Bei der Reservierung dieses Speichers greift der Agent ein und identifiziert den Code, erstellt den Hash von diesem Code und prüft ihn gegen die Allowlist

Hash Sicherheit

Ist das Hash-Verfahren sicher?

Antwort

Die verwendeten Verfahren zur Identifizierung von Software basieren auf kryptografisch nach dem Stand der Technik als sicher geltenden Hashes. Es ist daher nicht möglich, eine Schadsoftware zu erstellen, die den gleichen Hash hat wie eine bereits auf der Allowlist vorhandene Software

Hashes ohne Aktion

Warum gibt es Hashes ohne Aktion?

Antwort

Hashes werden standardmäßig abgelehnt. Nur wenn eine “Erlauben”-Regel mit der entsprechenden “Gültig für”-Referenz vorhanden ist, wird ein Hash erlaubt. Daher ist es nicht notwendig, Hashes zu verbieten.

Widersprechende Aktionen

Was passiert bei widersprechenden Aktionen für den gleichen Hash?

Antwort

Die spezifischere Aktion wird gewählt, wenn es mehrere gibt. Der Standard ist das Verweigern und die Ausnahme ist das Erlauben

Ist ein Hash nicht in der Allowlist, so wird er verweigert, außer er wird über eine Lern-Quelle gelernt.
Ist ein Hash in der Allowlist, aber er hat keine Aktion, so wird er mit der Default-Nachricht verweigert, unabhängig von Lern-Quellen
Ist ein Hash in der Allowlist, aber er hat nur eine “Erlauben” Aktion, die sich auf ein bestimmtes AD Objekt bezieht (“Herr Müller”), so wird er mit der Default-Nachricht allen außer Herr Müller verweigert
Ist ein Hash in der Allowlist, aber er hat eine “Verweigern” Aktion, die sich auf “Jeder” bezieht, so wird er mit der individuell eingetragenen Nachricht allen verweigert
Ist ein Hash in der Allowlist, aber er hat eine “Verweigern” Aktion, die sich auf “Jeder” bezieht, gleichzeitig aber eine “Erlauben” Aktion, die sich auf ein bestimmtes AD Objekt bezieht (“Herr Müller”), so wird er mit der individuell eingetragenen Nachricht allen außer Herrn Müller verweigert

Agent

Offline-Modus

Wie funktionieren der Offline-Modus und die Agent-Konfiguration?

Antwort

Bei der Erstinstallation wird lokal eine vollständige Kopie aller Hashes aus der Allowlist erstellt. Diese lokale Datenbank enthält auch die Agent-Konfiguration (z.B. das Deaktivierungspasswort). Je nach Größe der Allowlist kann die Erstinstallation des Agents daher etwas länger dauern. Bei nachfolgenden Triggern synchronisiert der Agent die Änderungen seit der letzten Synchronisation der lokalen Datenbankkopie erneut:

Boot des Computers
Prüfung von Hashes gegen den Server, die von diesem auch erlaubt werden, sich aber nicht in der lokalen DB Kopie befinden
Verwendung des Agent-Menüs “Für Offline-Modus vorbereiten”
Shutdown des Computers
Start des Programms C:\Program Files\SecuLution\Agent\SecuLutionTrayIcon.exe mit der Kommandozeilenoption /FILLCACHE
es sind 24h nach dem letzten Abgleich vergangen

Erklärung Performance Cache

Was ist der Performance Cache?

Antwort

Ab Version 2.0.88 unterstützt der Agent ein konfigurierbares Timeout für das Caching von Hashes. Damit werden Hashes, die bereits von der Application Control Appliance positiv beantwortet wurden, vom Agent nicht erneut vom Server abgefragt, sondern aus dem Cache beantwortet. Dies entlastet die Server und erhöht die Performance des Agents. Der Cache wird zurückgesetzt:

per eingestelltem Timeout
alle 4h
per Reboot
per Icon-Menü: “Geräte erneut prüfen”.

Signaturprüfung

Wie funktioniert die Signaturprüfung?

