Mit seiner Microsoft Defender for Endpoint-LösungMicrosoft testet eine Funktion zur automatischen Endpunktisolierung. Wenn eine Workstation mit einem hohen Maß an Vertrauen als kompromittiert gilt, wird sie sofort vom Netzwerk getrennt, um eine Ausbreitung des Angreifers zu verhindern.
Das Prinzip dieser automatischen Isolierung
Die neue Funktion fügt sich in den breiteren Rahmen der automatischen Angriffsunterbrechung ein. Das System reagiert nicht nur auf eine einzelne Warnung, sondern analysiert Millionen von Signalen, um einen laufenden Angriff mit hoher Sicherheit zu erkennen.
Sobald ein Vorfall bestätigt wird, beispielsweise eine Ransomware-Verbreitung, wird die Isolierung ohne menschliches Eingreifen ausgelöst. Das Gerät ist dann von den meisten Netzwerkkommunikationen abgeschnitten und blockiert so jede seitliche Bewegung des Angreifers.
Der isolierte Endpunkt unterhält eine sichere Verbindung mit Microsoft Defender für Endpunkt-Diensten. Dadurch können Sicherheitsanalysten das Gerät weiterhin überwachen, Daten sammeln und die Remote-Behebung vorbereiten, während sie gleichzeitig die Bedrohung eindämmen.
Grenzen und Garantien für dieses System
Derzeit befindet sich diese Funktion in der Vorschau und gilt nur für Endbenutzer-Desktops, die von Microsoft Defender für Endpunkt verwaltet werden. Nicht verwaltete Server und Geräte sind noch nicht betroffen.
Microsoft hat außerdem mehrere Sicherheitsvorkehrungen getroffen, um vorzeitige Blockaden und Betriebsunterbrechungen zu vermeiden. Die Isolation ist beispielsweise zeitlich begrenzt und kann jederzeit manuell von einem Administrator über das Microsoft Defender-Portal aufgehoben werden.
Unternehmen können auch Ausschlussregeln konfigurieren für kritische Maschinen, damit diese nicht unerwartet getrennt werden.
