Produktankündigung: Niwalker MM18III 2xXHP35 HI 2xXHP70 12000 ANSI-Lumen max.

Von vielen Flashies sehnsüchtig erwartet und nun nach langer Entwicklungszeit endlich lieferbar: Die Rede ist von der neuen Niwalker MM18III. Zugegebenermaßen hat Niwalker sich wirklich viel Zeit bei der Entwicklung der MM18III gelassen, allerdings sollte man sich dabei auch vor Augen halten, dass es dafür mehrere Gründe gibt. Einer davon hat mit dem Design und der Architektur der Lampe zu tun, denn das ist bedeutend aufwendiger, als man es von anderen Taschenlampen her kennt. Hinzu kommt, dass Niwalker meines Wissens nach wie vor der einzige Hersteller ist, der eine Taschenlampe mit dem Design der MM18III im Portfolio hat, die das beste aus beiden Welten (Flooder und Thrower) in sich vereint. Aus meiner Sicht ist die Niwalker MM18III auch nicht irgendeine weitere Taschenlampe neben vielen anderen, sondern die Taschenlampe, die bei keinem ernsthaften Flashie in der Sammlung fehlen darf.

MM18III_4

MM18III_5

Die Kombination aus 2xXHP35- und 2xXHP70-LEDs bietet wie schon beim Vorgänger MM18II eine Vielzahl an potentiellen Leuchtkombinationen. Was man sich auf der Zunge zergehen lassen muss, ist der Luxwert in der höchsten Leuchtstufe (bei Verwendung beider LED-Paare): Es sind sage und schreibe 445.000 Lux(!) und maximal 12000 ANSI-Lumen, die zu einer Reichweite von 800 Meter führen.

MM18III_7

Dass diese Werte exzellent sind, muss eigentlich nicht extra erwähnt werden. Natürlich gibt es mittlerweile Taschenlampen wie die sehr gute MSITC Acebeam X80, die 25000 Lumen liefert, allerdings ist diese Lampe auch als Flooder zur breitflächigen Ausleuchtung konzipiert. Die Niwalker MM18III vereint jedoch wie bereits erwähnt sowohl einen Flooder als auch einen Thrower, die beide für sich genommen schon leistungsstark sind:

  • 2 x XHP35: ca. 168.000 Lux
  • 2 x XHP70: ca. 270.000 Lux

Auch die sonstigen technischen Eckdaten können sich sehen lassen:

  • CREE XHP70 (2x), CREE XHP35 HI (2x)
  • Beschlagfreie ultraklare und kratzfeste Linse
  • Anodisierung nach HA Type III
  • Mode Memory
  • Stativgewinde
  • Powerbank-Funktion
  • Integrierte Lademöglichkeit für Akkus
  • Neu entwickelte Elektronik für ein Maximum an Laufzeit und Helligkeit
  • Lampenkörper aus strapazierfähigem Flugzeugaluminium
  • Verstärkte ultraklare Linse mit doppelseitiger Antireflex-Beschichtung
  • Energieversorgung: 4 x 18650-Akku
  • Temperaturregelung
  • Peak beam intensity: 270.000 Lux (2xXHP70), 169.000 (2xXHP35 HI), 445.000 Lux (Mixed Mode)
  • Wasserdicht nach IPX-7
  • Sechs Leuchtstufen, die über die Seitenschalter ausgewählt werden
  • Länge: 17,75 cm
  • Durchmesser Batterierohr: 5,65 cm
  • Durchmesser Lampenkopf: 7,6 cm
  • Gewicht: ca. 700 Gramm (ohne Akkus)
  • Reichweite: ca. 800 Meter

Bei Verwendung der beiden XHP35-LEDs erzielt die MM18III eine sehr gute Reichweite von 800 Meter und muss sich damit hinter anderen Throwern nicht verstecken. Das gleiche gilt für die Flooder-Funktionalität mit den beiden XHP70-LEDs, mit deren Hilfe die MM18III eine Reichweite von 268 Meter erzielt.

Obwohl die Produktentwicklung länger gedauert hat, so hat sich das Warten meines Erachtens dennoch gelohnt, denn die Niwalker MM18III ist seit langem mal wieder eine Taschenlampe, die mit einem individuellen Konzept gepaart mit hoher Leistungsfähigkeit punkten kann. Bereits mit der ersten Generation der MM18 hatte Niwalker schon eine multifunkionale Taschenlampe in petto, die selbst ein paar Jahre später immer noch nicht von Mitbewerbern kopiert oder geklont wurde, was auch auf den immensen Entwicklungsaufwand zurückzuführen ist. Ich bin sicher, dass jeder, der sich für den Kauf einer Niwalker MM18III entscheiden wird, es keinesfalls bereuen wird! Diese Taschenlampe ist kein Massenprodukt, und die erste Charge ist weltweit auf 300 Stück limitiert. Laut Niwalker ist es derzeit nicht absehbar, ob und wann es eine zweite Charge der MM18III geben wird – wer eine haben möchte, sollte deshalb schnell zuschlagen, da die Nachfrage sehr hoch ist und wir nach der Reihenfolge des Bestelleingangs ausliefern.

Die neue Niwalker Nova MM18III wird voraussichtlich ab KW47 im MSITC Shop lieferbar sein. Beachten Sie bitte, dass diese Lampe unbedingt eine adäquate Energieversorgung benötigt, um ihre volle Leistung ausschöpfen zu können. Niwalker empfiehlt hier die Verwendung von hochstromfähigen IMR-Akkus; dieser Empfehlung folgen wir mit dem Verweis auf den qualitativ hochwertigen und leistungsfähigen Shockli IMR 18650 3100 mAh-Akku, den Sie ebenfalls in unserem Shop finden.

