Zum Hauptinhalt springen
Ausnahmen sind eine sehr leistungsfähige Funktion und können bei richtiger Anwendung Ihre Fehlalarmrate auf null senken. Falsch eingesetzt können sie jedoch wichtige, kritische Detektionen unterdrücken. Ask Wirespeed entwirft für Sie die engste sichere Regel, und das Wirespeed-Team hilft Ihnen jederzeit, Ausnahmen vor dem Einsatz zu überprüfen.
Eine Ausnahme schließt eine Detektion, die ihrer Abfrage entspricht, automatisch. Abfragen folgen einem einfachen property=value-Format, kombinieren Ausdrücke mit AND oder OR, und Sie können Gruppen von Bedingungen in Klammern setzen, um die Rangfolge zu steuern. Ein einfaches Beispiel ist category=IDENTITY__LOGIN AND prevented=true. Damit werden Anmeldefälle automatisch geschlossen, die bereits vom Quellsystem verhindert wurden.

​
Mit Ask Wirespeed erstellen

Um eine Ausnahme zu erstellen, verwenden Sie den Skill /exclusion und lassen Sie Ask Wirespeed den Entwurf für Sie erstellen. Überall, wo Sie eine Ausnahme erstellen können – Einstellungen → Ausnahmen, in einem Fall, einer Detektion oder einem Asset –, finden Sie die Schaltfläche Mit Ask Wirespeed erstellen (oder Ask Wirespeed). Sie öffnet den Chat mit bereits geladenem Ausnahme-Workflow und vorausgefülltem relevantem Kontext. Beschreiben Sie in einfachen Worten, wofür Sie keine Warnungen mehr erhalten möchten. Der Agent geht dann wie folgt vor:
  • Er liest die tatsächlichen Belege. Er prüft den ausgewählten Fall oder die ausgewählte Detektion und erstellt die Abfrage ausschließlich aus Feldwerten, die dort tatsächlich vorkommen – niemals mit erfundenen E-Mail-Adressen, Hosts, IPs, Hashes oder Standorten.
  • Er beschränkt sich auf die engste sichere Regel. Er bevorzugt mehrere unabhängige, mit AND verknüpfte Bedingungen (exakte Kategorie, bestimmtes Konto, Endgerät, Netzwerk/Standort, Prozessbefehl oder Datei-Hash), damit die Regel Ihr beabsichtigtes harmloses Muster erfasst, ohne bestätigte Treffer zu verbergen.
  • Er berücksichtigt den Zeitraum. Er entscheidet, ob die Aktivität zeitlich begrenzt ist (ein Penetrationstest, eine Reise, ein Wartungs- oder Migrationsfenster) oder ein fortlaufendes Muster darstellt, und legt eine passende TTL fest, damit temporäre Freigaben von selbst ablaufen.
  • Er fragt nach, wenn er unsicher ist. Wenn Umfang oder Dauer unklar sind – oder wenn Sie etwas Breiteres anfordern, als die Belege stützen –, stellt er eine gezielte Frage (oft mit auswählbaren Optionen), statt zu raten.
  • Er legt einen Entwurf zur Bestätigung vor. Nichts wird gespeichert, bevor Sie bestätigen. Sie sehen den vorgeschlagenen Namen, die Abfrage, die Beschreibung und die TTL. Wenn Sie die Regel enger oder breiter fassen möchten, sagen Sie es einfach, und er erstellt einen neuen Entwurf.
Ask Wirespeed lehnt eine Anfrage nicht grundsätzlich ab – auch nicht bei Dual-Use-Werkzeugen wie Fernverwaltungssoftware oder PowerShell. Stattdessen grenzt es den Umfang ein (zum Beispiel auf einen exakten Hash oder einen exakten Befehl plus Kategorie und Akteur) und fragt nach allem, was noch fehlt.

​
Eine Ausnahme bearbeiten

Nachdem eine Ausnahme erstellt wurde, können Sie sie weiterhin unter Einstellungen → Ausnahmen bearbeiten – einschließlich der Rohabfrage, der TTL und der Einstellungen. Da Sie dort die Abfrage direkt bearbeiten, dokumentiert der Rest dieser Seite die Abfragesyntax, damit Sie das Ergebnis des Agenten lesen, prüfen und anpassen können.

