WithSecure Co-Monitoring Service – 24/7-Bedrohungserkennung, Reaktion auf Sicherheitsvorfälle, EDR-Add-on

Was umfasst der WithSecure Co-Monitoring-Service?

Überwachung rund um die Uhr – WithSecure überwacht kontinuierlich die von Elements EDR gemeldeten Erkennungen mit hohem Risiko.
Option für Zeiten außerhalb der Geschäftszeiten – Die Überwachung kann sich auf Abende, Wochenenden und Feiertage beschränken.
Manuelle Überprüfung von Bedrohungen – Analysten überprüfen, ob es sich bei einer Erkennung um einen tatsächlichen Vorfall handelt.
Eskalation an benannte Ansprechpartner – Bestätigte Vorfälle werden an die zur Ergreifung von Maßnahmen befugten Personen weitergeleitet.
Anweisungen zur Behebung – Empfehlungen wie das Isolieren von Hosts oder das Beenden bösartiger Prozesse.
Wichtig – WithSecure gibt Anweisungen, führt jedoch keine Maßnahmen zur Behebung durch.

Was sind die wichtigsten Vorteile des WithSecure Co-Monitoring-Service?

Der WithSecure Co-Monitoring Service ist eine Erweiterung zu WithSecure Elements EDR, bei der das hauseigene Detection- und Response-Team des Anbieters Ihre Erkennungen mit hohem Risiko überprüft und Ihren Mitarbeitern mitteilt, wie sie darauf reagieren sollen. Er wird über die von Ihnen bereits genutzte Elements-Cloud-Konsole bereitgestellt, und zwar von dem Anbieter, der früher unter dem Namen F-Secure Business tätig war.

Nachtdienst ohne zusätzliches Personal – Schließt die Lücke, wenn niemand im Dienst ist.
Weniger Fehlalarme – Analysten klären Fehlalarme, bevor sie Sie erreichen.
Schnellere Reaktion auf Vorfälle – Ein validiertes Urteil erspart Ihnen die erste Stunde des Rätselns.
Europäisches Einsatzteam – Das Detection-and-Response-Team ist in Europa tätig.
MSP-freundliche Eskalation – Bestätigte Angriffe können an Ihren Dienstleister weitergeleitet werden.
Weg zur Incident-Response – Fälle können an die Incident-Response-Dienste von WithSecure eskaliert werden.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, wo der grundlegende Endpoint-Schutz an seine Grenzen stößt und warum darüber hinaus Erkennung und menschliche Überprüfung erforderlich sind.

Für welche Unternehmensgröße eignet sich der WithSecure Co-Monitoring Service?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob jemand in Ihrem Unternehmen um drei Uhr morgens die Erkennungsmeldungen überwacht. Unternehmen, die bereits Elements EDR einsetzen, aber keinen Schichtplan haben, sind die Zielgruppe.

Erfüllt der WithSecure Co-Monitoring Service die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Schweizer Unternehmen, sodass die meisten KMU nicht direkt betroffen sind. Betroffene Organisationen müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Das Schwierige an dieser Frist ist die Entdeckung selbst: Eine Uhr, die an einem Freitagabend zu laufen beginnt, läuft bereits vor Montag ab, und Co-Monitoring löst genau dieses Problem, indem ein Analyst Erkennungen mit hohem Risiko nachts und an Wochenenden überprüft und einen bestätigten Vorfall an einen benannten Ansprechpartner eskaliert. Was der Dienst jedoch nicht leistet, ist die Einreichung des Berichts, die Ausarbeitung seines Inhalts oder die Beurteilung, ob Ihre Organisation überhaupt unter diese Meldepflicht fällt. Er erfasst zudem nichts, was außerhalb der Reichweite des Elements-EDR-Agenten liegt, sodass Netzwerkgeräte, OT-Systeme und SaaS-Plattformen unüberwacht bleiben. Dieser Text beschreibt Produktfunktionen und stellt keine Rechtsberatung dar; wenn Sie Gewissheit über Ihre eigenen Verpflichtungen benötigen, lassen Sie diese von einem qualifizierten Rechtsanwalt prüfen.

Erfüllt der WithSecure Co-Monitoring Service die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt dafür, dass eine Organisation die Anforderungen der NIS-2-Richtlinie erfüllt, da die Richtlinie mindestens ebenso sehr Governance, dokumentierte Prozesse und die Rechenschaftspflicht des Managements betrifft wie die Technologie. NIS 2 verlangt Maßnahmen in den Bereichen Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Datensicherung, Sicherheit der Lieferkette, Umgang mit Schwachstellen, Cyberhygiene und Schulungen, Kryptografie sowie Zugriffskontrolle einschließlich Multi-Faktor-Authentifizierung. Co-Monitoring trägt direkt zu genau einer dieser Kategorien bei, nämlich zum Vorfallmanagement, indem es eine kontinuierliche Überprüfung der Erkennungen, eine menschliche Beurteilung darüber, ob es sich bei einem Ereignis um einen echten Vorfall handelt, sowie einen dokumentierten Eskalationspfad zu einer verantwortlichen Person bereitstellt. Es leistet keinen Beitrag zu Datensicherung und Geschäftskontinuität, zum Umgang mit Sicherheitslücken, zur Mitarbeiterschulung, zur Kryptografie, zur Zugriffskontrolle oder zur Lieferantenüberwachung, und es erstellt weder das in der Richtlinie geforderte Vorfallregister noch die Benachrichtigungstexte. Betrachten Sie es als eine Komponente innerhalb eines Vorfallbearbeitungsprozesses, der weiterhin schriftlich festgehalten und intern verantwortet werden muss.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt die Aspekte der Datensicherung und Geschäftskontinuität, die ein Überwachungsdienst nicht abdeckt, einschließlich der tatsächlichen Kosten eines Ausfalls.

