Die 3 Säulen der modernen Endpoint Security - Future-X
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Die 3 Säulen der modernen Endpoint Security. Vorstellung eines sicheren, hybriden Arbeitsplatzes Die Pandemie hat die Art und Weise, Da Sicherheit für das digitale Geschäft Vom Chip bis zur Cloud betrachtet wie wir arbeiten, Geschäfte machen immer wichtiger wird, arbeiten IT- Microsoft Surface mit der und Kundenbedürfnisse erfüllen, und Sicherheitsteams enger denn je Unterstützung von Intel die sichersten grundlegend verändert. Heute zusammen, um Bedrohungen und verfügbaren Gerätefunktionen und verlangsamen sich die Kurven der Schwachstellen in der gesamten IT- entwickelt weiterhin Innovationen, um digitalen Akzeptanz nicht, sie Architektur proaktiv zu identifizieren. den sich ändernden Anforderungen beschleunigen sich. Fast alle (96 %) der Unternehmen in der Kunden gerecht zu werden. der 2021 Global Digital Trust Insights- Die Zunahme der Hybridarbeit Studie gaben an, dass sie planten, Moderner Endpunktschutz erfordert ihre Cybersicherheitsstrategie moderne Sicherheitsansätze, die erfordert, dass wir uns neue Fragen aufgrund der Pandemie anzupassen – einen mehrschichtigen Ansatz stellen, zum Beispiel, wie wir gegenüber 25 % im Vorjahr.2 verfolgen, von der Gerätefirmware bis sicherstellen können, dass unsere Mitarbeiter, Daten und Endpunkte zur Cloud – und über alle Phasen des langfristig sicher sind. Hybridarbeit Cybersicherheitsbedrohungen Lebenszyklus hinweg. Stellen Sie stellt für jedes Unternehmen einen entwickeln sich ständig weiter, und sicher, dass sich die Gerätesicherheit Sicherheit spielt eine immer von innen aus dem Endpunkt über die ganzheitlichen Wandel dar, der einen wichtigere Rolle bei unserer digitalen Bereitstellung, die erneute neuen Ansatz für die Geschäftsabwicklung. Unternehmen Bereitstellung, die Endpunktsicherheit erfordert. müssen Schwachstellen proaktiv Außerbetriebnahme und bis hin zu identifizieren und Risiken im allen Zugangspunkten zum Die digitale Transformation und der gesamten Unternehmen mindern. Die Endpunktgerät erstreckt. In diesem E- sich wandelnde Arbeitsplatz zeigen Zusammenarbeit an sicheren Book geben wir einen Überblick über zwei sich überschneidende Trends Endpunkt-Schutzstrategien für alle die drei Hauptsäulen, die eine auf: die Vielfalt und das Volumen von Gerätetypen – einschließlich moderne Endpunktstrategie bilden. Endpunktgeräten und die Desktops, Laptops, Tablets und Notwendigkeit, Daten und Systeme anderer Geräte, die Mitarbeiter überall zu schützen. Es überrascht verwenden – bedeutet, erweiterte daher nicht, dass mehr als die Hälfte Sicherheitslösungen, cloudbasierte der Befragten der CIO Pulse-Umfrage Bereitstellungs- und moderne von PwC die Verbesserung der Geräteverwaltungstools in Betracht zu Widerstandsfähigkeit in Bezug auf ziehen. Cybersicherheit und Datenschutz als oberste Priorität einschätzten.1 1 2020 CIO Pulse-Umfrage (Mai), PwC. SEITE 2 2 2021 Global Digital Trust Insights, PwC.
