Erweiterte Bedrohungskontrollen kommen zum Einsatz, wenn unsichere oder bösartige Aktivitäten festgestellt werden, die von Jamf Threat Labs als risikoreich eingestuft werden. Die festgestellten Aktivitäten werden blockiert und zur weiteren Untersuchung an die Administratoren gemeldet.
Auf diese Weise wird die Angriffsfläche des Systems kleiner und der Schutz vor dateiloser Malware und Angreifern, die die Living-off-the-Land(LotL)-Strategie nutzen, erhöht.
Die vorhandenen Kontrollen basieren auf tatsächlichen Angriffen und dem beobachteten Verhalten von Bedrohungsakteuren sowie auf Verhaltensweisen, von denen bekannt ist, dass sie die Systemsicherheit beeinträchtigen. Erweiterte Bedrohungskontrollen blockieren gezielt Reverse-Shell-Angriffe.
- Living-off-the-Land(LotL)-Angriffe
- Bei Living-off-the-Land(LotL)-Angriffen nutzen Angreifer bereits auf dem System vorhandene legale Software und Tools, um ihre Angriffe auszuführen. Anstelle eigener Malware verwenden Angreifer Verwaltungstools, Skripte oder in die Plattform integrierte Systemdienstprogramme, um ihre Ziele unbemerkt zu erreichen.
- Reverse-Shell-Angriffe
- Bei einem Reverse-Shell-Angriff versuchen die Angreifer meist, kompromittierte Systeme zu steuern und zu kontrollieren, indem sie eine Verbindung zurück zum System des Angreifers herstellen. So kann der Angreifer die Kontrolle über den kompromittierten Computer erlangen, typischerweise um ihn auszuspionieren, weitere Angriffe auszuführen oder Daten auszulesen (Exfiltration).
Erweiterte Bedrohungskontrollen sind standardmäßig deaktiviert. Um diese Funktion zu aktivieren, können Sie einen Jamf Protect Plan erstellen oder bearbeiten und die Einstellung für die erweiterte Bedrohungskontrolle auf Block and Report (Blockieren und melden) oder Nur Bericht festlegen.