Produktankündigung: MSITC Fitorch-Taschenlampen im MSITC Shop

Mit Fitorch erkämpft sich derzeit (Stand Oktober 2017) ein weiterer Hersteller einen Platz unter den etablierten Herstellern von Taschenlampen. Grundsätzlich hat dieser Hersteller momentan bewährte Hausmannskost im Schlepptau, es gibt allerdings auch Modelle wie die MSITC Fitorch MR35, die neben Weißlicht mit RGB- und UV-LEDs glänzen, was diese Lampe für viele Einsatzbereiche wie die Jagd oder die Prüfung von UV-Markierungen interessant macht. Das Portfolio erstreckt sich derzeit von der kleinen MSITC Fitorch ER16 im 16340-Format mit interessanten 1000 Lumen über EDC- und taktische Taschenlampen bis hin zum High End-Modell MSITC Fitorch P26R, das mit einem 26650-Akku betrieben wird und satte 3600 ANSI-Lumen liefert. Hier ist das Preis-/Leistungverhältnis besonders interessant, da die P26R neben einem internen Ladegerät bereits mit einem 26650-Akku mit 4500 mAh Kapazität ausgeliefert wird, d.h. auspacken, laden und loslegen.

msitc_fitorch_p30r_1

msitc_fitorch_pz30z_1

msitc_fitorch_p26r_0

Aber auch die anderen Taschenlampen-Modelle wie die EDC-Taschenlampen MSITC Fitorch EC10 und P20R mit jeweils 700 Lumen (14500/AA) sowie 1180 Lumen können sich wirklich sehen lassen, zumal sie sich mit ihren XP-L-LEDs auf dem aktuellen Stand der Technik befinden. Obgleich man von Fitorch bislang noch nichts vernommen hat, bin ich davon überzeugt, dass dieser Vendor schon länger als OEM-Produzent unterwegs ist. Wenn man Reviews über MSITC Fitorch-Modelle liest, dann hört man übereinstimmend heraus, dass die Lampen qualitativ sehr gut sind; auch andere Kleinigkeiten wie eine ordentliche Verpackung lassen darauf schließen, dass es sich bei Fitorch nicht um einen absoluten Newcomer handelt.

msitc_fitorch_mr35_1

msitc_fitorch_mr35_10

msitc_fitorch_er16_1

Langer Rede, kurzer Sinn: Eine erste Lieferung mit MSITC Fitorch-Taschenlampen befindet sich auf dem Weg zu uns. Reviews folgen nach Verfügbarkeit, außerdem wird es auch wieder Videos zu den einzelnen Modellen aus unserer Serie Helle Taschenlampen@Night geben.

MSITC Fitorch Flashlights sind voraussichtlich ab Anfang November 2017 im MSITC Shop erhältlich.

Der neue Leuchthammer im Kompaktformat: MSITC Acebeam L30 mit 4000(!) Lumen bei Betrieb mit 1 x 20700-/18650-IMR-Akku

4000 Lumen aus einer Taschenlampe bei Betrieb mit einem 20700- oder einem 18650-IMR-Akku? Ja, das geht tatsächlich, wenngleich natürlich auch nur für einen begrenzten Zeitraum. Diese sensationelle Leistung erreicht die neue MSITC Acebeam L30 im Turbo Mode, die voraussichtlich ab 15. Oktober bei uns im Shop lieferbar ist.

msitc_acebeam_l30_1

msitc_acebeam_l30_2

msitc_acebeam_l30_4

Mit der MSITC Acebeam L30 erwirbt man eine echte High End-Taschenlampe, die leistungsmäßig in diesem Preis- und Leistungssegment ähnlichen Modellen von anderen Herstellern weit vorauseilt. 4000 Lumen aus einer dermaßen kompakten Taschenlampe herauszukitzeln, ist echte Bleeding Edge-Technologie und für jeden Taschenlampen-Enthusiasten ein must have. Die L30 eignet sich aber auch hervorragend für die abendliche Gassi-Runde oder für den Einsatz bei Rettungs- und Wachdiensten, der Polizei oder sonstigen Outdoor-Aktivitäten, denn mit dem taktischen Heckschalter lässt sich der Turbo Mode mit 4000 Lumen sofort aktivieren, was die Nacht zum Tag werden lässt und potentielle Angreifer so blenden kann, dass man sich schnell aus der Gefahrenzone entfernen kann.

Hinweis: Bei allen L30-Bestellungen im Oktober 2017 gibt es gratis einen hochwertigen Shockli 18650 IMR-Akku mit 3000 mAh im Wert von 12,90 Euro dazu!

Kurzvorstellung: MSITC Acebeam K30 XHP70.2 3×18650 5200 Lumen

Was Acebeam mit der neuen MSITC Acebeam K30 realisiert hat, ist meines Erachtens schon ein Meisterwerk der Ingenieurskunst. Anhand dieser modernen LED-Taschenlampe kann man auch sehr schön den Fortschritt erkennen, der in diesem Bereich in den letzten Jahren erzielt wurde. Vor ein paar Jahren hatte Niwalker mit der Niwalker Nova MM15 und später mit der MM15MB (MB = Monster Bright) einen echten Volltreffer gelandet, denn dieses Modell war das erste im Coladosenformat und über 5000 Lumen Leuchtleistung. Für damalige Verhältnisse war das eine echte Sensation, denn so viel Leuchtkraft aus so einer kompakten Taschenlampe gab es schlichtweg bis dato nicht.

Nighly Video Review MSITC Acebeam K30 L16 HaikeLite MT07S NW

Nighly Video Review MSITC Acebeam K30 L16 HaikeLite MT07S NW

Von links nach rechts: Lumapower STRIVE RX, Niwalker Nova MM15 u. MSITC Acebeam K30

Nighly Video Review MSITC Acebeam K30 L16 HaikeLite MT07S NW

Nighly Video Review MSITC Acebeam K30 L16 HaikeLite MT07S NW

Nighly Video Review MSITC Acebeam K30 L16 HaikeLite MT07S NW

Natürlich war dies auch gleichzeitig der Anfang des Wettrüstens. In der Folge versuchten sich weitere Hersteller gegenseitig zu übertrumpfen und dabei gleichzeitig die Leuchtkraft zu maximieren und die Lampengröße zu minimieren. Auch Acebeam hat hier entsprechende Modelle im Angebot, z.B. die MSITC Acebeam X80 sowie die MSITC Acebeam X45. Beide sind größer und heller als die MSITC Acebeam K30, dafür liegen sie allerdings preislich auch in einem anderen Segment. Die MSITC Acebeam K30 vermag mich aufgrund folgender Faktoren wirklich zu begeistern:

