WithSecure Elevate Package (2/1) – Bedrohungsanalyse, Reaktion auf Vorfälle, EDR-Add-on

Was ist im WithSecure Elevate-Paket (2/1) enthalten?

Elements EDR-Add-on – Erfordert ein aktives WithSecure Elements EDR-Abonnement.
Zwei Validierungstoken – Analysten bestätigen, ob es sich bei einer Erkennung um eine echte Bedrohung handelt.
Ein Untersuchungstoken – Eingehendere Analyse mit Angriffszeitleiste und Empfehlungen zur Eindämmung.
Rund-um-die-Uhr-Zugang zu Analysten – Die Validierung beginnt innerhalb von zwei Stunden nach der Anfrage.
Konsolenbasierter Workflow – Eskalationen und Ergebnisse verbleiben im Elements Security Center.
Wichtig – Keine kontinuierliche Überwachung; Sie eskalieren Erkennungen selbst.

Was sind die Hauptvorteile des WithSecure Elevate-Pakets (2/1)?

WithSecure Elevate ist ein On-Demand-Experten-Service, den der Administrator von Elements EDR über das Elements Security Center auslöst, wenn eine „Broad Context Detection“ nicht eindeutig ist. WithSecure ist der ehemalige F-Secure Business-Bereich, und das Modul, an das dieser Service gekoppelt ist, wurde zuvor als „Elements Endpoint Detection and Response“ vertrieben, bevor es in „Elements Endpoint Security“ integriert wurde.

Fachwissen auf Abruf – Kaufen Sie Analystenzeit nur dann, wenn ein Fund unklar ist.
Schnellere Triage – Analysten sortieren Erkennungen in echte, verdächtige oder Fehlalarme.
Dokumentierte Ergebnisse – Eine schriftliche Zusammenfassung, die Sie dem Management oder einem Prüfer vorlegen können.
Historischer Kontext – Telemetriedaten der letzten sieben Tage fließen in jede Bedrohungsüberprüfung ein.
Keine Bereitstellung erforderlich – Es sind weder ein separates Installationsprogramm noch ein Agent oder ein Portal erforderlich.
Klarer Eskalationspfad – Analysten geben an, wann eine umfassende Incident-Response erforderlich wird.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der integrierte Windows-Schutz an seine Grenzen stößt und warum Erkennung, Untersuchung und Reaktion getrennte Disziplinen sind.

Für welche Unternehmensgröße eignet sich das WithSecure Elevate-Paket (2/1)?

Elevate eignet sich für Unternehmen, die Elements EDR bereits selbst einsetzen, aber keinen dedizierten Sicherheitsanalysten beschäftigen. Ein Unternehmen mit eigenem Security Operations Center benötigt selten zugekaufte Validierungstoken, während ein Unternehmen ohne EDR den Dienst überhaupt nicht nutzen kann, da es keine Erkennungen gibt, die es zu eskalieren gilt.

Erfüllt das WithSecure Elevate-Paket (2/1) die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen wie Energie- und Trinkwasserversorgung, Transportunternehmen sowie kantonale und kommunale Verwaltungen, nicht jedoch für jedes Schweizer Unternehmen. Diese Organisationen müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden und können die Meldung innerhalb weiterer 14 Tage vervollständigen. Der Bericht muss die Art des Angriffs, dessen Auswirkungen und die bereits ergriffenen Gegenmassnahmen beschreiben – und genau hier hilft eine „Threat Validation“: Sie stellt schnell fest, ob es sich bei einer unklaren Erkennung überhaupt um einen echten Angriff handelt, was in der Praxis die Entscheidung ist, die die Frist in Gang setzt. Eine „Threat Investigation“ geht noch einen Schritt weiter und liefert eine schriftliche Rekonstruktion des zeitlichen Ablaufs des Angriffs, die dem Bericht beigefügt oder den Behörden übergeben werden kann. Was Elevate nicht tut, ist, den Angriff überhaupt zu erkennen – das ist die Aufgabe von Elements EDR –, den Bericht in Ihrem Namen einzureichen oder Ihre Konsole über Nacht zu überwachen; daher bleibt eine unbemerkte Erkennung weiterhin eine nicht gemeldete Erkennung. Dieser Text enthält allgemeine Produktinformationen und stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Rechtsberater geklärt werden.

