Über das reine Anpingen der von Cyber Crucible verwendeten Domains hinaus, um sicherzustellen, dass Ihr Endpunkt alle korrekten Netzwerkadressen erreichen kann, enthält das Cyber Crucible Agent-Installationsprogramm ein Testargument, das sicherstellt, dass in beide Richtungen eine gültige TLS/SSL-Verbindung zu allen erforderlichen Servern hergestellt werden kann.

Fügen Sie einfach --test-connection zur Ausführung des Installationsprogramms hinzu und stellen Sie sicher, dass die für die Authentifizierung erforderlichen Gruppen-ID(s) und OAuth-Tokens weiterhin enthalten sind. Oben ist ein Screenshot zu sehen, der die einzige notwendige Änderung am bereitgestellten .bat-Skript sowie eine erfolgreiche Ausgabe zeigt.

Obwohl die gesamte verhaltensbasierte Erkennung und der Schutz des Cyber Crucible-Agents am Endpunkt erfolgen, ohne dass Proben zur Analyse in die Cloud übermittelt werden müssen, benötigt der Endpunkt-Agent dennoch eine Verbindung zu einem Server, um Lizenzierungsinformationen, Konfigurationen, Software-Updates usw. zu erhalten.

Wenn Ihr Netzwerk so stark abgeriegelt ist, dass keine Verbindungen zu den IP-Bereichen zugelassen werden, in denen die Cyber Crucible-Server gehostet werden, benötigen Sie möglicherweise einen konfigurierten Proxy, damit (ausschließlich) der Agent seinen Server zur Installation erreichen kann. Informationen zur Konfiguration des Agents finden Sie unter How to Manage Proxy Configurations.

Welche Art von Proxy kann ich verwenden?

Ab Version 4.4.6.3 des Cyber Crucible-Agents unterstützen die Proxy-Konfigurationen Socks5. Es gibt keine Einschränkung hinsichtlich des Hosting-Standorts des Servers (vor Ort oder extern), solange die Netzwerkbeschränkungen den Agents das Erreichen des Servers ermöglichen. Nachfolgend ist ein Beispieldiagramm einer einfachen Proxy-Konfiguration dargestellt, bei der der Socks5-Server innerhalb des abgeriegelten Netzwerks gehostet wird und nur eine Verbindung zu einem externen Rechner herstellen darf, der den Datenverkehr tunnelt.

Dieses Setup ermöglicht es den Agents, sich mit ihrem/ihren Server(n) zu verbinden, während die Netzwerkrichtlinie eingehalten wird. Es ist nur eine Regel erforderlich, die es dem Socks5-Host erlaubt, seinen externen Proxy-Server über einen Port (SSH) zu erreichen. Dies stellt sicher, dass der gesamte Datenverkehr nicht nur über Port 443 läuft, sondern zusätzlich vor dem Verlassen des Netzwerks doppelt in SSH verpackt wird, und erfordert keine eingehende Portweiterleitung.

Die vom Cyber Crucible Agent erfassten Daten durchlaufen mehrere Filterebenen, um Rauschen durch zu viel Rohtelemetrie herauszufiltern. Die von den Kernel-Sensoren erzeugten Rohdaten werden reduziert [Filter #1], um sowohl den Speicherverbrauch am Endpunkt als auch die Netzwerkbandbreite pro Agent zu verringern. Anschließend ordnet die REST-API die empfangene Roh-Prozess-/Endpunkttelemetrie automatisierten Reaktionen zu, sodass der Analyst wählen kann, nur relevante Daten anzuzeigen [Filter #2].

Wie in der obigen Abbildung zu sehen ist, können die Workstation-Endpunkte eines durchschnittlichen Kunden über einen Zeitraum von 24 Stunden mehrere Gigabyte an Rohsensordaten erzeugen, während bei einem versuchten Angriff nur wenige Megabyte davon für einen SOC-Alarm relevant sind.

Die gleichzeitige Deinstallation mehrerer Agenten ist einfach.

Gehen Sie zur Seite Agenten.

Wir empfehlen die Verwendung von Filtern, wie z. B. Maschinenname, Gruppe, IP-Adresse oder Versionsfilter, um möglichst viele Agenten auf dem Bildschirm anzuzeigen. Dies ist besonders nützlich für Benutzer mit Hunderten oder Tausenden von Agenten in einer Gruppe.

Hier haben wir die Umschalttaste verwendet, während wir auf 3 Zeilen geklickt haben, um drei Agenten auszuwählen.

