Aurora Endpoint Security sichere Bereitstellungspraktiken

Anmerkung: Diese Informationen beziehen sich ausschließlich auf Aurora Endpoint Defense und Aurora Protect.

Management-Zusammenfassung

Arctic Wolf® Aurora Endpoint Defense folgt sicheren Bereitstellungsmethoden, die das operative Risiko minimieren, den betroffenen Bereich beschränken und vorhersehbare, überprüfbare Änderungen in Windows-, macOS- und Linux-Umgebungen ermöglichen.

In diesem Bericht wird das Arctic Wolf-Bereitstellungsmodell an der Anleitung für die sichere Bereitstellung von Microsoft Defender for Endpoint ausgerichtet. Die Bereitstellung von Updates wird in zwei Hauptkategorien unterteilt: Software- und Treiber-Updates sowie Updates für Sicherheitsinformationen und Erkennungslogik.

Aurora Endpoint Defense verwendet eine stufenweise Release-Validierung, regionale Roll-out-Kontrollen, Telemetrie-Monitoring, Support-Korrelationen und Release-Stoppmechanismen, um die Auswirkungen auf Kunden zu minimieren. Die Richtlinien für die Bereitstellung für Kunden regeln weiterhin den Zeitpunkt, die Planung, die Versionseinführung sowie das Änderungsmanagement. Dieser Bericht beschreibt sowohl die aktuellen Kundenkontrollmechanismen als auch die verwalteten Sicherheitsmaßnahmen, die den Übergang der Bereitstellungsmodelle von Aurora und Next Generation Anti-Virus (NGAV) hin zu verwalteten automatischen Updates unterstützen.

1. Zweck und Anwendungsbereich

Dieses Dokument beschreibt die sicheren Bereitstellungspraktiken, die Arctic Wolf für die Bereitstellung, Aktualisierung, Überwachung, Eindämmung und Wiederherstellung von Aurora Endpoint Defense, einschließlich Aurora Protect und Aurora Focus, verwendet.

Diese Praktiken haben folgende Ziele:

Minimierung des operativen Risikos
Einschränkung des betroffenen Bereichs während des Roll-outs von Änderungen
Unterstützung vorhersehbarer und überprüfbarer Bereitstellungen
Anpassung an Änderungsmanagement-Prozesse in Unternehmen
Erfüllung der Resilienz-Erwartungen der Microsoft Virus Initiative (MVI)

Diese sicheren Bereitstellungspraktiken (Safe Deployment Practices, SDPs) gelten für:

Windows
macOS
Linux

Diese SDPs umfassen:

Endpunkt-Agenten
Kernel-Treiber, Systemerweiterungen und geschützte Dienstkomponenten
Threat intelligence Daten, Erkennungslogik, Verhaltensmodelle und Richtlinienaktualisierungen
Cloudgestützte Orchestrierung
Kundenkontrollen und operative Kontrollen für Arctic Wolf

2. Produktarchitektur und Aktualisierungstypen

Aurora Endpoint Defense besteht aus koordinierten Funktionen zum Endpunktschutz und zur Erkennung, die über Aurora Protect und Aurora Focus bereitgestellt werden.

2.1 Aurora Protect

Aurora Protect bietet proaktive Bedrohungsprävention und Endpunktschutz. Verhaltensanalysen und andere Erkennungsmethoden werden genutzt, um bösartige Nutzlasten vor ihrer Ausführung zu blockieren und so das Risiko für Endpunkte zu verringern.

Zu den wichtigsten Schutzfunktionen gehören:

Verhinderung der Ausführung bösartiger Dateien und Nutzlasten
Skriptgestützte Erkennung und Abwehr von Bedrohungen
Erkennung von Prozessinjektionen und bösartigem Verhalten
Durchsetzung der Gerätesteuerung
Richtlinienbasierte Präventions- und Eindämmungssteuerelemente
Plattform-Schutzmechanismen, einschließlich Windows Anti-Malware Protected Process Light (AM-PPL) und Early Launch Anti-Malware (ELAM), sofern diese unterstützt werden

2.2 Aurora Focus

Aurora Focus bietet Funktionen für Telemetrie, Erkennung, Analyse und Reaktion. Das Tool arbeitet mit Aurora Protect und beachtet die dokumentierten Mindestversionsanforderungen, um die Kompatibilität zwischen Schutz-, Telemetrie- und Reaktions-Workflows zu gewährleisten.

