{"id":7498,"date":"2024-05-20T11:23:09","date_gmt":"2024-05-20T08:23:09","guid":{"rendered":"https:\/\/support.withsecure.com\/?post_type=announcement&p=7498"},"modified":"2026-10-19T13:07:33","modified_gmt":"2026-10-19T10:07:33","slug":"elements-edr-new-feature-accepted-behavior-de","status":"publish","type":"announcement","link":"https:\/\/support.withsecure.com\/de\/announcements\/elements-edr-new-feature-accepted-behavior-de\/","title":{"rendered":"Elements EDR – Neue Funktion – Akzeptiertes Verhalten"},"content":{"rendered":"

Update 2024-06-19:<\/strong> Wir werden die Funktion „Angenommenes Verhalten“ ab dem 26. Juni 2024 weltweit aktivieren. Bitte beachten Sie den folgenden Abschnitt „Akzeptiertes Verhalten nach dem 26. Juni 2024<\/a>“ f\u00fcr weitere Informationen<\/p>\n

Mit der Einf\u00fchrung von Accepted Behavior ist es nun m\u00f6glich, Unterdr\u00fcckungsregeln zu erstellen, die das Verhalten eines Benutzers oder eines Prozesses akzeptieren k\u00f6nnen. Dies kann erheblich dazu beitragen, BCDs f\u00fcr erwartetes Verhalten zu unterdr\u00fccken.<\/p>\n

Dies wird von vielen Partnern und Kunden gefordert, da WithSecure eine EDR L\u00f6sung erstellt, die f\u00fcr viele verschiedene Umgebungen geeignet ist. Das bedeutet, dass es bestimmte Erkennungsf\u00e4lle geben kann, in denen Sie aufgrund Ihrer Umgebung ein Verhalten „zulassen“ oder akzeptieren m\u00f6chten. z. B. k\u00f6nnen Sie eine Software namens „ABC“ verwenden und darauf vertrauen, dass der Prozess „XYZ“ legitim ist und daher die Erkennung unterdr\u00fccken m\u00f6chten, damit ein \u00e4hnliches BCD nicht erzeugt wird.<\/p>\n

Eine Zeit lang haben wir Ad-hoc-Antr\u00e4ge f\u00fcr das Zulassen von Listen akzeptiert, aber jetzt haben wir einen Assistenten in Elements Security Center erstellt, mit dem Sie die Unterdr\u00fcckungsregeln selbst erstellen k\u00f6nnen.<\/p>\n

Wie funktioniert Accepted Behavior?<\/h2>\n

Ein „Broad Context Detection“ (BCD) ist eine Sammlung von Erkennungen, die auf b\u00f6sartiges oder verd\u00e4chtiges Verhalten hinweisen. Jede BCD hat eine oder mehrere „Schl\u00fcsselerkennungen“. Eine „Schl\u00fcsselerkennung“ ist eine eigenst\u00e4ndige Erkennung, die f\u00fcr sich genommen eine neue BCD erzeugen w\u00fcrde. Um zu verhindern, dass sich \u00e4hnliche BCDs wiederholen, muss jede Schl\u00fcsselerkennung in einer BCD unterdr\u00fcckt werden. Pro Schl\u00fcsselerkennung wird eine Unterdr\u00fcckungsregel erstellt.<\/p>\n

Akzeptiertes Verhalten ist erforderlich, wenn die besonderen Umst\u00e4nde in Ihrem Unternehmen es erforderlich machen, dass eine Erkennung unterdr\u00fcckt wird. Elements Benutzer sollten bei der Unterdr\u00fcckung von Erkennungen vorsichtig sein, um sicherzustellen, dass sie nicht zu weit gehen und Verhaltensweisen unterdr\u00fccken, die zwar \u00fcblich sind, aber auch Teil eines legitimen Angriffs sein k\u00f6nnten.<\/p>\n