Die Schaltfläche „Alle ausgewählten Agenten deinstallieren“ befindet sich oben links über dem Raster.

Nachdem die Berechtigungen auf dem Server überprüft wurden, dass Sie über Berechtigungen in den Gruppen der Agenten verfügen, werden Deinstallationsbefehle ausgegeben.

Die Agenten erhalten einen digital signierten Deinstallationsbefehl. Die Signatur wird von den Agenten verwendet, um zu überprüfen, dass der Befehl tatsächlich von Cyber Crucible stammt und nicht von einem Kriminellen, der versucht, Ihre Schutzsoftware zu entfernen.

Sobald die Agenten die Validierung bestätigt haben, bereiten sie das System für die Deinstallation beim nächsten Neustart vor.

In der Spalte „Achtung“ erscheint der Eintrag „Deinstallation läuft“ und in der Zelle wird eine Schaltfläche „Deinstallation abbrechen“ angezeigt.

Sobald der Rechner neu gestartet wurde, überprüft der Agent, dass die Deinstallation durchgeführt wird, und entfernt alle Dateien.

Wichtig zu beachten ist, dass der Agent vor der vollständigen Deinstallation „ein letztes Mal grüßt“, sodass Agenten manchmal noch für kurze Zeit nach dem Neustart vorhanden sind. Dies liegt daran, dass einige Netzwerkumgebungen bis zu 30 Sekunden, nachdem der Desktop sichtbar ist, nicht ordnungsgemäß funktionieren. Beachten Sie, dass nach Abschluss der Deinstallationen Lizenzen automatisch von den Agenten entfernt werden.

Rufen Sie die Seite Agenten auf.

Suchen Sie den gewünschten Agenten und klicken Sie auf das Papierkorb-Symbol in der Spalte Agentenname:

Einführung

Cyber Crucible wurde so konzipiert, dass es läuft, ohne Endnutzer oder Mitarbeiter zu stören, während ausgewählte Dashboard-Nutzer (typischerweise ausgewählte Mitglieder der IT- und Sicherheitsteams) im Hintergrund über automatisierte Reaktionen informiert werden.

Viele Simulatoren für Ransomware oder Malware bilden das Verhalten eines Hackers nicht genau ab. Auch wenn dies für Tools wie Cyber Crucible, die die Simulation (korrekt) als Fehlalarm erkennen, Probleme verursacht, ist das nicht unbedingt schlecht.

Manche Anbieter bauen ihre Erkennungs-Engines für einen Teil ihrer Erkennungsfunktionen sogar gezielt auf diese Simulatoren auf, um sicherzustellen, dass alle Kundentests mit Bravour bestanden werden.

Reale Malware-Aktionen wie Ransomware-Verschlüsselung bergen das Risiko, Daten unwiederbringlich zu verschlüsseln oder zu beschädigen. Bei Cyber Crucible haben wir sogar erlebt, dass Ransomware heimlich andere Malware im Netzwerk aktiviert oder andere Aktionen ausführt, die dem Unternehmen schaden könnten, das versucht, Cyber Crucible zu testen.

Sie möchten also weder Malware verwenden, noch einen Simulator, der so realistisch ist, dass Sie versehentlich Ihre Daten beschädigen könnten.

Cyber Crucible testen

Es gibt eine einfache Möglichkeit, Cyber Crucible zu testen, ohne Malware oder eine Simulation zu verwenden, die so realistisch ist, dass Sie Ihre eigenen Daten oder die Ihres Unternehmens gefährden.

Cyber Crucible bewertet jede Millisekunde des Tages Zugriffe auf digitale Identitäten. Viele dieser digitalen Identitäten werden in Browsern gespeichert – deshalb setzen Angreifer Webbrowser bei ihrem automatisierten Targeting ganz oben auf die Liste.

Die Verhaltensanalyse von Cyber Crucible bei Identitätszugriffen führt zu einer von drei Reaktionen:

1. Nichts tun

2. Daten verbergen

   1. bekannte, legitime Anwendung, die alle Speicher- und Kernel-Prüfungen besteht, aber keinen Zugriff auf diese bestimmten Identitätsdaten benötigt – Beispiel: unausgenutzter Windows Explorer

3. Prozess anhalten

   1. bekannte, legitime Anwendung, die eigentlich Zugriff auf die Identitätsdaten haben sollte, aber gehackt wurde, oder

   2. eine ungewöhnliche Anwendung

Hier sind zwei Speicherorte, die bei Windows-Nutzern häufig vorkommen:

In diesem Fall lautet der Windows-Benutzername „denni“, und dies sind die Speicherorte, an denen Sitzungsdaten abgelegt werden. Möglicherweise funktioniert für Sie die Variable %LOCALAPPDATA%, wenn Sie den Benutzernamen nicht ermitteln möchten.