  • Von der Leistung her erinnert sie mich an die gute alte Niwalker Nova MM15, die mir auch heute noch treue Dienste leistet. Allerdings erreicht sie fast die gleiche Leistung mit drei Akkus, während die Nova MM15 hingegen vier Akkus benötigt – das macht die Lampe schlanker und kompakter
  • Kompakt ist das Stichwort: Die MSITC Acebeam K30 passt problemlos in eine Jackentasche. Natürlich macht sich das Gewicht bemerkbar, aber im Vergleich mit einer voll bestückten Niwalker Nova MM15 oder auch einer größeren MSITC Acebeam-Taschenlampe wie der X80 oder der X45 hält es sich in Grenzen
  • Die Leuchtleistung gemessen an der Größe ist für mich schlichtweg der Hammer!
  • Last but not least ist das Preis-/Leistungsverhältnis der MSITC Acebeam K30 aus meiner Sicht schlichtweg hervorragend. Vergleichen Sie selbst, was Taschenlampen mit adäquater Leistung kosten, und Sie werden schnell feststellen, dass sich in diesem Preisbereich nicht viele Mitbewerber bzw. vergleichbare Produkte tummeln

Selbstverständlich sollte man sich darüber im klaren sein, dass schon alleine aus physikalischen Gründen der Dauerbetrieb im Turbo Max Mode mit 5200 Lumen weder sinnvoll noch technisch machbar ist. Die Lampe erhitzt sich in diesem Modus recht schnell, was aber auch völlig normal ist. Nichtsdestotrotz reichen auch die regulären Leuchtmodi fürs abendliche Gassigehen mit dem Hund oder bei sonstigen Outdooaktivitäten völlig aus, wie man in unserem Video aus der Serie Helle Taschenlampen@Night gut erkennen kann:

Bei der MSITC Acebeam K30 wurde auf eine interne Lademöglichkeit verzichtet, wahrscheinlich auch, um die Produktionskosten niedrig zu halten. Gleichwohl bietet auch die MSITC Acebeam K30 die hochwertige Qualität, die man von diesem Hersteller gewohnt ist. Aufpassen sollte man jedoch bei der Wahl der Akkus, denn die K30 möchte auch mit adäquaten und hochstromfähigen Akkus gefüttert werden. Bei einem Test mit Soshine 3400 mAh-Akku (Lithium-Ionen) hat sich beispielsweise herausgestellt, dass die Lampe nach wenigen Sekunden im Turbo Max Mode ausging. Daraufhin habe ich dann den Test mit Shockli 18650 3000 mAh IMR-Akkus wiederholt, und damit funktioniert die MSITC Acebeam K30 problemlos.


Erhältlich ist die MSITC Acebeam K30 im MSITC Shop.



Weltweiter Ausbruch von Petya-Ransomware: DeepArmor hilft

Warum ist Petya so gefährlich?

Aktuell gibt es eine weltweite Angriffswelle, die auf der Petya-Ransomware basiert. Laut Berichten von Heise und Bleepingcomputer begann der Angriff zunächst in der Ukraine, es gibt aber mittlerweile auch zahlreiche weltweite Meldungen über Petya-Infektionen. Unter anderem wurde der operative Betrieb des Container-Transportgiganten Maersk stark beeinträchtigt und musste in Teilen heruntergefahren werden.

Ebenso wie WannaCry nutzt Petya ungepatchte Sicherheitslücken in Windows. Was die aktuell kursierende Version von Petya so gefährlich macht, ist die Tatsache, dass wichtige Bereiche auf der Festplatte (MFT und MBR) verschlüsselt und mit einem eigenen Bootloader überschrieben werden, was das betroffene Endgerät solange funktionsuntüchtig macht, bis das geforderte Lösegeld bezahlt wird, und selbst dann gibt es keine Garantie dafür, dass man wirklich den passenden Schlüssel zur Entschlüsselung erhält. Das ist im Heimbereich schon schlimm genug, falls das jedoch in einer größeren Organisation passiert, ist das eine echte Katastrophe.

Wie kann man sich vor Petya schützen?

Indem man beispielsweise eine Next Gen AV-Lösung verwendet. Ich hatte schon mehrfach SparkCognition DeepArmor erwähnt, eine Anti-Malware-Lösung der nächsten Generation, die auf machine learning und kognitiven Algorithmen basiert. DeepArmor stellt auch dieses Mal unter Beweis, dass es Petya wirkungsvoll ohne Signaturen stoppen kann, wie man im folgenden Video zweifelsohne erkennen kann:

SparkCognition DeepArmor vs. 50 current ransomware samples

Wer tatsächlich noch der Meinung ist, dass signaturbasierte Scanner ausreichend sind, um aktuelle Bedrohungen erkennen und abwehren zu können, den möchte ich mit diesem Test eines besseren belehren. Um die Leistungsfähigkeit von DeepArmor unter Beweis zu stellen, habe ich 50 aktuelle Ransomware-Samples gegen DeepArmor getestet, und das Ergebnis dürfte für sich sprechen: Alle Samples wurden erkannt und geblockt bzw. in die Quarantäne verschoben, was einer Erkennungsrate von 100% entspricht. Vergleichen Sie dazu auch die Erkennungsrate der Scan Engines, die bei VirusTotal zum Einsatz kommen, mit der von DeepArmor – im Video ist deutlich zu erkennen, dass kein einziger der 62(!) zum Einsatz kommenden Virenscanner alle Ransomware-Samples erkannt hat!