Welche Einschr\u00e4nkungen gibt es bei der ersten Version?<\/h2>\n
    \n
  • Wir werden „akzeptiertes Verhalten“ erm\u00f6glichen zun\u00e4chst f\u00fcr eine kleine Gruppe von Partnern<\/strong>um Feedback zu sammeln und die Unterdr\u00fcckungsmechanismen zu verbessern.<\/li>\n
  • Zum Start wird diese Funktion f\u00fcr BCDs mit bis zu 5 Schl\u00fcsselerfassungen verf\u00fcgbar sein. Wir arbeiten daran, diese Funktion f\u00fcr alle BCDs verf\u00fcgbar zu machen, indem wir die Gesamtzahl der Schl\u00fcsselerkennungen reduzieren, ohne dabei einzigartige Informationen aus dem BCD zu entfernen.<\/li>\n
  • Es kann F\u00e4lle geben, in denen identische Regeln erstellt werden, weil die Schl\u00fcsselerkennung mit denselben Parametern wiederholt wird; dies wird in den kommenden Wochen behandelt.<\/li>\n<\/ul>\n

    Wie kann man feststellen, ob man die BCDs zu sehr unterdr\u00fcckt?<\/h2>\n

    Wenn Sie eine Unterdr\u00fcckungsregel anwenden, wird jedes neu erstellte BCD automatisch mit der Aufl\u00f6sung „Automatisch akzeptiertes Verhalten“ geschlossen. Um Ihnen einen Hinweis darauf zu geben, wie viele BCDs stummgeschaltet werden, die Erkennungsmaschine wird h\u00f6chstens eine neue BCD alle 24 Stunden pro Unterdr\u00fcckungsregel erzeugen<\/strong>wenn die Unterdr\u00fcckungskriterien erf\u00fcllt sind. Nach Ablauf von 24 Stunden wird ein neues BCD erstellt, wenn die Unterdr\u00fcckungsregel ausgel\u00f6st wird. WithSecure empfiehlt, dass die Partner die unterdr\u00fcckten BCDs regelm\u00e4\u00dfig \u00fcberpr\u00fcfen, um sicherzustellen, dass keine b\u00f6sartigen Aktivit\u00e4ten unterdr\u00fcckt werden.<\/p>\n

    Hinweis: Das akzeptierte Verhalten ist in F\u00e4llen erforderlich, in denen BCDs, die wiederkehrende Falschpositive verursachen, \u00e4hnliche, aber nicht identische BCD-Fingerabdr\u00fccke haben. Wenn ein BCD mit „Falsch positiv“ geschlossen wurde, werden identische BCDs mit einem identischen Fingerabdruck automatisch mit der Aufl\u00f6sung „Auto-Falsch positiv“ geschlossen.<\/p>\n

    Wie kann ich ein BCD zum Schweigen bringen?<\/h2>\n

    Der erste Schritt w\u00e4re, ein BCD zu finden, das Sie zum Schweigen bringen wollen.<\/p>\n

    Wenn die Untersuchung abgeschlossen ist, \u00e4ndern Sie den Status auf „geschlossen“ und setzen Sie die Aufl\u00f6sung auf „akzeptiertes Verhalten“. In einem Pop-up-Fenster werden Sie gefragt, ob Sie eine „Unterdr\u00fcckungsregel“ erstellen m\u00f6chten.<\/p>\n

    Klicken Sie auf Ja, um den Assistenten f\u00fcr Unterdr\u00fcckungsregeln aufzurufen, und w\u00e4hlen Sie aus, welche Endpunkte betroffen sein sollen.<\/p>\n

    Es gibt 7 verschiedene Parameter, die f\u00fcr die BCD-Unterdr\u00fcckung verwendet werden k\u00f6nnen. Die Parameter sind mit den vom BCD gesammelten Daten vorausgef\u00fcllt. Diese Unterdr\u00fcckungsparameter werden im Folgenden erl\u00e4utert<\/strong>.<\/p>\n

    WithSecure hat die Verwendung von mindestens 2 Parametern f\u00fcr jede Schl\u00fcsselerkennung erzwungen, um sicherzustellen, dass der „akzeptierte Umfang“ so gering wie m\u00f6glich ist.<\/p>\n

