Funktionsübersicht
Was RoamSwitch erkennt, wie es Bedrohungen stoppt und was es steuert, gegliedert nach dem Schutzziel.
Ransomware 4
Erkennt Verschlüsselungsaktivität, stoppt sie und bietet einen Weg zurück zum Zustand vor dem Schaden.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Erkennung von Massenverschlüsselung T1486 | Überwacht Schreibvorgänge und trennt das Netzwerk, wenn sich in kurzer Zeit Dateien mit verschlüsseltem Inhalt häufen, damit sich der Schaden nicht ausbreitet. | AktionErkennen Isolieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux |
| Erkennung mit Köderdateien T1486 | Legt Köderdateien in wichtigen Ordnern ab und meldet Änderung, Löschung oder Verschlüsselung. Unter macOS wird zusätzlich automatisch das Netzwerk getrennt. | AktionErkennen Isolieren | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Wiederherstellung von Dateien aus der Zeit vor dem Schaden | Stellt Dateien aus regelmäßig erstellten Snapshots einzeln auf den Stand vor dem Schaden zurück. | AktionSteuern Aufzeichnen | StandardAn Manuelle Reaktion | ProdukteMac Linux |
| Prüfung der Aktualität der Backups | Prüft, ob das letzte Backup aktuell ist, und meldet, wenn es veraltet ist. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
Diebstahl von Zugangsdaten 5
Erkennt Versuche, Passwörter, Schlüssel und Token zu stehlen, sobald sie gelesen werden.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Köder-Zugangsdaten T1552.001 | Legt Köder-Zugangsdaten (AWS, SSH-Schlüssel, Docker u. a.) im Home-Verzeichnis ab und meldet den Zugriff sofort. Die Meldung nennt Programm, Befehl und Elternprozess. Echte Dateien werden nie überschrieben. | AktionErkennen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Überwachung des Lesezugriffs auf Zugangsdaten-Dateien T1552.001 | Meldet, wenn ein unerwartetes Programm SSH-Privatschlüssel, AWS- oder gcloud-Zugangsdaten, im Browser gespeicherte Passwörter, Anmeldedaten von KI-Agenten und ähnliche Dateien öffnet. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux |
| Überwachung der im Browser gespeicherten Daten T1555.003 | Meldet, wenn etwas anderes als der Browser die Dateien mit gespeicherten Passwörtern und Cookies von Chrome, Firefox u. a. öffnet. | AktionErkennen | StandardOptional Nur Benachrichtigung | ProdukteMac |
| Erkennung von API-Schlüsseln und privaten Schlüsseln T1204.004 | Findet API-Schlüssel und private Schlüssel in Text, Dateien, Ordnern und der Zwischenablage. Ergebnisse werden maskiert angezeigt. | AktionPrüfen | StandardAn Manuelle Reaktion | ProdukteMac Linux Linux Server |
| Prüfung der Anmeldedaten von KI-Agenten T1552.001 | Prüft Berechtigungen und Besitzer der Dateien, in denen Claude Code, Codex u. a. Anmeldedaten speichern, sowie ob sie in einem synchronisierten Ordner oder unter git liegen. Der Inhalt wird nicht gelesen. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac |
Verdächtige Ausführung und Malware 10
Verfolgt die Programme und Befehlsketten, die ein Angreifer ausführt, und prüft heruntergeladene Dateien.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Aufzeichnung der Prozessausführung und Erkennung von Angriffstechniken T1059.004 T1027 T1105 T1553.001 | Zeichnet ausgeführte Programme, Argumente und Eltern-Kind-Beziehungen manipulationssicher auf. Meldet Ketten wie eine aus dem Browser gestartete Shell, Herunterladen und Ausführen, verschleierte Ausführung und Ausführung unmittelbar nach dem Entfernen des Quarantäne-Attributs. Geheimnisse werden maskiert. | AktionErkennen Aufzeichnen | StandardOptional Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Import von Sigma-Regeln | Eigene Sigma-Regeln (Prozesserstellung) werden auf die Ausführungsaufzeichnung angewendet und erweitern die Erkennung. Regeln, die sich nicht laden lassen, werden mit Begründung aufgeführt. | AktionErkennen | StandardOptional Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Erkennung von Reverse Shells T1059.004 | Erkennt Shells und Interpreter, deren Ein- und Ausgabe an eine Verbindung nach außen gebunden ist, und meldet sie. Auch die Befehlsmuster selbst werden erkannt. | AktionErkennen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Malware-Prüfung direkt nach dem Download T1204.002 T1027 | Prüft heruntergeladene Dateien automatisch und stellt Funde unter Quarantäne. Dateien in Quarantäne lassen sich wiederherstellen oder endgültig löschen. | AktionErkennen Blockieren | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Mustervergleich des Dateiinhalts | Gleicht den Inhalt heruntergeladener Dateien mit bekannten Mustern ab. Unter Linux geschieht dies auch beim Schreiben einer Datei. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Anbindung an Apples Malware-Erkennung | Trennt das Netzwerk in dem Moment, in dem XProtect tatsächlich Malware erkennt. | AktionIsolieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac |
| Erkennung von ClickFix T1204.004 | Erkennt Angriffe, bei denen Nutzer über eine gefälschte Bestätigungsseite dazu gebracht werden, selbst einen Befehl einzufügen, anhand von Shell-Verlauf und Zwischenablage. | AktionErkennen Blockieren | StandardOptional Automatische Reaktion | ProdukteMac Linux |
| Blockieren gefährlicher Ausführung vor dem Start | Beurteilt die Bedrohung im Moment der Ausführung und verweigert die Ausführung echter Bedrohungen. | AktionBlockieren | StandardAn Automatische Reaktion | ProdukteLinux |
| Einbruchserkennung auf Kernel-Ebene mit autonomer Isolierung T1562.006 | Erfasst Reverse Shells, Rechteausweitung und die Ausführung unzulässiger Binärdateien anhand von Kernel-Ereignissen. Friert Prozesse ein oder beendet sie und isoliert den Host innerhalb von Millisekunden. | AktionErkennen Isolieren | StandardAn Automatische Reaktion | ProdukteLinux Server |
| Erkennung von Abstürzen der Web-Server-Worker | Erkennt anhand des Fehlerprotokolls, wenn nginx- und Apache-Worker in kurzer Zeit wiederholt abnormal beendet werden, und meldet das. | AktionErkennen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Server |
Persistenz und Manipulation 7
