Was ist Quarantäne?

„Quarantäne“ ist eine Durchsetzungsmaßnahme im Rahmen von Data Loss Prevention (DLP) und Cloud Access Security Broker (CASB), bei der eine Datei, die gegen eine Richtlinie verstößt, an einen vom Kunden kontrollierten Cloud-Speicherort umgeleitet wird, anstatt dass sie ihr Ziel erreicht oder an Ort und Stelle verbleibt. Auf diese Weise werden sensible oder schädliche Inhalte isoliert und gleichzeitig zur Überprüfung aufbewahrt.

Die wichtigsten Erkenntnisse

• Durch die Quarantäne wird eine markierte Datei in einen isolierten Cloud-Speicher verschoben und nicht gelöscht.
• DLP-Regelarten wie „Dateityp“, „EDM“ und „OCR“ können eine Quarantäne auslösen.
• Eine Tombstone-Datei ersetzt die Originaldatei und erläutert, warum diese unter Quarantäne gestellt wurde.
• Quarantäneprofile legen fest, wem die Speicher-App, die Instanz und der Ordner gehören.
• Sowohl SaaS- als auch IaaS-Anwendungen – wie Box, AWS und SharePoint – können Quarantäneordner hosten.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Quarantäne & Versa · Häufig gestellte Fragen

Warum ist Quarantäne wichtig?

Richtlinien zur Verhinderung von Datenverlusten (DLP) und zum Cloud Access Security Broker (CASB) verhindern, dass sensible oder schädliche Inhalte ihr Ziel erreichen. Eine vollständige Sperrung oder Löschung kann jedoch zu drastisch sein – sie vernichtet Beweismaterial und lässt keine Möglichkeit, einen Fehlalarm zu überprüfen, bevor die Daten verloren sind. Die Quarantäne schließt diese Lücke: Anstatt eine Datei zu löschen, die einer DLP-Regel entspricht, wird sie in einen vom Kunden kontrollierten Cloud-Speicherort verschoben, wo sie von den vorgesehenen Empfängern isoliert ist, den Administratoren jedoch zur Überprüfung, Wiederherstellung oder Eskalation zur Verfügung steht.

Diese Umkehrbarkeit ist aus betrieblicher Sicht von Bedeutung. Eine legitime Datei, die durch eine zu weit gefasste Regel erfasst wurde, kann wiederhergestellt werden, anstatt endgültig verloren zu gehen, und die in Quarantäne gesetzte Kopie bewahrt einen forensischen Nachweis, der durch ein einfaches Löschen vernichtet würde. Für Unternehmen, die SaaS- und IaaS-Anwendungen in großem Maßstab betreiben, ist die Quarantänefunktion der Grund, warum die DLP-Durchsetzung sicher aktiviert werden kann, ohne das Risiko eines unbemerkten, irreversiblen Datenverlusts einzugehen.

Was ist Quarantäne?

Die Quarantäne ist eine Durchsetzungsmaßnahme, die für bestimmte DLP-Regeltypen – Dateityp, exakte Datenübereinstimmung (EDM) und optische Zeichenerkennung (OCR) – sowie für Advanced Threat Protection (ATP) verfügbar ist, wodurch Dateien, die als verdächtig oder bösartig eingestuft werden, unter Quarantäne gestellt werden können. Anstatt zugelassen, blockiert oder abgelehnt zu werden, wird eine Datei, bei der eine Übereinstimmung festgestellt wurde, an einen Cloud-Dienst gesendet und an einen in einem Quarantäneprofil definierten Speicherort verschoben.

Ein Administrator konfiguriert dieses Profil mit einer Speicheranwendung (u. a. Box, Dropbox, Google Drive, OneDrive oder SharePoint), einer Instanz dieser Anwendung und der E-Mail-Adresse des Benutzers, unter dessen Konto der Ordner angelegt wird. Die Originaldatei wird in der Regel durch einen „Tombstone“ ersetzt – einen Platzhalter, der erklärt, warum sie entfernt wurde. Für die Erstellung eines Profils muss bereits ein Anwendungskonnektor für die ausgewählte Cloud-Anwendung vorhanden sein.

Arten von Quarantäneorten

Quarantäneprofile lassen sich in zwei große Zielkategorien einteilen, die den von der API-basierten Datensicherung abgedeckten Anwendungsfamilien entsprechen. Bei SaaS-Zielen – Box, Citrix ShareFile, Dropbox, Egnyte, Google Drive, OneDrive und SharePoint – wird ein Ordner unter dem Konto eines bestimmten Benutzers angelegt. Bei IaaS-Zielen – AWS, Google Cloud Platform, Azure und Oracle Cloud Infrastructure – wird ein Objektspeicher-Container oder -Bucket verwendet, auf den ausschließlich Administratoren Zugriff haben.

