Virustorjunta-, EDR- ja XDR-alustat

Päätelaitteiden tietoturva on kehittynyt huomattavasti viimeisten 30 vuoden aikana. Perinteinen antivirusohjelmisto käytti allekirjoitustietokantoja tunnettujen haittaohjelmien havaitsemiseen, mutta hyökkääjien kehitettyä koodin häivytystä ja polymorfismia staattiset allekirjoitukset eivät enää riittäneet. Tämä johti Endpoint Detection and Response (EDR) -ratkaisujen kehittämiseen. Ne keskittyvät käynnissä olevien prosessien käyttäytymisen analysointiin. Viime aikoina Extended Detection and Response (XDR) on yhdistänyt päätelaitteiden, verkkojen, pilvityökuormien ja sähköpostin telemetriat tarjotakseen yhtenäisen uhkien havaitsemisalustan.

Perinteinen antivirusohjelmisto (AV) toimii vertaamalla tiedostoja tunnettujen haitallisten allekirjoitusten tietokantaan. Allekirjoitukset ovat tiettyihin haittaohjelmanäytteisiin liittyviä yksilöllisiä tavukuvioita. Kun tiedosto vastaa allekirjoitusta, se asetetaan karanteeniin tai poistetaan. AV käyttää myös heuristista analyysiä (epäilyttävien koodikuvioiden etsimistä) ja hiekkalaatikkotekniikkaa (epäilyttävien tiedostojen suorittamista eristetyssä ympäristössä). Perusheikkous on reaktiivisuus. Uudet haittaohjelmat — erityisesti tiedostottomat, polymorfiset tai käyttöjärjestelmän omia työkaluja hyödyntävät hyökkäykset — voivat ohittaa allekirjoituksiin perustuvan tunnistuksen kokonaan, kunnes toimittaja lisää uuden allekirjoituksen.

EDR-alustat valvovat jatkuvasti päätelaitteiden toimintaa ja tallentavat monipuolisen telemetriavirran: prosessien luonnit, verkkoyhteydet, tiedostojärjestelmän muutokset, rekisterimuutokset ja muistivaraukset. Tätä telemetriaa analysoidaan käyttäytymismallien ja uhkatiedustelun avulla, jotta voidaan havaita haitallisen toiminnan malleja, joita allekirjoituspohjainen AV ei tunnista. Kun uhka havaitaan, EDR voi automaattisesti eristää isännän verkosta, lopettaa haitalliset prosessit ja säilyttää rikosteknisen tutkinnan aineiston (muistivedokset, prosessipuut) tutkimusta varten.

Havaitsemisen lisäksi EDR tarjoaa keskeiset vasteominaisuudet. Etäeristys katkaisee vaarantuneen isännän verkkoyhteyden samalla, kun EDR:n hallintakanava säilyy käytettävissä. Etäkäyttöliittymän avulla analyytikot voivat suorittaa komentoja eristetyssä isännässä tutkimusta varten. Prosessin lopetus pysäyttää haitalliset prosessit. Tiedoston karanteeni siirtää haitalliset tiedostot eristettyyn säilöön. Palautustoiminto voi peruuttaa kiristyshaittaohjelman aiheuttaman salauksen tuetuissa tiedostojärjestelmissä. EDR-alustat (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) tarjoavat myös uhkien metsästykseen tarkoitettuja käyttöliittymiä telemetrian ennakoivaa hakua varten.

XDR laajentaa EDR:n näkyvyyttä päätelaitteen ulkopuolelle keräämällä ja korreloimalla telemetriaa useista tietoturvakerroksista: päätelaiteagenteilta, verkon tunnistustyökaluilta, sähköpostin suojausyhdyskäytäviltä, identiteettialustoilta ja pilvityökuormien sensoreilta. Korreloimalla eri kerrosten tietoja XDR voi havaita hyökkäysketjuja, jotka näyttävät erikseen tarkasteltuina harmittomilta — esimerkiksi tietojenkalasteluviesti (sähköpostitelemetria) → tunnistetietojen varastaminen (identiteettitelemetria) → sivuttaisliike (verkkotelemetria) → tietojen suodattaminen (päätelaitetelemetria) muodostavat yhden tapahtuman, josta siiloutuneet työkalut tuottaisivat neljä toisiinsa liittymätöntä hälytystä.

MDR on palvelumalli, jossa toimittaja tarjoaa EDR/XDR-teknologian JA analyytikkotiimin, joka valvoo, tutkii ja käsittelee hälytyksiä asiakkaan puolesta ympäri vuorokauden. MDR vastaa osaajapulaan — monet organisaatiot eivät pysty ylläpitämään Security Operations Centeriä (SOC) ympäri vuorokauden. MDR-palveluntarjoajilla on yleensä hälytysten palvelutasosopimukset (vastaus 15 minuutin kuluessa, eskalointi tunnin kuluessa), ja palveluihin kuuluu uhkien metsästys sekä kuukausiraportointi. MDR toimii MSSP:n (Managed Security Service Provider) rinnalla, mutta keskittyy nimenomaisesti havaitsemiseen ja vasteeseen yleisen tietoturvan hallinnan sijaan.