    Parameter, die standardm\u00e4\u00dfig aktiviert sind, sind mit einem gr\u00fcnen Kippschalter versehen, der anzeigt, dass der Parameter in der Regel verwendet wird. Klicken Sie auf „Mehr anzeigen“, um weitere Parameter anzuzeigen. Diese sind standardm\u00e4\u00dfig deaktiviert, d. h. die Parameter, die in der bestehenden Regel nicht verwendet werden. Sie k\u00f6nnen sie deaktivieren\/aktivieren, indem Sie den Parameter ausschalten. Die meisten Parameter werden mit den Informationen aus dem BCD vorausgef\u00fcllt.<\/p>\n

    F\u00fcr BCDs mit mehreren Tastenerkennungen gibt es ein Akkordeon und eine Reihe von Parametern f\u00fcr jede Tastenerkennung. Jede Tastenerkennung in einer BCD muss durch eine Regel unterdr\u00fcckt werden, damit die BCD stummgeschaltet wird.<\/p>\n

    Die folgende Tabelle zeigt die m\u00f6glichen Parameter<\/p>\n

    \n\n\n\n\n\n\n\n\n\n\n\n
    \n

    Akzeptiertes Verhalten Parameter<\/strong><\/p>\n<\/th>\n

    		\n

    Beispiel<\/strong><\/p>\n<\/th>\n

    		\n

    Beschreibung<\/strong><\/p>\n<\/th>\n<\/tr>\n<\/thead>\n

    \n

    exe_pfad<\/p>\n<\/td>\n

    		\n

    c:\\path\\admin\\support_service.exe<\/p>\n<\/td>\n

    		\n

    Dadurch wird die Kombination aus Schl\u00fcsselerkennung und benannter ausf\u00fchrbarer Datei unterdr\u00fcckt.<\/p>\n<\/td>\n<\/tr>\n

    \n

    exe_name<\/p>\n<\/td>\n

    		\n

    support_service.exe<\/p>\n<\/td>\n

    		\n

    Dadurch wird diese Kombination aus Schl\u00fcsselerkennung und Prozess unterdr\u00fcckt.<\/p>\n<\/td>\n<\/tr>\n

    \n

    cmdl<\/p>\n<\/td>\n

    		\n

    „c:\\windows\\system32\\net localgroup group_name \/add \/domain<\/p>\n<\/td>\n

    		\n

    Die unterdr\u00fcckt die ausf\u00fchrbare Datei nur, wenn die exakten Argumente f\u00fcr diese Schl\u00fcsselerkennung \u00fcbereinstimmen.<\/p>\n<\/td>\n<\/tr>\n

    \n

    parent_exe_path<\/p>\n<\/td>\n

    		\n

    c:\\path\\admin\\\\support.exe<\/p>\n<\/td>\n

    		\n

    Dadurch wird die Erkennung dieser Schl\u00fcssel- und Elternkombination unterdr\u00fcckt.<\/p>\n

    Seien Sie vorsichtig, wenn Sie nur einen \u00fcbergeordneten Prozess unterdr\u00fccken. Es wird empfohlen, dies mit einem anderen, nicht \u00fcbergeordneten Parameter zu verwenden.<\/p>\n<\/td>\n<\/tr>\n

    \n

    \u00fcbergeordneter_exe_name<\/p>\n<\/td>\n

    		\n

    unterst\u00fctzen.exe<\/p>\n<\/td>\n

    		\n

    Dadurch wird die Erkennung dieser Schl\u00fcssel- und Elternkombination unterdr\u00fcckt.<\/p>\n<\/td>\n<\/tr>\n

    \n

    \u00fcbergeordnete_cmdl<\/p>\n<\/td>\n

    		\n

    c:\\windows\\system32\\net localgroup group_name \/add \/domain<\/p>\n<\/td>\n

    		\n

    Damit wird die Erkennung von Schl\u00fcsseln unterdr\u00fcckt, die von jedem Prozess erstellt werden, der genau mit dieser \u00fcbergeordneten Befehlszeile \u00fcbereinstimmt. WithSecure empfiehlt, dies zus\u00e4tzlich zu den untergeordneten Parametern zu verwenden. Das Verhalten des \u00fcbergeordneten Prozesses allein (ohne andere Parameter) zu akzeptieren, bedeutet, dass der Umfang der Unterdr\u00fcckung viel gr\u00f6\u00dfer ist, was m\u00f6glicherweise gef\u00e4hrlich ist.<\/p>\n<\/td>\n<\/tr>\n