Die 3 Säulen der modernen Endpoint Security. Nr. 1: Endpunktsicherheit beginnt bei der Hardware IN ZAHLEN Moderne Windows-Geräte wie Die UEFI ist ein Mini-Betriebssystem, 5 Milliarden Microsoft Surface enthalten dessen Aufgabe es ist, das ausgereifte, fortschrittliche Hauptbetriebssystem zu laden. Die Hardware und Firmware, die zum UEFI auf den meisten mit Intel Schutz des Geräts entwickelt ausgestatteten Surface-PCs wird Anzahl der auf Geräten pro wurde. Diese Geräte verwenden von Microsoft proaktiv entwickelt Monat erkannten Bedrohungen.4 die hardwaregestützten und gewartet, um sicherzustellen, Sicherheitsfunktionen von dass Updates automatisch mit Intel®-Prozessoren, die direkt in Windows Update for Business das Silizium integriert sind, um veröffentlicht werden.3 Dadurch WICHTIGSTE SCHLUSSFOLGERUNGEN jede Schicht des Compute-Stacks werden wichtige Sicherheitsupdates zu schützen. Eine optimale nicht nur zeitnaher, sondern auch Sicherheitsstrategie nutzt einen wahrscheinlicher angewendet. Stellen Sie sicher, dass es vollständigen Chip-to-Cloud- für Ihre Endpunktgeräte Neben TPM und UEFI bieten Ansatz für die Endpunktsicherheit. integrierte, hardwarebasierte Sicherheitsüberlegungen Sicherheitsfunktionen eine sicherere auf Hardwareebene gibt, Die Rolle von TPM und UEFI verstehen Grundlage.3 Intel® Total Memory um einen zunehmend Encryption schützt Daten zusätzlich kritischen Schwachpunkt vor physischen Angriffen auf den Die beiden Gerätekomponenten, Speicher, wie etwa effizient zu mindern. die am stärksten relevant für Kaltstartangriffen. Sicherheit sind, sind das Trusted Platform Module (TPM) und die Unified Extensible Firmware Interface (UEFI). TPM ist ein Krypto-Prozessor, der sowohl gegen physische Manipulationen als auch gegen die Versuche bösartiger Software, ihn zu ändern oder zu stören, resistent ist. TPM kann kryptografische Schlüssel generieren, speichern und steuern. Außerdem werden Ihre Daten schnell und einfach verschlüsselt, sodass nur autorisierte Personen darauf zugreifen können. 3 Surface Go und Surface Go 2 verwenden eine UEFI eines Drittanbieters und unterstützen DFCI nicht. SEITE 3 DFCI ist derzeit für Surface Pro 7+, Surface Laptop Go, Surface Book 3, Surface Laptop 3, Surface Pro 7 und Surface Pro X verfügbar. Erfahren Sie mehr über das Verwalten der Surface UEFI-Einstellungen. 4 The evolution of Microsoft Threat Protection, Juni-Update, Microsoft Security Blog, 2019.
Die 3 Säulen der modernen Endpoint Security. Sicher starten auf Treiberebene, das WICHTIGSTE SCHLUSSFOLGERUNGEN verschlüsselte alternative NTFS- Beim Hochfahren eines PCs mit Datenströme zum Speichern UEFI und TPM wird der verwendet. Um dieser Bedrohung zu begegnen, verwenden mit Intel Fortschrittliche Malware, Bootloader auf eine digitale Signatur mit einem ausgestattete Surface-Geräte die ausgeführt wird, bevor vertrauenswürdigen Zertifikat aus einen Industriestandard namens das Betriebssystem startet, Measured Boot. Dies ist ein den im TPM gespeicherten ist eine echte Bedrohung Zertifikaten überprüft. Dieser Prozess, der vor dem Laden eines Vorgang wird als Sicherer Start Anti-Malware-Produkts und kann schwer zu bezeichnet und soll verhindern, ausgeführt werden kann, wodurch entfernen sein. Best dass nicht autorisierte Software zusätzliche Sicherheit geboten Practices und die neueste beim Booten ausgeführt wird. wird, dass der Startprozess nicht kompromittiert wurde. Außerdem Sicherheitstechnologie, Gerätehersteller laden das TPM hilft Intel® Boot Guard, die wie sie in Microsoft normalerweise mit ihren eigenen Umgebung vor dem Surface-Geräten mit Intel Betriebssystem weiter vor Viren Zertifikaten, dem des UEFI-Autors und Schadsoftwareangriffen zu zu finden sind, können und den von Microsoft bereitgestellten Zertifikaten. Auf schützen. Um zu verhindern, dass verhindern, dass das Gerät zertifizierten Windows-PCs muss eingepflanzte Malware das überhaupt erst infiziert Betriebssystem kompromittiert, Sicherer Start für die Zertifizierung wird. standardmäßig aktiviert sein. kann Intel OS Guard das Diese Maßnahmen bieten einen Betriebssystem daran hindern, wesentlichen Schutz vor Anwendungscode direkt Schadsoftware in der Startphase auszuführen. und vor Manipulationen mit Boot- IN ZAHLEN Software. Diese gefährlichen und meist unsichtbaren Exploits sind in der Realität nach wie vor weit verbreitet.5 450,2 Schutzmaßnahmen in der Startphase hören nicht an dieser Millionen Stelle auf, Angreifer können auch Gesamtlieferungen für PC-Geräte im Jahr 2020, versuchen, ein Gerät mit einschließlich Desktops, bösartiger Software zu Notebooks, Workstations kompromittieren, die so und Tablets.6 entwickelt wurde, dass sie in den frühen Phasen des Windows- Starts gestartet wird. Ein Beispiel dafür ist ZeroAccess, ein Windows-Rootkit 5 DarkReading, Oktober 2020. SEITE 4 6 TheSurge in PC Shipments Is Not Over with Solid Growth Expected During the Holiday Quarter and into 2021, According to IDC,“ IDC-Pressemitteilung, Dezember 2020.
