WithSecure Client Triage Support – Bedrohungsvalidierung, Erkennungsprüfung

Was umfasst der „WithSecure Client Triage Support“?

Weiterleitung an WithSecure – Offizieller Eskalationsdienst, der über eine Elements EDR-Erkennung erreicht wird.
Bedrohungsvalidierung – Analysten bestätigen, ob es sich bei einer markierten Erkennung um einen echten Angriff handelt.
Bedrohungsuntersuchung – Eingehende Analyse von Angriffsmethoden, Netzwerkwegen und Zeitabläufen.
Anweisungen zur Reaktion – Schriftliche Empfehlungen zu Eindämmungs- und Behebungsmaßnahmen.
Ergebnisse in der Konsole – Die Ergebnisse werden direkt im Elements Security Center angezeigt.
Wichtig – Keine kontinuierliche Überwachung; Ihr eigenes Team überwacht weiterhin die Konsole.

Was sind die wichtigsten Vorteile des WithSecure Client Triage Support?

WithSecure Client Triage Support ist der Markenname für den On-Demand-Eskalationsdienst von WithSecure für Elements Endpoint Detection and Response, der zum Einsatz kommt, wenn eine Erkennung mehr Fachwissen erfordert, als das interne Team zur Verfügung hat. Der Dienst wird vollständig über das cloudbasierte Elements Security Center betrieben – dieselbe Konsole, die der Anbieter seit der Umbenennung von F-Secure Business verwendet.

Kein festes SOC – Die Expertenanalyse wird fallweise angefordert und nicht monatlich besetzt.
Zwei-Stunden-Ziel – Die Validierungsarbeiten beginnen umgehend nach Einreichung einer Anfrage.
Rund um die Uhr – Anfragen können das ganze Jahr über rund um die Uhr gestellt werden.
Schnellere Entscheidungen – Beendet interne Diskussionen darüber, ob ein Fund tatsächlich von Bedeutung ist.
Dokumentierte Ergebnisse – Schriftliche Analyse, die Sie einem Vorfallbericht beifügen können.
Fallbezogen – Expertenhilfe wird pro Fund angefordert und nicht kontinuierlich bereitgestellt.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum der integrierte Schutz zwar gängige Malware stoppt, gezielte Angriffe jedoch ohne Analyse bleiben.

Für welche Unternehmensgröße ist der WithSecure Client Triage Support geeignet?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob bereits jemand in Ihrem Unternehmen die EDR-Erkennungen überprüft. Dieser Service ergänzt die von Ihrem Team identifizierten Erkennungen um eine fachkundige Beurteilung; er erkennt diese nicht an Ihrer Stelle.

Erfüllt WithSecure Client Triage Support die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Kein einzelner Dienst erfüllt diese Anforderungen, und die Meldepflicht selbst gilt für weitaus weniger Unternehmen, als die meisten Käufer annehmen. Die durch das revidierte Informationssicherheitsgesetz eingeführte Meldepflicht gilt für Betreiber kritischer Infrastrukturen, die einen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden müssen. Dieser Dienst hilft bei dem Schritt, der innerhalb dieses Zeitfensters in der Regel am meisten Zeit kostet: die Bestätigung durch einen Analysten, ob es sich bei einer Erkennung um einen echten Angriff handelt, zusammen mit einer schriftlichen Darstellung der Methoden, Netzwerkwege und des zeitlichen Ablaufs, was dem Inhalt einer ersten Meldung sehr nahekommt. Was der Dienst jedoch nicht leistet, ist, den Vorfall überhaupt erst zu entdecken, die Konsole außerhalb Ihrer eigenen Arbeitszeiten zu überwachen oder in Ihrem Namen etwas beim BACS einzureichen, da jede Anfrage von Ihrem Team gestellt werden muss. Außerdem erstellt der Dienst über den Analysetext selbst hinaus keine dauerhafte Compliance-Dokumentation, sodass die Verpflichtung, festzustellen, ob Sie in den Geltungsbereich fallen, und fristgerecht Meldung zu erstatten, vollständig bei Ihnen liegt. Dies ist eine Beschreibung der Produktfunktionen und keine Rechtsberatung; lassen Sie Ihre eigenen Verpflichtungen von einem qualifizierten Rechtsbeistand prüfen.

Erfüllt WithSecure Client Triage Support die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt und keine Dienstleistung macht eine Organisation NIS-2-konform, da sich die Richtlinie auf die Verantwortung des Managements und die Prozesse und nicht auf die eingesetzten Tools bezieht. NIS 2 verlangt von den betroffenen Stellen, Maßnahmen in den Bereichen Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Datensicherung, Sicherheit der Lieferkette sowie Berichterstattung an die zuständige Behörde zu ergreifen. Dieser Dienst fällt ausschließlich unter eine dieser Kategorien: die Vorfallbearbeitung, insbesondere den Teil der Analyse und Klassifizierung. Er leistet keinen Beitrag zur Risikoanalyse, zur Kontinuitätsplanung, zur Datensicherung, zum Lieferantenmanagement oder zu den Governance- und Schulungspflichten, die die Richtlinie den Leitungsorganen auferlegt. Er generiert auch nicht die Meldung selbst, sodass die Meldekette unabhängig davon bestehen muss.