Ein weiterer Unterschied besteht darin, was die Maßnahme auslöst. Eine durch DLP ausgelöste Quarantäne wird durch Übereinstimmungen mit Dateityp-, EDM- oder OCR-Regeln ausgelöst; eine durch ATP ausgelöste Quarantäne wird aktiviert, wenn eine Malware-Bewertung als verdächtig oder bösartig eingestuft wird. Beide nutzen aus unterschiedlichen Gründen denselben Profilmechanismus.

Quarantäne & Versa

In „ Versa Concerto“ wird die Quarantäne unter „Konfigurieren > Security Service Edge > Profile und Konnektoren > Quarantäneprofil“ konfiguriert. Ein Profil enthält einen Namen, eine Beschreibung, einen Schalter zum Aktivieren/Deaktivieren, die Zielanwendung und -instanz sowie einen Tombstone-Text für DLP- und ATP-Fälle – Administratoren können den Standardtext von „ Versa“ beibehalten oder einen benutzerdefinierten Text verfassen. Zum Erstellen eines Profils muss bereits ein Anwendungskonnektor vorhanden sein; jede Konnektorinstanz gibt zudem an, welche Dienste sie unterstützt: API-basierter Datenschutz, Forensik, Legal Hold und Quarantäne.

Quarantäneprofile werden anschließend in Richtlinienregeln referenziert: Eine DLP-Regel kann „Quarantäne“ als Aktion für eine Übereinstimmung bei Dateityp, EDM oder OCR festlegen, und eine ATP-Regel kann dasselbe für verdächtige Dateien tun. Diese Funktion wurde mit Release 12.2.1 eingeführt. Die vollständigen Vorgehensweisen finden Sie unter „Konfigurieren von Quarantäneprofilen in Concerto “ und „Konfigurieren von Cloud-Anwendungen für die Verwendung mit API-basiertem Datenschutz “.

Häufig gestellte Fragen

Was löst eine Quarantänemaßnahme aus?

DLP-Regeltypen wie „Dateityp“, „Exakter Datenabgleich“ und „Optische Zeichenerkennung“ können die Quarantäne als Aktion bei einem Treffer festlegen, und „Advanced Threat Protection“ kann jede Datei, die beim Scan als verdächtig oder bösartig eingestuft wird, in Quarantäne verschieben, anstatt sie direkt zu blockieren oder abzulehnen.

Wohin werden Dateien in Quarantäne verschoben?

In einen Ordner oder einen Objektspeicherort in einer vom Kunden bereitgestellten Cloud-Anwendung – Box, Dropbox, Google Drive, OneDrive, SharePoint oder einen IaaS-Bucket in AWS, Azure, GCP oder OCI –, der von der Zielanwendung und der im Quarantäneprofil konfigurierten Instanz festgelegt wird.

Was ist eine „Tombstone“-Datei?

Ein „Tombstone“ ist eine Datei, die eine unter Quarantäne gestellte Datei an ihrem ursprünglichen Speicherort ersetzt und angibt, dass sie entfernt wurde und aus welchem Grund. Administratoren können den Standardtext für „Tombstones“ von Versabeibehalten oder einen benutzerdefinierten Text verfassen, der für DLP- und ATP-Quarantänefälle separat konfiguriert wird.

Ist „Quarantäne“ dasselbe wie „Löschung“?

Nein. Bei der Quarantäne wird eine entsprechende Datei nicht sofort gelöscht, sondern an einen isolierten, zugriffsbeschränkten Speicherort in der Cloud verschoben – wodurch der Inhalt für die Überprüfung durch den Administrator, forensische Untersuchungen oder eine Aufbewahrungspflicht erhalten bleibt, anstatt die zugrunde liegenden Beweismittel dauerhaft und unwiderruflich zu vernichten.

Wer hat Zugriff auf einen Quarantäneordner?

Der Zugriff sollte stets ausschließlich auf Administratoren beschränkt sein. Bei SaaS-Zielen wird der Ordner unter dem Konto eines bestimmten Benutzers angelegt; bei IaaS-Zielen sollte der Zugriff auf den Speichercontainer oder -bucket gemäß den offiziellen Quarantäne-Richtlinien unter Versastreng auf Administratoren beschränkt sein.

Mehr zum Thema Quarantäne

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie gerade etwas über Quarantäne lesen, sollten Sie sich als Nächstes diese Artikel ansehen.