Die 3 Säulen der modernen Endpoint Security. Wie wichtig es ist, auf Manager (SCCM) können Sie für ältere Endpunkte und Office dem neuesten Stand zu sein diesen Prozess verwalten und 365 als Ersatz für ältere gleichzeitig so schnell wie möglich Softwareversionen. Moderne Die Aktualisierung des Updates für die Benutzer abrufen. Geräte und Software werden Betriebssystems und der automatisch sicher und auf dem Anwendungssoftware ist ein Die gleichen Überlegungen neuesten Stand gehalten. wesentlicher Bestandteil jedes gut bedeuten, dass Sie alte und durchdachten Plans für die unsichere Produkte außer Betrieb Endpunktsicherheit. Mit Windows nehmen und durch moderne Update for Business und Microsoft Versionen ersetzen, z. B. Microsoft System Center Configuration Surface-Geräte als Ersatz SEITE 5
Die 3 Säulen der modernen Endpoint Security. Nr. 2: Stärkung der Zugangskontrolle Für die meisten Unternehmen ist Die klassischen Faktortypen sind: der primäre Schutz für Mitarbeitergeräte ein Kennwort. Längst ist jedoch klar, dass Kennwörter nicht die beste Etwas, das Sie kennen: Lösung für das Problem der In der Regel ein Kennwort. Authentifizierung sind und Angreifern leichte Einstiegspunkte bieten. Neue Technologien machen es möglich, dass Kennwörter selten oder gar nicht benötigt werden. Schließlich sollten Sie in der Lage Etwas, das Sie haben: sein, Kennwörter vollständig aus Dies kann ein digitales Ihrem Identitätsverzeichnis zu Zertifikat, eine Smartcard entfernen – wodurch erhebliche oder ein anderes Sicherheitslücken beseitigt Hardware-Token sein. werden. Die Authentifizierung ist stärker, wenn sie mehr als einen Authentifizierungsfaktor und insbesondere mehr als einen Etwas, das Sie sind: Faktortyp umfasst. Biometrische Daten, im Die mehrstufige Authentifizierung Allgemeinen ein reduziert das Risiko vieler Fingerabdruck oder eine Angriffsformen drastisch, Gesichtserkennung. einschließlich Phishing, einer gängigen Methode für Angreifer, um sich Zugang zu einem Netzwerk zu verschaffen. Eine Vielzahl anderer etablierter Methoden bietet eine starke Authentifizierung ohne die Einschränkungen von Kennwörtern. Dazu gehören Biometrie und Smartcards. SEITE 6
Die 3 Säulen der modernen Endpoint Security. Biometrische Authentifizierung – IN ZAHLEN 14 Milliarden USD eindeutig für jede Person Die Ausgereiftheit und Verfügbarkeit von biometrischen Wert des globalen Endpunktsicherheitsmarkts Authentifizierungsprodukten im Jahr 2020 mit einer prognostizierten nimmt immer mehr zu. Microsoft kumulierten jährlichen Wachstumsrate von Surface-Geräten, die mit Intel® 8,0 % für den Zeitraum 2021-2026.7 ausgestattet sind, umfassen Windows Hello for Business, das die Möglichkeit bietet, den WICHTIGSTE SCHLUSSFOLGERUNGEN Benutzer entweder mit biometrischen Daten oder mit Biometrische Daten sind einer PIN zu authentifizieren. eine starke Form der Diese Anmeldeinformationen sind an das Gerät gebunden und Authentifizierung. werden im TPM gespeichert. Die Vielleicht vergessen Sie Möglichkeit, entweder eine PIN einmal ein Kennwort oder oder biometrische Daten zu verwenden, bedeutet, dass Sie die verlieren ein Hardware- PIN verwenden können, wenn Sie Token, aber Ihr Gesicht die biometrischen Daten nicht haben Sie immer dabei. verwenden können (z. B. wenn Sie einen Verband an dem Finger haben, den Sie zur Fingerabdruckerkennung