Antwort

Beim Start einer Software prüft der Agent, ob der Hash dieser Software bereits in der lokalen Datenbank des Agents vorhanden ist. Ist dies nicht der Fall, prüft der Agent über eine Windows-API, ob die Software digital signiert ist und ob diese Signatur valide ist. Bestätigt die Windows API die Gültigkeit der Signatur, übermittelt der Agent neben dem Hash der Software auch die gesamte Signaturkette an die Application Control Appliance.

Ist der Hash in der Allowlist der Application Control Appliance nicht bekannt, prüft die Application Control Appliance, ob der Signaturherausgeber in der Allowlist als Lernquelle aufgeführt ist. Ist dies der Fall, wird der Hash der Software gelernt (zur Allowlist hinzugefügt) und dem Agent freigegeben.

Sollte das automatische Lernen von signierter Software nicht funktionieren, liegt die Ursache in einem Glied der oben genannten Kette. So kann es vorkommen, dass Windows die Gültigkeit einer Signatur nicht überprüfen kann, wenn der Computer Einschränkungen unterliegt, die dies verhindern (z. B. Firewall-Regeln, restriktive Gruppenrichtlinien) oder die Signatur keinen gültigen Zeitstempel trägt.

RAM-Anomalie überprüfen

Wie funktioniert die Erkennung von RAM-Anomalien?

Antwort

Der Agent überwacht das System auf moderne Angriffstechniken, die ohne von der Festplatte geladene Dateien auskommen und sich daher einer Erkennung durch Application Allowlisting entziehen würden. Der Agent meldet die Erkennung eines solchen ungewöhnlichen Verhaltens in bereits erlaubter und ausgeführter Software auf dem Desktop des Benutzers und protokolliert dies in die Debug Logs des Servers (“suspected malware in [Hash]”). Der Agent beendet derartige Software bei Erkennung des Fehlverhaltens im RAM. Das Verhalten des Agents kann unter RAM-Anomalie Check konfiguriert werden. Im Falle eines Fehlalarms (Software ist bekanntermaßen nicht schädlich, löst aber einen Alarm aus) kann im AdminWizard der in den Logs aufgeführte Hash der Software aus dem Log-Eintrag kopiert, über die Suchfunktion aufgerufen und dann unter “Aktionen im Detail” die Erlauben-Regel "Erlauben, Malware-Prüfung überspringen" zugewiesen werden, mit der eine Ausnahme für solche Software konfiguriert werden kann.

PowerShell Blockaden umgehen

Wie kann ich PowerShell-Blockaden durch den Agent umgehen?

Antwort

Sollte als legitim und erlaubt eingestufte Software PowerShell in einer Form verwenden, die vom Agent blockiert wird, erscheint in den Logs die Meldung: “invocation of PowerShell with prohibited options blocked” Durch Ändern der Erlauben-Regel eines Hashes (unter “Aktionen im Detail”) auf “Erlauben, Malware- und PowerShell-Prüfung überspringen” kann der Administrator die uneingeschränkte Nutzung von PowerShell durch diese Software erlauben. In Fällen, in denen eine Kette von Programmaufrufen erst am Ende zum Aufruf von PowerShell führt (z.B. programm.exe → subprogramm.exe → powershell.exe), kann auch das übergeordnete Elternprogramm (hier: programm.exe) mit der o.g. Ausnahmeregel versehen werden, da die Agents (ab 2.0.99) diese Konfigurationseinstellung an Unterprozesse vererben. Wenn der Hash der Software, die diesen Alarm auslöst, nicht im Log im AdminWizard angezeigt wird, handelt es sich um eine Kette von Prozessen, deren Details im Popup-Fenster auf dem Client-Computer vom Agent angezeigt wird.

Agent-Verteilung (RCM)

Funktion der Agent-Verteilung (RCM)

Wie funktioniert das Remote Client Management?