Was das in der Praxis bedeutet, kann sich nun jeder selbst ausmalen. Fakt ist – und diese Meinung vertrete ich nach wie vor –, dass signaturbasierte Virenscanner für mich zu einer aussterbenden Spezies gehören. Die Zukunft gehört ganz klar Next Generation-Lösungen wie SparkCognition DeepArmor, die auf machine learning und kognitive Algorithmen setzen. Anders kann man der Flut an Malware nicht mehr Herr werden, denn unterschiedliche Quellen beziffern die Anzahl der täglich neu erscheinenden Malware-Samples auf eine Zahl zwischen 300.000 und 800.000(!), Tendenz steigend – hier sind Signaturen schlicht und ergreifend wirkungslos.

Selbstverständlich wird es wahrscheinlich niemals einen 100%-Schutz vor Malware und Ransomware geben, aber mit Hilfe von moderner AV-Software wie DeepArmor ist es zumindest möglich, den Schutz von Endgeräten drastisch zu verbessern. Nun genug der vielen Worte: Schauen Sie sich das Video an und bilden sich selbst ein Urteil:

Für Fragen verwenden Sie bitte das Kontaktformular auf www.securedsector.com oder senden mir eine Mail unter info AT msitc.eu.

 

SAMAS RansomWorm: Next-Generation Ransomware

Wer glaubt, dass Cyberkriminellen die Ideen ausgehen, der irrt gewaltig. Neben der Tatsache, dass es mittlerweile täglich über 4000 neue Ransomware Samples gibt, geht auch die technologische Entwicklung bei den Cryptolockern weiter. Die neueste Errungenschaft ist der SAMAS RansomWorm; wie der Name schon sagt, handelt es sich dabei um eine Mischung aus Ransomware und Wurm. Das heimtückische daran ist, dass sich dieses Exemplar in einem Netzwerk mit Hilfe von lateral movement und Windows-Bordmitteln fortpflanzen kann, indem beispielsweise das Active Directory zur Informationsgewinnung genutzt wird.

SAMAS RansomWorm

Obwohl das momentan nur Firmennetzwerke betrifft, dürfte es wohl nur eine Frage der Zeit sein, bis eine Version erscheint, die auch kleinere Heimnetzwerke infiltrieren kann. Was es bedeutet, wenn nicht nur ein Endgerät in einem Netzwerk infiziert wird, sondern gleich mehrere, muss ich an dieser Stelle nicht weiter ausführen – für kleine und mittelständische Unternehmen ohne funktionierendes Backup-Konzept und einem wirkungsvollen Endgeräteschutz auf Basis von effektiven Technologien wie Application Whitelisting kann das eine echte Katastrophe bedeuten.

Ab 25. Mai 2018 kommt noch erschwerend hinzu, dass nach der bisherigen Übergangsfrist die Europäische Datenschutz-Grundverordnung (EU-DS-GVO) voll greift. Diese sieht u.a. vor, dass Unternehmen Breaches, also sicherheitsrelevante Vorfälle im Bereich der Informations- und IT-Sicherheit innerhalb von 72 Stunden der zuständigen Behörde melden müssen. Wird dies versäumt, dann können drastische Geldbußen verhängt werden. Eine Ransomware, die im schlimmsten Fall Dokumente mit Kundendaten ins Internet überträgt, um damit der Forderung nach Lösegeld mehr Nachdruck zu verleihen, muss auf jeden Fall gemeldet werden.

Aus technischer Sicht ist es deshalb schon jetzt sehr ratsam, zu effizienten Schutzmaßnahmen zu greifen. Bislang ist eine der sichersten Möglichkeiten zum Schutz vor Ransomware der Einsatz einer Application Whitelisting Lösung wie SecureAPlus, die eine Infektion mit Ransomware und Malware deutlich wirkungsvoller verhindern kann, wie es bei traditioneller AV-Software der Fall ist. Als IT Security Analyst und Incident Responder bin ich bestens mit dem täglich wachsenden Bedrohungspotential durch Ransomware und Malware vertraut und berate Sie gerne beim Thema Endpoint Security.

Überzeugen Sie sich anhand des nachfolgenden Videos selbst von der Wirksamkeit von Application Whitelisting:

SecureAPlus vs. Ransomware

Review: SecureAPlus – Next Generation Endpoint Protection and Application Whitelisting

 

Einführung

Um mit aktuellen Bedrohungen durch Malware und Ransomware Schritt halten zu können, bedarf es heutzutage mehr als nur einer signaturbasierten AV-Lösung. Insbesondere beim Thema Ransomware kommt es regelmäßig vor, dass traditionelle AV-Software, die primär auf Signaturen basiert, kläglich versagt und Signaturen zur Erkennung von Bedrohungen teilweise erst Tage später vom jeweiligen Hersteller bereitgestellt werden. Ich möchte an dieser Stelle keine Namen erwähnen, aber seien Sie versichert, dass ich mehrfach erlebt habe, dass Ransomware in Unternehmen nicht von der dort installierten Enterprise AV-Lösung entdeckt geschweige denn geblockt wurde.

Bereits im Heimbereich ist eine Infektion mit Ransomware nicht nur sehr ärgerlich, sondern kann auch ernste Folgen haben, wenn persönliche Daten, Bilder oder Dokumente irreversibel verschlüsselt werden. Ich bin sicher, dass in den wenigsten Haushalten oder Heimnetzwerken ein vernünftiges Backupkonzept existiert, mit dessen Hilfe sich im Schadensfall wichtige Daten schnell und zuverlässig wiederherstellen lassen. Für kleine und mittelständische Unternehmen (SMB/SOHO) kann die Kombination aus nicht entdeckter Ransomware und einem nicht vorhandenen Backup dazu führen, dass der Geschäftsbetrieb unterbrochen wird und wichtige Daten (Kundenaufträge, Konstruktionszeichnungen, Buchhaltungsdaten usw.) verloren gehen – was das konkret bedeutet, überlasse ich der Phantasie jedes einzelnen. Im schlimmsten Fall muss der Geschäftsbetrieb mit allen entsprechenden Konsequenzen eingestellt werden.

