Gilt für: WatchGuard Advanced EPDR, WatchGuard EPDR, WatchGuard EDR
Der RDP-Angriffseindämmungsmodus ermöglicht es WatchGuard Endpoint Security, Remote-Desktop-Angriffe (RDP) automatisch zu stoppen. WatchGuard Endpoint Security achtet auf Brute-Force-Angriffe auf RDP und Zugangsdaten, die nach Brute-Force-Angriffen kompromittiert sind.
Sie können in einem Angriffsindikatoren-Einstellungsprofil konfigurieren, welches Verhalten WatchGuard Endpoint Security als RDP-Angriff identifiziert. Wenn Sie den Schalter RDP Angriff im Einstellungsprofil aktivieren, führt WatchGuard Endpoint Security diese Aktionen auf den Empfängercomputern aus:
- Protokolliert Remote Access-Versuche über RDP auf allen geschützten Computern in den letzten 24 Stunden, die ihren Ursprung außerhalb des Kundennetzwerks haben.
- Ermittelt, ob der Computer einem RDP Brute-Force-Angriff unterliegt.
- Erkennt, ob Computer-Konten bereits kompromittiert wurden, um auf Ressourcen im System zuzugreifen.
- Blockiert RDP-Verbindungen, um den Angriff abzumildern.
So konfigurieren Sie die Reaktionseinstellungen für einen RDP Angriff:
- Wählen Sie in WatchGuard Cloud Konfigurieren > Endpoints.
- Wählen Sie Einstellungen.
- Wählen Sie im linken Fenster Angriffsindikatoren.
- Wählen Sie ein bestehendes Sicherheitseinstellungsprofil zum Bearbeiten, kopieren Sie ein bestehendes Profil oder klicken Sie oben rechts im Fenster auf Hinzufügen, um ein neues Profil zu erstellen.
Die Seite Einstellungen hinzufügen oder Einstellungen bearbeiten wird geöffnet. - Geben Sie falls nötig Name und Beschreibung für das Profil ein.
- Aktivieren Sie den Schalter RDP-Angriff.
- Wählen Sie Erweiterte Einstellungen.
- Geben Sie im Abschnitt Automatische Reaktion die automatische Problembehebung für Workstations und Server an (Melden oder Melden und Blockieren).
- Fügen Sie im Abschnitt Vertrauenswürdige IP-Adressen IP-Adressen und IP-Bereiche hinzu, die ausgenommen werden sollen.
Dies ist eine Liste der Computer, die Sie als sicher betrachten. Diese IPs werden gemeldet, aber nicht blockiert. - Aktivieren Sie die Schalter für alle anderen Angriffsindikatoren, die Sie im Profil einbeziehen wollen.
Klicken Sie für Informationen zum Typ der IOA auf das Informationssymbol. WatchGuard aktualisiert regelmäßig die Liste der Angriffsindikatoren, um neue, von Cyberkriminellen verwendete Strategien widerzuspiegeln. In Advanced EPDR können Sie außerdem Erweiterte IOA aktivieren. Erweiterte IOA bietet eine detaillierte Überwachung der Anwendungen auf Ihren Computern, erkennt verdächtiges Verhalten und bestimmt, ob es sich bei dem Ereignis um einen IOA handelt. - Klicken Sie auf Speichern.
- Wählen Sie das Profil und weisen Sie falls nötig Empfänger zu.
Weitere Informationen finden Sie unter Ein Einstellungsprofil zuweisen.