Grundlagen

Wie PoisonZero schützt

PoisonZero läuft auf derselben Maschine wie Ihr Agent und wirkt auf die Änderung einer Datei, nicht auf die ruhende Datei. Jede Änderung an einer geschützten Memory-Datei wird geprüft, bevor sie wirksam wird, und das Ergebnis ist eines von drei Ergebnissen. Diese Seite beschreibt das Verhalten, nicht die Modell-Interna.

Lesezeit ~5 Min · Grundlagen

Wo der Schutz ansetzt

Die Einheit des Schutzes ist die Änderung, nicht die Datei:

  • An der Änderung: eine Datei wird nur gelesen, gedifft und bewertet, wenn sie sich ändert; im Ruhezustand wird nichts beurteilt.
  • Bevor sie wirksam wird: die Prüfung läuft im Moment des Schreibens, nicht einmalig bei der Installation.
  • Lokal: die Überwachung und die Bewertung laufen auf derselben Maschine wie Ihr Agent.
Der Geltungsbereich ist eine Allowlist: nur Memory-, Anweisungs- und Konfigurationsdateien eines Agents werden überwacht, alles andere auf der Maschine wird nie geöffnet. Siehe was PoisonZero überwacht.

Was eine Prüfung auslöst

Die Überwachung lauscht auf Dateisystem-Events an den geschützten Pfaden und bewertet nur Inhalte, die erstellt oder geschrieben werden:

EventWas passiert
Datei erstelltAls neue Änderung bewertet
Datei geschrieben oder geändertDer hinzugefügte Inhalt wird gegen den letzten sauberen Stand gedifft und bewertet
Datei entfernt oder umbenanntNicht bewertet: Inhalt zu entfernen ist kein Vergiftungsvektor
Verzeichnis-Events und die eigenen Laufzeitdateien des Daemon werden vor der Bewertung herausgefiltert; nur Memory-Dateien im Geltungsbereich erreichen das Modell.

Die drei Ergebnisse

Jede bewertete Änderung endet in genau einem von drei Ergebnissen:

ErgebnisWannWas PoisonZero tut
DurchlassenDie Änderung wird als harmlos bewertetDie Änderung wird angenommen und wird zum neuen sauberen Stand
FragenDie Änderung ist weder eindeutig sicher noch ein bewiesener AngriffDie Datei bleibt in ihrem letzten sicheren Zustand und Sie werden gefragt, bevor sie wirksam wird. Bei einer erstmalig angelegten Datei gibt es keinen früheren Zustand - eine Ablehnung legt die ganze Datei in Quarantäne, umkehrbar
ZurückrollenDie Änderung wird als bewiesener Angriff bewertetDie Änderung wird automatisch rückgängig gemacht und die Datei kehrt in ihren letzten sauberen Stand zurück
Die genaue Bewertung wird hier nicht offengelegt; entscheidend ist das Verhalten: Sicheres geht durch, Unsicheres fragt, Gefährliches rollt zurück. Das unsichere Mittelband behandelt der Nutzer-Dialog.

Zurückrollen ist umkehrbar

Ein Zurückrollen zerstört nie Inhalt. Die gefährliche Änderung wird rückgängig gemacht, indem die letzte bekannt-saubere Version wiederhergestellt wird, und der verdrängte Inhalt wird aufbewahrt, nicht gelöscht:

  • Wiederherstellen, nicht löschen: die Datei wird auf ihren letzten sauberen Stand zurückgeschrieben; die Änderung wird in Quarantäne gelegt, beiseitegehalten statt gelöscht.
  • Wiederherstellbar: der verdrängte Inhalt bleibt wörtlich erhalten, sodass eine Entscheidung immer rückgängig gemacht werden kann.
  • Protokolliert: jedes Ergebnis wird in das lokale Audit-Log geschrieben - was sich änderte, wann und warum.
Weil ein Zurückrollen eine umkehrbare Quarantäne ist, wird ein Eintrag, den PoisonZero nicht freigeben konnte, nie stillschweigend zu einer Überzeugung Ihres Agents, und ein Fehlalarm kostet Sie nichts als einen Klick zum Behalten.
Fail-closed: ist der Bewerter nicht verfügbar oder liefert er nichts Verwertbares, wird die Änderung in ihrem sicheren Zustand gehalten, nie durchgewinkt. Sicherheit ist der Standard. Siehe fail-closed als Prinzip.

Weiterlesen

Die genaue Menge der überwachten Dateien: was PoisonZero überwacht. Das unsichere Mittelband: der Nutzer-Dialog. Die Haltung sicher-per-Standard: fail-closed.

War das hilfreich?

Schutz, der auf die Änderung wirkt, bevor Ihr Agent es tut.

Lokal überwacht, bewertet, bevor sie wirksam wird, und jedes Zurückrollen umkehrbar. Kostenlos für Linux, macOS und Windows.

Sign me up