​
Abfrageformat

​
Beispiele für das Format von Detektionsabfragen

  • property=value
  • property.sub=value
  • property=value AND property=value
  • property=value OR property=value
  • (property=value AND property=value) OR property=value
Sind das genug property=values für Sie?

​
Operatoren

​
Eigenschaftswerte

Sie erhalten ein JSON-Dokument mit den Eigenschaftswerten, die Sie abfragen können. Dies sind Werte aus Ihrer Detektion und allen zugehörigen Assets. Bei der Eingabe in die Suche werden Eigenschaftsnamen automatisch vervollständigt.

​
Arrays

Arrays werden abgeflacht und können mit den speziellen @-Operatoren abgefragt werden.
Achten Sie genau darauf, welchen Array-Operator Sie verwenden. Wenn Sie beispielsweise den Operator „einige Array-Werte gleich“ (@~=) verwenden, werden automatisch alle Fälle geschlossen, die mindestens einen Treffer enthalten, auch wenn andere Werte im Array nicht übereinstimmen. Stellen Sie sicher, dass dies beabsichtigt ist.
Datumsangaben müssen im Format ISO 8601 angegeben werden

E-Mail-Adressen, CIDR-Bereiche und Zeichenfolgen mit Leerzeichen müssen in Anführungszeichen gesetzt werden

Doppelt verschachtelte Objekt-Arrays (zum Beispiel indicators.observables.type) werden für den Vergleich auf ihre Blattwerte abgeflacht – Treffer werden über mehrere Klauseln hinweg nicht demselben übergeordneten Objekt zugeordnet

Enthält eine Zeichenfolge Anführungszeichen, werden diese beim Vergleich entfernt

Backslashes in Zeichenfolgen werden in der Benutzeroberfläche doppelt maskiert angezeigt; Sie müssen nur eine Maskierung angeben, wenn Sie sich auf sie beziehen

​
Einstellungen

Ausnahmen können deaktiviert werden und werden dann erst wieder verwendet, wenn sie erneut aktiviert werden. Sobald eine Ausnahme dazu geführt hat, dass eine Detektion automatisch geschlossen wurde, kann sie nicht mehr gelöscht, sondern nur noch deaktiviert werden. Wenn Sie möchten, dass eine Ausnahme aus Ihrem Audit-Protokoll entfernt und gelöscht wird, eröffnen Sie bitte ein Support-Ticket.

​
TTL

Sie können für eine Ausnahme eine TTL festlegen. Dadurch wird die Ausnahme nach Ablauf der angegebenen Zeit automatisch deaktiviert. Wenn Ask Wirespeed eine zeitlich begrenzte Aktivität erkennt, setzt es die TTL auf das kürzeste Zeitfenster, das diese abdeckt, sodass die Regel abläuft, ohne dass Sie an das Entfernen denken müssen.

​
Rollierende TTLs

Rollierende TTLs setzen ihren Timer jedes Mal zurück, wenn die Ausnahme auf eine Detektion zutrifft. So bleiben häufige Muster in Ihrer Umgebung ausgenommen, solange sie regelmäßig auftreten. Tritt das Muster nicht mehr auf, läuft die TTL irgendwann ab, und künftige Vorkommen werden nicht mehr ausgenommen. Ask Wirespeed verwendet eine rollierende TTL nur für ein fortlaufendes Muster und eine feste (nicht rollierende) TTL für ein einmaliges Zeitfenster wie einen Penetrationstest.

​
Aktualisierungen des Quellsystems unterdrücken

Wenn Wirespeed eine Detektion automatisch schließt, weil sie einer Ausnahme entsprach, synchronisieren wir dieses Ergebnis standardmäßig auch mit der Integration (zum Beispiel durch Schließen oder Aktualisieren der Warnung in der Herstellerkonsole). Sie können für eine Ausnahme Aktualisierungen des Quellsystems unterdrücken aktivieren, um diese ausgehende Synchronisierung für Detektionen zu stoppen, die von dieser Regel erfasst werden. Verwenden Sie dies, wenn Sie Detektionen nur innerhalb von Wirespeed stummschalten oder automatisch schließen möchten, ohne zu ändern, wie die Warnung im Quellprodukt angezeigt oder behandelt wird.