Mitigationsstrategien

Ich möchte an dieser Stelle nicht allzu sehr in die Tiefe abdriften, aber zu einer Mitigationsstrategie gehören für mich ganz klar u.a. folgende Faktoren:

Wirkungsvoller Schutz vor Malware und Ransomware auf dem Endgerät – das Endgerät ist das schwächste Glied in der Kette, auf den Perimeterschutz sollte man sich nicht verlassen
Durchdachtes und funktionierendes Backup-Konzept, das auf seine Wirksamkeit hin verifiziert wurde
Im Unternehmensumfeld: Schutz vor schädlichen Downloads/URLs durch Web Gateways/Proxies und Device Control, um die (nichtauthorisierte) Verwendung von Wechselmedien u.a. an USB-Ports zentral managen und kontrollieren zu können
Arbeiten mit normalen Benutzerrechten

Da in einem großen Unternehmen üblicherweise auch eine entsprechende IT-Abteilung existiert, die sich um derartige Themen kümmert, möchte ich mich im folgenden auf den SOHO-Bereich (Small Office/Home User) konzentrieren, da SecureAPlus dort meines Erachtens ein äußerst hohes Maß an Sicherheit bietet, das von konventionellen AV-Lösungen nur teilweise erreicht wird. Warum das so ist, werde ich nachfolgend näher erläutern.

Begriffsdefinition

Bevor es nun gleich ans eingemachte geht, halte ich es für wichtig, häufig verwendete Begriffe kurz zu erläutern, um das Review verständlich zu halten.

  • Endgerät oder Endpoint: Wird in diesem Review als Abkürzung für Windows-basierte Endgeräte verwendet (keine Smartphones!)
  • Whitelisting oder Application Whitelisting: Bezeichnet eine Technik, die von vielen Fachleuten als die sicherste Methode zum Schutz der Ausführung von unbekanntem Programmcode oder Anwendungen angesehen wird. Dazu wird ein Snapshot (Bestandsaufnahme) auf einem Endgerät erstellt und anschließend das Endgerät sozusagen versiegelt, d.h. nach dem initialen Snapshot wird keine Software mehr ausführt, egal ob sie vom Internet heruntergeladen oder von einer CD oder einem USB-Stick gestartet wurde. Dies ist dann nur noch nach expliziter Zustimmung des Anwenders möglich. Betriebssystem- oder Software-Updates sind davon natürlich nicht betroffen.
  • Universal AV Scan: Diese Bezeichnung wird von SecureAge, dem Hersteller von SecureAPlus, für die Anbindung von cloudbasierten Virenscannern verwendet. SecureAPlus bietet die Möglichkeit, beliebige Dateien mit Hilfe von 12 verschiedenen Scan Engines (u.a. von Eset, AVG, McAfee usw.) zu überprüfen. Dazu werden in der Standardeinstellung ausführbare Dateien in die Cloud zur Analyse hochgeladen, was sich aber auch deaktivieren lässt, falls man das nicht möchte. Der Universal AV Scan setzt eine Internetverbindung voraus, ansonsten kann diese Option nicht verwendet werden.
  • Offline AV Scan: Ist für Situationen gedacht (z.B. mobile Anwender ohne bestehende Internetverbindung), in denen der Universal AV Scan nicht zur Verfügung steht und dennoch Dateien gescannt werden sollen. In diesem Fall kommt der Open Source-Virenscanner ClamAV zum Einsatz. Ich möchte an dieser Stelle eindrücklich darauf hinweisen, dass ClamAV mittlerweile zwar auch brauchbare Ergebnisse erzielt, aber unter keinen Umständen als gleichwertiger Ersatz für ein kommerzielles AV-Programm betrachtet werden sollte. Hinter ClamAV steckt kein Hersteller, der regelmäßig neue Signaturen bereitstellt, sondern eine Community, in der Freiwillige diesen Job übernehmen.
  • Traditionelle AV-Software: Vor ungefähr zwei Jahren begann eine sehr interessante Entwicklung im AV-Bereich, die bis heute andauert. Die meisten AV-Programme wurden zwar im Laufe der Jahre weiterentwickelt, aber dennoch arbeitet ein Großteil immer noch mit Signaturen zur Erkennung von Bedrohungen. Signaturen alleine reichen heute aber nicht mehr aus, wenn man sich vor Augen hält, dass Stand Februar 2017 täglich über 300.000(!) neue Malware-Samples generiert werden, und selbst mit heuristischer oder verhaltensbasierter Analyse hinken traditionelle AV-Programme denen der nächsten Generation (Next-Gen AV) hinterher.

Next-Gen AV-Software: Lässt sich auf deutsch am besten mit “AV-Software der nächsten Generation” übersetzen. Next-Gen AV kommt vollständig ohne Signaturen aus und arbeitet üblicherweise mit fortschrittlichen Methoden wie maschinenbasiertem Lernen, mathematischen Modellen oder künstlicher Intelligenz (AI). Das klingt zunächst nach vielen Marketing-Buzzwords, und genau das ist es bei einigen Herstellern auch. Insbesondere bekannte Namen aus dem Bereich der traditionellen AV versuchen nun auch auf diesen gewinnbringenden Zug aufzuspringen, aber in der Regel bleibt es bei diesem Versuch. Ohne Namen zu nennen, kann ich an dieser Stelle sagen, dass ich die Möglichkeit hatte, über mehrere Monate hinweg einen Proof Of Concept zu begleiten, in dem es um die Evaluierung einer Next-Gen-Lösung für den Unternehmenseinsatz ging, und bei sämtlichen Tests – egal, ob es sich um Trojaner, 0-day malware, Backdoors oder Ransomware handelte – lag die Next-Gen-Lösung stets vor der traditonellen AV-Lösung und lieferte absolut überzeugende Ergebnisse.

Natürlich könnte ich noch viel mehr dazu schreiben, aber ich belasse an dieser Stelle beim gesagten. Fakt ist aber, dass traditionelle AV-Programme für mich keine Zukunft haben – die Zukunft gehört ganz klar Next-Gen AV-Lösungen, da hier neue Methoden zur Erkennung von Malware und Ransomware zum Einsatz kommen und die neben einer ausgezeichnten Erkennungsrate auch deutlich ressourcenschonder ans Werk gehen als konventionelle AV-Programme. Noch wichtiger: Für mich ist uninteressant, mit welchen Buzzwords Hersteller um sich werfen, ich mache mir lieber ein eigenes Bild, und meine persönlichen Erfahrungen mit Next-Gen AV-Software sind einfach äußerst vielversprechend.