Erkennt, wie Angreifer einen Neustart überdauern, und Änderungen an kritischen Dateien.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Überwachung von Autostart-Einträgen T1543.001 T1543.002 T1053.003 T1546.004 | Meldet neue oder geänderte Autostart-Einträge sowie verdächtige Zeilen in Shell-Startdateien und ähnlichen Orten. Erkennt Reverse Shells und Muster zum direkten Herunterladen und Ausführen. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteMac Linux |
| Manipulationsüberwachung kritischer Systemdateien T1098.004 T1548.003 | Erfasst Hashes von Dateien, die nur root ändern kann, etwa sudoers, PAM, sshd-Einstellungen und die authorized_keys von root, und meldet Änderungen, Neuzugänge und Löschungen. Unter Server werden der ändernde Prozess und dessen Anmeldeinformationen ergänzt. | AktionErkennen Aufzeichnen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Server |
| Manipulationsüberwachung von Lock-Dateien T1195.001 | Erfasst package-lock.json und ähnliche Dateien registrierter Projekte und meldet Änderungen so lange, bis ein Mensch sie bestätigt. | AktionErkennen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac |
| Überwachung von SUID-/SGID-Änderungen T1548.001 | Meldet hinzugekommene und geänderte setuid- und setgid-Dateien. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux Server |
| Überwachung der Protokolllöschung T1070.002 | Meldet, wenn Authentifizierungsprotokolle und ähnliche Dateien geleert oder abgeschnitten werden. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux Server |
| Kernel-Härtung T1055 | Verringert Ansatzpunkte für Rechteausweitung und Ausführung durch ptrace-Beschränkungen, noexec auf /tmp und /dev/shm, Einschränkungen für unprivilegierte User-Namespaces und mehr. | AktionBlockieren | StandardAn | ProdukteLinux Linux Server |
| Prüfung von Kernel-Modulen, die Wege zur Rechteausweitung öffnen | Prüft, ob Module, die als Wege zur lokalen Rechteausweitung dienten, etwa Copy Fail und Dirty Frag, geladen werden können. Nicht genutzte Module lassen sich vom Laden ausschließen. | AktionPrüfen Steuern | StandardManuell starten Manuelle Reaktion | ProdukteLinux Linux Server |
Netzwerkabwehr 18
Passt den Schutz an das jeweilige Netzwerk an und stoppt verdächtige Verbindungen und Freigaben.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Wechsel der Schutzstufe je nach Netzwerk | Erkennt Heim-, Arbeits- und öffentliche WLANs automatisch und stellt Firewall und Freigabedienste entsprechend um. Manuelles Überschreiben ist möglich. | AktionSteuern Blockieren | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Automatisches Beenden und Wiederherstellen von Freigabediensten | Beendet SSH, Bildschirmfreigabe, Dateifreigabe und ähnliche Dienste in nicht vertrauenswürdigen Netzwerken und stellt sie in einem sicheren Netzwerk wieder her. | AktionSteuern Blockieren | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Prüfung extern erreichbarer Ports | Findet nach außen geöffnete Ports und bewertet gefährliche Dienste und lokale KI-Inferenzserver. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Automatisches Blockieren unbekannter Port-Freigaben T1562.004 | Blockiert in dem Moment, in dem ein bisher unbekanntes Programm einen Port nach außen öffnet. Wirkt auch ohne Signaturen gegen neue Backdoors. | AktionErkennen Blockieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux |
| Blockieren der externen Erreichbarkeit von Entwicklungsservern | Sperrt das äußere LAN von Entwicklungsservern und lokalen KI-Servern aus, die auf allen Schnittstellen lauschen. Von localhost aus bleiben sie nutzbar. | AktionBlockieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux |
| Erkennung und Blockierung eingehender Portscans T1046 | Erkennt Quellen, die sich in kurzer Zeit mit vielen Ports verbinden, und blockiert sie für einen festgelegten Zeitraum. Gateway, DNS und eigene Adressen werden nie blockiert. | AktionErkennen Blockieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux Linux Server |
| Erkennung von ARP-Spoofing und automatisches Blockieren T1557.002 | Erkennt verdächtige Änderungen der MAC-Adresse des Gateways und trennt die Kommunikation als Notmaßnahme. In nicht vertrauenswürdigen WLANs wird der ARP-Eintrag des Gateways fixiert. | AktionErkennen Isolieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux |
| Prüfung der WLAN-Sicherheit | Warnt vor Verbindungen zu unverschlüsselten WLANs oder schwacher Verschlüsselung. Ein erstmals gesehener Name, der einem bekannten Netzwerknamen ähnelt, wird als gefälschter Access Point gemeldet. | AktionErkennen Prüfen | StandardAn Nur Benachrichtigung | ProdukteMac Linux |
| Überwachung von Änderungen der Netzwerkeinstellungen T1557.003 | Vergleicht die vom Netzwerk verteilten DNS-Server, Router und die automatische Proxy-Konfiguration (PAC/WPAD) mit dem früheren Stand und meldet unbekannte Werte. Ein Hinweis auf einen gefälschten DHCP-Server. | AktionErkennen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux |
| DNS-Bedrohungsschutz | Blockiert die Namensauflösung von C2-Servern und Phishing-Seiten bereits auf DNS-Ebene. In einem vertrauenswürdigen Netzwerk wird der Ursprungszustand wiederhergestellt. | AktionBlockieren | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Link-Schutz T1566.002 T1071.004 | Erkennt Verbindungen zu Phishing- und Betrugsseiten anhand des Verbindungsziels und blockiert oder warnt. Funktioniert auch mit Browsern, die DoH verwenden. | AktionErkennen Blockieren | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Prüfung der URL-Sicherheit | Löst Kurz-URLs auf, verfolgt Weiterleitungen und beurteilt zum Verwechseln ähnliche Zeichen, Domains mit gefälschten Marken und gefährliche Domains, alles auf dem Gerät. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| VPN und Kill-Switch in nicht vertrauenswürdigen Netzwerken | Verbindet in nicht vertrauenswürdigen Netzwerken automatisch ein VPN und blockiert Datenabflüsse außerhalb des Tunnels. WireGuard oder Tailscale stehen zur Wahl. | AktionSteuern Blockieren | StandardOptional Automatische Reaktion | ProdukteMac Linux |
| Air-Gap (Not-Komplettsperre) | Trennt sofort jede externe Kommunikation und stellt die Schritte zur Aufhebung in den Vordergrund. Wird auch für automatische Sperren nach Erkennungen genutzt. | AktionIsolieren | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| WLAN-Abschaltung bei Air-Gap | Wenn Air-Gap die Verbindung trennt, wird auch das WLAN-Funkmodul abgeschaltet. | AktionIsolieren | StandardAn Automatische Reaktion | ProdukteMac |
