Platform Antivirus, EDR dan XDR

Keselamatan titik akhir telah berkembang dengan ketara sepanjang 30 tahun yang lalu. Antivirus tradisional menggunakan pangkalan data tandatangan untuk mengesan perisian hasad yang diketahui, tetapi apabila penyerang membangunkan teknik pengaburan dan polimorfisme, tandatangan statik menjadi tidak mencukupi. Hal ini mendorong pembangunan Pengesanan dan Tindak Balas Titik Akhir (EDR), yang memfokuskan analisis tingkah laku proses yang sedang berjalan. Baru-baru ini, Pengesanan dan Tindak Balas Lanjutan (XDR) menghubungkan telemetri merentasi titik akhir, rangkaian, beban kerja awan dan e-mel untuk menyediakan platform pengesanan ancaman yang bersatu.

Antivirus tradisional (AV) beroperasi dengan membandingkan fail dengan pangkalan data tandatangan berniat jahat yang diketahui — corak bait yang unik kepada sampel perisian hasad tertentu. Apabila fail sepadan dengan tandatangan, fail itu dikuarantin atau dipadamkan. AV juga menggunakan analisis heuristik (mengimbas corak kod yang mencurigakan) dan pengkotakan pasir (melaksanakan fail mencurigakan dalam persekitaran terpencil). Kelemahan asasnya ialah AV bersifat reaktif. Perisian hasad baharu — khususnya serangan tanpa fail, polimorfik atau serangan yang menggunakan alat sedia ada — boleh mengelakkan padanan tandatangan sepenuhnya sehingga vendor menambah tandatangan baharu.

Platform EDR memantau aktiviti titik akhir secara berterusan dan merekodkan aliran telemetri yang terperinci: penciptaan proses, sambungan rangkaian, perubahan sistem fail, pengubahsuaian daftar dan peruntukan memori. Telemetri ini dianalisis menggunakan model tingkah laku dan risikan ancaman untuk mengesan corak aktiviti berniat jahat yang terlepas daripada AV berasaskan tandatangan. Apabila ancaman dikesan, EDR boleh mengasingkan hos daripada rangkaian secara automatik, menamatkan proses berniat jahat dan mengekalkan bukti forensik (longgokan memori, pepohon proses) untuk siasatan.

Selain pengesanan, EDR menyediakan keupayaan tindak balas yang kritikal. Pengasingan jauh memutuskan hos yang telah terjejas daripada rangkaian sambil mengekalkan saluran pengurusan EDR. Cangkerang jauh membolehkan penganalisis menjalankan perintah pada hos yang diasingkan untuk siasatan. Penamatan proses menghentikan proses berniat jahat. Kuarantin fail memindahkan fail berniat jahat ke storan terpencil. Pembalikan boleh membalikkan penyulitan perisian tebusan pada sistem fail yang disokong. Platform EDR (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) turut menyediakan antara muka pemburuan ancaman untuk carian proaktif merentasi telemetri.

XDR meluaskan keterlihatan EDR melangkaui titik akhir dengan menerima dan menghubungkan telemetri daripada pelbagai lapisan keselamatan: ejen titik akhir, alat pengesanan rangkaian, get laluan keselamatan e-mel, platform identiti dan penderia beban kerja awan. Dengan menghubungkan data merentasi lapisan, XDR boleh mengesan rangkaian serangan yang kelihatan tidak berbahaya apabila dilihat secara berasingan — contohnya, e-mel pancingan data (telemetri e-mel) → kecurian kelayakan (telemetri identiti) → pergerakan sisi (telemetri rangkaian) → penyeludupan keluar data (telemetri titik akhir) yang membentuk satu insiden, sedangkan alat yang berasingan akan menjana empat amaran yang tidak berkaitan.

MDR ialah model perkhidmatan yang membolehkan vendor menyediakan teknologi EDR/XDR AND pasukan penganalisis yang memantau, menyiasat dan bertindak balas terhadap amaran 24/7 bagi pihak pelanggan. MDR menangani kekurangan tenaga mahir — banyak organisasi tidak dapat menempatkan kakitangan di Pusat Operasi Keselamatan (SOC) sepanjang masa. Penyedia MDR lazimnya mempunyai SLA amaran (bertindak balas dalam 15 minit, meningkatkan tahap dalam masa 1 jam) serta merangkumi pemburuan ancaman dan pelaporan bulanan. MDR beroperasi bersama MSSP (Penyedia Perkhidmatan Keselamatan Terurus), tetapi memfokuskan secara khusus pada pengesanan dan tindak balas, bukannya pengurusan keselamatan umum.