SecureAPlus, eine interessante Endpoint Protection-Lösung?

Ja, definitiv. SecureAPlus vereint nämlich mehrere Konzepte unter einer Haube:

  • Application Whitelisting
  • Universal AV Scan
  • Offline Scan

Ich möchte gleich beim ersten Punkt beginnen, und zwar beim Thema (Application) Whitelisting. Wer sich damit bereits auseinandergesetzt hat, weiß, dass Whitelisting zwar den bestmöglichen Schutz auf Endgeräten bietet, aber gleichzeitig mit einem immensen Pflegeaufwand verbunden ist. Das gilt zwar weniger für den SOHO-Bereich, aber dafür umso mehr im Unternehmensumfeld, denn dort heißt es bei jedem Applikationsupdate die Whitelist zu pflegen. Glücklicherweise bietet SecureAPlus einen ebenso einfachen wie wirkungsvollen Ansatz, um den Pflegeaufwand so gering wie möglich zu halten – dazu gleich noch mehr.

Den zweiten Punkt hatte ich auch schon erläutert, möchte aber dennoch etwas näher darauf eingehen. Stellen Sie sich folgende Situation vor: Sie laden eine Datei aus dem Internet herunter und prüfen diese mit Ihrem Virenscanner. Dieser kann nichts schädliches entdecken, und somit kann der Download als sicher gelten. Oder etwa doch nicht? Was, wenn Ihr Virenscanner schädlichen Programmcode einfach nicht entdeckt hat? Sie können die heruntergeladene Datei beispielsweise nun manuell zu Virustotal hochladen, um sie dort mit über 55 Virenscannern überprüfen zu lassen, doch ganz ehrlich: Wer macht das schon? Wer nimmt diesen Aufwand auf sich? Meiner Erfahrung nach so gut wie niemand.

Anders hingegen sieht es aus, wenn die Überprüfung per Kontextmenü und Mausklick über den Windows Explorer stattfinden kann, denn genau diese Funktionalität bietet SecureAPlus mit dem Universal AV Scan. Darüber hinaus wird der Universal AV Scan auch bei der Erstinstallation von SecureAPlus aktiv, um sicherzustellen, dass sich keine Malware im System befindet. Würde die Überprüfung nicht stattfinden, dann könnte dies im worst case dazu führen, dass bereits aktive Malware nicht erkannt wird und stattdessen auf der Whitelist landet. Mittels Universal AV Scan lassen sich Dateien mit 12 Scan Engines in der Cloud überprüfen, was die Wahrscheinlichkeit deutlich erhöht, auch aktuelle Malware zu erkennen.

Den Offline Scan möchte ich nur der Vollständigkeit halber erwähnen, weil hier ClamAV zum Einsatz kommt. ClamAV ist ein Open Source-Virenscanner, dessen Erkennungsrate nicht mit der von kommerziellen Produkten mithalten kann – er ist sicher besser als nichts, aber ich würde jederzeit dem Univeral AV Scan den Vorzug geben.

Das schärfste Schwert im Sortiment ist für mich ganz klar das Whitelisting. Ich habe SecureAPlus in meinem Lab mit hunderten von Samples getestet, darunter waren sowohl brandheiße Malware als auch aktuelle Ransomware. In keinem einzigen Fall wurde ein unbekanntes Programm ausgeführt, was einer Erfolgsquote von 100% entspricht. Natürlich besteht immer die Möglichkeit, dass ein findiger Hacker Mittel und Wege findet, auch eine Whitelisting-Lösung zu umgehen, doch dazu bedarf es eines erheblichen Aufwandes, und Wald- und Wiesen-Malware wird definitiv durch das Whitelisting-Konzept abgewehrt, was im übrigen auch für Ransomware gilt.

Ein weiterer wichtiger Punkt ist für mich das Thema Systemauslastung. Generell bremst ein Virenscanner bedingt durch seine Funktionsweise jedes System aus, auf älteren Endgeräten macht sich das allerdings noch viel stärker bemerkbar als auf einem Rechner der neuesten Generation. Das ist bei SecureAPlus anders, denn im Vergleich mit einem traditionellen AV-Programm ist es eher ein Leichtgewicht und lässt sich deshalb auch problemlos auf älteren Endgeräten einsetzen.

 

Installation und Konfiguration

Das Setup steht in zwei Varianten zur Verfügung. Bei der einen werden zu Beginn der Installation weitere Komponenten aus dem Internet nachgeladen, und bei der anderen befindet sich bereits alles benötigte im Setup. Nach der Installation beginnt SecureAPlus mit der Überprüfung des Systems, um eine Kompromittierung durch aktive Malware auszuschließen. Anschließend beginnt der Whitelisting-Prozess, der je nach Rechnergeneration bis zu mehreren Stunden dauern kann. Dieser Vorgang ist einmalig (Initial Full Scan) und die Grundlage für Application Whitelisting. Ab diesem Zeitpunkt ist ein Endgerät vollständig geschützt, d.h. die Ausführung von Programmen oder Scripts wird nun defaultmäßig unterbunden. Die Installation bzw. die Ausführung von neuen Programmen oder Scripts muss explizit erlaubt werden, damit sie der Whitelist hinzugefügt und als legitime Anwendung betrachtet werden; das ist am Anfang vielleicht etwas umständlich, aber dafür erhält man im Gegenzug einen Security Level, den ein traditioneller AV-Scanner nicht bieten kann.

