PowerShell ist ein mäch­tiges Tool für die System­verwaltung und als solches auch ein per­fektes Instru­ment für Angreifer. Auf­grund der tiefen Veran­kerung im System sorgt ein generelles Blockieren nur für schein­bare Sicherheit. Den besten Schutz versprechen letztlich die Schutz­mechanismen von PowerShell selbst.

Microsoft veröffent­lichte die Security Baseline für die neue­sten Windows-Versionen. Es han­delt sich dabei um eine Sammlung empfoh­lener Sicher­heits­ein­stellungen für Gruppen­richtlinien. Auf­grund der wenigen Neuerungen im Release 1909 kommen keine weiteren Vor­gaben hinzu, aber 4 davon wurden entfernt.

Die aktuelle Emotet-Ransomware-Welle zeigt die gravierenden Folgen, wenn solche Angriffe nicht rasch erkannt und eingedämmt werden. Viele Unter­nehmen schützen sich, indem sie eine Viel­zahl von Sicher­heits­lösungen ein­setzen. Trend Micro XDR dagegen gibt einen umfassenden Über­blick über den Sicherheits­status.*

Im Januar 2020 läuft der erweiterte Support für Windows 7 ab, so dass es dann dafür keine Security-Updates mehr gibt. Für Unter­nehmen, die den Um­stieg auf Windows 10 nicht recht­zeitig schaffen, kün­digte Microsoft die Extended Security Updates an. Sie stehen nun auch für Kunden ohne Volumen­lizenzen offen.

In Office 365 ist bereits mit der Exchange Online Protection (EOP) eine mehr­stufige Abwehr gegen Spam und Mal­ware enthalten. Die Advanced Threat Protection (ATP) erweitert diesen Schutz. Sie erhöht die Sicher­heit, indem sie Nach­richten, Anhänge sowie Links auf Malware und mögliche Phishing-Angriffe über­prüft.

Die mit Windows 10 1903 einge­führte Sand­box ist eine leicht­gewichtige virtuelle Maschine, die eine Aus­führung von Anwen­dungen in einer iso­lierten Umgebung er­laubt. Sie lässt sich nur einge­schränkt über eine XML-Datei konfi­gurieren. Um diese Auf­gabe zu verein­fachen, gibt es den kosten­losen Sandbox Editor.

Es gibt keinen besseren Schutz gegen Mal­ware, als nur vertrauens­würdige Anwendungen zuzu­lassen und alle anderen zu blockieren. Was in der Theorie ein­leuchtet, scheitert in der Praxis oft an der Pflege der White­list. Die SecuLution GmbH unter­stützt Anwender bei dieser Auf­gabe mit einer Cloud-Datenbank.

Als mächtiges Werk­zeug ist Power­Shell nicht nur für Admins, son­dern auch für Hacker interes­sant. Um ver­dächtige Aktivi­täten zu ent­decken, ist es hilf­reich, alle ausge­führten Befehle mitzu­schneiden. Neben dem Auf­zeichnen in einer Text­datei unter­stützt PowerShell seit der Version 5 auch die Proto­kollierung im Eventlog.

Sobald mobile Geräte in Intune regi­striert sind, gewährt ihnen der Admini­strator Zugriff auf Ressourcen im Netz­werk. Das kann er allerdings unter der Auflage tun, dass die Geräte be­stimmte Sicher­heits­richtlinien erfüllen. Uner­wünschte Geräte lassen sich aber schon bei der Regi­strierung ab­weisen.

Um dem Miss­brauch von PowerShell auf die Schliche zu kommen, kann man sämt­liche aus­geführte Komman­dos und Scripts mit­schneiden. Dafür exi­stieren zwei Mecha­nismen, einer davon schreibt alle Ein- und Aus­gaben in eine Datei. Es empfiehlt sich, die gesam­melten Daten an zentraler Stelle zusammen­zuführen.