Schutz vor Ransomware

Das RZ Trier hat auf seinem zentralen Daten-Speichersystem seit Kurzem eine Software installiert, die auf der Grundlage eines konfigurierbaren Regelwerks Auffälligkeiten im Nutzungsverhalten analysiert. Wenn diese auf einen Ransomware-Angriff hindeuten, werden ggf. automatisiert geeignete Gegenmaßnahmen getroffen.

In einer ersten Phase wurde das System über einen längeren Zeitraum trainiert, um das „normale Nutzungsverhalten“ zu lernen, d.h. das Regelwerk wurde angepasst, damit möglichst gut zwischen normalem Verhalten und Auffälligkeiten unterschieden wird. In dieser Phase wurden zwar Auffälligkeiten protokolliert, aber keine automatisierten Gegenmaßnahmen getroffen.

Die o.g. Trainingsphase des Systems ist inzwischen abgeschlossen. Bevor nun die Produktivphase mit automatisierten Gegenmaßnahmen aktiviert wird, was konkret die Sperrung einzelner Hochschulkennungen bei auffälligem Verhalten bedeutet, möchten wir eine Erprobungsphase starten, in der Administratoren und betroffene Nutzer*innen per E-Mail über auffälliges Verhalten informiert werden, aber noch keine Sperrung vorgenommen wird. Durch Rücksprache mit den Nutzern*innen soll das Regelwerk in dieser Phase weiter verbessert werden, um sogenannte „false positives“ zukünftig weitgehend zu vermeiden

Nach erfolgreichem Abschluss der Erprobungsphase geht das System in die Produktivphase. In der Produktivphase werden bei Auffälligkeiten automatisiert betroffene Kennungen für den Zugriff auf das Speichersystem gesperrt und E-Mails wie in der Erprobungsphase versandt. Zur Freischaltung des Zugriffs ist die Kontaktaufnahme mit dem Helpdesk erforderlich.

Der Start der Produktivphase ist im Laufe des zweiten Quartals 2025 geplant.