SecureAPlus verfügt übrigens über ein deutsches Sprachpaket, das nach der Installation aktiviert werden kann. Leider steht die Support-Webseite von SecureAge nur auf englisch zur Verfügung, es lohnt sich aber definitiv, dort die Einführung in die Funktionsweise von SecureAPlus durchzulesen: https://support.secureaplus.com/

sap_language_settings

 

Arbeiten mit SecureAPlus

Wie ich bereits erwähnte, ist das Endgerät nach der Installation sozusagen versiegelt und lässt ohne explizite Erlaubnis weder die Installationv von Software noch die Ausführung von Scripts zu. Im Klartext bedeutet das, dass z.B. auch Ransomware, die üblicherweise durch maliziöse Dokumente verbreitet wird, keine Chance mehr hat, aktiv zu werden. Um bei diesem Beispiel zu bleiben, möchte ich kurz den Infektionsverlauf skizzieren:

1. Anwender erhält ein maliziöses Office-Dokument per Mail und wird per Social Engineering dazu gebracht, die Ausführung von Office-Makros in Dokumenten zu erlauben, die aus dem Internet heruntergeladen wurden

2. Im nächsten Schritt wird bösartiger Makrocode ausgeführt, der entweder direkt eine ausführbare .exe-Datei oder ein Script (Powershell oder Javascript) aus dem Office-Dokument extrahiert oder aus dem Internet nachlädt und ausführt

3. Was jetzt folgt, ist hinlänglich bekannt: Entweder wird der Schadcode vom Virenscanner erkannt oder eben auch nicht. Man sollte sich auch nicht verlassen, dass die User Account Control (UAC) von Windows zuschlägt, denn aktuelle Ransomware kennt auch üble Tricks, um die UAC zu umgehen (https://www.bleepingcomputer.com/news/security/erebus-ransomware-utilizes-a-uac-bypass-and-request-a-90-ransom-payment/). Damit bekommt der Anwender noch nicht einmal mehr mit, dass im Hintergrund möglicherweise etwas läuft, das dort besser nicht laufen sollte.

Im worst case – und das ist es in den meisten Fällen – hat der Anwender nun den Schaden und verschlüsselte Dateien auf der Festplatte.

Glücklicherweise schlägt genau diese Vorgehensweise bei Verwendung von SecureAPlus fehl, und zwar aus dem simplen Grund, weil die extrahierten oder heruntergeladenen Dateien nicht auf der Whitelist stehen und deshalb auch nicht ausgeführt werden. Soll eine legitime Software installiert werden, dann wird einfach das entsprechende Installationsprogramm gestartet und im Whitelist-Dialog die Option “Freigeben & Vertrauen” angeklickt. Damit wird die Whitelist um diese Anwendung erweitert, außerdem besteht an dieser Stelle die Möglichkeit, heruntergeladene Dateien direkt über den Universal/AV Cloud Scan auf Malware prüfen zu lassen. Selbstverständlich ist auch der Import und Export von Whitelists möglich.

sap_whitelisting_app

Für Anwender im Firmenumfeld gibt es auch noch die Möglichkeit, eine Freigabe von Anwendungen über das SecureAgePlus-Portal beim zuständigen Administrator zu beantragen; darauf möchte ich an dieser Stelle aber nicht näher eingehen, da Software in der Regel dort zentral gemanaged und verteilt wird und somit auch das Application Whitelisting durch die IT und nicht durch den Anwender erfolgt. Hinzu kommt, dass SecureAge die zentralen Managementmöglichkeiten gerade stark überarbeitet und in Zukunft das Portal zur Verwaltung von mehreren Endgeräten mit SecureAPlus über das Internet um weitere Funktionalitäten erweitern wird.

Sonstiges

Ich habe es schon mehrfach zum Ausdruck gebracht, deshalb mache ich es an dieser Stelle kurz: Application Whitelisting bietet ein Schutzniveau, das von einer herkömmlichen AV-Lösung nicht erreicht werden kann. Obwohl damit zumindest rein theoretisch ein 100%-Schutz vor Malware und Ransomware möglich ist, möchte ich zu bedenken gaben, dass es immer ein Wettlauf bleiben wird.

Dem Einfallsreichtum von Angreifern sind keine Grenzen gesetzt, deshalb hinken die Verteider immer hinterher. Gleichwohl gilt, dass es aus meiner Sicht deutlich schwieriger ist, eine Application Whitelisting-Lösung zu unterlaufen als eine tradtionelle AV-Lösung. Da SecureAPlus sehr leichtgewichtig ist und kaum Systemressourcen verbraucht, lässt es sich zusätzlich zu einem vorhandenen Virenscanner betreiben. Beachten Sie jedoch bitte, dass keine vollständige Kompatibilität zu sämtlicher AV-Software gewährleistet werden kann, deshalb möchte ich an dieser Stelle keine Empfehlungen für eine bestimmte AV-Lösung aussprechen – hier hilft notfalls nur testen und ggf. auch Ausschlüsse im Virenscanner definieren, falls doch Probleme beim Parallelbetrieb auftreten sollten.

Sobald die ersten Next-Gen AV-Lösungen auf Basis von machine based/deep learning für den SOHO-Bereich verfügbar sind (ich gehe von Mitte des Jahres aus), kann ich jedem Anwender nur empfehlen, auf eine derartige Lösung umzusteigen und diese als optimale Ergänzung zum Application Whitelisting zu verwenden. Ich hatte im vergangenen Jahr die Möglichkeit, an einem längeren Proof Of Concept einer Next-Gen-Lösung teilzunehmen, und die Ergebnisse dieses PoCs haben für mich ganz klar gezeigt, wem die Zukunft gehört – es sind definitiv nicht signaturbasierte traditionelle AV-Lösungen. Sobald Verfahren wie machine based learning und AI (Artifical Intelligence) zum Einsatz kommen, kann signaturbasierte AV einpacken, aber dazu ein anderes Mal mehr.

Videos

Der Anfang ist bereits gemacht, und für die Zukunft habe ich schon weitere Videos geplant, in denen SecureAPlus im Einsatz zu sehen sein wird. Ein Bild sagt bekanntlich mehr als tausend Worte, für ein Video gilt das natürlich umso mehr. Vergleichen Sie selbst, wie leistungsfähig SecureAPlus im Vergleich mit adäquaten Programmen oder diversen Antiviren-Lösungen ist. Abonnieren Sie unseren MSITC Youtube-Kanal, um keine neuen Videos zu verpassen. 