verwenden). Beachten Sie, dass Microsoft keine biometrischen Daten in der Cloud speichert. Um auf ein durch Windows Hello for Business geschütztes Gerät zuzugreifen, müssen Sie das Gerät und entweder die PIN oder die biometrischen Daten vorliegen haben. PINs sind in der Regel für jedes Gerät eindeutig, wodurch die Verwendung derselben PIN auf mehreren Geräten vermieden wird und der Schaden begrenzt wird, der durch eine kompromittierte PIN verursacht werden kann. 7 Endpoint Security Market – Growth, Trends, COVID-19 Impact and Forecasts (2021-2026), Mordor SEITE 7 Intelligence, 2020.
Die 3 Säulen der modernen Endpoint Security. IN ZAHLEN Smartcard- und Hardwaregeräte, die den CTAP- 51 % FIDO-Authentifizierung Standard (Client to Authenticator Protocols) zur Verbindung mit Die stärkste Form der „Etwas, das dem System über USB, und den Sie haben“-Authentifizierung ist Authentifizierungsstandard FIDO2 der Unternehmen geben an, ein kryptografisches Hardware- verwenden. FIDO-Standards („Fast dass sie beim Aufdecken von Token. Diese kostengünstigen Identity Online“) werden von der Bedrohungen ineffektiv sind, Geräte enthalten Krypto- FIDO Alliance definiert, einem weil ihre Lösungen für Prozessoren, die Daten mit einem Branchenverband, dessen Mission Endpunktsicherheit bei der sicheren privaten Schlüssel digital es ist, Authentifizierungsstandards Erkennung fortgeschrittener signieren. Der Schlüssel wird dann als sicherere Alternative zu Angriffe nicht effektiv sind.8 vom System mit dem Kennwörtern zu entwickeln. entsprechenden öffentlichen WICHTIGSTE SCHLUSSFOLGERUNGEN Schlüssel validiert. Ein Laptop Viele Unternehmen liefern FIDO- oder ein anderes auf diese Weise zertifizierte Produkte. Einige von FIDO-Geräte erfordern geschütztes Gerät kann ohne das ihnen verfügen über einen zwar, dass der Benutzer Hardware-Token nicht verwendet Fingerabdruckleser und werden. Bei diesem Ansatz das Gerät vorliegen hat, ermöglichen so die einfache müssen Sie sich keine Sorgen Authentifizierung mit „Etwas, das aber sie sind der machen, wenn ein Laptop mit Sie sind“ und mit „Etwas, das Sie Vorreiter in Sachen unverschlüsselten Daten verloren haben“. Surface-Geräte mit Intel, kostengünstige geht oder gestohlen wird. Windows Hello und Windows Hello for Business sind als Authentifizierung. Es ist möglich, ein digitales FIDO2-kompatibel zertifiziert. Zertifikat, das auf einem tragbaren Gerät, wie einem USB-Schlüssel, gespeichert ist, als Authentifizierungsfaktor zu verwenden, aber der Stand der Technik in diesem Bereich sind kleine 8 Third Annual Study on the State of Endpoint Security Risk, Ponemon Institute, Januar 2020. SEITE 8
Die 3 Säulen der modernen Endpoint Security. Nr. 3: Verwalten des Endpunktlebenszyklus Die Endpunktsicherheit ist während IN ZAHLEN 8,96 Mio. USD des gesamten Gerätelebenszyklus von der Bereitstellung bis zur Außerbetriebnahme ein Thema. Die Bereitstellung und Verwaltung von Durchschnittliche Kosten eines Hardwaregeräten erforderte früher, erfolgreichen Angriffs auf Endpunkte dass die IT Systemabbilder für jeden aufgrund von Verlust der IT- und unterstützten Gerätetyp entwickelt Endbenutzerproduktivität und Diebstahl und verwaltet. Dann musste für von Informationsressourcen.8 jedes einzelne System ein Techniker im Haus oder beim Gerätehersteller WICHTIGSTE SCHLUSSFOLGERUNGEN