Endpunktschutz für eine verwaltete Mac-Flotte

Tools für Endpoint Detection and Response (EDR) beobachten, was auf Ihren Macs passiert, und helfen bei der Untersuchung, wenn etwas nach einem Angriff aussieht. Manche Anbieter verkaufen EDR und MDM in einem Paket. Dann verliert man leicht den Überblick, welcher Teil was macht. Halten Sie deshalb für jede Sicherheitsmassnahme fest, welche Komponente sie übernimmt.

Beginnen Sie bei den Daten und Diensten, auf die Ihre Macs zugreifen können. Davon hängt ab, welche Ereignisse untersucht werden müssen. Legen Sie dann fest, wer diesen Ereignissen nachgeht und wann diese Person dafür verfügbar ist.

macOS bringt eigenen Schutz mit. Gatekeeper prüft Apps, bevor sie geöffnet werden. Die Notarisierung bestätigt, dass Apple eine App auf Schadcode geprüft hat. XProtect erkennt bekannte Malware. Lassen Sie die Sicherheitsupdates eingeschaltet, damit diese Prüfungen aktuell bleiben. Vermeiden Sie Ausnahmen in Ihren Richtlinien, die diese Prüfungen abschalten, denn die Lücke betrifft jeden Mac, für den die Richtlinie gilt.

Damit sie wirken, müssen auch die Grundlagen stimmen. Auf dem Mac muss Software laufen, die noch unterstützt wird. Und Konten müssen sorgfältig verwaltet werden, zum Beispiel bei der Frage, wer Adminrechte bekommt. Wenn Sie zusätzlich ein Sicherheitsprodukt einsetzen, sollten Sie sagen können, welchen Bedarf es abdeckt. Daran messen Sie dann, wie gut es Angriffe erkennt, darauf reagiert und darüber berichtet.

Prüfen Sie zuerst, ob der Anbieter Ihre Mac-Modelle und die macOS-Versionen unterstützt, die bei Ihnen laufen. Schauen Sie dann, was der Agent von macOS braucht, um zu funktionieren. Meist sind das Systemerweiterungen, Netzwerkfilter und Datenschutzberechtigungen. Auf verwalteten Macs genehmigen Sie diese normalerweise über das MDM. Welche Einstellungen Sie dafür senden müssen, steht in der MDM-Anleitung des Anbieters. Testen Sie auf Macs, auf denen auch Ihre anderen Sicherheits- und VPN-Tools installiert sind. Tools, die den Netzwerkverkehr filtern, können sich gegenseitig stören.

Prüfen Sie danach, wie sich der Agent auf die Apps auswirkt, mit denen Ihre Mitarbeitenden täglich arbeiten. Kontrollieren Sie nach Updates, ob er noch läuft und ob seine Konsole den Mac als fehlerfrei anzeigt. Wenn Ihr MDM ein Paket als verteilt anzeigt, heisst das nur, dass das Installationsprogramm gelaufen ist.

Vereinbaren Sie mit allen Beteiligten einen harmlosen Test. Führen Sie ihn durch und verfolgen Sie den Alarm, bis er bei der Person ankommt, die sich darum kümmern muss. Prüfen Sie, wie diese Person untersuchen würde, was auf dem Mac passiert ist, und wie sie ihn vom Netzwerk trennen würde. Finden Sie dann heraus, was der Mac während der Isolation noch erreichen kann.

Halten Sie fest, wohin Alarme gehen und wer übernimmt, wenn die erste Person einen Alarm nicht lösen kann. Schreiben Sie auch auf, welche Beweise Sie wie lange aufbewahren und wie ein Mac danach wieder in den normalen Betrieb kommt. Wenn niemand für die Alarmübersicht zuständig ist, kann dort ein echter Vorfall stehen, ohne dass jemand reagiert.

Vergleichen Sie die Produkte danach, wie viel von macOS sie abdecken, wie sie zu Ihren heutigen Sicherheitsabläufen passen, wie sie sich mit Ihren anderen Tools verbinden und was Ihre bestehenden Lizenzen bereits enthalten. Betreuen Sie Windows-PCs und Macs, kann ein Produkt für beide sinnvoll sein. Dann können dieselben Personen die Alarme von PCs und Macs bearbeiten. Ein Team, das nur Apple-Geräte betreut, braucht unter Umständen andere Abläufe.

Stützen Sie den Entscheid auf die Dokumentation des Anbieters und einen kontrollierten Test auf Ihren eigenen Macs. Halten Sie mit Datum fest, was Sie getestet haben, denn Agenten und macOS ändern sich mit Updates. Vorsicht bei Ranglisten, die ein einziges Produkt als das beste für alle hinstellen. Sie gehen davon aus, dass jede Flotte dasselbe braucht.

Apple Platform Deployment · Software updates