SecureAPlus vs Cerber Ransomware

 

Fazit

Als Incident Responder und IT Security Analyst bin ich bestens mit digitalen Bedrohungen jeglicher Art vertraut, denen Endgeräte heutzutage ausgesetzt sind. Da ein zuverlässiger und sicherer Endgeräteschutz immer wichtiger wird, um mit der permanent wachsenden Zahl von Bedrohungen Schritt halten zu können, bietet eine Application Whitelisting-Lösung ein sehr hohes und adäquates Schutzniveau. Egal, ob Ransomware, Malware, Backdoors, drive-by-downloads, phishing mails oder maliziöse Office-Dokumente: Ich habe SecureAPlus lange und intensiv getestet und kann daher sagen, dass in keinem einzigen Fall schädlicher Code ausgeführt werden konnte. Während moderne AV-Scanner von Avast, Avira, Bitdefender, Kaspersky usw. zwar auch gute Erkennungsleistungen zeigen, besteht dennoch immer die Möglichkeit, dass ein gut getarntes und erst wenige Minuten oder Stunden altes Malware- oder Ransomware-Sample nicht erkannt wird. Da spielt es dann auch keine Rolle, ob die Erkennungsrate ansonsten bei 99% oder höher liegt – das eine Ransomware-Sample schlägt ein und führt dann zu den bekannten unangenehmen Konsequenzen für den Anwender.

Da mir der Hersteller von SecureAPlus einen Einblick in die Entwicklungspläne zuteil werden ließ, kann ich an dieser Stelle nur sagen, dass noch sehr interessante Dinge kommen werden, die den jetzt schon sehr guten Schutz, den SecureAPlus bietet, noch weiter erhöhen werden. Auch für das zentrale Management in Firmen wird es in naher Zukunft deutlich mehr Möglichkeiten geben; ich werde darauf in einem follow-up eingehen, sobald es spruchreif ist.

Wenn man den Leistungsumfang betrachtet, den man mit dem Erwerb einer Premium-Lizenz von SecureAPlus erhält, dann bekommt man aus meiner Sicht ein Komplettpaket mit einem Rundumschutz vor aktuellen Bedrohungen zu einem sehr guten Preis-/Leistungsverhältnis.

 

Bezugsquelle

Wir sind offizieller SecureAPlus Reseller, SecureAPlus Premium-Lizenzen sind bei uns im Shop erhältlich. Für weitere Fragen zu SecureAPlus oder Supportanfragen können Sie uns gerne über das Kontaktformular im Shop .

Wirksamer Schutz vor Ransomware mit Application Whitelisting und Next-Generation AV

Auch 2017 wird voll und ganz im Zeichen von Ransomware stehen; warum das so ist, habe ich in diesem Artikel bereits näher erläutert. Erst vor wenigen Tagen gab es wieder einige Fälle, die durch die Presse gingen:

Ehrlich gesagt könnte man im Grunde genommen jeden Tag über derartige Vorfälle berichten. Wichtiger ist aber die  Frage, die sich jeder selber stellen kann, der einen Internet-Anschluss sein eigen nennt und darüber im Web surft oder Mails empfängt: Wie hoch ist eigentlich mein persönliches Gefährdungspotential und welche Mitigationsstrategien gibt es, um dieses auf ein Minimum zu reduzieren? Entscheidend ist nicht “Bekomme ich auch Mails mit maliziösen Anhängen zugeschickt?”, sondern vielmehr “Wann wird das der Fall sein und welche vorbeugenden Maßnahmen habe ich bis dahin getroffen?”. Lassen Sie mich Ihnen versichern, dass das nur eine Frage der Zeit ist.

Das liegt nicht zuletzt auch daran, dass phishing campaigns mit Ransomware immer raffinierter und ausgeklügelter werden, so dass sich teilweise sogar schon Fachleute schwer tun, derartige Mails auf Anhieb als maliziös zu identifizieren. Hinzu kommt, dass auch regelmäßig neue Angriffsvektoren wie beispielsweise Schwachstellen in Anwendungsprogrammen ausgenutzt werden, um unbedarften Anwendern Ransomware unterzujubeln. Moderne Ransomware wie Spora ist auch in der Lage, sich via Wechselmedien wie USB-Sticks von einem System zum anderen fortzupflanzen – Sie sehen, die Möglichkeiten sind mannigfaltig und das Ende der Fahnenstange ist längst noch nicht erreicht.

Dass signaturbasierte AV-Programme speziell gegenüber Ransomware immer mehr ins Hintertreffen geraten, liegt auf der Hand. Es müssen deshalb andere Maßnahmen zum Einsatz kommen, um der zunehmenden Bedrohung durch Malware und Ransomware Herr zu werden, und das funktioniert meines Erachtens in Zukunft nur noch per Application Whitelisting und Next-Generation AV-Software, die nicht mehr auf Signaturen basiert, sondern auf maschinenbasiertem Lernen (machine based learning/artificial intelligence). Wie das genau funktioniert, werde ich in einem anderen Blogbeitrag näher erläutern, ebenso das Thema (Application) Whitelisting.

Bis dahin können Sie sich gerne vorab ein paar informative Videos im MSITC Youtube Channel zu Gemüte führen…

MSITC SecureAPlus Application Whitelisting vs. Cerber Ransomware – securedsector.com

SecureAPlus ist ein weiteres Endpoint Security-Produkt, das primär auf Application Whitelisting setzt. Dazu wird einmalig eine Art Snapshot erstellt, in dem alle bekannten Applikationen und Systemdateien aufgezeichnet werden.

Alle nachfolgenden Änderungen wie die Installation neuer Software müssen dann explizit erlaubt werden, andernfalls werden sie geblockt. Application Whitelisting bietet einen extrem hohen Level an Sicherheit und wird von vielen Experten sogar als das sicherste Mittel betrachtet, wenn es um den Schutz vor Malware und Ransomware auf Endgeräten geht.