| Eingehend standardmäßig gesperrt, ohne SSH-Aussperrung | Verweigert eingehenden Verkehr standardmäßig und trennt die aktuell genutzte SSH-Verwaltungssitzung nie. | AktionBlockieren | StandardAn Automatische Reaktion | ProdukteLinux Server |
| Blockieren ausgehenden Verkehrs zu bösartigen IPs | Blockiert ausgehenden Verkehr zu bekannten bösartigen und C2-IPs. Optional wird DNS auf einen Anbieter mit Filterung umgestellt. | AktionBlockieren | StandardAn Automatische Reaktion | ProdukteLinux Server |
| Erkennung von DNS-Tunneling T1071.004 | Erkennt Anzeichen für Datenabfluss und C2 über DNS und meldet sie. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux Server |
Web und E-Mail 4
Erkennt auf Websites abgelegten Schadcode und Angriffe auf Webserver.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Erkennung von Web-Shells und Schadcode T1505.003 | Findet Web-Shells und verschleierten eingeschleusten Code in Dateien, die in öffentliche Ordner geschrieben werden. Schwerwiegende Funde kommen standardmäßig in Quarantäne. Öffentliche Ordner werden automatisch aus Apache-, nginx- und Caddy-Einstellungen sowie Docker-Mounts ermittelt. | AktionErkennen Blockieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux Server |
| Erkennung von Identifier-Enumeration (Web-Zugriffsschutz) | Erkennt in Zugriffsprotokollen Anfragen, die Beleg- oder Bestellnummern der Reihe nach durchprobieren, auch bei auf viele IPs verteilten Angriffen. Bei entsprechender Konfiguration lassen sich die erkannten Quellen blockieren. | AktionErkennen Blockieren | StandardOptional Nur Benachrichtigung | ProdukteLinux Server |
| Web-Gate | Arbeitet mit nginx zusammen und schützt nur die Stellen, die Nummern entgegennehmen, mit einem Anfragebudget je Stelle. Bremst Angriffe, die ständig die IP wechseln. | AktionBlockieren | StandardOptional Automatische Reaktion | ProdukteLinux Server |
| Dateiscan-Schutz | Prüft in Mail-Relays, Freigabeordnern und ähnlichen Orten abgelegte Dateien mit YARA und ClamAV und stellt sie unter Quarantäne. | AktionErkennen Blockieren | StandardOptional Automatische Reaktion | ProdukteLinux Server |
SSH und Fernzugriff 2
Erkennt und stoppt Brute-Force-Anmeldungen und prüft auf schwache Einstellungen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Erkennung und Blockierung von SSH-Brute-Force T1110.001 | Erkennt und meldet Quellen mit wiederholten fehlgeschlagenen Anmeldungen in kurzer Zeit und blockiert neue Verbindungen zum SSH-Port. Bestehende Sitzungen bleiben erhalten; Gateway und eigene Adressen werden nicht blockiert. | AktionErkennen Blockieren | StandardAn mit Pro Automatische Reaktion | ProdukteMac Linux Linux Server |
| Prüfung der SSH- und sudo-Einstellungen T1548.003 | Prüft SSH-Einstellungen für den Fernzugriff und sudo ohne Passwort und zeigt, wie sie sich beheben lassen. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
Container und Server 6
Erkennt gefährliche Container-Starts und serverspezifische Anzeichen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Erkennung gefährlicher Container-Starts T1610 | Meldet den Start privilegierter Container oder solcher, die docker.sock einbinden. Auch Ausführungen innerhalb von Containern werden überwacht. | AktionErkennen | StandardOptional Nur Benachrichtigung | ProdukteMac Linux Server |
| Verhindern, dass Docker die Firewall umgeht | Verhindert, dass Docker Standard-Sperrregeln umgeht und Ports öffnet, die nicht freigegeben werden sollten. | AktionBlockieren | StandardAn Automatische Reaktion | ProdukteLinux Server |
| Erkennung von Ressourcenerschöpfung und Abstürzen | Erkennt und meldet stetig wachsenden Speicherverbrauch (Lecks oder DoS) bei im Netzwerk erreichbaren Diensten sowie wiederholte Abstürze. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux Server |
| Überwachung von Verbindungen zu Cloud-Metadaten T1552.005 | Meldet, wenn ein Programm oder Container ohne root-Rechte eine Verbindung zu einer Metadaten-API wie 169.254.169.254 aufbaut. Erfasst den letzten Schritt eines SSRF-Angriffs. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteLinux Server |
| Schutz dedizierter Konten für KI-Agenten | Läuft ein Agent unter einem eigenen Konto, wird ausgehender Verkehr auf eine Allowlist beschränkt, es werden Köder-Zugangsdaten platziert und Änderungen an Anweisungsdateien mit einer Baseline im Besitz von root abgeglichen. | AktionSteuern Erkennen | StandardOptional Nur Benachrichtigung | ProdukteLinux Server |
| Prozesse, die die Eindämmung nie stoppt | Zusätzlich zur eingebauten Liste lassen sich Prozesse festlegen, die die automatische Eindämmung nicht stoppen darf. Gültig sind nur ausführbare Dateien an Systemorten. | AktionSteuern | Standard— | ProdukteLinux Server |
Lieferkette 7
Erkennt Angriffe über Bibliotheken und Entwicklungsumgebungen, vor und nach dem Einbinden.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Abgleich von Paketen mit bekannten Schwachstellen | Gleicht installierte Pakete und Lock-Dateien von Projekten mit Schwachstellendaten auf dem Gerät ab. Es findet keine Netzwerkverbindung statt. CVEs mit Ausnutzungswahrscheinlichkeit (EPSS) werden absteigend sortiert. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux Linux Server |
| Akzeptanz von Schwachstellen | Eine CVE, die Sie nicht betrifft, lässt sich mit Begründung und Ablaufdatum akzeptieren. Nach Ablauf wird sie wieder normal erkannt. | AktionSteuern Aufzeichnen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| Prüfung von Code, der bei der Installation läuft T1195.001 | Listet Skripte auf, die bei der Installation laufen. Meldet hinzugekommene oder geänderte Skripte und neuen kompilierten Code gegenüber dem bestätigten Stand. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| Prüfung der Bezugsquellen von Abhängigkeiten | Weist auf Einstellungen hin, die Dependency-Confusion-Angriffe ermöglichen, etwa extra-index-url bei pip oder npm-Scopes ohne festgelegte Registry. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac |
| Erkennung ähnlich benannter Pakete | Beurteilt anhand der Editierdistanz, ob ein Abhängigkeitsname einem bekannten Paket zu ähnlich ist. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| Verifizierung von npm-Paketsignaturen | Prüft Signaturen und Herkunft installierter Pakete gegen die npm-Registry. | AktionPrüfen | StandardOptional Manuelle Reaktion | ProdukteMac Linux Server |
| Abgleich von Kernel-Schwachstellen | Gleicht die Version des laufenden Kernels mit bekannten Schwachstellen ab und zeigt das Ergebnis in der Diagnose. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteLinux Linux Server |
KI-Agenten und MCP 6
Schützt die Einstellungen von KI-Agenten und die Sicherheit der an die KI übergebenen Informationen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Audit der KI-Agenten-Konfiguration | Prüft Anweisungsdateien, Skills und Konfigurationsdateien. Weist auf unsichtbare Zeichen, überschriebene Anweisungen, Zeilen zum direkten Herunterladen und Ausführen, das Versenden geheimer Dateien nach außen und mehr hin. Meldet Abweichungen vom freigegebenen Stand; Ergebnisse lassen sich auch als SARIF ausgeben. | AktionPrüfen Erkennen | StandardManuell starten Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Prüfung der MCP-Konfiguration | Weist auf riskante Einträge in den MCP-Einstellungen von Claude Desktop, Claude Code, Cursor u. a. hin: automatische Freigabe, unverschlüsseltes http, Einzeiler-Starts, privilegierte Container und mehr. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux |
| Warnung vor eingeschleusten Anweisungen an die KI | Enthalten externe Zeichenfolgen wie Paketskripte, Protokolle, WLAN-Namen und Befehlszeilen Anweisungen an die KI, steht am Ende des Ergebnisses eine Warnung. Sie nennt nur die gefundenen Arten und deren Anzahl. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| MCP-Server zur Statusabfrage durch KI-Assistenten | Claude und andere können den Stand von Diagnosen und Erkennungen lesen. Es gibt keine Werkzeuge, die Einstellungen ändern, und keine Netzwerkkommunikation. | AktionBerichten | StandardAn | ProdukteMac Linux Linux Server |
| Selbstprüfung des Erkennungsumfangs | Listet je ATT&CK-Technik auf, ob sie erkannt werden kann, was außerhalb der Sicht bleibt und ob die zuständige Funktion gerade läuft. Auch als ATT&CK-Navigator-Layer ausgebbar. | AktionBerichten Prüfen | StandardAn | ProdukteMac Linux Linux Server |
| Erkennung lokaler KI-Laufzeitumgebungen | Beurteilt mit Konfidenzangabe, ob ein offener Port zu einer lokalen KI-Laufzeitumgebung wie Ollama, vLLM oder LiteLLM gehört. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac Linux |
Peripheriegeräte 3
Stoppt Angriffe über USB und Bluetooth schon beim Anschließen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| USB-Speicher-Kontrolle T1091 | Nicht freigegebene USB-Speicher werden schreibgeschützt verbunden oder zur Bestätigung zurückgehalten. Auch freigegebene Geräte sind direkt nach dem Anschließen schreibgeschützt; nach dem Scan werden die Rechte zurückgegeben. | AktionBlockieren Steuern | StandardOptional Manuelle Reaktion | ProdukteMac Linux |
| BadUSB-Schutz T1200 | Blockiert Eingaben von nicht freigegebenen Tastaturen und manipulierten USB-Kabeln bis zur Freigabe. Auffällige Anschlagsintervalle dienen als zusätzlicher Hinweis. | AktionBlockieren | StandardOptional Manuelle Reaktion | ProdukteMac Linux |
| Bluetooth-Kontrolle und -Prüfung | Macht das Gerät in nicht vertrauenswürdigen Netzwerken über Bluetooth unauffindbar. Prüft auch Einstellungen, die nicht gekoppelte Geräte durchlassen. | AktionSteuern Prüfen | StandardOptional Automatische Reaktion | ProdukteMac Linux |
Diagnose und Schwachstellen 5
Findet schwache Einstellungen und Schwachstellen, die sich tatsächlich erreichen lassen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Gesamte Sicherheitsdiagnose | Prüft zahlreiche Punkte, darunter Festplattenverschlüsselung, Firewall, OS-Updates, SSH, offene Ports und Browserschutz, und zeigt Punktzahl und Lösungswege. Ob ein diagnostizierter Punkt noch besteht, lässt sich erneut prüfen. | AktionPrüfen Berichten | StandardAn Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Beweisbasierter Schwachstellenscan | Beschränkt auf 127.0.0.1 dieses Geräts wird zerstörungsfrei geprüft, ob Dienste ohne Authentifizierung erreichbar sind, ob CORS falsch konfiguriert ist, ob Path Traversal möglich ist und mehr. Jede Prüfung nennt, was zurückbleibt und wie stark der Nachweis ist. | AktionPrüfen | StandardOptional Manuelle Reaktion | ProdukteMac Linux |
| Prüfung von LLMNR- und NBNS-Antworten T1557.001 | Prüft, ob dieses Gerät an einer Namensauflösung teilnimmt, die jeder im selben Netzwerk beantworten kann. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteLinux Linux Server |
| Analyse von Pfaden zur Rechteausweitung | Zeigt als Graph und Liste die Pfade, die über die docker-Gruppe, SUID, beschreibbare Dienst-Programme, sudo ohne Passwort, cron, macOS-Datenschutzfreigaben und mehr zu root oder sensiblen Daten führen. Die Pfade nach einer Korrektur lassen sich auch hypothetisch durchrechnen. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProduktePathScope |
| Schwachstellenaudit von außerhalb des Hosts im LAN | Ein dediziertes Gerät im LAN prüft zerstörungsfrei die offenen Ports und anfälligen Dienste gekoppelter Geräte. Es zeigt, wie das Gerät von einem anderen Rechner im selben LAN aus erscheint, was die Diagnose des Hosts selbst nicht sieht. | AktionPrüfen | StandardManuell starten Manuelle Reaktion | ProdukteSensor |
Log-Analyse und Untersuchung 22
Findet Angriffsversuche mit Belegen anhand von Protokollen und LAN-Informationen.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Audit der Sicherheitsprotokolle | Wertet aus Protokollen sudo-Fehlschläge, SSH, Gatekeeper-Sperren, Authentifizierung und mehr aus. Erstmals auftretende Protokollarten und plötzliche Häufungen werden als Auffälligkeit gemeldet. Geheimnisse werden maskiert. | AktionErkennen Prüfen | StandardAn mit Pro Nur Benachrichtigung | ProdukteMac Linux Linux Server |
| Diagnose von Zugriffsprotokollen (AccessScope) | Findet Angriffsversuche in Webserver- und SSH-Protokollen samt der belegenden Zeilen. Protokolle werden automatisch gefunden; auch Ketten über mehrere Protokolle und Abweichungen vom Normalen werden gezeigt. Nicht lesbare Bereiche erscheinen im Bericht. | AktionErkennen Berichten | StandardManuell starten | ProdukteAccessScope |
