Ransomware Protection: Reaktionsrichtlinien

Ransomware Protection ist die Reaktionsrichtlinien-Komponente des Vigil-Sicherheitssubsystems von StateWarden. Sie erkennt Massenverschlüsselungsverhalten auf geschützten Geräten und führt eine konfigurierbare Reaktion autonom auf dem Agenten aus, ohne auf einen Server-Roundtrip zu warten.

Die Erkennung basiert auf der Entropieanalyse des Datenstroms: Während ein Backup läuft, berechnet der Agent die Shannon-Entropie der geänderten Datenblöcke. Ein Ransomware-Durchlauf erzeugt ein großes Volumen geänderter Daten mit nahezu zufälligem Inhalt (hoher Entropie), das statistisch von normalen Dateiänderungen unterscheidbar ist.

Diese Anleitung behandelt die Konfiguration der realm-weiten Standard-Reaktionsrichtlinie und gerätespezifischer Überschreibungen.

1. Wie die Erkennung funktioniert

Der Detektor arbeitet auf den geänderten Blöcken, die während eines Backup-Laufs identifiziert werden (kein separater Scan, keine zusätzliche Festplattenlast). Die Daten werden in 10-MB-Blöcken analysiert, und drei Schwellenwerte steuern, wann der Detektor auslöst:

• Minimale Datenänderung (MB): Das Volumen geänderter Daten, das ein einzelner Backup-Lauf enthalten muss, bevor der Detektor überhaupt auslösen darf. Dies schirmt kleine, legitime Änderungen ab. Standard: 500 MB.
• Durchschnittliche Entropie (0-8): Die mittlere Shannon-Entropie der geänderten Daten. Verschlüsselte oder komprimierte Daten nähern sich 8 an; normale Dokumente liegen typischerweise bei 4-6. Standard: 7,8.
• Anteil von Chunks mit hoher Entropie (0-1): Der Anteil der geänderten Chunks, die verschlüsselt aussehen müssen. Standard: 0,90 (90 %).

Der Detektor löst aus, wenn das Minimum an geänderten Daten überschritten wird und die Entropiebedingungen (durchschnittliche Entropie oder Anteil hoher Entropie) erfüllt sind. Die Standardwerte entsprechen den Werten, die der Agent werkseitig verwendet; passen Sie sie nur an, wenn Sie bei entropiereichen Workloads Fehlalarme beobachten (z. B. große Archive bereits komprimierter Medien).

2. Die Realm-Richtlinie konfigurieren

Die Realm-Richtlinie definiert das Standardverhalten für jedes Gerät im Realm.

1. Öffnen Sie in der Seitenleiste des Dashboards Ransomware-Schutz (Realm-Bereich, Route /active-defense).

2. Wählen Sie unter Reaktionsmaßnahme eine der vier Optionskarten:

   Aktion	Verhalten bei Erkennung
   Backup unter Quarantäne stellen (empfohlen)	Löst den Alarm aus, lässt das Backup zu Ende laufen und markiert es in der Ansicht „Daten wiederherstellen" als MÖGLICHERWEISE INFIZIERT.
   Nur Alarm	Löst den Alarm aus und bricht das laufende Backup ab. Das Teilbackup wird als fehlgeschlagen erfasst; es wird nicht markiert.
   Netzwerk-Lockdown	Löst den Alarm aus und blockiert anschließend den Netzwerkverkehr des Geräts. Nur der StateWarden-Verwaltungskanal (Agent zur Control Plane/Data Plane) bleibt geöffnet, sodass das Gerät aus der Ferne entsperrt werden kann.
   Ausschalten	Löst den Alarm aus (nach vorheriger Übermittlung des Abschlussberichts) und schaltet die Maschine anschließend aus. Die Maschine bleibt ausgeschaltet, bis sie jemand physisch oder über Out-of-Band-Management wieder einschaltet.

   Die Auswahl von Netzwerk-Lockdown oder Ausschalten öffnet einen Bestätigungsdialog mit einer expliziten Bestätigungs-Checkbox, bevor die Richtlinie gespeichert werden kann.

3. Passen Sie unter Erkennungsschwellenwerte bei Bedarf die drei in Abschnitt 1 beschriebenen Werte an.

4. Wählen Sie unter Erkennungsmethoden, wo der Detektor aktiv ist:

   • Während des Backups - standardmäßig aktiviert; die Analyse nutzt den Backup-Stream mit.
   • Proaktiver Scan - kontinuierliche Dateisystem-Überwachung zwischen den Backups. Diese Methode wird als deaktivierter Platzhalter ausgeliefert und ist derzeit wirkungslos; sie erscheint mit einem zukünftigen Update (Watchdog).

5. Klicken Sie auf Änderungen speichern. Das Speichern einer Richtlinienänderung erfordert eine MFA-Step-up-Bestätigung. Zum Zurücksetzen verwenden Sie Auf Standardwerte zurücksetzen.