Antwort

Das RCM nutzt eine Gruppenrichtlinie (GPO: „SecuLution Agent Management Vx.y.z“), die eine Batch-Datei (agentmanagement.bat) beim Systemstart (Installation) und Herunterfahren (Deinstallation) ausführt. Diese Batch-Datei startet clientmgmt.exe, was sich mit der Application Control Appliance verbindet und prüft, ob der Hostname für eine Aktion (Installation/Update/Deinstallation) vorgesehen ist. Bei Updates wird der Agent während des Shutdowns deinstalliert und beim nächsten Start neu installiert. Bei Computern ohne AD-Anbindung prüft der Agent nach dem Start, ob die GPO ausgeführt wurde, und lädt ggf. die neueste Version aus dem Internet herunter.

RCM startet nicht

Was soll man machen, wenn die automatische Agent-Verteilung nicht startet?

Antwort

Alle GPOs mit dem Namen "SecuLution" löschen
Inhalt des RCM-Ordners löschen
AdminWizard beenden und 5 Minuten warten (DC-Replikation)
AdminWizard als Domänen-Administrator starten und RCM neu einrichten
Rechte, Reihenfolge Sicherheitsfilterung und Delegierung der GPO prüfen
Ggf eine debug.txt im RCM-Ordner anlegen, um Log-Dateien zu generieren

Gruppenrichtlinie wird nicht angewendet

Warum wird die Gruppenrichtlinie zur Agentenverteilung nicht angewendet?

Antwort

Falls die Gruppenrichtlinie zur Agent-Verteilung nicht angewendet wird (Test mit rsop.msc), empfehlen wir, die Sortierung der Gruppenrichtlinien zu ändern und das GPO auf Platz 1 zu verschieben. Auch die Sicherheitsfilterung und Delegierung sollten überprüft werden

Manuelle Installation des Agents

Wie kann man den Agent manuell installieren?

Antwort

Bei manueller Installation des Agents muss das Zertifikat “client.pem” neben der autosetup.exe liegen. Die Ausführung von autosetup.exe muss mit Administratorrechten erfolgen (start → “cmd” → Rechtsklick → als Administrator ausführen). Der Parameter “server” ist obligatorisch, der Parameter “reboot” optional. Beispiel: autosetup.exe /server="domain" /reboot

Manuelle Deinstallation des Agents

Wie kann man den Agent manuell deinstallieren?

Antwort

Die Ausführung des autouninstall.exe muss mit administrativen Rechten durchgeführt werden (start → “cmd” → Rechtsklick → als Administrator ausführen). Im Notfall kann die Datei in ein lokales Verzeichnis kopiert werden und dann nach Reboot im abgesicherten Modus ausgeführt werden. Beispiel: autouninstall.exe /reboot

Agent-Installation schlägt fehl

Warum wird der Agent nicht installiert?

Antwort

Bei der Installation des Agents wird geprüft, ob alle bereits installierten Programme auf der Allowlist stehen.
Wird ein nicht erlaubtes Programm gefunden, bricht die Installation ab, um Bluescreens bei einem späteren Start eines solchen Programmes zu vermeiden.
Es kommt die Meldung "Something was denied".
In den Logs kann das Programm ermittelt werden, das verantwortlich ist.
Diese Prüfung kann im AdminWizard unter Client Konfiguration → Installation konfiguriert werden. Die Option lässt sich deaktivieren oder es können einzelne Clients, Sub-Netze oder AD-Benutzer/-Gruppen von der Prüfung ausgenommen werden.

Agent wird nicht installiert (rdmp failed or incomplete database)

Was bedeutet die Fehlermeldung "Install failed: rdmp failed or incomplete database"?

Antwort

Der Agent lädt bei der Installation die Offline DB vom Server herunter. Fehlen darin zwingend benötigte Einträge, verweigert der Agent die Installation, da ihm Daten fehlen. Alle Komponenten sollten aktuell sein.

Im AdminWizard die Clientkonfiguration öffnen, sodass der AdminWizard ggf. fehlende Einträge nachträgt, auch die Sprach-Einstellungen sollten einmal geöffnet werden.

