Microsoft: Neuer Torwächter soll mehr erkennen als plumpe Malware

Angriffe auf kritische IT-Systeme lassen sich mit herkömmlichen Sicherheits-Tools immer schwieriger erkennen, da die Täter weniger auf klassische Malware, sondern auf scheinbar legitime Zugänge setzen. Dagegen soll bald ein neuer Torwächter helfen, den Microsoft jetzt vorgestellt hat. Microsoft Advanced Threat Analytics (ATA) heißt das neue Produkt aus Redmond, das nun in einer Preview-Fassung veröffentlicht wurde. Mit diesem wolle man, so erklärten Vertreter des Software-Konzerns auf dessen Ignite-Konferenz, einen besseren Ansatz zum Schutz von Netzwerken bereitstellen. Die Software soll nicht in erster Linie schädliche Software erkennen, sondern anormale Aktivitäten in den IT-Systemen.

Damit reagiert man auf die Tatsache, dass immer mehr unbefugte Zugriffe auf Firmennetze unter Einsatz gestohlener Zugangsdaten erfolgen oder auf anderen Wegen kompromittiert werden - nicht aber auf dem klassischen Weg der Ausnutzung von Sicherheitslücken und der Einschleusung von Malware. ATA ist daher beispielsweise darauf ausgelegt, Logins genauer unter die Lupe zu nehmen, die legitim wirken, es aber vielleicht nicht sind.

Das Tool basiert auf Technologien, in deren Besitz Microsoft durch die Übernahme der Sicherheitsfirma Aorata im November letzten Jahres kam. ATA kombiniert dabei Verfahren wie die Logfile-Analyse, Deep Packet Inspection (DPI) und die Auswertung von Active Directory-Informationen. Das System kann dann beispielsweise anspringen, wenn ein Zugriff zwar mit den korrekten Zugangsdaten erfolgt - aber zu ungewöhnlichen Zeiten und von nicht üblichen Standorten aus. In diesem Fall würde dann beispielsweise per DPI überprüft, welche Daten über die Verbindung laufen.

Eifriger Mitarbeiter oder Daten-Dieb?

Die Sicherheits-Software wird aber nicht nur dann aktiv, sondern versucht bereits im Vorfeld, möglichst viel über das normale Verhalten der Anwender in einem Firmennetz zu lernen. So soll letztlich auch erkannt werden, ob ein Mitarbeiter lediglich von zu Hause Überstunden macht und die Arbeit an seinem Projekt fortsetzt, oder ein Eindringling versucht, interne Daten zu stehlen.

Bereits im letzten Jahr hatte Microsoft mit Azure Active Directory ein Produkt vorgestellt, das in diese Richtung ging - allerdings soll ATA weitaus umfassender und genauer arbeiten. Die Software wird eng mit den Server-seitigen Produkten rund um die Windows 10-Entwicklung verbunden sein und in einem entsprechenden Zeitrahmen auf den Markt kommen.