2.3 Aktualisierungskategorien

Arctic Wolf teilt die sicheren Bereitstellungssteuerungen in zwei Aktualisierungskategorien auf:

Software- und Treiber-Updates: Aktualisierungen von Agenten, Treibern, Diensten, Installationsprogrammen und Plattformkomponenten, die den Kernel-Modus oder geschützte Dienstkomponenten beeinflussen können.
Sicherheitsinformationen und Erkennungsaktualisierungen: Threat intelligence Daten, Erkennungslogik, Modellaktualisierungen und Richtlinieninhalte, die möglicherweise häufiger aktualisiert werden und allgemein für Benutzer-Modi oder cloudbasierte Erkennungspfade gelten.

2.4 Betriebssystemspezifische Implementierungsdetails


Plattform	Implementierungsdetails
Windows	Umfassende Agenten-Unterstützung für die Durchsetzung vor der Ausführung, Erfassung von Telemetriedaten und Reaktions-Workflows. Windows Implementierungen können, sofern unterstützt, AM-PPL- und ELAM-Schutzmechanismen umfassen. .NET-Frameworks-Abhängigkeiten werden im Rahmen der Kompatibilitätsanforderungen dokumentiert und überprüft.
macOS	Moderne Versionen von macOS verwenden das Endpoint Security-Framework von Apple sowie Systemerweiterungen. Ältere Versionen von macOS verwenden Kernel-Erweiterungen. .NET-bezogene Abhängigkeiten und Plattformanforderungen werden, sofern zutreffend, dokumentiert.
Linux	Linux Die Durchsetzung erfolgt über einen Kernel-Treiber, der für den aktuell verwendeten Kernel passt. Kernel-Aktualisierungen erfordern eine kompatible Treiberunterstützung. Kompatibilitätsanforderungen, einschließlich der Laufzeit- und Framework-Abhängigkeiten, werden dokumentiert.

3. Software- und Treiberaktualisierungen

3.1 Arctic Wolf SDP für Software- und Treiberaktualisierungen

Arctic Wolf wendet bei Software- und Treiber-Aktualisierungen vor der allgemeinen Verfügbarkeit gestaffelte Release-Steuerungen an. Zu diesen Aktualisierungen gehören Endpunkt-Agenten, Treiber, geschützte Dienste, Installationsprogramme und Plattformkomponenten.

Arctic Wolf Zu den Release-Steuerungen gehören:

Technische Validierung und Abnahmeprüfungen von Releases
Überprüfung der Kompatibilität mit allen unterstützten Betriebssystemen
Dokumentierte Überprüfungen der Mindestversionsabhängigkeit zwischen Aurora Protect und Aurora Focus
Reihenfolge des regionalen Roll-outs in der Cloud-Infrastruktur
Telemetrieüberwachung zur Überprüfung des Bereitstellungserfolgs, der Endpunktintegrität und der Korrelation von Supportfällen
Möglichkeit, das Release auszusetzen, wenn Qualitäts-, Stabilitäts- oder Kompatibilitätssignale eine Eindämmung erfordern

3.2 Ablauf des regionalen Roll-outs

Arctic Wolf verwendet ein stufenweises, regionsbasiertes Roll-out-Modell innerhalb seiner Cloud-Infrastruktur. Updates werden jeweils nur auf einem Amazon Web Services (AWS) POD bereitgestellt, und erst nach einer erfolgreichen Validierung in der vorherigen Region, werden sie fortgesetzt.

APAC Südost
LATAM
EMEA
Nordamerika
Regierung der Vereinigten Staaten
APAC Nordost (Japan)

Diese Abfolge begrenzt den betroffenen Bereich und unterstützt die frühzeitige Erkennung von Anomalien vor einer großflächigen Bereitstellung.

3.3 Kunden-SDP für Software- und Treiberaktualisierungen

Kunden können Aurora Endpoint Defense-Aktualisierungen durch Bereitstellungsrichtlinien, Zeitpläne sowie Änderungsmanagement-Workflows an ihre internen Praktiken für eine sichere Bereitstellung anpassen.

