Welche Lösung sollte eingesetzt werden, um Ransomware in der Ausführungsphase zu blockieren und die Dateiverschlüsselung zu verhindern?

Die Malicious Activity Protection (MAP)-Engine in Cisco AMP (jetzt Cisco Secure Endpoint) ist darauf ausgelegt, bösartige Verhaltensweisen und Aktivitäten zu erkennen und zu blockieren, die typischerweise von Ransomware während der Ausführungsphase durchgeführt werden, wie z. B. Dateiverschlüsselung, das Löschen von Schattenkopien oder das Ändern von Systemdateien. Durch die Analyse des Verhaltens kann MAP Ransomware stoppen, bevor sie Schaden anrichtet. Das Blockieren von TOR-Verkehr mit Cisco Firepower ist eine präventive Maßnahme, die die Command-and-Control-Kommunikation von Ransomware erschweren kann, aber sie blockiert nicht die Ausführung oder Dateiverschlüsselung selbst. Intrusion Policies und Snort-Regeln in Firepower können bekannte SMB-Exploits blockieren, was nützlich ist, um die anfängliche Infektion zu verhindern, aber nicht die Ausführung einer bereits auf dem System befindlichen Ransomware. Die Exploit Prevention Engine in Cisco AMP konzentriert sich auf das Blockieren von Exploits, die Schwachstellen ausnutzen, um die Ausführung von bösartigem Code zu ermöglichen, aber nicht auf die Erkennung und Blockierung der bösartigen Aktivitäten nach der erfolgreichen Ausführung.