Skriptbewertung

Der Aurora Protect Desktop-Agent (Version 3.2 und neuer) unterstützt eine verbesserte Skriptsteuerung mit Skriptbewertung für Active Script- und PowerShell-Skripte. Skripte, die eine unsichere oder anormale Skriptbewertung aufweisen, können für die Ausführung gesperrt werden und entsprechend der Geräterichtlinie an die Verwaltungskonsole gemeldet werden.

Diese Tabelle beschreibt einige Skriptbewertungsstatusse, die auf der Seite Schutz > Skriptsteuerung angezeigt wird.

Status

Beschreibung

Nicht bewertet

Dieser Status wird angezeigt, wenn Endpoint Defense-Cloud-Services ein Skript aus einem dieser Gründe nicht bewerten konnten:

  • Das Gerät ist nicht mit dem Internet verbunden.
  • Das Gerät kann keine Verbindung zu Endpoint Defense-Clouddiensten herstellen.
  • Dem Skriptereignis ist keine Datei zugeordnet, die ausgewertet werden kann.
  • Das Skript ist neu: Es wurde beispielsweise neu erstellt, individuell entwickelt oder kürzlich geändert und bisher weder von Drittanbietern noch durch eine manuelle Prüfung eingestuft.

Nicht erkannt

Dieser Status wird angezeigt, wenn die Endpoint Defense-Cloud das Skript analysiert hat und es als nicht verdächtig oder schädlich eingestuft wurde. Ein Skript muss vollständig vom Cloud-Scoring-Dienst bewertet werden, damit dieser Status angezeigt werden kann. Noch nicht bewertete Skripte oder Skripte, bei denen die Bewertung nicht abgeschlossen werden konnte, werden stattdessen als Nicht bewertet angezeigt.

Anormal

Dieser Status wird angezeigt, wenn die Endpoint Defense-Cloud das Skript als verdächtig und potenziell bösartig klassifiziert.

Unsicher

Dieser Status wird angezeigt, wenn die Endpoint Defense-Cloud das Skript als sehr verdächtig oder definitiv schädlich einstuft.

So funktioniert die Bewertung von Skripten

Die Skriptbewertung prüft, ob für ein Skript bereits eine Klassifizierung vorliegt. Klassifizierungen werden über folgende Mechanismen verfügbar:

  • Bedrohungsdatenquellen von Drittanbietern
  • Manuelle Klassifizierung durch einen Sicherheitsanalysten

Die Anzahl möglicher Skripte ist praktisch unbegrenzt. Daher können neue, individuell entwickelte oder kürzlich geänderte Skripte keiner vorhandenen Klassifizierung zugeordnet werden und werden als „Nicht bewertet“ angezeigt.

Was Sie erwartet

In den meisten Umgebungen ist ein hoher Anteil unbewerteter Skripte zu erwarten, was nicht zwangsläufig auf ein Problem mit dem Produkt hinweist. „Nicht bewertet“ bedeutet, dass keine Klassifizierung verfügbar ist. Es sollte nicht als Hinweis darauf verstanden werden, dass das Skript sicher oder unsicher ist.

Verhalten im Erzwingungsmodus

In den Erzwingungsmodi Unsichere Skripte blockieren und Anomale und unsichere Skripte blockieren werden nicht bewertete Skripte in der Verwaltungskonsole angezeigt, aber nicht blockiert. Es werden nur Skripte blockiert, deren Klassifizierung dem konfigurierten Schwellenwert für die Durchsetzung entspricht.

Empfohlene Sicherheitskonfiguration

Die Skriptbewertung sollte als zusätzliche Sicherheitskontrolle und nicht als primäre Präventionsmaßnahme angesehen werden. Für eine wirksame Skriptkontrollkonfiguration:

  1. Beginnen Sie im Alarmmodus mit der Überprüfung der Skriptaktivität.
  2. Identifizieren Sie vertrauenswürdige Unternehmensskripte und definieren Sie gezielte Ausnahmen mit möglichst engem Geltungsbereich.
  3. Wechseln Sie in den Blockierungsmodus und erstellen Sie Ausnahmen für zugelassene Skripte.

Die bewertungsbasierten Erzwingungsmodi (Unsichere Skripte blockieren und Anomale und unsichere Skripte blockieren) sind weiterhin sinnvoll, wenn der vollständige Blockierungsmodus im praktischen Betrieb zu restriktiv ist. Sie sollten jedoch als Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit verstanden werden und nicht als umfassender Schutz vor neuartigen Skripten.

Diese Empfehlungen berücksichtigen die aktuellen Möglichkeiten der Skriptbewertung.