Antivirus-, EDR- og XDR-platforme

EDR-platforme overvåger løbende aktivitet på endpoints og registrerer en omfattende telemetridatastrøm: oprettelse af processer, netværksforbindelser, ændringer i filsystemet, ændringer i registreringsdatabasen og hukommelsesallokeringer. Denne telemetri analyseres ved hjælp af adfærdsmodeller og trusselsefterretninger for at registrere mønstre af skadelig aktivitet, som signaturbaseret AV overser. Når en trussel registreres, kan EDR automatisk isolere værten fra netværket, afslutte skadelige processer og bevare retsmedicinske beviser (hukommelsesdump og procestræer) til undersøgelse.

Ud over registrering tilbyder EDR vigtige funktioner til reaktion. Fjernisolering afbryder en kompromitteret vært fra netværket, samtidig med at EDR's administrationskanal bevares. En fjernshell giver analytikere mulighed for at køre kommandoer på den isolerede vært under undersøgelsen. Afslutning af processer stopper skadelige processer. Filkarantæne flytter skadelige filer til et isoleret lager. Tilbagerulning kan omstøde ransomware-kryptering på understøttede filsystemer. EDR-platforme (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) tilbyder også grænseflader til trusselsjagt, så man proaktivt kan søge på tværs af telemetri.

XDR udvider EDR's synlighed ud over endpointet ved at indsamle og sammenholde telemetri fra flere sikkerhedslag: endpoint-agenter, værktøjer til netværksregistrering, gateways til e-mailsikkerhed, identitetsplatforme og sensorer til cloud-arbejdsbelastninger. Ved at sammenholde data på tværs af lag kan XDR registrere angrebskæder, der ser harmløse ud, når de betragtes isoleret — for eksempel kan en phishing-e-mail (e-mailtelemetri) → legitimationsoplysninger stjålet (identitetstelemetri) → lateral bevægelse (netværkstelemetri) → dataeksfiltrering (endpointtelemetri) samles til én hændelse, som isolerede værktøjer ellers ville generere fire ikke-relaterede alarmer for.

MDR er en servicemodel, hvor en leverandør stiller EDR/XDR-teknologien samt et team af analytikere til rådighed. Teamet overvåger, undersøger og reagerer på alarmer døgnet rundt på kundens vegne. MDR afhjælper manglen på specialister — mange organisationer kan ikke bemande et Security Operations Center (SOC) hele døgnet. MDR-leverandører har typisk SLA'er for alarmer (svar inden for 15 minutter, eskalering inden for 1 time) og inkluderer trusselsjagt samt månedlig rapportering. MDR eksisterer side om side med MSSP (Managed Security Service Provider), men fokuserer specifikt på registrering og reaktion frem for generel sikkerhedsstyring.

Det er en hjælp til eksamen at forstå udviklingen i de enkelte platforme. AV: signatur- og heuristisk registrering, karantæne på filniveau og ingen synlighed i angreb, der udnytter systemets egne værktøjer. EPP (Endpoint Protection Platform): AV samt firewall og enhedskontrol i én agent. EDR: løbende adfærdstelemetri, synlighed på procesniveau, automatiseret reaktion og trusselsjagt. XDR: sammenkædning på tværs af lag (endpoint + netværk + e-mail + cloud + identitet), samlet alarmkonsol og AI-baseret registrering. Mange produkter markedsfører sig nu som 'EDR with XDR capabilities', hvilket udvisker forskellen.

Moderne EDR/XDR-platforme bruger feeds med trusselsefterretninger til at berige alarmer og forbedre registreringen. Når et endpoint opretter forbindelse til en IP-adresse i Threat Intel-feedet, kan EDR automatisk hæve alarmens alvorlighedsgrad. IOC-matchning (filhash, IP-adresser og domænenavne) muliggør hurtig registrering af kendte skadelige indikatorer. MITRE ATT&CK-integration mærker registrerede teknikker med teknik-ID'er (T1059.001 for PowerShell), så analytikere med det samme kan forstå, hvor i angrebets livscyklus en teknik hører til, og hvilke forsvar der gælder.

Den største driftsmæssige udfordring ved EDR/XDR er alarmtræthed. En EDR-implementering, der er dårligt justeret, kan generere tusindvis af alarmer om dagen, hvoraf de fleste er falske positiver. Effektiv EDR-styring kræver: justering af registreringsregler for at reducere falske positiver for kendt legitim adfærd (scripts til softwareudrulning og værktøjer til IT-administration), oprettelse af undtagelser for pålidelige processer og stier samt inddeling af alarmer efter alvorlighed, så analytikere fokuserer på alarmer med høj alvorlighed først. Alarmkvalitet er mere værdifuld end alarmmængde i ethvert program til trusselsregistrering.

Avancerede angribere forsøger aktivt at undgå registrering i EDR. Almindelige teknikker omfatter: procesinjektion (indsættelse af skadelig kode i legitime processer som explorer.exe for at skjule den), afkobling af hooks (fjernelse af EDR-API-hooks fra hukommelsen for at forhindre overvågning), LOLBins (brug af pålidelige systembinære filer for at undgå hashbaseret registrering) og direkte systemkald (fuldstændig omgåelse af Win32-API-laget). Sikkerhedsteams bør regelmæssigt køre simuleringer af EDR-omgåelse (Atomic Red Team og MITRE Caldera) for at kontrollere, at deres kontroller registrerer disse teknikker.

Ud over teknologien kræver effektiv endpoint-sikkerhed politiske beslutninger, som EDR-værktøjer håndhæver. Kontrol af USB-enheder blokerer uautoriserede flytbare medier. Liste over tilladte applikationer forhindrer kørsel af uautoriseret software. Filtrering af webindhold på endpointet fanger skadelige downloads, selv når enheden ikke er tilsluttet via VPN. Beskyttelse mod manipulation forhindrer angribere med lokale administratorrettigheder i at deaktivere EDR-agenten. Organisationer bør også definere politikker for acceptabel brug af endpoints og håndhæve dem gennem MDM eller Group Policy. Det skaber en ekstra forsvarslinje, når tekniske kontroller omgås.

I denne lektion har du lært, at traditionel AV er afhængig af signaturer og heuristik og ikke kan registrere adfærdsbaserede eller filløse trusler; EDR leverer løbende adfærdstelemetri, registrering og automatiseret reaktion, herunder isolation af værter; og XDR udvider EDR ved at sammenholde telemetri på tværs af endpoint-, e-mail-, netværks-, identitets- og cloudlag for at registrere hændelser samlet. Nu ser vi nærmere på teknikker til sikring af operativsystemer og CIS-benchmarks.