Kunkin alustan kehityksen ymmärtäminen auttaa kokeessa. AV: allekirjoituksiin ja heuristiikkaan perustuva havaitseminen, tiedostotason karanteeni, ei näkyvyyttä käyttöjärjestelmän omia työkaluja hyödyntäviin hyökkäyksiin. EPP (Endpoint Protection Platform): AV, palomuuri ja laitehallinta yhdellä agentilla. EDR: jatkuva käyttäytymistelemetria, prosessitason näkyvyys, vasteen automatisointi ja uhkien metsästys. XDR: eri kerrosten välinen korrelaatio (päätelaite + verkko + sähköposti + pilvi + identiteetti), yhtenäinen hälytyskonsoli ja tekoälyyn perustuva havaitseminen. Monet tuotteet markkinoivat nykyään itseään nimellä ”EDR with XDR capabilities”, mikä hämärtää eroa.

Modernit EDR/XDR-alustat hyödyntävät uhkatiedustelusyötteitä hälytysten rikastamiseen ja havaitsemisen parantamiseen. Kun päätelaite muodostaa yhteyden Threat Intel -syötteessä olevaan IP-osoitteeseen, EDR voi automaattisesti nostaa hälytyksen vakavuusastetta. IOC-täsmäytys (tiedostojen tiivisteet, IP-osoitteet ja toimialuenimet) mahdollistaa tunnettujen haitallisten indikaattorien nopean havaitsemisen. MITRE ATT&CK -integraatio merkitsee havaitut tekniikat tekniikkatunnisteilla (T1059.001 PowerShellille), jolloin analyytikot ymmärtävät heti, mihin hyökkäyksen elinkaaren vaiheeseen tekniikka sijoittuu ja mitä suojauksia siihen sovelletaan.

EDR/XDR:n suurin toiminnallinen haaste on hälytysten aiheuttama kuormitus. Huonosti säädetty EDR-käyttöönotto voi tuottaa tuhansia hälytyksiä päivässä, joista useimmat ovat vääriä positiivisia. Tehokas EDR:n hallinta edellyttää seuraavia toimia: havaitsemissääntöjen hienosäätö tunnettujen ja hyväksyttyjen toimintojen (ohjelmistojen käyttöönottoskriptit ja IT-hallintatyökalut) väärien positiivisten vähentämiseksi, poikkeusten luominen luotetuille prosesseille ja poluille sekä hälytysten luokittelu vakavuustasoihin, jotta analyytikot keskittyvät ensin vakavimpiin hälytyksiin. Hälytysten laatu on kaikissa havaitsemisohjelmissa määrää arvokkaampaa.

Kehittyneet hyökkääjät pyrkivät aktiivisesti väistämään EDR:n havaitsemista. Yleisiä tekniikoita ovat muun muassa prosessiin injektointi (haitallisen koodin injektointi laillisiin prosesseihin, kuten explorer.exe:hen, sen piilottamiseksi), hookien poistaminen (EDR:n muistissa olevien API-hookien poistaminen valvonnan estämiseksi), LOLBins (luotettujen järjestelmäbinaarien käyttäminen tiivistepohjaisen havaitsemisen välttämiseksi) ja suorat järjestelmäkutsut (Win32 API -kerroksen ohittaminen kokonaan). Tietoturvatiimien tulisi suorittaa säännöllisesti EDR:n ohitussimulaatioita (Atomic Red Team, MITRE Caldera) varmistaakseen, että niiden kontrollit havaitsevat nämä tekniikat.

Teknologian lisäksi tehokas päätelaitteiden tietoturva edellyttää käytäntöpäätöksiä, joiden toimeenpanosta EDR-työkalut huolehtivat. USB-laitteiden hallinta estää luvattomien siirrettävien tietovälineiden käytön. Sovellusten sallittujen luettelo estää luvattomien ohjelmistojen suorittamisen. Verkkosisällön suodatus päätelaitteessa havaitsee haitalliset lataukset myös VPN-yhteyden ulkopuolella. Peukaloinnin esto estää paikalliset järjestelmänvalvojan oikeudet omaavia hyökkääjiä poistamasta EDR-agenttia käytöstä. Organisaatioiden tulisi myös määritellä päätelaitteiden hyväksyttävän käytön käytännöt ja panna ne täytäntöön MDM:n tai ryhmäkäytäntöjen avulla. Näin luodaan toinen puolustuslinja tilanteisiin, joissa tekniset kontrollit ohitetaan.

Tässä oppitunnissa opitte, että perinteinen AV perustuu allekirjoituksiin ja heuristiikkaan eikä pysty havaitsemaan käyttäytymiseen perustuvia tai tiedostottomia uhkia, EDR tarjoaa jatkuvan käyttäytymistelemetrian, havaitsemisen ja automaattisen vasteen, johon kuuluu esimerkiksi isännän eristäminen, ja XDR laajentaa EDR:ää korreloimalla päätelaitteiden, sähköpostin, verkon, identiteetin ja pilven kerrosten telemetriaa yhtenäistä tapahtumien havaitsemista varten. Seuraavaksi tutustumme käyttöjärjestelmien koventamistekniikoihin ja CIS-vertailuarvoihin.