    \n

    Nutzername<\/p>\n<\/td>\n

    		\n

    john_doe<\/p>\n<\/td>\n

    		\n

    Dadurch wird die Kombination aus Schl\u00fcsselerkennung und Benutzername unterdr\u00fcckt. Jeder Prozess, der die Schl\u00fcsselerkennung ausl\u00f6sen w\u00fcrde, wird f\u00fcr den angegebenen Benutzernamen zum Schweigen gebracht. WithSecure empfiehlt dringend, dies zusammen mit anderen Parametern zu verwenden.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    Welche Operatoren kann ich bei der Konfiguration von Parametern in einer Schl\u00fcsselerkennung verwenden?<\/h2>\n

    Mit Unterdr\u00fcckungsregeln k\u00f6nnen Sie zwei Operatoren einrichten: „Gleich“, der f\u00fcr alle Parameter gilt, wenn ihre L\u00e4nge weniger als 1024 Zeichen betr\u00e4gt, und „Enth\u00e4lt“, der auf alle Parameter anwendbar ist.<\/p>\n

    Wird die Zulassung sofort wirksam?<\/h2>\n

    Sie k\u00f6nnen die Unterdr\u00fcckungsregeln im Bereich „Automatisierte Aktionen“ \u00fcberpr\u00fcfen, siehe Registerkarte „Unterdr\u00fcckungsregeln“.<\/p>\n

    Sie k\u00f6nnen auf die Regel und auf die Anzahl der stummgeschalteten BCDs klicken. Dadurch gelangen Sie zur BCD-Ansicht, in der die entsprechenden BCDs aufgelistet sind, die durch diese Regel stummgeschaltet wurden.<\/p>\n

    Bereits bestehende BCDs werden nicht geschlossen, wenn eine neue Regel eingef\u00fchrt wird. Alle neuen BCDs, die nach der Implementierung der Regel erstellt werden, werden mit der Aufl\u00f6sung „Auto Accepted Behavior“ geschlossen.<\/p>\n

    HINWEIS: Unsere Partner\/Kunden werden in der Lage sein, eine Unterdr\u00fcckungsregel f\u00fcr neu erstellte BCD zu erstellen, sobald die Funktion freigegeben ist.<\/p>\n

    Warum kann ich keine Regeln sehen, die mit meinen bestehenden Zulassungsanfragen \u00fcbereinstimmen?<\/h2>\n

    Das WithSecure Detection and Response Team (DRT) hat in der WithSecure Erkennungsmaschine eine andere Ebene f\u00fcr die Erlaubnisliste implementiert, was bedeutet, dass BCDs nicht f\u00fcr die vom DRT durchgef\u00fchrte Erlaubnisliste erstellt werden. Daher sind die Regeln in der Ansicht „Unterdr\u00fcckungsregeln“ nicht verf\u00fcgbar.<\/p>\n

    Was unternimmt WithSecure, um Falschmeldungen zu reduzieren?<\/h2>\n

    Wir arbeiten derzeit an der Verbesserung der Erkennungsqualit\u00e4t, indem wir das Verh\u00e4ltnis von True Positive zu den insgesamt gemeldeten Vorf\u00e4llen erh\u00f6hen. Die L\u00f6sung besteht aus drei Teilen. Eine Simulation hat vielversprechende Ergebnisse erbracht, die darauf hindeuten, dass das BCD-Volumen um 40 % reduziert werden k\u00f6nnte.<\/p>\n

    Die drei unten aufgef\u00fchrten Teile werden dazu f\u00fchren, dass weniger mittlere, hohe und schwere GGM mit einer genaueren Risikoeinstufung erstellt werden;<\/p>\n