Zu den Kundenkontrollen gehören:

Versionsauswahl, sofern vom aktuellen Bereitstellungsmodell unterstützt
Bereitstellungszeitpunkt und Wartungszeitfenster
Planung des Roll-outs nach Gerätegruppe, Standort, Region oder geschäftlicher Priorität
Genehmigungen im Rahmen des Änderungsmanagements vor der großflächigen Einführung
Überwachung der frühen Bereitstellungsringe vor der Ausweitung des Roll-outs

3.4 Eindämmung und Wiederherstellung für Software- und Treiber-Aktualisierungen

Wenn ein Software- oder Treiberupdate unerwartete Qualitäts-, Stabilitäts- oder Kompatibilitätssignale aufweist, kann Arctic Wolf die weitere Verfügbarkeit der Bereitstellung stoppen. Dadurch wird die Ausbreitung des Releases eingedämmt, während Technik- und Supportteams die Ursache untersuchen.


Funktion	Arctic Wolf Implementierung
Anhalten	Arctic Wolf kann die Cloud-Verfügbarkeit der betroffenen Version aussetzen oder aufheben, um eine weitere Einführung zu verhindern.
Selbstwiederherstellung des Aktualisierungsprogramms	Sofern dies unterstützt wird, kann das Aktualisierungsprogramm fehlgeschlagene Aktualisierungen beheben und den Endpunkt wieder in einen stabilen Betriebszustand versetzen.
Wiederherstellung der Version	Eine zuvor validierte Version kann als aktiver Release-Pfad wiederhergestellt werden, wenn das Bereitstellungsmodell dies erfordert.
Kundenaktion	Kunden können sich mit dem Support von Arctic Wolf abstimmen und die verfügbaren Konsolensteuerungen, Bereitstellungsrichtlinien und Wartungszeitfenster nutzen, um die betroffenen Geräte zu verwalten.

4. Sicherheitsinformationen und Erkennungsaktualisierungen

4.1 Arctic Wolf SDP für Sicherheitsinformationen und Erkennungsaktualisierungen

Arctic Wolf bietet Bedrohungsinformationen, Erkennungslogik, Verhaltensmodelle und Richtlinieninhalte, um den Schutz der Endpunkte vor neuen Bedrohungen auf dem neuesten Stand zu halten. Diese Aktualisierungen werden häufiger veröffentlicht als Software- und Treiberaktualisierungen und separat verwaltet, um das betriebliche Risiko zu verringern.

Aktualisierungen der Sicherheitsinformationen und der Erkennung sind darauf ausgelegt, unnötige Änderungen an Komponenten von Kernel-Modulen zu vermeiden. Diese Trennung begrenzt das Risiko, dass häufige Aktualisierungen der Erkennungsfunktionen die Stabilität des Betriebssystems beeinträchtigen.

Zu den Bereitstellungsmechanismen gehören:

Erkennungs- und Richtlinienaktualisierungen aus der Cloud
Von Agenten genutzte Bedrohungsinformationen und Erkennungsinhalte
Modell- und Logikaktualisierungen für Präventions-, Erkennungs- und Reaktionsabläufe
Centroid-basierte Bereitstellung von Erkennungsinhalten für Offline- oder isolierte (Air-Gap-)Umgebungen, je nach Bereitstellung

Vor und während des Roll-outs überprüft Arctic Wolf Telemetriedaten und operative Signale, um Anomalien bei Qualität, Leistung oder falsch positiven Ergebnissen zu erkennen.

4.2 Kunden-SDP für Sicherheitsinformationen und Erkennungsaktualisierungen

Kunden können die Einführung von Erkennungsinhalten durch Richtlinien, Gruppierungen und operative Governance-Kontrollen verwalten.

Zu den Kundenkontrollen gehören:

Umsetzung von Richtlinienänderungen über repräsentative Gerätegruppen
Anwendung unterschiedlicher Aktualisierungskadenzen für kritische Systeme, sofern dies unterstützt wird
Nutzung von Wartungszeitfenstern oder Bereitstellungsringen für Umgebungen mit hohem Risiko
Überwachung von Warnmeldungen, Fehlalarmen und dem Zustand der Endpunkte vor Ausweitung der Richtlinieneinführung
Koordination mit dem Support von Arctic Wolf für die Nachforschung, Eindämmung und Feinabstimmung

4.3 Eindämmung und Wiederherstellung für Aktualisierungen der Sicherheitsinformationen und der Erkennung

Wenn eine Aktualisierung der Erkennung zu unerwartetem Verhalten führt, kann Arctic Wolf je nach Art des Problems mit Eindämmungsmaßnahmen auf Cloud-Seite, durch Feinanpassung der Erkennung, Aktualisierung der Richtlinie oder Zurückziehen der Inhalte reagieren.