Gespeicherte Werte werden innerhalb von Sekunden an jeden Online-Agenten übertragen und auf dem Gerät zwischengespeichert (innerhalb der verschlüsselten Agenten-Konfiguration), sodass der Schutz auch funktioniert, während ein Gerät offline ist. Eine Änderung der Realm-Richtlinie wird an alle Standardgeräte im Realm verteilt.

Active Defense ist nie deaktiviert

Es gibt keinen globalen Ausschalter. Wenn keine eigene Richtlinie gespeichert wurde, ist das Realm durch den integrierten Standard geschützt: Backup unter Quarantäne stellen mit den Standardschwellenwerten. Die Statusleiste oben auf der Seite zeigt an, ob die integrierten Standardwerte oder eine gespeicherte eigene Richtlinie aktiv sind und wann die Richtlinie zuletzt geändert wurde.

3. Gerätespezifische Überschreibungen

Einzelne Geräte können vom Realm-Standard abweichen.

1. Öffnen Sie die Detailansicht des Geräts und wählen Sie den Tab Ransomware-Schutz.
2. Jedes Feld trägt ein GEERBT- oder BENUTZERDEFINIERT-Badge. Das Bearbeiten eines Feldes markiert es als BENUTZERDEFINIERT; das Entfernen des Badges (oder die Verwendung von Alle auf Realm-Standardwerte zurücksetzen) stellt die Vererbung wieder her.
3. Speichern Sie mit Änderungen speichern (die MFA-Step-up-Bestätigung gilt wie bei der Realm-Richtlinie).

Einschränkungen:

• Virtuelle Maschinen: Überschreibungen auf VMs sind wirkungslos. Eine VM wird vom Agenten ihres Hypervisors verwaltet, daher gilt die effektive Richtlinie des übergeordneten Hosts.
• Hypervisor-Hosts: Auf Hypervisor-Hosts (Proxmox) werden Netzwerk-Lockdown und Ausschalten niemals ausgeführt; der Agent protokolliert nur eine Warnung. So kann eine Aktion auf Host-Ebene niemals sämtliche Gast-VMs abschneiden.
• Agentenversion: Reaktionsrichtlinien erfordern Agent 1.5.0 oder neuer (andernfalls zeigt der Tab einen Update-Hinweis). Netzwerk-Lockdown und Ausschalten erfordern Agent 1.6.0 oder neuer; auf älteren Agenten werden diese beiden Aktionen auf Nur Alarm zurückgestuft.

4. Einen Netzwerk-Lockdown aufheben

Netzwerk-Lockdown ist über das Dashboard reversibel. Da der Lockdown den StateWarden-Kanal offen hält, ist der Entsperrbefehl auch dann zustellbar, wenn das Gerät isoliert ist.

1. Suchen Sie in der Geräteliste das Gerät mit dem Badge NETZWERK-LOCKDOWN.
2. Klicken Sie auf Netzwerk wiederherstellen und bestätigen Sie den Dialog.

Das Gerät stellt den vollständigen Netzwerkzugriff innerhalb von Sekunden wieder her. Entsperren Sie erst, nachdem das Gerät bereinigt oder anderweitig isoliert wurde. Ausschalten ist dagegen aus Software-Sicht bewusst endgültig: Die Maschine erfordert ein physisches oder Out-of-Band-Einschalten (IPMI/iLO).

5. Nach einer Erkennung

• Markierte Backups: Backups, die während eines erkannten Vorfalls erstellt wurden, werden in der Ansicht Daten wiederherstellen als MÖGLICHERWEISE INFIZIERT markiert. Behandeln Sie diese Snapshots als Beweismittel und nicht als Wiederherstellungskandidaten, bis der Vorfall untersucht ist.
• Benachrichtigungen: Realm-Administratoren werden per E-Mail benachrichtigt, mit Angaben zum Gerät, den Entropiestatistiken und der ausgeführten Aktion.
• Audit-Trail: Die Erkennung und jede Richtlinienänderung werden protokolliert und sind auf der Seite Ereignisse & Protokolle (/events) sichtbar.

6. Verwandt: Schwachstellen- und Malware-Scans

Ransomware Protection ist vom Schwachstellen- und Malware-Scanning von Vigil getrennt, das pro Gerät konfiguriert wird: Öffnen Sie die Detailansicht des Geräts → Tab Sicherheit. Dort können Sie JETZT SCANNEN auslösen, den Hintergrund-Scheduler aktivieren (Stündlich, Alle 6 Stunden, Alle 12 Stunden, Täglich, Wöchentlich) und das Software-Inventar umschalten (CVE-Abgleich gegen NVD/OSV).

Alarm-Triage, die Unterdrückung von Fehlalarmen und Unterdrückungsregeln werden in der Ansicht Schwachstellen-Triage (/triage) behandelt. Siehe den dedizierten Artikel Vigil: Fehlalarme und Unterdrückungsregeln verwalten für diesen Workflow.

StateWarden: Resilience Engineered.