      \n
    • Verbesserung der L\u00e4rmunterdr\u00fcckungsmechanismen<\/strong> – Wir sind dabei, unseren Mechanismus umzugestalten, um Entdeckungen zu unterdr\u00fccken, die vom \u00fcblichen Verhalten abweichen.<\/li>\n
    • Verbesserter BCD-Risiko-Scoring-Algorithmus<\/strong> – Wir sind dabei, einen neuen Algorithmus zu implementieren, der eine Risikobewertung f\u00fcr ein BCD auf der Grundlage der Verteilung der Schweregrade \u00fcber die in dem BCD enthaltenen Entdeckungen sowie unter Verwendung fr\u00fcherer und aktueller Daten berechnet, um die Genauigkeit der Bewertung zu verbessern.<\/li>\n
    • Integration des BCD-Clustering-ML-Modells<\/strong> – Bei diesem Modell werden Vorf\u00e4lle auf der Grundlage ihrer \u00c4hnlichkeit mit anderen Vorf\u00e4llen, die bereits als RP bewertet oder von Kunden und Partnern best\u00e4tigt wurden, in Gruppen zusammengefasst.<\/li>\n<\/ul>\n

      Wer kann die Unterdr\u00fcckungsregeln bearbeiten?<\/h2>\n

      Wenn Sie ein Nur-Lese-Benutzer sind, sollten Sie keine Regeln hinzuf\u00fcgen oder bearbeiten d\u00fcrfen.<\/p>\n

      Wenn Sie ein Benutzer mit Vollzugriff auf ein Unternehmen sind, haben Sie die M\u00f6glichkeit;<\/p>\n

        \n
      • Regeln erstellen<\/li>\n
      • Bearbeiten Sie die f\u00fcr Ihr Unternehmen erstellten Regeln.<\/li>\n<\/ul>\n

        Wenn Sie ein Partner von Full Access sind, sollten Sie dazu in der Lage sein:<\/p>\n

          \n
        • Regeln erstellen<\/li>\n
        • Bearbeiten Sie die von Ihnen oder Ihren Kollegen auf Partnerebene erstellten Regeln.<\/li>\n
        • Bearbeiten Sie die von Ihren Kunden erstellten Regeln in den von Ihnen verwalteten Unternehmen.<\/li>\n<\/ul>\n

          Sind die Regeln unternehmensspezifisch?<\/h2>\n

          Ja, derzeit kann eine Regel nur f\u00fcr ein Unternehmen gelten. Wir haben die R\u00fcckmeldung erhalten, dass Partner gerne Regeln f\u00fcr mehrere Unternehmen anwenden w\u00fcrden, daher haben wir dies in unsere Roadmap aufgenommen.<\/p>\n

          Wer ist f\u00fcr die Validierung von Unterdr\u00fcckungsvorschriften zust\u00e4ndig?<\/h2>\n

          Der Partner muss sicherstellen, dass seine Analysten und Endbenutzer die Unterdr\u00fcckungsregeln verstehen und in der Lage sind, sie zu konfigurieren und zu verwalten. Der Partner muss sich dar\u00fcber im Klaren sein, dass \u00fcberm\u00e4\u00dfig unterdr\u00fcckende Regeln zu entgangenen Kompromissen f\u00fchren k\u00f6nnen, da BCDs verborgen werden. Wir empfehlen daher, dass der Partner\/Endbenutzer die Regeln und ihre Wirksamkeit regelm\u00e4\u00dfig \u00fcberpr\u00fcft.<\/p>\n

          Aufl\u00f6sungscodes neu<\/em><\/p>\n

            \n
          • Akzeptiertes Verhalten – Der Vorfall wurde abgeschlossen und wird nicht mehr \u00fcberwacht. Die Erkennung wurde als akzeptables Verhalten best\u00e4tigt.<\/li>\n
          • Automatisch akzeptiertes Verhalten – Der Vorfall wurde automatisch als akzeptiertes Verhalten auf der Grundlage der bestehenden Unterdr\u00fcckungsregeln geschlossen.<\/li>\n<\/ul>\n

            Hinweis: Das Schlie\u00dfen eines BCDs als akzeptiertes Verhalten bringt \u00e4hnliche BCDs nicht zum Schweigen, es muss eine Regel erstellt werden.<\/p>\n

