Was es ist
Halcyon ist eine Anti-Ransomware-Plattform, und dieser Begriff verdient Genauigkeit. Es ist kein Endpoint Protection, kein Detection and Response und kein Backup-Produkt. Es ist eine Schicht für einen einzigen Angriff, und ihr eigenes Argument lautet, dass sie die Lücke zwischen EPP und EDR schliesst, statt eines von beiden zu ersetzen.
Die Engine ist gezielt auf Ransomware-Verhalten trainiert: auf die Process Injections, die Verschlüsselungsroutinen und die Exfiltrationsmuster, die Ransomware-Betreiber verwenden, und nicht auf Schadsoftware allgemein.
Der Teil, der wirklich anders ist
Es rechnet damit, zu verlieren. Neben den Präventionsschichten liegt eine Resilienz-Schicht, die während des laufenden Angriffs die Schlüssel mitschneidet, mit denen der Angreifer verschlüsselt. Werden Dateien trotzdem verschlüsselt, lassen sie sich aus diesem Material entschlüsseln, statt aus einem Backup wiederhergestellt oder beim Betreiber zurückgekauft zu werden.
Das ist eine andere Wette als bei allem anderen auf dieser Seite. Erkennung setzt voraus, dass man es erwischt. Das hier setzt voraus, dass man es manchmal nicht erwischt.
Was es sonst beobachtet
Den Missbrauch verwundbarer Treiber, über den Angreifer Sicherheitswerkzeuge aus dem Kernel heraus abschalten. Manipulationen an den Sicherheitsagenten selbst, unter anderem Microsoft Defender, CrowdStrike, SentinelOne und Cortex, weil der erste Zug gegen ein Endgerät oft der Zug gegen dessen Wache ist. Living-off-the-Land-Aktivität über PowerShell und WMIC. Und die Schattenkopien, die Ransomware löscht, bevor sie verschlüsselt, damit der lokale Wiederherstellungsweg weg ist.
Dazu die Exfiltration, denn bei doppelter Erpressung ist die Verschlüsselung nur die halbe Geschichte.
Was zu prüfen ist, bevor es auf die Liste kommt
Zwei Dinge, und keines davon ist technisch.
Der Hersteller betreibt ein Ransomware Operations Center und legt es bei, und er gibt eine Garantie, dass seine Leute bei einem erfolgreichen Angriff bei der Wiederherstellung helfen. Beides liest man besser im Vertrag als auf der Website, denn was «bei der Wiederherstellung helfen» abdeckt, ist die eigentliche Frage.
Das zweite ist die Überschneidung. Das ist ein zweiter Agent auf jedem Endgerät, neben einem EDR, das Ransomware-Schutz bereits für sich beansprucht. Der Fall dafür steht und fällt damit, ob die Recovery-Schicht hält, und genau das gehört getestet und nicht die Erkennungsrate.