​
Beispiele und Abwägungen

Ausnahmen können Fehlalarme reduzieren, gehen aber unter Umständen mit dem Nachteil einher, dass bestätigte Treffer ignoriert werden. Dadurch setzen Sie Ihre Organisation Risiken aus, die Wirespeed daran hindern, Sie zu schützen. Ask Wirespeed berücksichtigt dieselben Abwägungen wie unten beschrieben und wählt standardmäßig die engste Version einer Regel – die Beispiele hier erläutern die Überlegungen dahinter, damit Sie einen Entwurf prüfen oder eine Abfrage mit Zuversicht bearbeiten können.

​
Umgang mit sicheren ausführbaren Dateien

Sie können Ausnahmen verwenden, um Eskalationen oder Behebungsmaßnahmen für bekanntermaßen unbedenkliche Anwendungen zu verhindern. Damit dies wirksam und mit einem guten Risikoverhältnis gelingt, ist jedoch ein kritischer Blick erforderlich.

​
Ein einfaches Beispiel

Das folgende Beispiel erlaubt die Ausführung einer bestimmten Version einer bekanntermaßen unbedenklichen ausführbaren Datei. In diesem Fall handelte es sich um eine Hilfsanwendung für Banking-Software. Sie hat nur einen Zweck, wird direkt von der Geschäftsbank veröffentlicht und wurde bisher nicht von Angreifern missbraucht. Idealerweise würden solche Dateien über ihre Hashes angereichert, in diesem Fall über den SHA256-Hash, doch er wurde in der Bibliothek von Reversing Labs mit über 40 Milliarden Dateien nicht gefunden. Die beste Lösung wäre, die Datei zur Analyse und Aufnahme in deren Dateirepository einzureichen. Das ist jedoch oft nicht praktikabel, daher kann eine einfache Ausnahme wie diese sicher genug sein, um künftige Fehlalarme zu vermeiden:

​
Fernverwaltungstools ausnehmen

Das folgende Beispiel kann trügerisch ähnlich wie das obige wirken, setzt Ihre Organisation aber Risiken aus, von denen Wirespeed ausdrücklich abrät:
Der Unterschied besteht hier darin, dass der Hash zu ScreenConnect.WindowsClient.exe gehört, der zentralen ausführbaren Datei des Produkts ScreenConnect. Dabei handelt es sich um ein Fernverwaltungs- und IT-Support-Tool, das zugleich häufig von Angreifern missbraucht wird: Sie geben sich mittels Social Engineering gegenüber Ihren Benutzern als Ihr IT-Support aus und verleiten sie dazu, diese legitime Anwendung auszuführen – allerdings verbunden mit der Fernverwaltungsinstanz der Angreifer, sodass diese schädliche Schritte durchführen können, die häufig zu Ransomware führen. Es ist entscheidend, dass Sie wissen, ob eine ausführbare Datei Dual-Use-Fähigkeiten besitzt, bevor Sie sie als Ausnahme hinzufügen.

​
Living-off-the-Land-Tools ausnehmen

Dies ist eine weitere trügerisch einfache Ausnahme, die ein erhebliches Risiko mit sich bringt:
Diese Ausnahme ignoriert Warnungen zur Microsoft-Binärdatei powershell.exe. Es handelt sich zwar um eine offizielle Binärdatei, doch Ausnahmen dafür ermöglichen Angreifern alle möglichen schädlichen Aktivitäten – von Malware der ersten Stufe über Rechteausweitung bis hin dazu, Sie in manchen Fällen per Ransomware von Ihren Dateien auszusperren. Wirespeed empfiehlt dringend, niemals Ausnahmen für bekannte Living-off-the-Land-Tools hinzuzufügen.