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

Die Ansicht ohne installiertes Cyber Crucible

Sehen wir uns zunächst an, wie einer dieser Ordner mit Explorer.exe aussieht, ohne dass Cyber Crucible installiert ist.

Hier sehen wir mehrere Chrome-Sitzungen unter dem „Standard“-Google-Chrome-Profil.

Diese Informationen enthalten typischerweise sensible Daten, mit denen ein Angreifer Sitzungen wichtiger Programme wie IT-Administrationsportale, Banking, E-Mail oder Speicherwerkzeuge wie Google Drive oder Dropbox kapern möchte.

Die Ansicht mit installiertem Cyber Crucible

Nach der Installation von Cyber Crucible kann ein schneller Test durchgeführt werden, ohne Malware oder irgendeine Art von kriminellen Techniken oder Missbrauch der IT-Ausrüstung zu verwenden.

In diesem Fall wird derselbe Speicherort für Browser-Sitzungen verwendet:

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

Cyber Crucible blockiert bereits unmittelbar nach der Installation den Zugriff auf die Daten in diesem Ordner.

Bitte beachten Sie, dass es sich um genau denselben Explorer-Prozess handelt, der bereits vor der Installation lief – dem laufenden Programm wurde also plötzlich der Zugriff auf der „Festplatten“- oder Kernel-Ebene entzogen. Selbst Programme, seien sie harmlos, ausgenutzt oder Malware, die bereits laufen, werden von Cyber Crucible korrekt bewertet.

Ihren Test im Cyber Crucible Dashboard einsehen

Es gibt jederzeit eine große Anzahl von Identitätsdatenzugriffen in einem laufenden System.

Software as a Service und cloudbasierte Programme haben dazu geführt, dass viele Websites und Anwendungen auf der Website selbst nur begrenzt Funktionen bieten, während der Browser (oder der eingebettete Browser bei Anwendungen) ständig mit Datenservern kommuniziert, um Tabellen, Diagramme und Social-Media-Inhalte zu befüllen.

Seite „Identitätszugriff“

Identitätszugriffe, bei denen es als angemessen erachtet wird, dass Cyber Crucible die betreffende Anwendung anhält, werden auf der Seite „Identitätszugriff“ aufgeführt.

Dies sind Situationen, in denen das auf die Identitätsdaten zugreifende Programm gestoppt werden sollte, statt nur die Daten zu verbergen.

In diesem Fall wurde Explorer nach der Vielzahl der von Cyber Crucible durchgeführten Prüfungen nicht gestoppt. Stattdessen wurden lediglich Daten verborgen.

Daher sind hier keine Verstöße gegen den Identitätszugriff aufgeführt.

Seite „Identitätszugriff verborgen“

Cyber Crucible bietet optional die Möglichkeit, Dashboard-Kunden Situationen anzuzeigen, in denen Identitätsdaten verborgen wurden, das zugreifende Programm jedoch nicht gestoppt wurde.

Explorer wurde in diesem Test nicht ausgenutzt oder war anderweitig bösartig, es griff lediglich auf sehr privilegierte Identitätsdaten der Browser Chrome und Edge zu.

Die meisten Nutzer haben aufgrund der zusätzlichen Belastung der Kundenrechner und -netzwerke bei der Übertragung dieser Daten an die Cyber Crucible-Server keinen Zugriff auf diese Informationen.

Bitte fragen Sie nach, wenn Sie Zugriff wünschen. Beachten Sie jedoch, dass die von Ihnen gesehene Aktivität keine bösartige Aktivität ist, sondern ein Verhalten zum Schutz der Privatsphäre von Identitätsdaten, das Cyber Crucible aus GRC- bzw. Richtlinien­durchsetzungsperspektive durchführt.

Hier sehen wir in diesem kurzen Video, dass Explorer daran gehindert wurde, die Browser-Sitzungsdaten einzusehen, obwohl Explorer selbst nicht unterbrochen wurde.