Besteht das Problem weiterhin, das Erstellen einer offline Datenbank erzwingen:

Neues Backup erzeugen (AdminWizard Datei → Datensicherung erstellen)
Wiederherstellung des gerade erzeugten Backups (AdminWizard Datei → Datensicherung wiederherstellen)
Eben erstelltes Backup auswählen
Wiederherstellungsoption "Hashes aus der Datensicherung der Allowlist hinzufügen (merge). Bei bereits vorhandenen Hashes die Aktionen aus der Allowlist beibehalten und die Aktionen aus der Datensicherung ignorieren." wählen
Debug-Logs im AdminWizard öffnen
Nach wenigen Sekunden sollte da die Meldung "Rdmp cache ready" erscheinen
Agent-Installation erneut testen

Agent wird nicht installiert (28 Lang Strings missing)

Was bedeutet die Fehlermeldung "28 Lang Strings missing"?

Antwort

In der Allowlist fehlen die Default-Konfigurationsdaten für die Agents/Clients. Im AdminWizard links im Menü die Client Konfiguration auswählen und die Einstellungen konfigurieren.

Notwendige Rechte bei der Installation des Agents

Welche Rechte sind für die Installation des Agents notwendig?

Antwort

Die Installation des Agents muss zwingend mit Systemrechten (Admin) erfolgen. Dies wird automatisch durch die Ausführung der Gruppenrichtlinie sichergestellt. Der Speicherort für das RCM (UNC-Pfad) muss zwingend auf einem UNC-Pfad liegen, der vollwertiges Mitglied der Domäne ist, damit die Vertrauensbeziehung zu diesem Speicherort gewährleistet ist. Andere Speicherorte (z.B. externes SAN, NAS), die keine ausreichende Vertrauensbeziehung zur Domäne haben, sind daher nicht geeignet.

Komplexe Application Control Appliance Erreichbarkeit abbilden

Wie wird eine komplexe Application Control Appliance-Erreichbarkeit konfiguriert?

Antwort

Ist die Erreichbarkeit der Application Control Appliance nicht in jedem Netz-Segment unter der gleichen IP oder DNS-Namen möglich (z. B. unterschiedliche Adressen LAN/WAN), oder handelt es sich um ein System, bei dem mehrere Application Control Appliances zur Verfügung stehen, können über eine setup.ini-Datei mehrere Server und deren Prioritäten definiert werden.

Einblenden

Ausblenden

Klicken für dauerhafte Anzeige

[SecuLution] ; comma separated list of https URLs of Application Control Appliances the following IPs are tried first Servers="https://s1.domain.de,https://s2.domain.de" ; the following addresses are tried if none of the above can be reached Servers2="https://10.0.1.1,https://10.0.1.2" ; the following addresses are tried if none of the above; can be reached Servers3="https://10.0.1.3" ; filename of certificate, defaults to client.pem CertFile="client.pem"

Die setup.ini muss im gleichen Verzeichnis liegen, wie das autosetup.exe (\\server\RCM-path\install\setup.ini). Die setup.ini wird nicht automatisch vom RCM-Setup des AdminWizards erzeugt, sie muss vom Administrator im Bedarfsfall manuell angelegt werden. Im Normalfall wird eine setup.ini nicht benötigt, da der Kommandozeilenparameter “server=” bei der Installation des Agents bereits den Server angibt. Werte in der setup.ini überschreiben die Defaults und die Werte aus Kommandozeilenparametern

Upgrade der Application Control Appliance

Ausführung eines SingleServer-OS-Upgrades

Wie wird ein SingleServer-OS-Upgrade der Application Control Appliance durchgeführt?

