Im Test: Trend Vision One von Trend Micro Zentral verwaltete Sicher­heits­infra­struk­tur in der Cloud

Mit “Trend Vision One” bietet Trend Micro eine einheitliche, zentral verwaltete Sicherheitslösung für Unternehmensumgebungen an. Mit dem Produkt möchte der Hersteller Silos aufbrechen und ein einziges Werkzeug bereitstellen, mit dem sich Risiken identifizieren und bewerten lassen. Damit nicht genug, kann die Lösung auch die Assets im Netz inventarisieren und Bedrohungen gleichermaßen in E-Mails, Endpoints, Servern, Cloud-Infrastrukturen und Netzwerken erkennen und bekämpfen. Wir haben Trend Vision One im Testlabor unter die Lupe genommen.

Trend Vision One lässt sich sowohl zum Attack Surface Management (ASM), als auch für Extended Detection and Response (XDR) nutzen. Die Konfiguration und die Überwachung der Lösung finden über eine Cloud-basierte Konsole statt. Im Betrieb verteilen die Administratoren die Agenten zum Schutz der einzelnen Komponenten auf die Rechner im Netz. Das können sowohl interne Assets, als auch Geräte, die aus dem Internet erreichbar sind, sein. Die Security-Produkte laufen dann auf den einzelnen Systemen und sorgen nicht nur mit Funktionen wie Antivirus und Firewall für deren Sicherheit, sondern sammeln auch Informationen und Telemetriedaten, die sie dann wiederum dem zentralen Managementwerkzeug zur Verfügung stellen. Dort werden sie mit Daten aus globalen Threat-Intelligence-Feeds und Drittanbieterinformationen kombiniert, um ein möglichst vollständiges Bild zu erhalten.

Bildergalerie

Bildergalerie mit 12 Bildern

Die IT-Verantwortlichen haben anschließend die Option, die Daten auszuwerten und einen Risikoindex mit XDR-Erkennungen, kompromittierten Konten, Vulnerabilities, Fehlkonfigurationen und Ähnlichem zu erstellen. Dieser lässt sich bei Bedarf an verschiedene Zielgruppen wie CEOs und CSOs anpassen.

Abgesehen davon lassen sich die Risiken auch automatisch priorisieren und automatische Reaktionen auf erkannte Bedrohungen und Risiken definieren. Da alle Daten im Unternehmen von der gleichen Plattform gesammelt und verarbeitet werden, kommt es zu keinen ineffektiven Datenübertragungen zwischen Drittanbieterlösungen und alle Informationen sind stets vollständig und konsistent.

Die Inbetriebnahme der Lösung

Da Trend Micro seinen Kunden für die Inbetriebnahme der Lösung einen IT-Spezialisten aus eigenem Hause oder von einem Partnerunternehmen zur Verfügung stellt, läuft der genannte Vorgang ziemlich reibungslos ab. Deswegen können wir ihn in diesem Beitrag relativ kurz abhandeln. Im Prinzip genügt es, einen Test-Account anzulegen. Nachdem dieser aktiviert wurde, können die Verantwortlichen Installationsdateien für die Agenten-Software erstellen und diese dann bei sich im Netz verteilen. Im Test generierten wir Pakete für Windows Clients und Windows Server. An sonstigen Betriebssystemen unterstützt Trend Vision One auch macOS und Linux.

Wir spielten den Agenten für den Test auf Clients unter Windows 10 und 11 sowie Servern unter Windows Server 2019 ein. Das System lässt sich dabei auch so konfigurieren, dass die Agenten bei der Installation auch gleich die Policy mit laden.

Für unsere Policy verwendeten wir im Test die Trend-Micro-Vorlage “Best Practice”. Diese stellt nach Angaben des Herstellers zwar nicht den höchsten Sicherheitsstandard dar, liefert aber eine gute Grundsicherheit und erzeugt im Netz keine Probleme. Es ergibt deswegen Sinn, sie nach Neuinstallationen zunächst einmal in Betrieb zu nehmen und sie dann nach Bedarf nachzuschärfen. Im Test gingen wir genauso vor und aktivierten zusätzlich noch die Intrusion Prevention, das Integrity Monitoring und die Log Inspection.

Im Betrieb fand sie zunächst einmal diverse infizierte Dateien und Fehlkonfigurationen in Bezug auf Konten und Geräte bei uns im Netz. Wir lösten diese Probleme dadurch, dass wir die betroffenen Dateien entfernten und die Konfigurationen entsprechend der Trend-Micro-Empfehlungen und unserer Anforderungen anpassten.