​
Stattdessen Prozesse verwenden

Ein anderer Ansatz für den Umgang mit powershell besteht darin, einen bestimmten akzeptablen Prozess auszunehmen, wie in diesem Beispiel: PowerShell ruft den Namen der DNS-Domain ab, der der Computer beigetreten ist. Das ist für legitime Software üblich (und ebenso für Angreifer, die sich in Ihrer Umgebung orientieren – kann aber wahrscheinlich ignoriert werden, da es in diesem Fall vermutlich weitere Detektionen mit aussagekräftigeren Signalen für ihre Anwesenheit gäbe):
Beachten Sie, dass der Operator @= und nicht @~= lautet. „processes“ ist ein Array (eine Sammlung vieler Prozesse), daher müssen wir einen Array-Operator verwenden. Der gewählte Operator verlangt, dass jeder Prozess „powershell $env:USERDNSDOMAIN“ entspricht – anders als die folgende Ausnahme, bei der nur ein einziger Prozess in der Detektion übereinstimmen muss:
In diesem Beispiel könnte die Detektion weitere Prozesse enthalten, die ein deutlich stärkeres Signal für Angreiferverhalten sind, was dazu führen würde, dass eine wichtige Warnung fälschlicherweise verworfen wird. Die Logik von Ausnahmen ist leistungsfähig, muss aber präzise sein. Lassen Sie im Zweifelsfall Ask Wirespeed den Umfang für Sie festlegen oder bitten Sie über den Support-Chat um Hilfe.

​
Privacy-VPNs

Wenn Ihre Organisation die Nutzung von Privacy-VPNs bei der Anmeldung zulässt, kann das die Detektion bösartiger Anmeldungen erheblich erschweren. Besser wäre es, ihre Nutzung in Ihren SSO- und Authentifizierungssystemen zu unterbinden, etwa mit Richtlinien für bedingten Zugriff (Conditional Access) in Microsoft. Falls das nicht möglich ist, finden Sie hier einige Beispiele. Zudem lernt Wirespeed auch ganz ohne Ausnahmen, bestimmten Attributen von Fällen zu vertrauen, wenn Sie diese als Malicious oder Benign markieren. Wird beispielsweise ein Fall einer verdächtigen Anmeldung als Benign geschlossen, merkt sich Wirespeed diese IP-Adresse für 30 Tage. Erhält ein Benutzer in den folgenden 30 Tagen eine Detektion von dieser IP, wird sie automatisch als Benign geschlossen, und die Frist beginnt ab diesem Zeitpunkt für weitere Anmeldungen erneut mit 30 Tagen. Um zudem die Belastung des Sicherheitsteams durch die Bearbeitung von Eskalationen von Wirespeed zu verringern, empfehlen wir dringend, ChatOps zu aktivieren, damit diese Arbeit für Sie erledigt wird. Wir kontaktieren die Endbenutzer, fragen sie, ob sie sich gerade von einem ungewöhnlichen Standort angemeldet haben, authentifizieren sie über einen separaten Kanal (falls aktiviert) und lernen die sicheren Standorte … alles, ohne Sie zu belasten.

​
Wie Sie KEINE Ausnahme für Privacy-VPNs erstellen sollten

Die folgende Ausnahme ist sehr weit gefasst und setzt Ihre Organisation einem erheblichen Risiko aus, da sie einfach jede Detektion oder Warnung im Zusammenhang mit NordVPN ignoriert (ausnimmt). Diese Logik geht über Anmeldedetektionen hinaus und könnte potenziell auch Malware-Fälle mit einer IP-Adresse von NordVPN sowie jeden Benutzer in Ihrer gesamten Organisation ausnehmen. Auch Angreifer nutzen NordVPN, daher wird diese Ausnahme NICHT empfohlen.