die Festplatte löschen und das richtige Betriebssystem-Image Die Wartung von darauf anwenden, bevor es an den Systemabbildern ist, unabhängig Benutzer gesendet wurde, um von Sicherheitsbedenken, eine sicherzustellen, dass die genehmigte Software und Richtlinien festgelegt Belastung für die IT. Die wurden. cloudbasierte Bereitstellung beschleunigt den Prozess und Bereitstellen von Geräten von verbessert gleichzeitig die überall Gerätesicherheit. Intelligente Clouddienste machen diesen zeitaufwendigen Schritt überflüssig. Windows Autopilot automatisiert beispielsweise alle Phasen des Gerätelebenszyklus für IT und Benutzer. Das Gerät wird direkt vom Hersteller an den Kunden versendet. Der Sicherheitsprozess beginnt mit dem Kauf des Geräts und der Hardwarehersteller sendet eine Datei mit den Hardware-IDs des neuen Geräts. Die IT lädt diese IDs mithilfe eines Active Directory- Administratorkontos in den Windows Autopilot- Bereitstellungsdienst hoch und beansprucht das Eigentum an diesen Geräten für die Organisation. Bereitstellungsprofile werden in Autopilot erstellt und den Geräten zugewiesen. 8 Third Annual Study on the State of Endpoint Security Risk, Ponemon Institute, Januar 2020. SEITE 9
Die 3 Säulen der modernen Endpoint Security. Schnelle und einfache Einrichtung Mit Microsoft Intune kann die IT auch ein Gerät bereinigen, Die Einrichtung beginnt, wenn der entweder weil es verloren ging Benutzer das Gerät erhält und eine oder gestohlen wurde, oder um Verbindung zum Internet herstellt. es einem anderen Benutzer Windows Autopilot erkennt, dass zuzuweisen. Nach dem Löschen das Gerät zu Ihrer Organisation wird es auf die Out-of-Box- gehört und liefert die dafür erstellte Experience zurückgesetzt. An Setuperfahrung. diesem Punkt sind wieder die richtigen Anmeldeinformationen Zu diesem Zeitpunkt ist das Gerät für die Einrichtung erforderlich. mit Microsoft Intune für die Verwaltung eingerichtet. Intune WICHTIGSTE SCHLUSSFOLGERUNGEN beginnt damit, Richtlinien und Software auf das Gerät zu übertragen. Viele der typischen Alle Phasen des Fragen, etwa zur Konfiguration und Produktlebenszyklus bieten Registrierung, werden umgangen, Möglichkeiten zur Stärkung weil das Bereitstellungsprofil sie bereits beantwortet hat. Mit nur der Endgerätesicherheit. wenigen Klicks ist das Gerät Die besten Tools wie einsatzbereit, und viele der üblichen Windows Autopilot und Angriffsmöglichkeiten auf das SEMM, die in mit Intel System wurden umgangen. ausgestatteten Microsoft Optimierte Sicherheit mit Surface-PCs enthalten sind, Einrichtung ermöglichen es der IT, robuste Sicherheitspraktiken Wenn es die Hardware zulässt, kann die IT, wie bei mit Intel® in jeder Phase zu ausgestatteten Microsoft Surface- automatisieren. PCs, einzelne Funktionen im Rahmen des Setups aktivieren oder deaktivieren. Dazu gehören die Kameras, die Micro-SD-Karte, Bluetooth, 4G LTE, ob der Computer von einem USB-Gerät booten kann usw. Bei Microsoft Surface-Geräten wird diese Funktion als Surface Enterprise Management Mode (SEMM) bezeichnet. Dieser Ansatz minimiert die Auswirkungen von Remotezugriff-Trojanern und anderen Methoden, die es Angreifern ermöglichen, die Kontrolle über Gerätekomponenten zu übernehmen. SEITE 1 0