Beachten Sie, dass nur Agenten ab Version 4.4.6.3 über diese Fähigkeit verfügen

Wo Sie die aktuelle Proxy-Konfigurationseinstellung einer Gruppe finden

Benutzer können die aktuelle Proxy-Server-Konfigurationseinstellung einer Gruppe für die Agenten, die dieser Gruppe folgen, einsehen, indem sie zunächst zur Seite „Groups“ navigieren, die sich unter dem Tab „Administration“ in der Seitenleiste befindet.

Die aktuelle Proxy-Server-Konfigurationseinstellung einer Gruppe finden Sie in der Spalte „Proxy Server Config“ im Raster.

Wenn für die Gruppe keine Proxy-Server-Konfiguration aktiviert ist, wird der Text „Do Not Use Proxy“ angezeigt.

Wenn für die Gruppe eine Proxy-Server-Konfiguration aktiviert ist, wird die URL der aktuellen Proxy-Konfiguration angezeigt

Wie Sie eine Gruppe aktualisieren, um einen Proxy-Server zu aktivieren

Benutzer können Agenten in einer Gruppe so aktivieren, dass sie einen Proxy-Server verwenden, indem sie zunächst auf das Symbol „Manage Proxy Configurations“ in der Spalte „Proxy Server Config“ auf der Seite „Groups“ klicken. Durch Klicken auf dieses Symbol öffnet sich ein modales Fenster, in dem Benutzer die Proxy-Server-Konfigurationen für die Gruppe verwalten können.

Das angezeigte modale Fenster „Manage Proxy Server Configuration“ dient dazu, die Proxy-Server-Konfigurationen für die Gruppe anzuzeigen und zu verwalten. Benutzer können mehrere Konfigurationen innerhalb einer Gruppe speichern, und alle gespeicherten Konfigurationen werden im Raster dieses modalen Fensters angezeigt. Beachten Sie, dass alle gespeicherten Proxy-Server-Konfigurationen einer Gruppe auch im modalen Fenster „Download Agent“ erscheinen.

Um eine Proxy-Server-Konfiguration für die Gruppe auszuwählen, muss die Konfiguration zunächst über das Formular „New Proxy Configuration“ übermittelt werden. Dieses Formular ist standardmäßig ausgeblendet, klicken Sie auf den Schalter, um es anzuzeigen.

Nach dem Absenden des Formulars für die neue Konfiguration wird diese unten im Raster des modalen Fensters angezeigt.

Um eine Proxy-Konfiguration auszuwählen, die von Agenten in dieser Gruppe verwendet werden soll, wählen Sie zunächst die gewünschte Konfiguration aus und klicken Sie dann auf das Bearbeiten-Symbol oberhalb des Rasters.

Nachdem Sie auf das Bearbeiten-Symbol für die gewünschte Proxy-Konfiguration geklickt haben, ist die aktuelle Proxy-Server-Konfiguration der Gruppe nun aktualisiert und kann in diesem modalen Fenster sowie in der Spalte „Proxy Server Config“ eingesehen werden. Agenten in dieser Gruppe verwenden nun die aktualisierte Proxy-Konfiguration der Gruppe. Beachten Sie, dass ein Agent, der die Anweisung erhält, zu einem nicht erreichbaren Proxy-Server zu wechseln, erst wechselt, wenn dieser Server erreichbar wird.

Wie Sie eine Gruppe aktualisieren, damit kein Proxy verwendet wird

Wenn für eine Gruppe ein Proxy-Server aktiviert ist, den Agenten in dieser Gruppe verwenden sollen, und Benutzer die Gruppe so aktualisieren möchten, dass Agenten in dieser Gruppe keinen Proxy mehr verwenden, navigieren Sie zunächst zur Seite „Groups“ und suchen Sie die gewünschte Gruppe im Raster.

Klicken Sie dann auf das Symbol „Manage Proxy Configurations“ in der Spalte „Proxy Server Config“. Durch Klicken auf dieses Symbol öffnet sich das modale Fenster „Manage Proxy Server Configuration“.

Klicken Sie in diesem modalen Fenster auf das x-Symbol, um Agenten in dieser Gruppe so zu aktualisieren, dass sie keinen Proxy-Server verwenden und normal mit unseren Servern kommunizieren. Beachten Sie, dass die aktuelle Proxy-Konfiguration dadurch nicht aus den gespeicherten Proxy-Konfigurationen der Gruppe entfernt wird; dies ist ein separater Schritt, der im folgenden Abschnitt beschrieben wird.

