Ob der Endpunktschutz wirklich anschlägt, je Host, als Nachweis
Dass ein Endpunktschutz installiert ist, steht im Inventar. Ob er anschlägt, wenn auf einem Host tausend Dateien in einer Minute verschlüsselt werden, steht nirgends, bis es passiert. Die Schutzprobe füllt diese Lücke mit Szenarien, die genau das nachstellen, ohne etwas zu beschädigen: EICAR-Selbsttest, simulierte Massenverschlüsselung auf selbst erzeugten Dateien, ein Erpresserschreiben als Text, eine Köderdatei, lesende Prozessmuster, Entropie-Burst, Lastmuster mit DNS-Abfrage. Der Agent beobachtet vor Ort, ob die Kontrolle blockt; der Server korreliert mit EDR- und Wazuh-Alarmen, ob sie alarmiert. Was weder blockt noch alarmiert, ist eine Kontrolllücke, je Host und Szenario, als Befund.
Der Agent meldet je Szenario nur Urteil, Exit-Code, Dauer und gegebenenfalls einen Fehlertext. Datei-Inhalte, die Testzeichenkette, Befehle und Prozessausgaben sind im Meldeschema nicht vorgesehen, und ein Wächter weist alles ab, was nach Inhalt statt Beobachtung aussieht. Der Server speichert nichts, was ein Virenschutz im Backup anschlagen ließe.
Modul einschalten, Mandanten-Freigabe mit Freigabeliste der Szenarien, Agent-Aufgabe, lokaler Schalter in der Agent-Konfiguration. Fehlt einer, läuft nichts. Der lokale Schalter lässt eine Geräteverantwortung einzelne Hosts ausschließen, egal was der Server sagt. Ein Szenario außerhalb des Katalogs lässt sich nicht freischalten.
Die Abdeckung eines Laufs ist der Anteil von geblockt und alarmiert an den bewerteten Szenarien. Aus jedem „ignoriert“ entsteht ein Befund je Host und Szenario, der bei Wiederauftreten fortgeschrieben und nach einem späteren erfolgreichen Lauf maschinell geschlossen wird.
Der Nachweis, dass der Endpunktschutz auf diesem Host bei diesem Muster anschlägt, statt der Annahme, dass er installiert ist.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