Problemtyp	Eindämmungsreaktion
Falsch-positives Ergebnis oder Rückgang der Erkennungsrate	Anpassung der Erkennungslogik, Unterdrückung des betroffenen Signals oder Veröffentlichung korrigierter Inhalte.
Leistungsanomalie	Aussetzen des Roll-outs, Begrenzung der Auswirkungen, Untersuchung der Telemetriedaten und Veröffentlichung korrigierter Inhalte.
Problem mit Offline-Inhalten	Aktualisierung der über Centroid bereitgestellten Inhaltspakete oder Koordination von Ersatzinhalten über den unterstützten Bereitstellungspfad.
Kundenspezifische betriebliche Auswirkungen	Optimierung von Richtlinien in Absprache mit dem Kunden, Anpassung des Umfangs oder eine schrittweise erneute Einführung nach der Validierung.

5. Überwachung, Telemetrie und Betriebsüberprüfung

Techniker und Support überprüfen gemeinsam den Fortschritt der Bereitstellung sowie die Funktionsfähigkeit.

Die Hauptüberwachung umfasst:

Erfolgsquoten und Abschlussraten bei der Bereitstellung
Einführung der Agentenversion
Endpunktintegrität und operative Telemetrie
Leistung, Zuverlässigkeit und Kompatibilitätssignale
Erkennungsqualität und Fehlalarmsignale
Korrelation mit Supportfällen

Operative Dashboards, Telemetrieabfragen und die Überprüfung durch den Techniker-Bereitschaftsdienst unterstützen die Entscheidungsfindung hinsichtlich Releases. Arctic Wolf überprüft den Zustand, bevor das Roll-out vorangebracht oder Maßnahmen zur Eindämmung ergriffen werden.

6. Kundentransparenz und Vorhersehbarkeit von Änderungen

Aurora Endpoint Defense unterstützt die Kundentransparenz durch sichtbare Release-, Richtlinien- und Bereitstellungskontrollen.

Zu den wichtigsten Grundsätzen gehören:

Transparente Verfügbarkeit von Releases und Sichtbarkeit der Version
Dokumentiertes Bereitstellungsverhalten und Kompatibilitätsanforderungen
Kundenorientierte Planungs- und Steuerungskontrollen
Überprüfbare Änderungsaktivitäten
Unterstützung bei der Eindämmung und Nachforschung, wenn Probleme auftreten

Diese Praktiken unterstützen Prozesse für die Änderungsverwaltung in Unternehmen und verringern unerwartete Auswirkungen auf Endpunkte.

7. Übereinstimmung mit sicheren Bereitstellungspraktiken für Microsoft


Microsoft SDP Prinzip	Arctic Wolf Implementierung
Getrennte Aktualisierungstypen	Arctic Wolf trennt Software- und Treiber-Aktualisierungen von Aktualisierungen der Sicherheitsinformationen und Erkennung.
Stufenweises oder ringbasiertes Roll-out	Arctic Wolf verwendet ein stufenweises regionales Roll-out über mehrere Cloud-Pods mit Validierungsschleusen hinweg.
Risikobegrenzung	Die schrittweise Bereitstellung von jeweils einem POD begrenzt das Risiko in den frühen Phasen der Bereitstellung.
Überwachung vor der Erweiterung	Technik- und Support-Teams analysieren Telemetriedaten, Dashboards, die Funktionsfähigkeit, die Erkennungsqualität und die Korrelation von Supportfällen.
Möglichkeit, die Bereitstellung anzuhalten	Arctic Wolf Die Verfügbarkeit des betroffenen Release kann ausgesetzt oder aufgehoben werden, um eine weitere Einführung zu verhindern.
Wiederherstellung nach fehlgeschlagenen Aktualisierungen	Das Aktualisierungsprogramm behebt fehlgeschlagene Upgrades und stellt den stabilen Betrieb wieder her, ohne dass ein Downgrade erforderlich ist.
SDP-Steuerelemente für Kunden	Kunden können Richtlinien, Zeitpläne, Wartungszeitfenster, Gerätegruppierungen sowie Änderungsmanagement-Workflows für die Verwaltung des Roll-outs verwenden.
Vorhersehbarkeit und Überprüfbarkeit	Veröffentlichungsaktivitäten, Bereitstellungskontrollen und Supportprozesse entsprechen unternehmerischen Erwartungen hinsichtlich Kontrolle und Änderungsmanagement.

Referenz: Strategien für die sichere Bereitstellung von Microsoft Defender for Endpoint