Antwort

Kann eine neue Major-Version der Application Control Appliance nicht durch einen Patch aktualisiert werden, sondern muss in einer neuen VM in Betrieb genommen werden, erklärt die Anleitung, wie die alte Application Control Appliance durch die neue ersetzt wird:

Datensicherung der alten Application Control Appliance
1. AdminWizard mit alter Application Control Appliance verbinden
2. Datensicherung erstellen
3. Listen der Computer aus "nicht gesichert" und "ignoriert" im Client-Management exportieren
4. AdminWizard beenden
Neue Application Control Appliance vorbereiten
1. Neue Application Control Appliance durch Import von OVA-Vorlage gemäß Anleitung erstellen
2. Auf "Appliance ready" warten
3. Temporäre DHCP-IP notieren (oder manuell im Boot-Menü konfigurieren)
Neue Application Control Appliance konfigurieren
1. AdminWizard mit neuer Application Control Appliance verbinden
2. Datensicherung zurückspielen (Option: "Vorhandene Hashes übernehmen")
3. Auf Updates prüfen (AdminWizard → Hilfe → Auf neue Version prüfen)
4. Lernmodus deaktivieren
IP-Konfiguration anpassen
1. Statische IP der alten Application Control Appliance eintragen (AdminWizard → Application Control Appliance → IP-Konfiguration)
2. Alte Application Control Appliance herunterfahren und Autostart deaktivieren
3. Neue Application Control Appliance neustarten (statische IP wird übernommen)
Abschließen
1. AdminWizard mit der neuen statischen IP verbinden und Aktivierung durchführen
2. Login-Passwort ändern
3. Listen aus Schritt 1.3 importieren

RCM bezogene Informationen sind nicht Teil des Backups und werden daher nicht auf die neue Application Control Appliance übernommen. Unter “gesichert” werden daher nur die Agents angezeigt, die sich auch schon mit dieser neuen Application Control Appliance verbunden haben. Daher werden die Listen unter RCM erst mit der Zeit vervollständigt.

Ausführung eines MultiServer-OS-Upgrades

Wie wird ein MultiServer-OS-Upgrade der Application Control Appliance durchgeführt?

Antwort

Sind 2 oder mehr Server als Application Control MultiServer Appliances [1] und [2] vorhanden und beide sollen durch die aktualisierten Versionen ersetzt werden, muss wie folgt vorgegangen werden:

Application Control Appliance [1] (Index 1 in der IP-Konfiguration ausschalten und ggf. vom Supervisor löschen
Neue Application Control Appliance aus neuer OVA-Vorlage im Hypervisor als neue Application Control Appliance [1] erstellen
Im Boot-Menü mittels Menüpunkt (i) der Application Control Appliance [1] manuell die IP geben, die bisher von der alten Application Control Appliance [1] verwendet wurde
Im Boot-Menü mittels Menüpunkt (m) die IP von der Application Control Appliance [2] zur Synchronisation angeben
Die neue Application Control Appliance wird sich die MultiServer-Konfiguration und die Allowlist von [2] holen
Die neue Application Control Appliance wird als [1] in Betrieb gehen
AdminWizard auf [1] verbinden ("password", das Login Passwort wird nicht über die Server synchronisiert)
Aktivierung durchführen
Dieselben Schritte mit jeder weiteren Application Control Appliance durchführen

SingleServer zu MultiServer upgraden

Wie kann man eine SingleServer Application Control Appliance auf eine MultiServer Application Control Appliance upgraden?

Antwort

Um von einer SingleServer Application Control Appliance auf ein MultiServer Application Control Appliance Cluster umzusteigen, müssen die Application Control Appliances gemäß Installation Guide installiert werden. Nach Abschluss im RCM für die Client/Agent-Installationen “reinstall” oder “aktualisieren” wählen. Durch die Neuinstallation/Aktualisierung der Clients/Agents wird die MultiServer Konfiguration aktualisiert, sodass die Agents für den Zugriff auf alle Server des Clusters konfiguriert werden.

Verhalten bei verfügbarem Application Control Appliance Update

Was soll man machen, wenn es ein OS-Upgrade für die Application Control Appliance gibt?

Antwort

Zum Upgrade wird ein Download-Link für eine ZIP-Datei der aktuellen Produktiv-Installation zur Verfügung gestellt. Die Version dieser Datei soll dann in Betrieb genommen werden

Allgemein

Empfohlene Versionen

Welche Versionen sollte man nutzen?

