Antivirus-, EDR- og XDR-plattformer

Endepunktsikkerhet har utviklet seg dramatisk de siste 30 årene. Tradisjonell antivirusprogramvare brukte signaturdatabaser til å oppdage kjent skadevare, men etter hvert som angripere utviklet tilsløring og polymorfisme, ble statiske signaturer utilstrekkelige. Dette førte til utviklingen av Endpoint Detection and Response (EDR), som fokuserer på atferdsanalyse av prosesser som kjører. I nyere tid korrelerer Extended Detection and Response (XDR) telemetri fra endepunkter, nettverk, arbeidsbelastninger i skyen og e-post for å tilby en samlet plattform for trusseloppdagelse.

Tradisjonell antivirusprogramvare (AV) fungerer ved å sammenligne filer med en database over kjente skadelige signaturer – byte-mønstre som er unike for bestemte skadevareprøver. Når en fil samsvarer med en signatur, settes den i karantene eller slettes. AV bruker også heuristisk analyse (skanning etter mistenkelige kodemønstre) og sandboxing (kjøring av mistenkelige filer i et isolert miljø). Den grunnleggende svakheten er at AV er reaktivt. Ny skadevare – særlig filløse angrep, polymorfe angrep eller «living-off-the-land»-angrep – kan omgå signaturgjenkjenning fullstendig frem til leverandøren legger til en ny signatur.

EDR-plattformer overvåker kontinuerlig aktivitet på endepunkter og registrerer en detaljert telemetridatastrøm: opprettelse av prosesser, nettverkstilkoblinger, endringer i filsystemet, registerendringer og minneallokeringer. Denne telemetrien analyseres ved hjelp av atferdsmodeller og trusselintelligens for å oppdage mønstre av skadelig aktivitet som signaturbasert AV ikke fanger opp. Når en trussel oppdages, kan EDR automatisk isolere verten fra nettverket, avslutte skadelige prosesser og bevare rettsmedisinske bevis (minnedumper og prosesstrær) for videre undersøkelse.

I tillegg til oppdagelse tilbyr EDR kritiske funksjoner for respons. Ekstern isolering kobler en kompromittert vert fra nettverket, samtidig som EDR-administrasjonskanalen opprettholdes. Et eksternt skall lar analytikere kjøre kommandoer på den isolerte verten under undersøkelsen. Prosessavslutning avslutter skadelige prosesser. Filkarantene flytter skadelige filer til et isolert lager. Tilbakerulling kan reversere løsepengeviruskryptering på støttede filsystemer. EDR-plattformer (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) tilbyr også grensesnitt for trusseljakt, slik at man proaktivt kan søke gjennom telemetri.

XDR utvider EDRs synlighet utover endepunktet ved å hente inn og korrelere telemetri fra flere sikkerhetslag: endepunktagenter, verktøy for nettverksdeteksjon, sikkerhetsgatewayer for e-post, identitetsplattformer og sensorer for arbeidsbelastninger i skyen. Ved å korrelere data på tvers av lag kan XDR oppdage angrepskjeder som ser ufarlige ut når de betraktes hver for seg – for eksempel kan en phishing-e-post (e-posttelemetri) → tyveri av legitimasjon (identitetstelemetri) → lateral forflytning (nettverkstelemetri) → dataeksfiltrering (endepunkttelemetri) utgjøre én enkelt hendelse som isolerte verktøy ellers ville generert fire urelaterte varsler for.

MDR er en tjenestemodell der en leverandør tilbyr EDR-/XDR-teknologien OG et team av analytikere som overvåker, undersøker og responderer på varsler døgnet rundt på kundens vegne. MDR avhjelper mangelen på kompetanse – mange organisasjoner kan ikke bemanne et Security Operations Center (SOC) hele døgnet. MDR-leverandører har vanligvis SLA-er for varsler (svar innen 15 minutter, eskalering innen 1 time) og inkluderer trusseljakt og månedlig rapportering. MDR eksisterer side om side med MSSP (Managed Security Service Provider), men fokuserer spesifikt på oppdagelse og respons fremfor generell sikkerhetsforvaltning.