Hilft der WithSecure Co-Monitoring Service bei Sicherheitsfragebögen großer Kunden?

Ja, für eine begrenzte, aber häufig gestellte Gruppe von Fragen. Er liefert Ihnen eine stichhaltige Antwort darauf, ob Sicherheitswarnungen außerhalb der Geschäftszeiten überwacht werden, ob sie von einer qualifizierten Person statt durch eine automatisierte Regel geprüft werden, ob es einen definierten Eskalationspfad zu einer namentlich benannten verantwortlichen Person gibt und ob Sie Zugang zu Fachwissen im Bereich der Vorfallreaktion haben. Er beantwortet jedoch keine der Fragen zu Penetrationstests, Patch- und Schwachstellenmanagement, Backup- und Wiederherstellungstests, der Verschlüsselung von Geräten, Zugriffskontrolle und Multi-Faktor-Authentifizierung, Schulungen zur Sicherheitssensibilisierung oder Ihrem eigenen Zertifizierungsstatus. Außerdem erstellt er die Nachweisdokumente nicht selbst, sodass die von Ihnen beigefügten Berichte weiterhin aus der Elements-Konsole und Ihren eigenen Aufzeichnungen stammen. Sollte sich herausstellen, dass ein Fragebogen dokumentierte Reaktionsmaßnahmen und eine vertraglich festgelegte Reaktionszeit anstelle einer beratenden Überwachung verlangt, ist es in der Regel kostengünstiger, innerhalb derselben Produktfamilie auf WithSecure Elements MDR umzusteigen, anstatt neben Ihrem bestehenden EDR-System einen zweiten Anbieter hinzuzunehmen.

Was ist der Unterschied zwischen Co-Monitoring und WithSecure Elements MDR?

Der entscheidende Unterschied besteht darin, wer auf den Rechner zugreift. Beim Co-Monitoring untersucht WithSecure die Situation und gibt Ihnen anschließend Anweisungen, was bedeutet, dass zu jeder Uhrzeit jemand auf Ihrer Seite erreichbar und befugt sein muss, diese umzusetzen. Bei Elements MDR führt das Detection-and-Response-Team die Eindämmungsmaßnahmen in Ihrem Auftrag durch, und WithSecure gibt eine durch eine SLA abgesicherte Reaktionszeit von 60 Minuten für 90 Prozent der Fälle an. „Co-Monitoring“ kann auch ausschließlich als Bereitschaftsdienst außerhalb der Geschäftszeiten erworben werden, was sich für ein Team eignet, das während der Arbeitszeit die eigene Konsole überwacht.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Es handelt sich um ein Add-on, kein eigenständiges Produkt: Ohne die zugrunde liegende Lösung „WithSecure Elements Endpoint Detection and Response“ gibt es für die Analysten nichts zu überwachen. Sein Erfassungsbereich beschränkt sich auf Erkennungen, die vom Elements-EDR-Agenten gemeldet werden. Ein Gerät ohne diesen Agenten, eine Firewall, ein industrielles Steuerungssystem oder ein Cloud-Dienst eines Drittanbieters erzeugt daher kein Signal, auf das der Dienst reagieren kann. Der Leistungsumfang umfasst Erkennungen mit hohem Risiko und nicht jedes einzelne Ereignis; das reduziert zwar die Anzahl der Fehlalarme, bedeutet aber auch, dass Befunde mit geringer Schwere bei Ihrem eigenen Team verbleiben. Da WithSecure eher berät als eingreift, sinkt der Nutzen erheblich, wenn zum Zeitpunkt der Eskalation niemand erreichbar und zum Handeln befugt ist; daher ist die Bereitschaftsregelung eine Grundvoraussetzung und keine optionale Zusatzleistung. In den Unterlagen des Anbieters wurden keine Verfügbarkeitsbeschränkungen für bestimmte Länder festgestellt, und das „Detection and Response Team“ wird als in Europa tätig beschrieben, was relevant ist, wenn der Standort der Datenverarbeitung Teil Ihrer Beschaffungskriterien ist.

Häufig gestellte Fragen zum WithSecure Co-Monitoring Service

Kann der Service auf Zeiten außerhalb der Bürozeiten beschränkt werden?

Ja. WithSecure bietet die Überwachung entweder rund um die Uhr oder nur außerhalb der Bürozeiten an, sodass ein Team, das seine eigenen Erkennungen während der Arbeitszeit überwacht, eine Abdeckung nur für Abende, Nächte und Wochenenden erwerben kann.

Funktioniert der Service auch, wenn ein IT-Dienstleister unsere Umgebung verwaltet?

Ja. Bestätigte Angriffe werden entweder an den Partner, der die Umgebung verwaltet, oder an einen Bereitschaftskontakt beim Kunden eskaliert. Aus diesem Grund nutzen Dienstleister den Service, um ihre eigene Abdeckung zu erweitern, ohne eine Nachtschicht besetzen zu müssen.

Was passiert, wenn ein Vorfall den Rahmen des Dienstes sprengt?

Der Dienst kann erweitert werden, sodass ein Fall an die WithSecure-Incident-Response-Dienste übergeben wird. Diese Übergabe ist ein separater Auftrag, entweder im Rahmen eines Rahmenvertrags oder auf Abruf, und ist nicht in der Überwachung selbst enthalten.