| Statusprüfung per Knopfdruck (PersonalSOC) | Prüft schreibgeschützt SSH-Authentifizierung, auditd, Web, DNS und das macOS-Unified-Log sowie MCP-Einstellungen und den Erkennungsverlauf von RoamSwitch. Fasst alles in einem Dashboard und einem Bericht mit IOCs zusammen. | AktionBerichten Prüfen | StandardManuell starten | ProduktePersonalSOC |
| Autonome Untersuchung durch ein LLM (PersonalSOC, optional) | Wenn aktiviert, untersucht ein LLM ausschließlich mit den erlaubten schreibgeschützten Werkzeugen und verfasst einen Bericht. Weder Shell noch Dateien werden übergeben. Vom LLM genannte Werte, die nicht im gesammelten Material stehen, werden als mögliche Erfindung gekennzeichnet. | AktionBerichten | StandardOptional | ProduktePersonalSOC |
| Geplante Ausführung (PersonalSOC, optional) | Richtet eine geplante Ausführung mit Benutzerrechten ein und meldet die Anzahl nur, wenn es Funde gibt, die beim letzten Mal nicht vorhanden waren. | AktionBerichten | StandardOptional Nur Benachrichtigung | ProduktePersonalSOC |
| Ansatzpunkte und Korrekturvorschläge (PathScope) | Zeigt mit Priorität die Stellen, an denen eine Korrektur zuerst am meisten bringt, samt Beispielbefehlen und passenden ATT&CK-Techniken. Befehle werden nie automatisch ausgeführt. | AktionBerichten | StandardManuell starten | ProduktePathScope |
| Abgleich installierter Software mit bekannten Schwachstellen (PathScope) | Gleicht die Versionen installierter Software mit den mitgelieferten Daten zu bekannten Schwachstellen (CISA KEV u. a.) ab. Einträge mit öffentlich verfügbarem Exploit-Modul werden entsprechend gekennzeichnet. | AktionPrüfen | StandardManuell starten | ProduktePathScope |
| Verlaufsvergleich und fortlaufende Prüfung (PathScope) | Speichert Analyseergebnisse als Verlauf auf dem Gerät und vergleicht sie mit dem vorherigen Lauf. Neue Pfade werden mit Exit-Code 1 gemeldet; daher auch für geplante Läufe geeignet. | AktionAufzeichnen Berichten | StandardManuell starten | ProduktePathScope |
| LLM-Erläuterungen und Auswertung von Einstellungen (PathScope, optional) | Die Erläuterung der Ergebnisse und die Deutung schwer lesbarer Einstellungen wie sudoers und cron lassen sich einem LLM übertragen. Private Schlüssel und API-Schlüssel werden nie gesendet. Werte in der Erläuterung, die nicht im Material stehen, werden als mögliche Erfindung gekennzeichnet. | AktionBerichten | StandardOptional | ProduktePathScope |
| Eingrenzung der zu prüfenden Funde (AccessScope) | Eigene IPs und Ähnliches lassen sich mit Begründung ausschließen. Im Vergleich mit der vorherigen Diagnose werden nur neue Funde gemeldet. | AktionSteuern | StandardManuell starten | ProdukteAccessScope |
| Export der Ergebnisse (AccessScope) | Exportiert den Bericht als Markdown, JSON, SARIF oder CSV. Auch eine Sperrliste der erkannten IPs lässt sich exportieren. Es wird nur exportiert, nicht blockiert. | AktionBerichten | StandardManuell starten | ProdukteAccessScope |
| Analyse durch ein LLM (AccessScope, optional) | Wenn aktiviert, übergibt es Zusammenfassung und Belegzeilen an ein LLM, das den Bericht verfasst. Geheimnisse werden maskiert. Vom LLM genannte Werte, die nicht im übergebenen Material stehen, werden als mögliche Erfindung gekennzeichnet. | AktionBerichten | StandardOptional | ProdukteAccessScope |
| Erkennung verdächtigen LAN-Verkehrs (Sensor, passiver Mitschnitt) | Mit passivem Mitschnitt, etwa über einen Mirror-Port, zeigt es als Referenz Verbindungen zu bekannten bösartigen IPs und Verwaltungsports, Anzeichen von Botnet-Aktivität und DNS-Tunneling. Der Verkehr wird nicht blockiert. | AktionErkennen | StandardOptional Nur Benachrichtigung | ProdukteSensor |
| Geplante Audits und Unterschiede zum letzten Lauf (Sensor) | Prüft gekoppelte Geräte in regelmäßigen Abständen und zeigt neue Funde, behobene Punkte und neu geöffnete Ports. | AktionPrüfen Berichten | StandardOptional Nur Benachrichtigung | ProdukteSensor |
| Auditberichte und Benachrichtigungen (Sensor) | Auditergebnisse, Geräteverzeichnis und Bedienprotokoll lassen sich als CSV, JSON oder HTML exportieren. Neue Geräte, ARP-Spoofing und mehr können an einen Webhook und per syslog gemeldet werden. Das Bedienprotokoll ist manipulationssicher. | AktionBerichten Aufzeichnen | StandardOptional Nur Benachrichtigung | ProdukteSensor |
| Geräteverzeichnis des LANs und ARP-Überwachung | Erfasst Geräte im LAN, führt ein Verzeichnis und meldet neue Geräte sowie Änderungen der MAC zu einer bekannten IP (ARP-Spoofing). | AktionErkennen Aufzeichnen | StandardAn Nur Benachrichtigung | ProdukteSensor |
| Erkennung gefälschter DHCP-Server und IPv6-Router | Sendet von einer zufälligen MAC aus ein einziges Erkundungspaket und zählt die antwortenden DHCP-Server und IPv6-Router. Meldet später hinzukommende Server sowie Server, die ein vom regulären abweichendes Gateway verteilen. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteSensor |
| Lernen des üblichen Verhaltens jedes Geräts | Lernt die Kommunikationsgewohnheiten jedes Geräts und meldet Abweichungen vom üblichen Verhalten. | AktionErkennen | StandardAn Nur Benachrichtigung | ProdukteSensor |
| Leichtgewichtiger Audit nicht verwalteter Geräte | Prüft nicht gekoppelte Geräte wie Drucker und Kameras nur im freigegebenen Bereich, ausschließlich durch Verbindungstests und das Lesen von Dienstbannern. | AktionPrüfen | StandardOptional Manuelle Reaktion | ProdukteSensor |
| Zeitleiste von Vorfällen | Fasst Eindämmungs- und Erkennungsaufzeichnungen in einer Zeitleiste zusammen, mit Prozessabstammung und ATT&CK-Tags. | AktionBerichten Aufzeichnen | StandardAn | ProdukteMac Linux |
| Liste angeschlossener USB-Geräte | Listet die aktuell angeschlossenen externen USB-Geräte auf. | AktionPrüfen | StandardAn | ProdukteMac |
| Schutz direkt nach dem Start (experimentell) | Blockiert ab einer frühen Phase des Starts, bis das System bereit ist, jeden Verkehr außer ARP und DHCP-Clients. | AktionBlockieren | StandardOptional Automatische Reaktion | ProdukteLinux Linux Server |
Beweise, Benachrichtigung und Betrieb 14
Sichert Belege zu Erkennungen, informiert die Zuständigen und fügt sich in den Betrieb ein.
| Funktion | Leistung | Aktion | Standard | Produkte |
|---|---|---|---|---|
| Selbstüberwachung und automatischer Neustart T1562.001 | Beendet sich RoamSwitch selbst abnormal, wird es neu gestartet und meldet das. | AktionSteuern Erkennen | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Automatische Updates signierter Bedrohungsdaten | Empfängt Bedrohungs-Feeds, Schwachstellendaten und Regeln nach Prüfung der Signatur. Es werden keine Informationen über das Gerät gesendet. | AktionSteuern | StandardAn | ProdukteMac Linux Linux Server |
| Deinstallation mit vollständiger Wiederherstellung | Vor dem Entfernen werden Netzwerkeinstellungen wiederhergestellt sowie Köderdateien und hinzugefügte Einstellungen entfernt. | AktionSteuern | StandardManuell starten Manuelle Reaktion | ProdukteMac Linux Linux Server |
| Zentrale Verwaltung durch eine Organisation (Fleet) | Registriert Geräte in einer Organisation und empfängt und wendet signierte Richtlinien an. Auf dem Gerät lassen sich Registrierung und Richtlinienstand prüfen. | AktionSteuern Berichten | StandardOptional | ProdukteLinux Linux Server |
| Regelmäßiger autonomer Rundgang | Führt die Gesamtdiagnose regelmäßig im Hintergrund aus. | AktionPrüfen | StandardAn Nur Benachrichtigung | ProdukteMac |
| Automatische Beweissicherung bei der Eindämmung | Beginnt die Eindämmung, werden die Belege zu diesem Zeitpunkt automatisch gesammelt. Die Integrität lässt sich über den SHA-256 jeder Datei bestätigen. | AktionAufzeichnen | StandardAn Automatische Reaktion | ProdukteMac Linux |
| Benachrichtigungsverlauf | Zeigt aktuelle Benachrichtigungen mit verursachendem Programm, Befehl und Pfad. Lässt sich die Ursache nicht ermitteln, wird das so angegeben. | AktionAufzeichnen Berichten | StandardAn | ProdukteMac Linux Linux Server |
| Notfallbenachrichtigungen (Telegram, LINE, Webhook) | Sendet schwerwiegende Erkennungen an Telegram, LINE und Webhooks. Slack, Discord und Teams lassen sich über eine eingehende Webhook-URL nutzen. | AktionBerichten | StandardOptional Nur Benachrichtigung | ProdukteLinux Server |
| Weiterleitung von Ereignissen (SIEM, syslog, Webhook) | Leitet Erkennungen und Benachrichtigungen an das angegebene syslog, eine JSON-Lines-Datei oder einen signierten Webhook weiter. Nicht zustellbare Ereignisse werden erneut gesendet. | AktionBerichten | StandardOptional | ProdukteMac Linux Server |
| Aufzeichnungen mit Manipulationserkennung | Verkettet die Ausführungsaufzeichnung per Hash, sodass sie sich später prüfen lässt. Auch im gerade beschriebenen Abschnitt werden in festen Abständen Checkpoints gesetzt. | AktionAufzeichnen | StandardAn | ProdukteMac Linux Linux Server |
| Alle Funktionen im Terminal bedienen | Alle Funktionen der Server Edition lassen sich allein per Tastatur auf einem 80x24-Bildschirm über SSH bedienen. Einstellungen zeigen vor dem Speichern die Unterschiede an, und ein Backup wird erstellt. | AktionSteuern | StandardAn | ProdukteLinux Server |
| Audits durch Sensor empfangen | Koppeln Sie die Server Edition mit einem Sensor, um Audits von außerhalb des Hosts im LAN zu erhalten. | AktionSteuern Prüfen | StandardOptional Manuelle Reaktion | ProdukteLinux Server |
| Kopplung und Widerruf | Mit einem Einmalcode vertrauen sich Gerät und Sensor gegenseitig. Bei Verlust oder Diebstahl wird der Sensor über den Collector widerrufen und stoppt dann von selbst. | AktionSteuern | Standard— Manuelle Reaktion | ProdukteSensor |
| Zusammenführung mehrerer Standorte (Collector) | Sammelt die Zusammenfassungen mehrerer Sensoren signiert ein. Der Stand jedes Standorts ist im Dashboard sichtbar und lässt sich als CSV exportieren. | AktionBerichten | StandardOptional | ProdukteSensor |
Keine passenden Funktionen
Was automatisch stoppt und was nur meldet
Welche Funktionen nach einer Erkennung selbst handeln und welche nur benachrichtigen.
Automatisch blockieren oder isolieren 27
| Funktion | Aktion | Standard | Produkte |
|---|---|---|---|
| Erkennung von Massenverschlüsselung | AktionErkennen Isolieren | StandardAn mit Pro | ProdukteMac Linux |
| Malware-Prüfung direkt nach dem Download | AktionErkennen Blockieren | StandardAn | ProdukteMac Linux |
| Anbindung an Apples Malware-Erkennung | AktionIsolieren | StandardAn mit Pro | ProdukteMac |
| Erkennung von ClickFix | AktionErkennen Blockieren | StandardOptional | ProdukteMac Linux |
| Blockieren gefährlicher Ausführung vor dem Start | AktionBlockieren | StandardAn | ProdukteLinux |
| Einbruchserkennung auf Kernel-Ebene mit autonomer Isolierung | AktionErkennen Isolieren | StandardAn | ProdukteLinux Server |
| Wechsel der Schutzstufe je nach Netzwerk | AktionSteuern Blockieren | StandardAn | ProdukteMac Linux |
| Automatisches Beenden und Wiederherstellen von Freigabediensten | AktionSteuern Blockieren | StandardAn | ProdukteMac Linux |
| Automatisches Blockieren unbekannter Port-Freigaben | AktionErkennen Blockieren | StandardAn mit Pro | ProdukteMac Linux |
| Blockieren der externen Erreichbarkeit von Entwicklungsservern | AktionBlockieren | StandardAn mit Pro | ProdukteMac Linux |
| Erkennung und Blockierung eingehender Portscans | AktionErkennen Blockieren | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Erkennung von ARP-Spoofing und automatisches Blockieren | AktionErkennen Isolieren | StandardAn mit Pro | ProdukteMac Linux |
| DNS-Bedrohungsschutz | AktionBlockieren | StandardAn | ProdukteMac Linux |
| Link-Schutz | AktionErkennen Blockieren | StandardAn | ProdukteMac Linux |
| VPN und Kill-Switch in nicht vertrauenswürdigen Netzwerken | AktionSteuern Blockieren | StandardOptional | ProdukteMac Linux |
| WLAN-Abschaltung bei Air-Gap | AktionIsolieren | StandardAn | ProdukteMac |
| Eingehend standardmäßig gesperrt, ohne SSH-Aussperrung | AktionBlockieren | StandardAn | ProdukteLinux Server |
| Blockieren ausgehenden Verkehrs zu bösartigen IPs | AktionBlockieren | StandardAn | ProdukteLinux Server |
| Erkennung von Web-Shells und Schadcode | AktionErkennen Blockieren | StandardAn mit Pro | ProdukteMac Linux Server |
| Web-Gate | AktionBlockieren | StandardOptional | ProdukteLinux Server |
| Dateiscan-Schutz | AktionErkennen Blockieren | StandardOptional | ProdukteLinux Server |
| Erkennung und Blockierung von SSH-Brute-Force | AktionErkennen Blockieren | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Verhindern, dass Docker die Firewall umgeht | AktionBlockieren | StandardAn | ProdukteLinux Server |
| Bluetooth-Kontrolle und -Prüfung | AktionSteuern Prüfen | StandardOptional | ProdukteMac Linux |
| Schutz direkt nach dem Start (experimentell) | AktionBlockieren | StandardOptional | ProdukteLinux Linux Server |
| Selbstüberwachung und automatischer Neustart | AktionSteuern Erkennen | StandardAn | ProdukteMac Linux |
| Automatische Beweissicherung bei der Eindämmung | AktionAufzeichnen | StandardAn | ProdukteMac Linux |
Nur Benachrichtigung 42
| Funktion | Aktion | Standard | Produkte |
|---|---|---|---|
| Erkennung mit Köderdateien | AktionErkennen Isolieren | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Prüfung der Aktualität der Backups | AktionPrüfen | StandardAn | ProdukteMac Linux Linux Server |
| Köder-Zugangsdaten | AktionErkennen | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Überwachung des Lesezugriffs auf Zugangsdaten-Dateien | AktionErkennen | StandardAn | ProdukteLinux |
| Überwachung der im Browser gespeicherten Daten | AktionErkennen | StandardOptional | ProdukteMac |
| Prüfung der Anmeldedaten von KI-Agenten | AktionPrüfen | StandardAn | ProdukteMac |
| Aufzeichnung der Prozessausführung und Erkennung von Angriffstechniken | AktionErkennen Aufzeichnen | StandardOptional | ProdukteMac Linux Linux Server |
| Import von Sigma-Regeln | AktionErkennen | StandardOptional | ProdukteMac Linux Linux Server |
| Erkennung von Reverse Shells | AktionErkennen | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Mustervergleich des Dateiinhalts | AktionErkennen | StandardAn | ProdukteMac Linux Linux Server |
| Erkennung von Abstürzen der Web-Server-Worker | AktionErkennen | StandardAn mit Pro | ProdukteMac Linux Server |
| Überwachung von Autostart-Einträgen | AktionErkennen | StandardAn | ProdukteMac Linux |
| Manipulationsüberwachung kritischer Systemdateien | AktionErkennen Aufzeichnen | StandardAn mit Pro | ProdukteMac Linux Server |
| Manipulationsüberwachung von Lock-Dateien | AktionErkennen | StandardAn mit Pro | ProdukteMac |
| Überwachung von SUID-/SGID-Änderungen | AktionErkennen | StandardAn | ProdukteLinux Server |
| Überwachung der Protokolllöschung | AktionErkennen | StandardAn | ProdukteLinux Server |
| Prüfung extern erreichbarer Ports | AktionPrüfen | StandardAn | ProdukteMac Linux Linux Server |
| Prüfung der WLAN-Sicherheit | AktionErkennen Prüfen | StandardAn | ProdukteMac Linux |
| Überwachung von Änderungen der Netzwerkeinstellungen | AktionErkennen | StandardAn mit Pro | ProdukteMac Linux |
| Erkennung von DNS-Tunneling | AktionErkennen | StandardAn | ProdukteLinux Server |
| Erkennung von Identifier-Enumeration (Web-Zugriffsschutz) | AktionErkennen Blockieren | StandardOptional | ProdukteLinux Server |
| Prüfung der SSH- und sudo-Einstellungen | AktionPrüfen | StandardAn | ProdukteMac Linux Linux Server |
| Erkennung gefährlicher Container-Starts | AktionErkennen | StandardOptional | ProdukteMac Linux Server |
| Erkennung von Ressourcenerschöpfung und Abstürzen | AktionErkennen | StandardAn | ProdukteLinux Server |
| Überwachung von Verbindungen zu Cloud-Metadaten | AktionErkennen | StandardAn | ProdukteLinux Server |
| Schutz dedizierter Konten für KI-Agenten | AktionSteuern Erkennen | StandardOptional | ProdukteLinux Server |
| Abgleich von Kernel-Schwachstellen | AktionPrüfen | StandardAn | ProdukteLinux Linux Server |
| Audit der KI-Agenten-Konfiguration | AktionPrüfen Erkennen | StandardManuell starten | ProdukteMac Linux Linux Server |
| Warnung vor eingeschleusten Anweisungen an die KI | AktionErkennen | StandardAn | ProdukteMac Linux Linux Server |
| Erkennung lokaler KI-Laufzeitumgebungen | AktionPrüfen | StandardAn | ProdukteMac Linux |
| Gesamte Sicherheitsdiagnose | AktionPrüfen Berichten | StandardAn | ProdukteMac Linux Linux Server |
| Prüfung von LLMNR- und NBNS-Antworten | AktionPrüfen | StandardAn | ProdukteLinux Linux Server |
| Audit der Sicherheitsprotokolle | AktionErkennen Prüfen | StandardAn mit Pro | ProdukteMac Linux Linux Server |
| Geplante Ausführung (PersonalSOC, optional) | AktionBerichten | StandardOptional | ProduktePersonalSOC |
| Erkennung verdächtigen LAN-Verkehrs (Sensor, passiver Mitschnitt) | AktionErkennen | StandardOptional | ProdukteSensor |
| Geplante Audits und Unterschiede zum letzten Lauf (Sensor) | AktionPrüfen Berichten | StandardOptional | ProdukteSensor |
| Auditberichte und Benachrichtigungen (Sensor) | AktionBerichten Aufzeichnen | StandardOptional | ProdukteSensor |
| Geräteverzeichnis des LANs und ARP-Überwachung | AktionErkennen Aufzeichnen | StandardAn | ProdukteSensor |
| Erkennung gefälschter DHCP-Server und IPv6-Router | AktionErkennen | StandardAn | ProdukteSensor |
| Lernen des üblichen Verhaltens jedes Geräts | AktionErkennen | StandardAn | ProdukteSensor |
| Regelmäßiger autonomer Rundgang | AktionPrüfen | StandardAn | ProdukteMac |
| Notfallbenachrichtigungen (Telegram, LINE, Webhook) | AktionBerichten | StandardOptional | ProdukteLinux Server |
Manuelle Reaktion 21
| Funktion | Aktion | Standard | Produkte |
|---|---|---|---|
| Wiederherstellung von Dateien aus der Zeit vor dem Schaden | AktionSteuern Aufzeichnen | StandardAn | ProdukteMac Linux |
| Erkennung von API-Schlüsseln und privaten Schlüsseln | AktionPrüfen | StandardAn | ProdukteMac Linux Linux Server |
| Prüfung von Kernel-Modulen, die Wege zur Rechteausweitung öffnen | AktionPrüfen Steuern | StandardManuell starten | ProdukteLinux Linux Server |
| Prüfung der URL-Sicherheit | AktionPrüfen | StandardManuell starten | ProdukteMac Linux |
| Air-Gap (Not-Komplettsperre) | AktionIsolieren | StandardManuell starten | ProdukteMac Linux |
| Abgleich von Paketen mit bekannten Schwachstellen | AktionPrüfen | StandardManuell starten | ProdukteMac Linux Linux Server |
| Akzeptanz von Schwachstellen | AktionSteuern Aufzeichnen | StandardManuell starten | ProdukteMac Linux |
| Prüfung von Code, der bei der Installation läuft | AktionPrüfen | StandardManuell starten | ProdukteMac Linux |
| Prüfung der Bezugsquellen von Abhängigkeiten | AktionPrüfen | StandardManuell starten | ProdukteMac |
| Erkennung ähnlich benannter Pakete | AktionPrüfen | StandardManuell starten | ProdukteMac Linux |
| Verifizierung von npm-Paketsignaturen | AktionPrüfen | StandardOptional | ProdukteMac Linux Server |
| Prüfung der MCP-Konfiguration | AktionPrüfen | StandardManuell starten | ProdukteMac Linux |
| USB-Speicher-Kontrolle | AktionBlockieren Steuern | StandardOptional | ProdukteMac Linux |
| BadUSB-Schutz | AktionBlockieren | StandardOptional | ProdukteMac Linux |
| Beweisbasierter Schwachstellenscan | AktionPrüfen | StandardOptional | ProdukteMac Linux |
| Analyse von Pfaden zur Rechteausweitung | AktionPrüfen | StandardManuell starten | ProduktePathScope |
| Schwachstellenaudit von außerhalb des Hosts im LAN | AktionPrüfen | StandardManuell starten | ProdukteSensor |
| Leichtgewichtiger Audit nicht verwalteter Geräte | AktionPrüfen | StandardOptional | ProdukteSensor |
| Deinstallation mit vollständiger Wiederherstellung | AktionSteuern | StandardManuell starten | ProdukteMac Linux Linux Server |
| Audits durch Sensor empfangen | AktionSteuern Prüfen | StandardOptional | ProdukteLinux Server |
| Kopplung und Widerruf | AktionSteuern | Standard— | ProdukteSensor |
Was abgedeckt ist und was nicht 52
Je Angriffstechnik (MITRE ATT&CK): erkannt, teilweise erkannt oder nicht abgedeckt.
| Technik | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | MacTeilweise | Linux— | Linux Server— |
| T1036 Masquerading | MacNicht abgedeckt | LinuxNicht abgedeckt | Linux ServerNicht abgedeckt |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1046 Network Service Discovery | MacTeilweise | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1055 Process Injection | MacNicht abgedeckt | LinuxTeilweise | Linux ServerTeilweise |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1059.002 Command and Scripting Interpreter: AppleScript | MacTeilweise | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1068 Exploitation for Privilege Escalation | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | MacNicht abgedeckt | LinuxNicht abgedeckt | Linux ServerTeilweise |
| T1070.003 Indicator Removal: Clear Command History | MacNicht abgedeckt | LinuxNicht abgedeckt | Linux ServerNicht abgedeckt |
| T1070.004 Indicator Removal: File Deletion | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1071.004 Application Layer Protocol: DNS | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1091 Replication Through Removable Media | MacTeilweise | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1105 Ingress Tool Transfer | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1110.001 Brute Force: Password Guessing | MacErkannt | LinuxTeilweise | Linux ServerTeilweise |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | MacTeilweise | Linux— | Linux Server— |
| T1200 Hardware Additions | MacTeilweise | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | MacTeilweise | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | MacTeilweise | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1490 Inhibit System Recovery | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1505.003 Server Software Component: Web Shell | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1543.001 Create or Modify System Process: Launch Agent | MacErkannt | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | LinuxTeilweise | Linux ServerTeilweise |
| T1543.004 Create or Modify System Process: Launch Daemon | MacErkannt | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1547.015 Boot or Logon Autostart Execution: Login Items | MacNicht abgedeckt | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | LinuxNicht abgedeckt | Linux ServerTeilweise |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | MacTeilweise | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | LinuxNicht abgedeckt | Linux ServerTeilweise |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | MacTeilweise | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | MacTeilweise | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | MacTeilweise | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | MacNicht abgedeckt | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | MacTeilweise | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | MacTeilweise | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1562.001 Impair Defenses: Disable or Modify Tools | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | MacNicht abgedeckt | LinuxTeilweise | Linux ServerNicht abgedeckt |
| T1562.006 Impair Defenses: Indicator Blocking | MacNicht abgedeckt | LinuxNicht abgedeckt | Linux ServerTeilweise |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | LinuxNicht abgedeckt | Linux ServerNicht abgedeckt |
| T1566.002 Phishing: Spearphishing Link | MacTeilweise | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | MacNicht abgedeckt | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | MacTeilweise | LinuxTeilweise | Linux ServerTeilweise |
| T1610 Deploy Container | MacTeilweise | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | LinuxTeilweise | Linux ServerTeilweise |
„Nicht abgedeckt“ bedeutet, dass es keinen Mechanismus gibt, der diese Technik erkennt.