Im nächsten Schritt banden wir noch unser On-Premises-Active-Directory in unsere Testumgebung ein. Dazu mussten wir von Trend Micro eine Virtuelle Maschine herunterladen und konfigurieren. Diese kam anschließend als Service Gateway zum Einsatz und übernahm die Kommunikation zwischen der Trend-Micro-Cloud und unseren lokalen Active-Directory-Servern.

Zu Schluss sorgten wir noch dafür, dass die Windows-Event-Logs der Active-Directory-Controller an Trend Vision One übermittelt wurden. Deren Daten erscheinen dann im System als Detection Logs und reichern die XDR Workbenches und Observed Attack Techniques an.

Bildergalerie

Bildergalerie mit 12 Bildern

Simulierte und andere Angriffe

Ungewöhnlich ist, dass Trend Micro den Anwendern Demo-Skripts zur Verfügung stellt, mit denen sie testen können, wie Trend Vision One auf erkannte Angriffe reagiert. Im Test ließen wir zu diesem Zeitpunkt einen Endpoint-Angriff laufen. Dieser simuliert den Vorgang, den SAM-Hive aus der Windows Registry auszulesen und die NTDS-Datei zu kopieren. Kurz nachdem wir das Demo-Skript mit dem Angriff – das wir zuvor von Trend Micro heruntergeladen hatten – auf dem Client ausgeführt hatten, erschienen die erkannten Angriffe wie erwartet in der Workbench-App im Web-Interface. Das System funktionierte also einwandfrei. Auf die Workbench-App gehen wir im späteren Testverlauf noch genauer ein.

Im Test beschränkten wir uns zu diesem Zeitpunkt allerdings nicht auf die Demo-Skripts des Herstellers, sondern verwendeten diverse Sicherheitswerkzeuge, wie beispielsweise Metasploit, um Daten aus den von Trend Micro geschützten Testsystemen auszulesen. Auch hier wurden wir nach kürzester Zeit im Web-Interface der Lösung wegen der laufenden Angriffe gewarnt.

Der Leistungsumfang des Verwaltungswerkzeugs

Gehen wir jetzt einmal genauer auf den Leistungsumfang des Management-Tools ein, um einen Überblick über den Funktionsumfang von Trend Vision One zu erhalten. Nach dem Login landet der Administrator in einem Dashboard, das ihm einen Überblick über den aktuellen Risk Index seiner Umgebung bietet. Dieser setzt sich aus verschiedenen Risikofaktoren zusammen, zu denen unter anderem die Sicherheitskonfiguration des Netzwerks und das Angriffsrisiko gehören.

An gleicher Stelle finden sich noch diverse andere Übersichten. Der “Exposure Index” zeigt Verwundbarkeiten und Fehlkonfigurationen und setzt sie in Relation zu den Verhältnissen in anderen Organisationen. Die “Attack Overview” informiert im Gegensatz dazu über die erfolgten Angriffe. Dazu gehören beispielsweise gefundene Viren, Privilegeskalationen oder auch laterale Bewegungen. Die “Sicherheitskonfiguration” gibt wiederum Aufschluss über den Status der Endpoint Protection im Unternehmen. Hier sehen die zuständigen Mitarbeiter, ob die Agenten-Software auf ihren Geräten aktuell ist und welche Funktionen aktiviert wurden.

Die Dashboards und Reports

Ebenfalls von Interesse ist der Menüpunkt “Dashboards and Reports”. Das darin enthaltene “Security Dashboard” lässt sich mit Widgets genau an die Anforderungen der jeweiligen Umgebung anpassen. Insgesamt stehen hier 30 Widgets bereit, die über die Aktivitätsdaten, die Statistiken der Endpunktsensoren, die Erkennungen nach Angriffstypen, die IP-Adressen mit der größten Filteraktivität und vieles mehr informieren.

Was die Reports angeht, so stehen 25 unterschiedliche Templates zur Verfügung, die Informationen liefern zu Risiken, Konten, Aktivitätslogs, verfügbaren Endpoints, internen Anwendungen, mobilen Geräten und Ähnlichem. Bei Bedarf besteht aber immer die Option, eigene Reports anzulegen.