Erfüllt das WithSecure Elevate-Paket (2/1) die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die Einhaltung der NIS-2-Richtlinie, da sich die Richtlinie auf organisatorische Maßnahmen, Governance und Rechenschaftspflicht bezieht und nicht auf eine einzelne Software. NIS 2 verlangt von wesentlichen und wichtigen Stellen die Umsetzung von Maßnahmen in Kategorien wie Vorfallbearbeitung, Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette sowie den Einsatz von Kryptografie. Elevate leistet einen Beitrag zu genau einer dieser Kategorien, nämlich der Vorfallbearbeitung, indem es eine qualifizierte manuelle Analyse der Endpunktdetektion sowie ein dokumentiertes Untersuchungsergebnis liefert, das als Nachweis für einen strukturierten Prozess dienen kann. Es leistet keinen Beitrag zur Geschäftskontinuität, zur Datensicherung, zur Kryptografie oder zur Bewertung der Lieferkette und erstellt oder übermittelt keine Vorfallmeldungen. Es bietet auch keine kontinuierliche Überwachung, sodass eine Organisation, die sich ausschließlich auf Elevate verlässt, weiterhin keine Gewissheit hat, dass eine Erkennung außerhalb der Arbeitszeiten rechtzeitig bemerkt wird.

Hilft das WithSecure Elevate-Paket (2/1) bei Sicherheitsfragebögen großer Kunden?

Teilweise, und es lohnt sich, genau zu wissen, welche Felder es ausfüllt. Damit können Sie Fragen zur dokumentierten Vorfallanalyse, zum Zugang zu spezialisierter Sicherheitskompetenz außerhalb Ihrer eigenen Belegschaft und zur Verfügbarkeit dieser Kompetenz rund um die Uhr mit „Ja“ beantworten, und die Analystenberichte liefern Ihnen konkrete Belege, die Sie vorlegen können, anstatt nur Behauptungen aufstellen zu müssen. Was die Aufbewahrungsfristen betrifft, so werden die Elements-EDR-Ereignisdaten während der Vertragslaufzeit rollierend ein Jahr lang aufbewahrt und manuell erfasste Daten drei Monate lang – was die häufig gestellte Frage beantwortet, wie weit zurück eine Untersuchung reichen kann. Sie können jedoch nicht mit „Ja“ antworten, wenn es um eine kontinuierliche 24/7-Überwachung Ihrer Umgebung, um ein benanntes Security Operations Center, um einen Incident-Response-Vertrag mit garantierter Reaktionszeit oder um die Durchführung regelmäßiger Incident-Response-Übungen geht, da es sich dabei um separate WithSecure-Dienste handelt. Wenn Sie bei einem Kundenfragebogen in diesen Punkten durchfallen, ist es in der Regel kostengünstiger, innerhalb derselben Produktfamilie auf den Co-Monitoring-Service oder Elements MDR für die Überwachung sowie auf einen Incident-Response-Vertrag für garantierte Reaktionszeiten umzusteigen, anstatt einen zweiten Anbieter und eine zweite Konsole in Ihre Infrastruktur aufzunehmen.

Was ist der Unterschied zwischen WithSecure Elevate (1/0) und dem Elevate-Paket (2/1)?