​
Etwas besser

Durch Hinzufügen der Kategorie Anmeldung gilt diese Ausnahme nicht mehr für andere Typen wie Ausführung (Malware) oder Dienstaufruf (Cloud Control Plane). Sie ist dennoch recht weit gefasst und wird nicht empfohlen, da sie jeden Benutzer zulässt. Zudem ist es wahrscheinlich, dass ein Angreifer, der irgendwann NordVPN nutzt, Zugangsdaten oder Sitzungen stehlen und sich damit über diesen Anbieter anmelden könnte – die Ausnahmeregel würde greifen, und es gäbe keine Warnung:

​
Bestimmte Benutzer

Aufbauend auf dem obigen Beispiel erhalten wir eine noch engere Regel, wenn wir eine weitere AND-Klausel hinzufügen, sie in Klammern setzen und die E-Mail-Adressen der Benutzer angeben, von denen wir erwarten, dass sie NordVPN verwenden. Es bleibt allerdings das Risiko, dass ein Angreifer die Zugangsdaten genau dieser Benutzer stiehlt und versucht, sich damit anzumelden:

​
Ein sehr eng gefasstes Beispiel

Dieses Beispiel baut auf dem vorherigen auf und beschränkt es zusätzlich auf Austin, Texas. Dass ein Angreifer die Zugangsdaten der genannten Benutzer stehlen und genau dieses Privacy-VPN aus genau dieser Stadt und Region nutzen kann, ist sehr unwahrscheinlich – das Risiko, einen bestätigten Treffer zu übersehen, sinkt dadurch deutlich. Es ist weiterhin vorzuziehen, Privacy-VPNs in den Authentifizierungseinstellungen zu blockieren oder dies ChatOps zu überlassen. Wenn diese Optionen aus irgendeinem Grund nicht in Frage kommen, steht Ihnen diese Möglichkeit zur Verfügung:

​
Umgang mit gemeinsam genutzten Konten

Dies ist ein Beispiel dafür, wie Sie eine Ausnahme für ein bestimmtes, gemeinsam genutztes Benutzerkonto erstellen, mit dem sich Benutzer an verschiedenen Standorten anmelden. Es geht allerdings mit ernsten Risiken einher. Es ist IMMER am besten, bewährte Sicherheitspraktiken zu befolgen, auf gute Hygiene zu achten, starke Authentifizierung (MFA) zu verwenden und KEINE KONTEN GEMEINSAM ZU NUTZEN. Manchmal wird das Sicherheitsteam jedoch von der Geschäftsleitung überstimmt, daher zeigt dieses Beispiel, wie Sie mit diesem Szenario umgehen können. Erstens ist diese Ausnahme auf die Kategorie Anmeldung beschränkt. Sie ist also nicht offen für Dinge wie Malware, die eine von uns beobachtete Verbindung zu einem Standort aufbaut, oder einen Benutzer, der verdächtige Änderungen in Ihrer AWS- oder Azure-Cloud-Control-Plane vornimmt (Dienstaufruf). Zweitens ist diese Ausnahme auf mehrere US-Bundesstaaten beschränkt: Kalifornien, Arizona, Washington, Oregon und Nevada. Nicht ideal, aber in diesem speziellen Fall gibt es dafür einen geschäftlichen Grund. Drittens dürfen übereinstimmende IP-Adressen zum Ausgleich der weit gefassten Logik mehrerer US-Bundesstaaten keines der Privacy-Flags gesetzt haben: VPN, Proxy, TOR, Relay oder Hosting-Anbieter. Zwar ist kein Datensatz perfekt, doch wir verfügen über eine hervorragende geografische Anreicherung, die wir auf jede einzelne IP-Adresse anwenden, mit der wir in Berührung kommen. Diese Logik beschränkt die Regel auf IPs, die sich physisch in Unternehmen und Privathaushalten in diesen US-Bundesstaaten befinden. IP-Adressen von Rechenzentren (mit Ausnahme kleiner privater Rechenzentren, die bestimmten Unternehmen gehören, also keine Colocation- oder Cloud-Anbieter) entsprechen der Logik nicht. Das Ergebnis: Ein Angreifer muss sich physisch in diesen Bundesstaaten befinden. Die meisten (nicht alle) finanziell motivierten kriminellen Akteure nutzen wahrscheinlich gehostete Infrastruktur, um eine Schicht zwischen Ihnen und ihrer Identifizierung und Zuordnung zu schaffen. Auch wenn dies nicht die bevorzugte Lösung ist (es ist immer besser, diese Situation zu vermeiden), lässt sich dieses Szenario so sicherer handhaben als auf anderen Wegen.