Nachdem Sie auf das x-Symbol geklickt haben, wird das modale Fenster aktualisiert, um diese Änderung widerzuspiegeln, und die Spalte „Proxy Server Config“ für diese Gruppe zeigt nun „Do Not Use Proxy“ an.

Wie Sie eine gespeicherte Proxy-Konfiguration in einer Gruppe entfernen

Um eine gespeicherte Proxy-Konfiguration einer Gruppe zu entfernen, navigieren Sie zunächst zur Seite „Groups“ und suchen Sie die gewünschte Gruppe im Raster.

Klicken Sie dann auf das Symbol „Manage Proxy Configurations“ in der Spalte „Proxy Server Config“. Durch Klicken auf dieses Symbol öffnet sich das modale Fenster „Manage Proxy Server Configuration“.

Klicken Sie in diesem modalen Fenster auf die gewünschte gespeicherte Proxy-Konfiguration, die für diese Gruppe entfernt werden soll, und klicken Sie dann auf das Papierkorb-Symbol. Nach dem Klicken auf dieses Symbol erscheint die ausgewählte Proxy-Konfiguration nicht mehr im Raster als gespeicherte Proxy-Konfiguration für die Gruppe.

Beachten Sie, dass, wenn Sie eine gespeicherte Proxy-Konfiguration für eine Gruppe entfernen und diese Konfiguration als aktuelle Proxy-Server-Konfiguration der Gruppe festgelegt ist, dies auch die aktuelle Proxy-Server-Konfiguration der Gruppe so aktualisiert, dass kein Proxy verwendet wird.

Wie Sie einen Agenten unter Verwendung eines Proxys installieren

Navigieren Sie zunächst zur Seite „Agents“, die sich unter dem Tab „Operations“ in der Seitenleiste befindet. Klicken Sie dann auf die Schaltfläche „Download Agent“. Durch Klicken auf diese Schaltfläche öffnet sich das modale Fenster „Download Agent“.

Wenn Sie in diesem modalen Fenster eine Gruppe auswählen, die über gespeicherte Proxy-Konfigurationen verfügt, erscheint die Option „Select Proxy Configuration for Installer“, wobei die aktuelle Einstellung der Gruppe als Standardwert ausgewählt ist. Alle gespeicherten Proxy-Konfigurationen der Gruppe erscheinen ebenfalls als Optionen, einschließlich einer Option „Do Not Use Proxy“.

Wenn Sie sich dafür entscheiden, einen Proxy für das Installationsprogramm zu verwenden, ist als einziger Installationsprogrammtyp der Command Line Installer möglich.

Wenn Sie die Option „Do Not Use Proxy“ auswählen, erscheinen unsere normalen Installationsprogrammtyp-Optionen.

Beachten Sie, dass, wenn Sie für das Installationsprogramm eine Proxy-Konfiguration auswählen, die nicht der aktuellen Einstellung der Gruppe entspricht, das Installationsprogramm mit der ausgewählten Einstellung ausgeführt wird und nach der Installation zur aktuellen Proxy-Konfigurationseinstellung der Gruppe wechselt.

Wo Sie sehen können, ob ein Agent in der Lage ist, den Proxy zu umgehen

Benutzer können einsehen, ob Agenten sich ohne Verwendung eines Proxys mit unseren Servern verbinden können, indem sie zunächst zur Seite „Agents“ navigieren, die sich unter dem Tab „Operations“ in der Seitenleiste befindet. Suchen Sie dann die Spalte „Agent is Able to Bypass Proxy“ im Raster.

Beachten Sie, dass die Spalte „Agent is Able to Bypass Proxy“ nur sichtbar ist, wenn der Benutzer Mitglied einer Gruppe ist, in der Agenten für die Verwendung eines Proxys aktiviert wurden.

Wenn sich der Agent in einer Gruppe befindet, in der die Verwendung eines Proxys aktiviert wurde, und der Agent den Proxy nicht umgehen kann, um sich mit unseren Servern zu verbinden, wird das rote x-Symbol in der Spalte angezeigt. Ein Beispiel hierfür finden Sie unten:

Wenn sich der Agent in einer Gruppe befindet, in der die Verwendung eines Proxys aktiviert wurde, und der Agent in der Lage ist, den Proxy zu umgehen und sich normal mit unseren Servern zu verbinden, wird das grüne Häkchen in der Spalte angezeigt. Ein Beispiel hierfür finden Sie unten: