Wir schützen Ihr Unternehmen dort, wo Angriffe stattfinden: bei Geräten, Daten, Identitäten, Netzwerk, Endpunkten, Servern, Cloud Apps und Nutzern. Risk Policies legen fest, wer unter welchen Bedingungen worauf zugreifen darf, und Security Measurements zeigen mit Kennzahlen, wo Sie stehen. Daraus entstehen priorisierte Maßnahmen, die wir umsetzen, laufend weiterentwickeln und optimieren, auf Wunsch dauerhaft im Rahmen eines Service Level Agreements. So ist IT-Sicherheit kein einmaliges Projekt, sondern ein fortlaufender Betrieb, der sich nach Ihrem Unternehmen richtet und nicht nach einem Standardpaket. Als IT-Dienstleister für OWL, Verl, Gütersloh, Bielefeld und Münster sind wir remote und nach Absprache vor Ort für Sie da.
Wir schützen alle Ebenen und verbessern Ihre Sicherheit dauerhaft
Microsoft Security-Stack
Schutz über alle Ebenen, von Geräten, Daten und Identitäten über Netzwerk, Endpunkte und Server bis zu Cloud Apps und Nutzern
Endpunkt- und Geräteschutz für Clients und Server mit Microsoft Defender for Endpoint, Intune und kontinuierlicher Bedrohungserkennung rund um die Uhr (EDR und XDR)
Identitäten und Nutzer absichern mit Microsoft Entra ID, Mehrfaktor-Authentifizierung, Risk Policies und Conditional Access
Firewall und Netzwerk On-Prem, hybrid oder in der Cloud mit Segmentierung, Überwachung und Microsoft Defender for Cloud
Cloud Apps und Daten schützen mit Microsoft Defender for Cloud Apps, Purview DLP und Sensitivity Labels
E-Mail-Sicherheit und Phishing-Schutz mit Microsoft Defender for Office 365
Risk Policies für Anmeldung, Geräte und Datenzugriff, die je nach Risikostufe den Zugriff erlauben, einschränken oder blockieren
Security Measurements mit Microsoft Secure Score, Schwachstellenmanagement und klaren Kennzahlen, damit Fortschritt messbar wird
Priorisierte Maßnahmen, Weiterentwicklung und Optimierung in festen Zyklen, mit regelmäßigen Reviews und Berichten an die Geschäftsführung
Dauerhafter Betrieb im Rahmen eines Servicevertrags mit Service Level Agreement, damit Sicherheit nicht mit dem Projekt endet
Ransomware-Schutz, Backup-Konzepte und Wiederherstellung mit Azure Backup und Azure Site Recovery
Wir schützen alle Ebenen und verbessern Ihre Sicherheit dauerhaftWir schützen alle Ebenen und verbessern Ihre Sicherheit dauerhaftWirschützenalleEbenenundve
Ransomware-Angriff frühzeitig erkannt und gestoppt
ITME / Security Case File
Microsoft Defender for Endpoint
Azure Sentinel (SIEM/SOAR)
Microsoft Entra ID
Conditional Access
Azure Backup
Microsoft Purview
Kundenprofil
Ein produzierendes Unternehmen mit 65 Arbeitsplätzen bemerkte an einem Freitagabend ungewöhnliche Aktivitäten: Auf einem Netzlaufwerk begannen Dateien, umbenannt und verschlüsselt zu werden. Kurz zuvor hatte ein Mitarbeiter in einer manipulierten E-Mail auf einen Link geklickt, die über einen kompromittierten Zulieferer-Account versendet worden war. Parallel meldete das Security Monitoring verdächtige Prozess- und SMB-Aktivitäten. Die Schadsoftware versuchte, sich über das interne Netzwerk auszubreiten und weitere Systeme zu kompromittieren.
Analyse
Das automatisierte Security Monitoring des Unternehmens mit Microsoft Defender XDR, Defender for Office 365 und Defender for Endpoint erkannte innerhalb weniger Minuten eine verdächtige Angriffskette. Ausgangspunkt war eine manipulierte E-Mail mit einem schädlichen Link aus dem kompromittierten Zulieferer-Postfach. Nach dem Klick wurden die Ausführung auf dem Endgerät und auffällige Dateioperationen auf dem Netzlaufwerk durch Defender for Endpoint korreliert. Die Sicherheitsereignisse wurden mit weiteren Signalen aus der Microsoft-Security-Umgebung zusammengeführt. Dabei wurden unter anderem eine verdächtige Prozessausführung, Massenumbenennungen und ungewöhnliche SMB-Kommunikation zu weiteren Systemen festgestellt. Die Aktivitäten wurden als Ransomware-Verhalten erkannt und der LockBit-Familie zugeordnet, noch bevor die Verschlüsselung die gesamte Umgebung erfasste.
Lösung & Maßnahmen
Die konfigurierten automatisierten Response-Mechanismen reagierten unmittelbar auf die erkannte Angriffskette. Microsoft Defender for Office 365 identifizierte die schädliche E-Mail und den darin enthaltenen Link. Für alle Endgeräte, auf denen eine entsprechende Interaktion mit dem schädlichen Link festgestellt wurde, wurde über Microsoft Defender for Endpoint automatisch eine Netzwerkisolierung ausgelöst. Dadurch wurden die betroffenen Geräte unmittelbar von der weiteren Kommunikation mit der Umgebung getrennt und eine mögliche laterale Ausbreitung der Schadsoftware verhindert. Parallel wurden die betroffenen Nachrichten identifiziert und aus den Postfächern entfernt. Die zugehörigen Benutzerkonten und Sitzungen wurden überprüft und bei Bedarf weitere Remediation-Maßnahmen eingeleitet. Anschließend wurde mit Advanced Hunting die Umgebung umfassend untersucht, um weitere betroffene Endgeräte, Benutzer und Aktivitäten der Angriffskette zu identifizieren. Die betroffenen Systeme wurden nach Abschluss der Untersuchung bereinigt bzw. kontrolliert neu bereitgestellt. Die betroffenen Daten konnten anschließend aus den vorhandenen Backup-Wiederherstellungspunkten wiederhergestellt werden.
Ergebnis
Der Angriff konnte innerhalb von 23 Minuten nach der initialen Ausführung eingedämmt werden. Durch die Kombination aus E-Mail-Schutz, Endpoint Detection & Response, Identitätsschutz und automatisierter Isolation konnte die weitere Ausbreitung der Schadsoftware begrenzt werden. Es kam zu keinen dauerhaften Datenverlusten und zu keiner Beeinträchtigung des regulären Produktionsbetriebs am folgenden Montag. Die forensische Dokumentation wurde innerhalb von 48 Stunden für die weitere Bearbeitung des Sicherheitsvorfalls, die Cyberversicherung und die Prüfung möglicher gesetzlicher Meldepflichten bereitgestellt.
Kundennutzen
Der Vorfall zeigte, dass moderne Angriffe nicht isoliert auf einem einzelnen Gerät stattfinden. Eine schädliche E-Mail, ein Klick des Benutzers, eine kompromittierte Identität und anschließende Aktivitäten auf dem Endpoint können Teil einer zusammenhängenden Angriffskette sein. In der Microsoft-Security-Architektur des Unternehmens werden diese Signale zentral zusammengeführt, sodass Response-Maßnahmen automatisiert eingeleitet werden können. Seit dem Vorfall werden quartalsweise Threat-Hunting-Zyklen durchgeführt. Zusätzlich werden E-Mail-Kampagnen, Endpoint-Signale, Identitätsereignisse und bestehende Detection- und Response-Regeln regelmäßig überprüft und weiterentwickelt.
Sie wollen wissen, wie angreifbar Sie sind?
Wir prüfen Ihr Unternehmen innerhalb von 72 Stunden und schaffen digitale Resilienz! Vereinbaren Sie jetzt ein kostenloses Erstgespräch, damit wir die Planung für einen Sicherheitscheck direkt besprechen können.
