Neu bei Securepoint: 10.2026
AdminWizard
Hashes lernen
"Lernen" ist das automatische Hinzufügen eines Hashes zur Allowlist, ausgelöst durch eine Anfrage durch einen Agenten
Lernmodi
- Um neue Hashes zur Allowlist hinzuzufügen, kann ein automatischer Lernmodus verwendet werden.
- Der Lernmodus ist eine Konfigurationsoption, die die Application Control Appliance anweist, Hashes, die noch nicht in der Allowlist enthalten sind, zu lernen, anstatt sie abzulehnen. Beim Lernen wird ein Hash für den anfragenden Agenten zugelassen und der Allowlist hinzugefügt. Eine Überprüfung der Vertrauenswürdigkeit des Hashes findet nicht statt. Diese kann zu einem späteren Zeitpunkt nachgeholt werden. Es sind mehrere Lernmodi von verschiedenen Quellen möglich.
- Während des Lernmodus lernt die Application Control Appliance nur neue unbekannte Hashes, die von einem Agenten geprüft wurden. Hashes, die sich bereits in der Allowlist befinden, werden nicht gelernt, da sie bereits bekannt sind. Dies ist unabhängig davon, ob es für den Hash tatsächlich eine „Erlauben“-Aktion gibt. Somit ist es auch tatsächlich möglich, Hashes während des Lernmodus abzulehnen.
Lern-Benutzer
Der "Lern-Benutzer" ermöglicht es, neue Software zum Regelsatz hinzuzufügen, indem das hinzuzufügende Programm mit den Berechtigungen eines dafür ausgesuchten Benutzeraccounts durchgeführt wird. (Rechtsklick auf die Software, "als anderer Benutzer ausführen"). Im Active Directory dafür eine neue globale Sicherheitsgruppe anlegen und z.B. "Lernuser" nennen. In der Gruppe können ein oder mehrere Benutzeraccounts erstellt werden, die später zur Installation neuer Software verwendet werden. Diese Accounts müssen ebenfalls der Gruppe Administratoren hinzugefügt werden. Nach einer AD Replikation wird dieser Account im AdminWizard unter Lern-Quellen → Lern-Benutzer zur Auswahl zur Verfügung stehen.
TrustLevel Service (TLDB)
Die TrustLevel werden wie folgt vergeben:
| TrustLevel | Erklärung |
|---|---|
| 0 | Es liegen Indikatoren vor, die auf eine potenzielle Schadhaftigkeit dieser Software hinweisen. |
| 1-2 | Es liegen Indikatoren vor, die darauf hinweisen, dass diese Software im geschäftlichen Umfeld ungeeignet ist (z. B. Signatur revoked). |
| 3 | Die Software ist entweder unbekannt, völlig neu oder es liegen ebenso viele Indikatoren für eine positive wie eine negative Einstufung der Software vor |
| 4-10 | Es liegen Indikatoren vor, die auf eine erwünschte und vertrauenswürdige Software hinweisen. Je höher der Wert, umso stärker sind die Indikatoren |
Es wird ein redundanter Cluster einer Cloud-basierten Datenbank mit Hashes vertrauenswürdiger Software in deutschen Rechenzentren betrieben. Wie vertrauenswürdig ein Hash ist, wird mit sogenannten TrustLevels bewertet. Die TrustLevel-Datenbank wird ausschließlich von unseren Mitarbeitern gepflegt und liefert bei über 99% der Anfragen einen guten TrustLevel. Unter dem Reiter “Lernquellen” kann ein minimaler TrustLevel-Schwellenwert festgelegt werden. Ist ein Hash in der lokalen Allowlist nicht bekannt, wird er in der TrustLevel-Datenbank abgefragt. Ist der TrustLevel des Hashes in der TrustLevel Datenbank mindestens so hoch wie der eingestellte Schwellenwert, wird der Hash automatisch der Allowlist als erlaubt hinzugefügt. Auf diese Weise lernt das Application Control System automatisch vertrauenswürdige Software, ohne dass ein Administrator manuell eingreifen muss.
Über die Funktion “Ausnahmen hinzufügen” kann eine Liste von Dateinamen definiert werden, die explizit vom TLDB basierten Lernvorgang ausgenommen werden.
Beispiel: *powershell*
Es sei zu beachten, dass die Ausnahmeerkennung ausschließlich auf den Dateinamen abzielt und dieser leicht geändert werden kann. Das hat zur Folge, dass diese Konfiguration in der Praxis leicht umgangen werden kann. Es sei jedoch darauf hingewiesen, dass dies keine Sicherheitsbedenken aufwirft, da die TLDB ohnehin nur Programme erlernt, die als vertrauenswürdig gelten.
Vertrauenswürdige Signatur
Securepoint Application Control kann unbekannte Software automatisch zur Allowlist hinzufügen, wenn diese elektronisch signiert ist (Authenticode). Dazu kann der Administrator Signaturen von Herstellern, deren Software er automatisch vertrauen möchte, per Drag-and-Drop einer signierten Datei im AdminWizard hinzufügen. (Checkbox “Signatur-Hersteller hinzufügen”).
Drag-and-Drop
Hashes importieren
Musterrechner Import
Aufsetzen von Musterrechnern
- Für jedes notwendige Betriebssystem, das verwendet und gesichert werden soll, sollte ein Musterrechner aufgesetzt werden.
- Auf diesem sollen nur garantiert vertrauenswürdige Datenquellen installiert werden.
- Je mehr sichere Software bereits auf den Musterrechnern installiert wird, desto weniger Arbeit entsteht im späteren Betrieb.
Import von Software in den AdminWizard
- Der einfachste Weg, um vertrauenswürdige Hashes von einem Musterrechner zu importieren, ist, den AdminWizard auf dem Musterrechner zu installieren und alle Dateien aus „C:\“ zu importieren.
- Hierzu im Reiter
Import-Quellen im Abschnitt Importieren dieses Rechners als Musterrechner die Schaltfläche auswählen
Import aus Verzeichnissen
Durch Importieren aus Verzeichnissen können Updates oder Programmpakete manuell und automatisiert in die Allowlist übernommen werden.
Alarm in Regel umwandeln
Wird einmal ein Programm verweigert, kann der Administrator - nachdem er sich von der Vertrauenswürdigkeit der Software überzeugt hat - die Software mit Rechtsklick → “Regel zur Allowlist hinzufügen” der Allowlist hinzufügen. Eine Mehrfachauswahl ist möglich.