Hilft „WithSecure Client Triage Support“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und es lohnt sich, genau zu präzisieren, welche Felder er ausfüllt. Er beantwortet die Fragen, ob Sie Zugang zu spezialisierter Vorfallanalyse außerhalb Ihres eigenen Personals haben, ob dieser Zugang rund um die Uhr verfügbar ist und ob bestätigte Vorfälle von einem namentlich genannten Dritten dokumentiert werden, da die Analyse im Elements Security Center festgehalten und gespeichert wird. Es beantwortet jedoch nicht die unmittelbar darauf folgenden Fragen: ob Ihre Umgebung kontinuierlich überwacht wird, wie lange Ihre durchschnittliche Erkennungs- und Reaktionszeit beträgt, wie lange Sicherheitsprotokolle aufbewahrt werden, wie Backups und Wiederherstellung gehandhabt werden oder wie Patching, Verschlüsselung und Schwachstellenmanagement durchgeführt werden. Für diese Punkte ist entweder ein umfassenderes Elements-Abonnement erforderlich oder ein von Ihnen selbst vorgelegter organisatorischer Nachweis. Wenn ein Fragebogen in den Zeilen zu Überwachung und Reaktionszeit immer wieder durchfällt, ist der Wechsel zu einer verwalteten Stufe innerhalb derselben WithSecure-Familie in der Regel kostengünstiger und übersichtlicher als die Hinzunahme eines Überwachungsdienstes eines zweiten Anbieters neben einer Elements-Bereitstellung, da die Erkennungen, die Konsole und der Eskalationspfad an einem Ort verbleiben.

Was ist der Unterschied zwischen „Elevate to WithSecure“ und „WithSecure Elements Infinite“?

Der entscheidende Unterschied liegt darin, wer die Überwachung übernimmt. Bei diesem Service überwacht Ihr Team „Elements EDR“ und entscheidet, wann ein Fall weitergeleitet wird; bei „Elements Infinite“ überwacht das „Detection and Response“-Team von WithSecure die Umgebung kontinuierlich und eröffnet Fälle selbst. Dieser eine Unterschied bestimmt alles andere – einschließlich der Frage, ob um drei Uhr morgens jemand Ihre Konsole im Blick hat. Elements Infinite führt im Rahmen des Managed Service auch Eindämmungsmaßnahmen durch, während Sie hier Anleitung erhalten und die Reaktionsmaßnahmen selbst durchführen.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die wichtigste Einschränkung für Käufer aus der Schweiz und Europa ist die Sprache: „Elevate to WithSecure“ wird ausschließlich auf Englisch bereitgestellt, sodass der Austausch mit den Analysten während eines Vorfalls nicht auf Deutsch, Französisch oder Italienisch stattfindet. Es handelt sich um ein Add-on und kein eigenständiges Produkt, was bedeutet, dass es ohne eine aktive WithSecure Elements EDR-Bereitstellung im Hintergrund keinen Nutzen hat und für sich allein keinen Schutz bietet. Da die Eskalation von Ihrem Team ausgelöst wird, übernimmt der Dienst Ihre eigenen Lücken in der Abdeckung: Ein Angriff, der sich über ein Wochenende hinweg entwickelt, wird erst untersucht, wenn jemand die Konsole öffnet und die Anfrage stellt. Die Analyse beschränkt sich zudem auf die vom Elements EDR-Sensor erfassten Endpunkt-Telemetriedaten, sodass Aktivitäten, die nie einen überwachten Endpunkt berührt haben, unberücksichtigt bleiben. Der Folgekauf, zu dem dies meist führt, ist eine Managed-Monitoring-Stufe, sobald ein Käufer erkennt, dass eine schnelle Expertenanalyse nichts nützt, wenn niemand da ist, der sie anfordert.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt den Aspekt der Wiederherstellung nach einem Vorfall, den Erkennungs- und Analysedienste nicht abdecken.

Häufig gestellte Fragen zum WithSecure Client Triage Support

Handelt es sich hierbei um ein eigenständiges Sicherheitsprodukt?

Nein. Es handelt sich um einen Eskalationsdienst, der innerhalb von WithSecure Elements Endpoint Detection and Response genutzt wird und eine bestehende Elements-EDR-Bereitstellung voraussetzt. Für sich allein installiert er nichts und blockiert nichts.

Wie schnell nimmt ein Analyst die Arbeit auf?

WithSecure gibt als Ziel an, dass die Phase der Bedrohungsvalidierung innerhalb von zwei Stunden ab dem Zeitpunkt der Anfrage beginnt. Anfragen können jederzeit eingereicht werden, da der Dienst das ganze Jahr über rund um die Uhr verfügbar ist.

Wo werden die Ergebnisse angezeigt?

Die Ergebnisse werden im WithSecure Elements Security Center zurückgemeldet und der jeweiligen Erkennung zugeordnet, sodass die Analyse Teil des Falls bleibt und nicht als separater E-Mail-Thread eingeht.