Wie Symantec CBX Angriffe erkennt und den nächsten Zug vorhersagt

Als Andy Kutter, Director und Partner bei KYOS, und Dani Tucci von Arrow am 8. September im Einstein St. Gallen Symantec CBX vorstellten, waren die Nachfragen erstaunlich konkret. Nicht «Was kann das?», sondern «Wie funktioniert das in meinem Betrieb?». Ein Blick unter die Haube.

Nativ zusammengeführt statt über Schnittstellen verbunden

Symantec CBX ist eine Cloud-Plattform von Broadcom, die die Präventions-, Daten- und Netzwerksicherheit von Symantec mit der Angriffserkennung von Carbon Black vereint. Der Unterschied zu vielen Konkurrenzlösungen liegt in der Architektur: Wo andere Einzelprodukte über Schnittstellen verknüpfen – mit entsprechenden Lücken –, laufen bei CBX die Signale von Endgeräten, Netzwerk, Daten, E-Mail und Cloud von Haus aus in einer Plattform zusammen. Künstliche Intelligenz verdichtet sie zu Vorfällen mit hoher Aussagekraft – das ist der Kern von XDR, Extended Detection and Response. Aus hundert Einzelalarmen wird eine Geschichte mit Anfang, Verlauf und Ausmass. Eine Konsole ersetzt mehrere Dashboards, vorkonfigurierte Richtlinien greifen ab dem ersten Tag.

Den Angriffsweg sehen – und den nächsten Zug kennen

Der auffälligste Unterschied zu klassischen Antivirenlösungen ist der sogenannte Threat Tracer. Er zeigt in einer einzigen Ansicht, wo ein Angreifer eingedrungen ist, welche Methode er verwendet hat und auf welche Daten er zugegriffen hat. «Früher musste jemand Logfiles lesen und sich das Bild im Kopf zusammensetzen», sagt Andy Kutter. «Heute sieht man den Weg auf einen Blick – und zwar auch jemand, der kein Sicherheitsspezialist ist.» Noch einen Schritt weiter geht die Incident Prediction: Auf Basis von über 500'000 analysierten Angriffsketten sagt die Plattform die nächsten vier bis fünf Schritte eines Angreifers voraus. Laut Broadcom enthalten 85 Prozent der gemeldeten Vorfälle eine solche Vorhersage mit Handlungsempfehlung. Wer weiss, wohin sich ein Angreifer als Nächstes bewegt, kann ihm den Weg versperren, bevor er dort ankommt. Dazu kommt die Adaptive Protection: Sie erkennt, wenn legitime Software – etwa Verwaltungswerkzeuge von Windows – untypisch genutzt wird, und blockiert das automatisch. Mit genau dieser Technik, «Living off the Land» genannt, umgehen Angreifer heute die meisten klassischen Schutzprogramme.