csMonitor
Überwachung der Server und Workstation
In einem großen IT-Netzwerk kann viel passieren. Ob ein neugieriger Mitarbeiter ausprobiert oder ein Hacker im Verborgenen arbeitet. Änderungen hinterlassen Spuren. Nur, wer bemerkt die Änderungen?
csMonitor überwacht automatisch alle Computer und Server im Netzwerk – rund um die Uhr. Wenn etwas Verdächtiges passiert, wird sofort Alarm geschlagen – per App oder sogar direkt aufs Handy. So bleiben keine Aktivitäten unentdeckt, egal ob am Wochenende oder mitten in der Nacht.
Sicherheit beginnt mit Überblick – und die Daten liefert csMonitor.
Ein IT-Netzwerk besteht aus vielen Workstations/Servern, die über den gesamten Betrieb verteilt sind. Letztlich ist ein Netzwerk mit allen Hosts auch für ein Administrator ein „schwarzes Loch“.
Die Augen von Administratoren können nicht überall sein und deshalb ist es lebenswichtig, dass für den Fall „illegale Tätigkeiten“ überwacht und aufgezeichnet werden. Diese nicht erwünschten Operationen, gleichgültig ob diese von einem Angreifer oder einer Person vor Ort ausgeführt wird, die nur mal was probieren will, hinterlassen Informationen. Aber wo, auf welchem Host, in welcher Logdatei und vor allem wann sollen wir suchen. Abgesehen davon sind Admins auch nicht immer im Dienst.
Tägliche Arbeit und ein Mangel an Zeit, Bequemlichkeit, Abwesenheit (Nacht, Wochenende) erleichtert diese interne oder externe Änderungen an den Host und Angriffe auf diese. In den meisten Fällen bleiben diese sogar unentdeckt.
Aus internationalen Statistiken wissen wir, dass Angreifer im Durchschnitt mehr als 200 Tage im Netzwerk sind, bevor sie entdeckt werden und dies ist nur die Spitze des Eisbergs.
csMonitor überwacht jede Workstation, jeden Server des IT-Netzwerkes. Änderungen verursachen kritische Meldungen mit unterschiedlichen Gefahrenniveaus die zentral geloggt werden.
Was wird von csMonitor überwacht?
- Benutzer und Gruppen sowohl im AD als auch auf der lokalen Workstation
- Erfolgreiche /fehlerhafte Anmeldungen im Netzwerk, sowie die Art der Anmeldung. Bei Remote-Anmeldungen wird auch der Host, von dem der Zugriff erfolgte protokolliert
- Anmeldungen von Benutzern mit erhöhten Sicherheitsanforderungen.
- Kritische Registry Einträge sowie Einträge die aus der Forensik von Angriffen bekannt sind
- Dienste und fehlerhafte Dienstkonfigurationen
- Kennwortänderungen der BenutzerInnen. Nach einer erfolgreichen Änderung erhält der Benutzer unmittelbar von csMonitor ein Mail, dass das Kennwort soeben geändert wurde.
- Benutzerdefinierte Erweiterung bezüglich Benutzer, Gruppen oder sonstiger Gefahren.
- …
Alle geloggten Ereignisse werden drei unterschiedlichen Gefahren Niveaus zugewiesen
- Hohes Gefahrenniveau
- Mittleres Gefahrenniveau
- Informell
Neben den Standard Vorgaben können Ereignisse der diversen Gruppen jederzeit erweitert oder geändert werden. Jedes Ereignis hat ein änderbares Gefahrenniveau und wird in der App oder im E-Mail-Tagesbericht festgehalten. Nur Ereignisse mit einem kritischen Gefahrenniveau können über den Menüpunkt Einstellungen per Telegramm an das Handy des Administrators geschickt werden.