Bildergalerie

Bildergalerie mit 12 Bildern

Die Workbench-App

Gehen wir nun näher auf die bereits erwähnte Workbench App ein. Sie ist ein zentraler Bestandteil von Trend Vision One. Hier finden sich die Alarme sowie die Vorfälle und die Administratoren haben Gelegenheit, festzustellen, was sie ausgelöst hat und was für Ereignisse und Indikatoren mit ihnen zusammenhängen. Eine grafische Darstellung visualisiert dabei die Beziehungen zwischen den einzelnen, mit dem Alarm zusammenhängenden Objekten. Bei Bedarf lassen sich die Objekte in dieser Grafik auch per Drag-and-Drop anordnen, um die Übersichtlichkeit zu erhöhen. Weitere Informationen sind über einen Rechtsklick abrufbar und die Administratoren können auch direkte Aktionen starten, wie die Isolierung von Endpoints oder auch das Deaktivieren von Benutzerkonten.

Playbooks ermöglichen automatische Reaktionen

Im Bereich “Workflow and Automation” findet sich der Punkt “Security Playbooks”. Für die Playbooks, die dazu dienen, um automatisch – beispielsweise durch Endpunktisolationen - auf plötzlich auftretende Risiken oder Sicherheitsvorfälle zu reagieren, stehen diverse Templates bereit. Beispielsweise zum Herausfinden der Risiken beim Konfigurieren der Konten oder auch zum Starten eines Skripts. Wir untersuchten im Test zu diesem Zeitpunkt unsere internen Assets auf CVEs mit globaler Exploit-Aktivität. Dazu selektierten wir das dazugehörige Template. Daraufhin zeigte uns das System den Aufbau des Templates in grafischer Form mit Auslöser, Zielsystemen und den Bedingungen anhand derer dann diverse Aktionen durchgeführt werden und ermöglichte es uns, das Template zu bearbeiten. Im nächsten Schritt konnten wir aus dem Template ein Playbook erzeugen und dieses aktivieren. Im Test ergaben sich dabei keine Probleme.

Zero Trust und Cyber Risk Assessment

Über den Zero-Trust-Secure-Access aktivieren die IT-Verantwortlichen diverse Sicherheitsfunktionen, die beispielsweise den Internet-Zugriff und die Arbeit mit internen Anwendungen steuern und überwachen. Das “Cyber Risk Assessment” dient dazu, die Anfälligkeit der Unternehmensumgebung in Bezug auf kürzlich aufgetretene Globale Bedrohungen unter die Lupe zu nehmen. Damit lassen sich beispielsweise Phishing-Angriffe simulieren, Endpoints auf Risiken hin scannen oder auch Mails überprüfen. Im Test ergaben sich dabei keine Schwierigkeiten. Wir konnten beispielsweise mit Hilfe des dazugehörigen Assistenten eine Demo-Phishing-Mail und ein entsprechendes Portal erstellen, die Empfänger der Phishing-Mails auswählen und die Kampagne starten. Anschließend lief sie in unserem Test problemlos ab.

Fazit

Mit Trend Vision One bietet Trend Micro eine ganzheitliche Sicherheitslösung für Unternehmen an, die vor allem durch ihren großen Funktionsumfang überzeugt. Sie ermöglicht es nicht nur, Server, Endpoints und Mobilgeräte zu schützen, sondern sammelt bei Bedarf auch im ganzen Unternehmensnetz und der in Cloud Informationen zu sicherheitsrelevanten Vorfällen. Die IT-Verantwortlichen können sowohl Alerts generieren lassen, oder sich direkt über das Web-Interface über den aktuellen und den vergangenen Status informieren.

Nützlich sind die Playbooks, die automatische Reaktionen auf Sicherheitsvorfälle ermöglichen. Das gleiche gilt für die Einbindung externer Informationen, mit denen sich die Administratoren über laufende Sicherheitsbedrohungen informieren können, bevor sie ihr Unternehmen erreichen. Mit den ganzen Funktionen und der Option, über das Web-Interface aktiv Gegenmaßnahmen gegen Angriffe zu ergreifen, kann Trend Vision One enorm beim Erhöhen des Sicherheitsniveaus helfen. IT-Spezialisten, die nach einer ganzheitlichen Security-Lösung suchen, sollten das Produkt auf jeden Fall in die engere Wahl einbeziehen.

Hinweis:Das unabhängige IT-Testlab Dr. Güttich hat diesen Test im Auftrag des Herstellers durchgeführt. Der Bericht wurde davon nicht beeinflusst und bleibt neutral und unabhängig, ohne Vorgaben Dritter. Diese Offenlegung dient der Transparenz.

Dieser Test wurde für die Veröffentlichung auf Security-Insider gekürzt. Den vollständigen Test lesen Sie im unten verlinkten PDF-Dokument.

(ID:49853561)