Windows 10: Microsoft verbessert Advanced Threat Protection

Microsoft hat die Neuerungen von Windows Defender Advanced Threat Protection (Windows Defender ATP) erläutert. Die ausgebaute Sicherheitslösung soll geschäftliche Anwender vor komplexen Bedrohungen schützen. Die Neuerungen des Dienstes sind im Windows Defender ATP Creators Update Preview zu erproben, wie der Microsoft Secure Blog ausführt.

Das kommende Windows Creators Update verbessert demnach die Erkennung durch Speicher- und Kernel-Sensoren, „um Licht in zuvor dunkle Plätze zu bringen, in denen sich Angreifer vor herkömmlichen Erkennungstools verbargen“. Diese neue Technologie sei bereits erfolgreich gegen Zero-Day-Attacken auf Windows zum Einsatz gekommen.

Rechnerbezogene Maßnahmen zu Sicherheitsalarmen (Bild: Microsoft)

Die Beobachtung von Verhaltensmustern sowie maschinelles Lernen soll die Erkennung von Ransomware und anderen fortgeschrittenen Attacken laufend optimieren, um auch auf wechselnde Angriffstrends reagieren zu können. Neue Erkennungsregeln lassen sich auf bis zu sechs Monate gespeicherter Daten anwenden, um zuvor unbemerkte Angriffe aufzuspüren. Microsofts Kunden können der Erkennungsbibliothek auch eigene Erkennungsregeln hinzufügen.

Für mehr Übersichtlichkeit soll die Einbindung verschiedener Windows-Sicherheitstools im Windows-Defender-APT-Portal sorgen. So werden Windows-Defender-Antivirus-Erkennungen und Device-Guard-Maßnahmen zusammen mit ATP-Erkennungen sichtbar. Indem verschiedenste Erkennungen und damit zusammenhängende Ereignisse in einer einzigen Ansicht aggregiert werden, könnten Sicherheitsmitarbeiter Probleme schneller lösen, ohne aktuelle Sicherheitsalarme aus dem Blick zu verlieren.

Die User-Entity-Seite zeigt alle wichtigen Einblicke zu einem bestimmten Nutzer. Warnungen erfolgen rechnerübergreifend und erlauben die Nachverfolgung von Angreifern quer durch das Netzwerk. Bei einer erkannten Attacke können Sicherheitsteams sofortige Maßnahmen ergreifen – wie Maschinen zu isolieren, Dateien aus dem Netzwerk fernzuhalten und Prozesse zu beenden oder in Quarantäne zu stellen.

Windows Defender Advanced Threat Protection, das unter dem Codenamen Seville entwickelt wurde, geht weit über den früheren Funktionsumfang von Windows Defender hinaus. Er soll Unternehmen dabei helfen, Bedrohungen zu identifizieren, die andere Sicherheitsmaßnahmen überwunden haben, und Nutzern Hilfsmittel zur Untersuchung von Sicherheitslücken an die Hand geben sowie Handlungsempfehlungen aussprechen. Der Dienst kombiniert Sensoren für Endpunktverhalten, Analysen zur Cloudsicherheit sowie Bedrohungserkennung.