Ich wollt eigentlich nicht so viel schreiben hier, weil es IST irgendwie immer dasselbe, aber.... 🤷♂️
1. Strategie. Ohne Strategie geht gar nichts. Wenn ich nicht mal weiß was ich erreichen will, dann werde ich das in 11 von 10 Fällen auch nicht tun.
2. Wie
@deo bereits richtig festgestellt hat: Augen zuhalten und gar nicht erst wissen wollen, ob da etwas sein
könnte ist grob fahrlässig. Auch wenn sicherlich die Schutzfunktion des Clients selber nur letztes (und nicht erstes oder, gott behüte,
einziges) Bollwerk sein sollte, so muß ich doch wissen OB und WAS vorgefallen ist. Ansonsten bräuchte man auch kein Monitoring, keine Logfiles und keine Überwachung (egal welcher Form).
3. Irgendwo hier im Thread wurde Homogenität vs Heterogenität erwähnt (kudos dorthin). Wenn ich einen Windowsclient hab, dann stell ich eine BSD- oder Linux-Maschine davor und laß diese Schutzaufgaben übernehmen. Habe ich dagegen eine BSD(Linux/whatever) Maschine als Arbeits-PC, dann stell ich halt ein Windows davor.
Diese sind jeweils gegen die Schwachstellen des zu schützenden Geräts (mehr oder weniger) immun und wenn zB im Defender eine kritische Schwachstelle gefunden wird, dann werden Viren oä trotzdem nicht viel erreichen können... weil sie bereits vorher weggefangen werden.
Eine mögliche Herangehensweise könnte sein:
A welche(n) Weg(e) gehen meine Daten durch mein Netz? Was für Kontaktpunkte gibt es? Wo können Eindringlinge herkommen?
Bei reinem Kabel ist das meist nur der (Edge)Router. Verwendet man WLAN, muß man zumindest dessen Ausdehnung berücksichtigen (und nein, MAC-Filter sind nutzlos).
B wenn ich weiß welchen Weg Daten durch mein Netz gehen, dann kann ich fragen, wie ich diese anhand meines Anwendungsprofils effizient filtern kann.
Man könnte On-Write filtern: dann könnte man annehmen, daß alle vom Gerät gelesenen Daten "sauber" sind.
Man könnte aber auch On-Read filtern: dann darf man annehmen, daß alle Daten erstmal pauschal kompromittiert sind.
Je nachdem wie hoch Lese/Schreibaufwand in Bezug aufeinander sind kann man sich überlegen ob eins oder beides zusammen sinnvoll ist.
C man kann endlich mal auf die Idee kommen, daß NTFS nicht dasselbe wie FAT32 ist und daß Windows schon seit über 30 Jahren Zugriffsberechtigungen unterstützt - ebenso wie Nutzerkonten.
Also kann man seinen Anwendern Schreibrechte pauschal entziehen oder auf zB INCOMING Ordner bündeln. Wenn man das ordentlich angeht, dann ist im schlimmsten(!) Fall das jeweilige Benutzerprofil zu entsorgen -- und nicht der gesamte PC (oder gar das gesamte Netzwerk).
D Überwachung ist nicht der letzte, sondern eigentlich gleich der allererste Schritt. Wie die aussieht ist egal - ein Monitoringsystem ist schön, aber Logfiles lesen (und verstehen) genügt prinzipiell auch -- wobei sich sicherlich mehr oder weniger bald der Wunsch nach automatisierter Aufbereitung - aka Monitoring --- von selber breitmachen wird.
E Nicht als Administrator oder root unterwegs sein sollte sich von selber verstehen. Ich starte aber trotzdem lieber keine Umfrage dazu.
Nur soviel: > 90% der Sicherheitspatches von Windows stopfen Löcher, die Administratorkonten vor sich selbst beschützen. Der Rest wäre zB an der UAC verhungert, bzw. hätte als Normalbenutzerkonto überhaupt keinen Zugriff auf die problematischen Bereiche gehabt.
AV Software ist ganz sicher nicht perfekt. Sie ist auch in letzter Zeit ein gut Stück in Richtung Schlangenöl gegangen im Hinblick auf spezifische Funktionalität, die für "Abhebung vom Defender" oft genug eher unnütz hinzugefügt wurde. Macht aber nichts => dann nimmt man andere oder nutzt diese Funktionen halt nicht.
Aber genauso wie man zähneknirschend ne Feuerschutzversicherung abschließen wird --
spätestens* nachdem das Nachbarhaus abgekokelt ist ---- und sein Lebtag unnütz einzahlt, weil die blöde Bude partout nicht anfackeln will...
... Genauso gehört halt auch eine gewisse Invesititon in den Integritätsschutz dazu. Da darf man maulen, darf meckern, darf fragen ob das wirklich notwendig ist -- solange wie man's nur trotzdem macht.
Unabhängig davon, ob sie Angriffsfläche hinzufügt ebenso wie unabhängig der Tatsache, daß es natürlich "schlechte" AV Software auch gibt.
Aber der größere Fehler ist der, zu sagen, ich interessier mich erst gar nicht dafür, werd schon merken wenn der Virus meine Daten gefressen und Fotos meiner Tochter ins Internet gestellt hat.
