Wie PoisonZero schützt
PoisonZero läuft auf derselben Maschine wie Ihr Agent und wirkt auf die Änderung einer Datei, nicht auf die ruhende Datei. Jede Änderung an einer geschützten Memory-Datei wird geprüft, bevor sie wirksam wird, und das Ergebnis ist eines von drei Ergebnissen. Diese Seite beschreibt das Verhalten, nicht die Modell-Interna.
Wo der Schutz ansetzt
Die Einheit des Schutzes ist die Änderung, nicht die Datei:
- An der Änderung: eine Datei wird nur gelesen, gedifft und bewertet, wenn sie sich ändert; im Ruhezustand wird nichts beurteilt.
- Bevor sie wirksam wird: die Prüfung läuft im Moment des Schreibens, nicht einmalig bei der Installation.
- Lokal: die Überwachung und die Bewertung laufen auf derselben Maschine wie Ihr Agent.
Was eine Prüfung auslöst
Die Überwachung lauscht auf Dateisystem-Events an den geschützten Pfaden und bewertet nur Inhalte, die erstellt oder geschrieben werden:
| Event | Was passiert |
|---|---|
| Datei erstellt | Als neue Änderung bewertet |
| Datei geschrieben oder geändert | Der hinzugefügte Inhalt wird gegen den letzten sauberen Stand gedifft und bewertet |
| Datei entfernt oder umbenannt | Nicht bewertet: Inhalt zu entfernen ist kein Vergiftungsvektor |
Die drei Ergebnisse
Jede bewertete Änderung endet in genau einem von drei Ergebnissen:
| Ergebnis | Wann | Was PoisonZero tut |
|---|---|---|
| Durchlassen | Die Änderung wird als harmlos bewertet | Die Änderung wird angenommen und wird zum neuen sauberen Stand |
| Fragen | Die Änderung ist weder eindeutig sicher noch ein bewiesener Angriff | Die Datei bleibt in ihrem letzten sicheren Zustand und Sie werden gefragt, bevor sie wirksam wird. Bei einer erstmalig angelegten Datei gibt es keinen früheren Zustand - eine Ablehnung legt die ganze Datei in Quarantäne, umkehrbar |
| Zurückrollen | Die Änderung wird als bewiesener Angriff bewertet | Die Änderung wird automatisch rückgängig gemacht und die Datei kehrt in ihren letzten sauberen Stand zurück |
Zurückrollen ist umkehrbar
Ein Zurückrollen zerstört nie Inhalt. Die gefährliche Änderung wird rückgängig gemacht, indem die letzte bekannt-saubere Version wiederhergestellt wird, und der verdrängte Inhalt wird aufbewahrt, nicht gelöscht:
- Wiederherstellen, nicht löschen: die Datei wird auf ihren letzten sauberen Stand zurückgeschrieben; die Änderung wird in Quarantäne gelegt, beiseitegehalten statt gelöscht.
- Wiederherstellbar: der verdrängte Inhalt bleibt wörtlich erhalten, sodass eine Entscheidung immer rückgängig gemacht werden kann.
- Protokolliert: jedes Ergebnis wird in das lokale Audit-Log geschrieben - was sich änderte, wann und warum.
Weiterlesen
Die genaue Menge der überwachten Dateien: was PoisonZero überwacht. Das unsichere Mittelband: der Nutzer-Dialog. Die Haltung sicher-per-Standard: fail-closed.
Schutz, der auf die Änderung wirkt, bevor Ihr Agent es tut.
Lokal überwacht, bewertet, bevor sie wirksam wird, und jedes Zurückrollen umkehrbar. Kostenlos für Linux, macOS und Windows.
Sign me up