Der entscheidende Unterschied besteht darin, dass das (2/1)-Paket ein Investigation Token enthält, das (1/0)-Paket hingegen nicht. Ohne ein Investigation Token können Sie eine Erkennung validieren lassen, d. h., ein Analyst teilt Ihnen mit, ob es sich um eine echte Bedrohung, eine verdächtige Aktivität oder einen Fehlalarm handelt; Sie können jedoch nicht die tiefergehende Phase anfordern, in der der Ablauf des Angriffs rekonstruiert und Maßnahmen zur Eindämmung vorgeschlagen werden. Das spielt auch in einer zweiten, weniger offensichtlichen Situation eine Rolle: Wenn die Erkennung, die Sie eskalieren möchten, älter als sieben Tage ist, verbraucht sie direkt ein Investigation-Token, sodass ein (1/0)-Paket ältere Erkennungen überhaupt nicht bearbeiten kann. Das (2/1)-Paket bietet Ihnen zudem zwei statt nur einer Validierung, was in der Praxis bedeutet, dass Sie bei einer zweiten unklaren Erkennung im späteren Verlauf des Abonnements nicht mit leeren Händen dastehen.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der Dienst wird ausschließlich auf Englisch bereitgestellt. Dies ist die wichtigste Einschränkung für Käufer in der Schweiz, in Deutschland, Frankreich und Italien, da der Dialog mit den Analysten und der schriftliche Untersuchungsbericht nicht in Ihrer Landessprache verfasst sind, obwohl die Elements-Konsole selbst lokalisiert ist. Elevate ist von Grund auf reaktiv ausgelegt: Niemand bei WithSecure überwacht Ihre Konsole, sodass jemand in Ihrem Unternehmen die Erkennung bemerken und den Knopf drücken muss – eine am Montagmorgen entdeckte Erkennung blieb somit das ganze Wochenende unbeaufsichtigt. Die Analysten geben Anleitungen und konkrete Anweisungen, sie melden sich jedoch nicht an und beheben das Problem nicht für Sie. Erreicht der Fall die Schwelle für einen schwerwiegenden Vorfall – was mehr als fünf infizierte Geräte, eine kompromittierte geschäftskritische Ressource oder ein kompromittiertes Gerät ohne EDR-Abdeckung umfasst –, empfehlen sie einen separaten Incident-Response-Einsatz, der nicht Teil dieses Pakets ist. Token werden pro Fall verbraucht und nicht genutzte Token verfallen am Ende des Abonnementzeitraums; ein ereignisloses Jahr bedeutet also nicht übertragbares Guthaben, sondern ungenutzte Token. Schließlich ist die Angabe von zwei Stunden ein Zielwert für den Beginn der Validierung und keine vertragliche Reaktionsgarantie – was wichtig ist, wenn Sie eine SLA-gestützte Verpflichtung gegenüber einem Kunden oder einem Prüfer benötigen.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Erläutert, warum Analyse und Beratung allein den Betrieb nicht wiederherstellen können und wie eine funktionierende Wiederherstellungsebene aussehen muss.

Häufig gestellte Fragen zum WithSecure Elevate-Paket (2/1)

Erfordert WithSecure Elevate eine eigene Installation?

Nein. Es gibt kein separates Elevate-Installationsprogramm und keinen eigenen Agenten. Sobald der Elements-Agent bereitgestellt und das EDR-Modul aktiv ist, erscheint die Schaltfläche „Elevate“ unter „Broad Context Detections“ im Elements Security Center, und der Token-Stand ist in der Abonnementansicht sichtbar.

Wie weit kann ein Analyst bei der Untersuchung einer Erkennung zurückblicken?

Eine „Threat Validation“ stützt sich auf Telemetriedaten, die in den letzten sieben Tagen aus Ihrer Infrastruktur erfasst wurden. Die zugrunde liegenden Elements-EDR-Ereignisdaten werden während der Laufzeit des Vertrags rollierend ein Jahr lang aufbewahrt, manuell erfasste Daten drei Monate lang. Dadurch kann eine „Threat Investigation“ eine längere Abfolge von Ereignissen rekonstruieren.

Ist „Elevate“ dasselbe wie „Managed Detection and Response“?

Nein, und die Verwechslung dieser beiden Begriffe ist der häufigste Fehler im Zusammenhang mit diesem Produkt. Elevate geht davon aus, dass Sie Ihr eigenes EDR-System betreiben und bei einzelnen schwierigen Fällen auf die Unterstützung durch Experten zurückgreifen möchten, während bei „Managed Detection and Response“ die Überwachung, Erkennung und Reaktion vollständig an WithSecure übertragen wird. Wenn bei Ihnen abends und am Wochenende niemand die Konsole im Blick hat, ist Elevate die falsche Lösung für dieses Problem.