Vorschlag für eine neue Funktion in DriveLock – Import von IoC-Hashwerten

Wir erhalten vom CERT NRW regelmäßig Listen mit sogenannten Indicators of Compromise (IoCs), die unter anderem Hashwerte von betroffenen bzw. potenziell schädlichen Dateien und Programmen enthalten. Diese Dateien sollen auf unseren Systemen möglichst schnell erkannt und blockiert werden.

Die bereitgestellten Listen können bis zu 100 oder mehr Hashwerte enthalten. Aktuell besteht in DriveLock – sofern überhaupt möglich – nur die Möglichkeit, die Hashwerte einzeln einzupflegen. Bei größeren Listen ist dies entsprechend aufwendig und zeitintensiv.

Wir benötigen daher eine Möglichkeit, eine Datei mit einer größeren Anzahl von Hashwerten zentral in DriveLock zu importieren, beispielsweise über eine Hash-Datenbank (Hash-DB) oder eine vergleichbare Funktion.

Wünschenswert wäre dabei insbesondere:

Import einer Liste mit mehreren Hashwerten über eine Datei (z. B. CSV oder TXT)

• zentrale Verwaltung der importierten Hashwerte

• automatisierte Überprüfung der Systeme bzw. Dateien gegen diese Hashwerte

• Möglichkeit, Dateien mit einem übereinstimmenden Hashwert automatisch zu blockieren

• einfache Aktualisierung bzw. Erweiterung der bestehenden Hashwertliste

Da die IoC-Listen im Zusammenhang mit aktuellen Sicherheitsvorfällen kurzfristig verarbeitet werden müssen, wäre insbesondere eine automatisierte und zentrale Verarbeitung der Listen für uns sehr wichtig.

Aus unserer Sicht würde eine solche Funktion die schnelle Reaktion auf aktuelle Sicherheitsvorfälle deutlich erleichtern und gleichzeitig den manuellen Administrationsaufwand erheblich reduzieren.