Memahami perkembangan setiap platform membantu anda dalam peperiksaan. AV: pengesanan berasaskan tandatangan + heuristik, kuarantin pada peringkat fail, tiada keterlihatan terhadap serangan yang menggunakan alat sedia ada. EPP (Platform Perlindungan Titik Akhir): AV + tembok api + kawalan peranti dalam satu ejen. EDR: telemetri tingkah laku berterusan, keterlihatan pada peringkat proses, automasi tindak balas dan pemburuan ancaman. XDR: penghubungan merentas lapisan (titik akhir + rangkaian + e-mel + awan + identiti), konsol amaran bersatu dan pengesanan berasaskan AI. Kini banyak produk memasarkan diri sebagai 'EDR dengan keupayaan XDR', sehingga perbezaannya menjadi kabur.

Platform EDR/XDR moden menggunakan suapan risikan ancaman untuk memperkaya amaran dan meningkatkan pengesanan. Apabila titik akhir mewujudkan sambungan ke alamat IP dalam suapan Threat Intel, EDR boleh meningkatkan tahap keterukan amaran secara automatik. Padanan IOC (cincangan fail, alamat IP, nama domain) membolehkan pengesanan pantas terhadap penunjuk buruk yang diketahui. Penyepaduan MITRE ATT&CK menandakan teknik yang dikesan dengan ID teknik (T1059.001 untuk PowerShell), membolehkan penganalisis memahami dengan segera kedudukan teknik tersebut dalam kitar hayat serangan dan pertahanan yang terpakai.

Cabaran operasi terbesar dengan EDR/XDR ialah keletihan amaran. Pelaksanaan EDR yang tidak ditala dengan baik boleh menjana ribuan amaran sehari, yang kebanyakannya ialah positif palsu. Pengurusan EDR yang berkesan memerlukan: menala peraturan pengesanan untuk mengurangkan positif palsu bagi tingkah laku yang diketahui selamat (skrip penggunaan perisian, alat pentadbiran IT), mewujudkan pengecualian untuk proses dan laluan yang dipercayai, serta menetapkan tahap keterukan amaran supaya penganalisis memberi tumpuan kepada amaran berketerukan tinggi terlebih dahulu. Kualiti amaran lebih bernilai daripada kuantiti amaran dalam mana-mana program pengesanan.

Penyerang canggih secara aktif cuba mengelakkan pengesanan EDR. Teknik yang lazim termasuk: suntikan proses (menyuntik kod berniat jahat ke dalam proses sah seperti explorer.exe untuk menyembunyikannya), menanggalkan cangkuk (mengalih keluar cangkuk API EDR daripada memori bagi menghalang pemantauan), LOLBins (menggunakan binari sistem yang dipercayai untuk mengelakkan pengesanan berasaskan cincangan), dan panggilan sistem langsung (memintas lapisan API Win32 sepenuhnya). Pasukan keselamatan hendaklah menjalankan simulasi pintasan EDR (Atomic Red Team, MITRE Caldera) secara berkala untuk mengesahkan bahawa kawalan mereka mengesan teknik-teknik ini.

Selain teknologi, keselamatan titik akhir yang berkesan memerlukan keputusan dasar yang dikuatkuasakan oleh alat EDR. Kawalan peranti USB menyekat media boleh alih yang tidak dibenarkan. Senarai benarkan aplikasi menghalang pelaksanaan perisian yang tidak dibenarkan. Penapisan kandungan web pada titik akhir mengesan muat turun berniat jahat walaupun peranti tidak menggunakan VPN. Perlindungan daripada pengusikan menghalang penyerang yang mempunyai hak pentadbir tempatan daripada melumpuhkan ejen EDR. Organisasi juga hendaklah mentakrifkan dasar penggunaan yang boleh diterima untuk titik akhir dan menguatkuasakannya melalui MDM atau Dasar Kumpulan, sekali gus mewujudkan lapisan pertahanan kedua apabila kawalan teknikal dipintas.

Dalam pelajaran ini, anda telah mempelajari bahawa: AV tradisional bergantung pada tandatangan dan heuristik serta tidak dapat mengesan ancaman berasaskan tingkah laku atau tanpa fail; EDR menyediakan telemetri tingkah laku, pengesanan dan tindak balas automatik secara berterusan, termasuk pengasingan hos; dan XDR meluaskan EDR dengan menghubungkan telemetri merentasi lapisan titik akhir, e-mel, rangkaian, identiti dan awan untuk pengesanan insiden bersatu. Seterusnya, kita akan meneroka teknik pengukuhan OS dan penanda aras CIS.