            Akzeptierte Verhaltensweise nach dem 26. Juni 2024<\/h2>\n

            Ab dem 26. Juni 2024 wird „Accepted Behavior“ weltweit f\u00fcr alle Kunden verf\u00fcgbar sein.<\/p>\n

            Es wird m\u00f6glich sein, Unterdr\u00fcckungsregeln zu erstellen, die das Verhalten eines Benutzers oder Prozesses akzeptieren. Diese Funktion hilft bei der Unterdr\u00fcckung von „Broad Context Detection“ (BCDs) f\u00fcr erwartetes Verhalten. Partner und Kunden, die die L\u00f6sung EDR von WithSecureverwenden, k\u00f6nnen diese Funktion nutzen, um bestimmte Verhaltensweisen in ihren Umgebungen zuzulassen. Wenn Sie beispielsweise einem Prozess namens „XYZ“ in Verbindung mit der Software „ABC“ vertrauen, k\u00f6nnen Sie \u00e4hnliche BCDs unterdr\u00fccken, um unn\u00f6tige Alarme zu vermeiden.<\/p>\n

            Angenommenes Verhalten funktioniert durch Unterdr\u00fcckung von Schl\u00fcsselerkennungen innerhalb eines BCDs. Jedes BCD enth\u00e4lt einen oder mehrere Schl\u00fcsselerkennungen, die verd\u00e4chtiges Verhalten hervorheben. Unternehmen k\u00f6nnen Unterdr\u00fcckungsregeln erstellen, die auf ihren spezifischen Umst\u00e4nden basieren. Die Benutzer sollten jedoch darauf achten, die Unterdr\u00fcckung nicht zu weit zu fassen, da auch legitimes Verhalten betroffen sein k\u00f6nnte.<\/p>\n

            Zu den Einschr\u00e4nkungen dieser Version geh\u00f6rt die Aktivierung des „akzeptierten Verhaltens“ bei BCDs mit bis zu 5 Schl\u00fcsselerkennungen. Wir werden uns demn\u00e4chst mit F\u00e4llen befassen, in denen identische Regeln aufgrund von sich wiederholenden Schl\u00fcsselerkennungen erstellt werden.<\/p>\n

            Au\u00dferdem kann ein Partner eine Unterdr\u00fcckungsregel erstellen, die f\u00fcr alle von ihm verwalteten Unternehmen gilt. Zur Zeit gibt es die Einschr\u00e4nkung, dass er die Regel auf ein Unternehmen oder auf alle von ihm verwalteten Unternehmen anwenden kann. Wir hoffen, dass wir in Zukunft eine feinere Kontrolle dar\u00fcber erm\u00f6glichen werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

            Update 2024-06-19: Wir werden die Funktion „Angenommenes Verhalten“ ab dem 26. Juni 2024 weltweit aktivieren. Bitte beachten Sie den folgenden Abschnitt „Akzeptiertes Verhalten nach dem 26. Juni 2024“ f\u00fcr weitere…<\/p>\n","protected":false},"template":"","announcement_category":[142],"class_list":["post-7498","announcement","type-announcement","status-publish","hentry"],"acf":{"source_system":"vanilla-import","import_hash":"6f2358a49e177c2aec31b42182f3c24172f710b8","vanilla_article_id":31324,"legacy_author":"AndyF_WS","vanilla_url":"https:\/\/community.withsecure.com\/announcements-de\/kb\/articles\/31324-elements-edr-new-feature-accepted-behavior","vanilla_category_id":142,"machine_translated":true},"_links":{"self":[{"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/announcement\/7498","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/announcement"}],"about":[{"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/types\/announcement"}],"version-history":[{"count":1,"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/announcement\/7498\/revisions"}],"predecessor-version":[{"id":8321,"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/announcement\/7498\/revisions\/8321"}],"wp:attachment":[{"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/media?parent=7498"}],"wp:term":[{"taxonomy":"announcement_category","embeddable":true,"href":"https:\/\/support.withsecure.com\/de\/wp-json\/wp\/v2\/announcement_category?post=7498"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}