Antwort

Für alle Komponenten sollte stets mit den aktuellsten Versionen gearbeitet werden. Im AdminWizard kann das unter "Hilfe → Auf neue Versionen prüfen" geprüft werden und alle AdminWizards sollten die gleiche, aktuelle Version haben. Auch die Clients sollten alle die aktuellste Version des Agents nutzen.

Wahrscheinliche Ursache für Netzwerkprobleme

Was kann der Grund für Netzwerkprobleme zwischen Agent und Application Control Appliance sein?

Antwort

Die wahrscheinlichste Ursache für Netzwerkprobleme zwischen Agent und Application Control Appliance ist eine andere lokale Komponente, die in den TLS-Verkehr eingreift. Dabei kann das genaue Problem stark variieren, aber grundlegend sollte auf folgende Dinge geachtet werden:

Ausschließlich Dateien verwenden, die in der ZIP-Datei mitgeliefert wurden (also auch keine setup.ini)
Virenscanner deinstallieren (nicht nur deaktivieren)
Prüfen, dass kein GPO Proxy-Konfigurationen erzwingt, die in den TLS-Verkehr eingreifen könnten, um Proxy als Ursache auszuschließen
Sicherstellen, dass kein Proxy konfiguriert ist, um Proxy als Ursache auszuschließen
Einen Rechner im selben Netz wie die Application Control Appliance nutzen, um Firewall und Router als Ursache auszuschließen
Mit frischem System testen, was noch keine anderen Komponenten enthält, um andere Software-Komponenten als Ursache auszuschließen
Testen einer manuellen Installation des Agents über eine CMD als Administrator auf einem Computer, der nicht Domänenmitglied ist, mit der Kommandozeile: autosetup.exe /server="https://<IP-Adresse>" /reboot

und die IP ersetzen, um Gruppenrichtlinien als Ursache auszuschließen
Manuell die Rangfolge der Anwendung der GPOs so umstellen, dass die Agent Management GPO als erstes durchgeführt wird, um andere GPOs als Ursache auszuschließen
Mit rsop.msc die effektiv angewandten GPO-Einstellungen prüfen, da eventuell Einstellungen überschrieben werden
Auf einem der betroffenen Rechner die Ausgabe von gpresult /R

prüfen. Es sollte unter dem Abschnitt "angewandte Gruppenrichtlinienobjekte" der Eintrag "SecuLution Agent Management" vorhanden sein. Ist das nicht der Fall, gibt es ein grundsätzliches Problem mit dem Active Directory (AD), das nichts mit der ApplicationControl zu tun hat und zunächst gelöst werden muss.
Stück für Stück die Umgebung simplifizieren, bis die Komponente, die das Problem verursacht hat, identifiziert ist

Bedeutung von Allowlisting

Was bedeutet Allowlisting?

Antwort

Allowlisting beschreibt das Konzept, dass nur Software erlaubt wird, die explizit auf einer Liste, der Allowlist, notiert wurde.
Beim Blocklisting werden Anwendungen, die bekannt schädlich sind, verboten, aber grundsätzlich sind da alle erlaubt.
Allowlisting kehrt das um und Anwendungen, die verwendet werden sollen, müssen geprüft und erlaubt werden. Application Control macht das automatisch, da der Abgleich mit der TLDB erfolgt, die von uns gepflegt wird

Anzahl der sicherbaren Clients

Wie viele Clients können mit der Application Control abgesichert werden?

Antwort

Es können Netzwerke aller Größen ohne Unter- und Obergrenze abgesichert werden. Es ist lediglich ein Administrator zur Bedienung notwendig

Umgang mit personenbezogenen Daten

Werden personenbezogene Daten erhoben?

Antwort

Das ApplicationControl-System übermittelt keine Daten (z.B. personenbezogene Daten oder Nutzungsstatistiken) nach außen, also weder an Dritte noch an den Hersteller. Bei Nutzung der TLDB Dienstleistung werden lediglich Metadaten (Filename, Hash, Signaturinformationen) der zu startenden Software, sofern diese noch nicht auf der lokalen Allowlist bekannt ist, an den TLDB Server übertragen.