Die 3 Säulen der modernen Endpoint Security. Finden Sie Ihren Weg nach vorne Die IT-Branche hat auf talentiertesten und solche Kontrolle umgesetzt werden, schmerzhafte Art und Weise einfallsreichsten Hacker können ohne dass die Fähigkeit der gelernt, dass es keinen Ersatz für besiegt werden. Hierfür müssen Benutzer eingeschränkt werden Defense-in-Depth gibt. Die wir ihnen bei jedem Schritt muss, ihre Arbeit zu erledigen. Implementierung Hindernisse in den Weg legen. Mit Intel ausgestattete hardwarebasierter Sicherheit ist Microsoft Surface-PCs und eine weithin anerkannte Best Am Endpunkt tun Sie dies, indem Verwaltungssysteme wie Windows Practice, um rein softwarebasierte Sie das Gerät von Beginn des Autopilot sind Beispiele für den Ansätze zu erweitern. Es darf Lebenszyklus an sorgfältig Stand der Technik bei solchen nichts geben, was schiefgehen verwalten, vom Benutzer nicht Technologien. kann, wodurch es zur benötigte Berechtigungen Kompromittierung eines Systems entfernen, Updates auf allen Nichts, was mit dem Internet oder wichtiger Daten kommen Softwareebenen umgehend verbunden ist, ist unangreifbar, aber könnte. Besser noch, es darf auf anwenden und Daten sowohl moderne Tools und Best Practices keinen Fall mehrere Dinge geben, während der Übertragung als ermöglichen es Unternehmen jeder die schiefgehen können. auch im Ruhezustand Größe, ein hohes Maß an Schutz verschlüsseln. sowohl vor ausgeklügelten Selbst die sichersten Angreifern als auch vor Unternehmen können angegriffen Mit modernen Endpunktsystemen Benutzerfehlern bereitzustellen. werden, aber auch die und der Software zu deren Verwaltung kann eine SEITE 1 1
Die 3 Säulen der modernen Endpoint Security. Stellen Sie sich diese Fragen • Wird der Dieb daran gehindert, Als autorisierter Microsoft ein neues Betriebssystem von Surface-Handelspartner bieten • Sind Ihre aktuellen einem USB-Laufwerk zu booten? wir eine Reihe von Geräten, Sicherheitsvorkehrungen • Werden Angreifer daran Dienstleistungen und Support ausreichend? gehindert, in die UEFI- an, die Ihnen bei der • Verfügen Ihre Geräte über Einstellungen zu gehen und sie Implementierung von Surface in hardwaregestützte zu ändern? Ihrem Unternehmen helfen. Von Sicherheitsfunktionen? der Finanzierung über die • Sind die Festplatten Ihrer Machen Sie den nächsten Schritt Bereitstellung bis hin zum Laptops auf Geräteebene mit technischen Support nach Schlüsseln im TPM Vom Chip bis zur Cloud bieten dem Verkauf und verschlüsselt? Microsoft Surface-PCs mit Intel- Endbenutzerschulungen – • Sind für die Anmeldung am Prozessoren integrierten Schutz auf wenden Sie sich an uns, um eine Gerät mehrere Faktoren jeder Ebene. Sie können sicher sein, Lösung zu finden, die erforderlich? dass Sie die beste und optimale Ihren Geschäftsanforderungen Implementierung von Sicherheit auf entspricht. jeder Ebene des Compute-Stacks haben. Kontakt: [Reseller contact info] Partner-Logo hier einfügen SEITE 1 2
© 2021 Microsoft Corporation. Alle Rechte vorbehalten. Dieses Dokument wird „wie besehen“ bereitgestellt. Die Informationen und geäußerten Ansichten in diesem Dokument, einschließlich URLs und anderer Verweise auf Internetwebsites, können ohne vorherige Ankündigung geändert werden. Das Nutzungsrisiko liegt bei Ihnen. Dieses Dokument gewährt Ihnen keinerlei Rechte am geistigen Eigentum eines Microsoft-Produkts. Sie können dieses Dokument zu internen Referenzzwecken kopieren und verwenden.
Sie können auch lesen