Det er nyttig å forstå utviklingen av hver plattform før eksamen. AV: signatur- og heuristisk deteksjon, karantene på filnivå og ingen synlighet i «living-off-the-land»-angrep. EPP (Endpoint Protection Platform): AV + brannmur + enhetskontroll i én agent. EDR: kontinuerlig atferdstelemetri, synlighet på prosessnivå, automatisert respons og trusseljakt. XDR: korrelasjon på tvers av lag (endepunkt + nettverk + e-post + sky + identitet), samlet konsoll for varsler og AI-drevet deteksjon. Mange produkter markedsfører seg nå som «EDR with XDR capabilities», noe som visker ut forskjellen.

Moderne EDR-/XDR-plattformer bruker trusselintelligensstrømmer for å berike varsler og forbedre deteksjonen. Når et endepunkt oppretter en tilkobling til en IP-adresse i Threat Intel-strømmen, kan EDR automatisk heve alvorlighetsgraden for varselet. IOC-samsvar (fil-hasher, IP-adresser og domenenavn) gjør det mulig å oppdage kjente skadelige indikatorer raskt. MITRE ATT&CK-integrasjon merker oppdagede teknikker med teknikk-ID-er (T1059.001 for PowerShell), slik at analytikere umiddelbart kan forstå hvor i angrepsforløpet en teknikk hører hjemme, og hvilke forsvarstiltak som gjelder.

Den største driftsmessige utfordringen med EDR/XDR er varselutmattelse. En dårlig finjustert EDR-implementering kan generere tusenvis av varsler per dag, hvorav de fleste er falske positiver. Effektiv EDR-forvaltning krever: finjustering av deteksjonsregler for å redusere falske positiver for kjent god atferd (skript for programvaredistribusjon og verktøy for IT-administrasjon), oppretting av unntak for pålitelige prosesser og filbaner, samt varsler med ulike alvorlighetsnivåer slik at analytikere fokuserer på varsler med høy alvorlighetsgrad først. Varselkvalitet er mer verdifullt enn varselmengde i ethvert deteksjonsprogram.

Sofistikerte angripere forsøker aktivt å unngå EDR-deteksjon. Vanlige teknikker omfatter: prosessinjeksjon (injisering av skadelig kode i legitime prosesser som explorer.exe for å skjule den), unhooking (fjerning av EDR-API-hooks fra minnet for å hindre overvåking), LOLBins (bruk av pålitelige systembinærfiler for å unngå hashbasert deteksjon) og direkte systemkall (fullstendig omgåelse av Win32 API-laget). Sikkerhetsteam bør regelmessig kjøre simuleringer av EDR-omgåelse (Atomic Red Team, MITRE Caldera) for å kontrollere at kontrollene deres oppdager disse teknikkene.

I tillegg til teknologi krever effektiv endepunktsikkerhet beslutninger om retningslinjer som EDR-verktøy håndhever. Kontroll av USB-enheter blokkerer uautoriserte flyttbare medier. Hvitlisting av applikasjoner hindrer kjøring av uautorisert programvare. Filtrering av nettinnhold på endepunktet fanger opp skadelige nedlastinger selv når enheten ikke er tilkoblet VPN. Beskyttelse mot manipulering hindrer angripere med lokale administratorrettigheter i å deaktivere EDR-agenten. Organisasjoner bør også definere retningslinjer for akseptabel bruk av endepunkter og håndheve dem gjennom MDM eller Group Policy. Slik opprettes et ekstra forsvarslag når tekniske kontroller omgås.

I denne leksjonen har De lært at tradisjonell AV er avhengig av signaturer og heuristikk og ikke kan oppdage atferdsbaserte eller filløse trusler, at EDR tilbyr kontinuerlig atferdstelemetri, deteksjon og automatisert respons, inkludert isolering av verter, og at XDR utvider EDR ved å korrelere telemetri på tvers av endepunkt-, e-post-, nettverks-, identitets- og skylag for samlet hendelsesdeteksjon. Neste tema er teknikker for herding av operativsystemer og CIS-referanseverdier.