Platformy antywirusowe, EDR i XDR

Bezpieczeństwo punktów końcowych zmieniło się znacząco w ciągu ostatnich 30 lat. Tradycyjne oprogramowanie antywirusowe używało baz sygnatur do wykrywania znanego złośliwego oprogramowania, jednak gdy atakujący zaczęli stosować obfuskację i polimorfizm, statyczne sygnatury okazały się niewystarczające. Doprowadziło to do rozwoju Endpoint Detection and Response (EDR), które koncentruje się na analizie behawioralnej uruchomionych procesów. Nowsza technologia, Extended Detection and Response (XDR), koreluje dane telemetryczne z punktów końcowych, sieci, obciążeń chmurowych i poczty elektronicznej, zapewniając ujednoliconą platformę wykrywania zagrożeń.

Tradycyjne oprogramowanie antywirusowe (AV) porównuje pliki z bazą znanych złośliwych sygnatur — wzorców bajtów unikatowych dla określonych próbek złośliwego oprogramowania. Gdy plik pasuje do sygnatury, zostaje poddany kwarantannie lub usunięty. AV wykorzystuje także analizę heurystyczną (wyszukiwanie podejrzanych wzorców kodu) oraz piaskownicę (uruchamianie podejrzanych plików w izolowanym środowisku). Podstawowa słabość AV polega na jego reaktywnym charakterze. Nowe złośliwe oprogramowanie — zwłaszcza ataki bezplikowe, polimorficzne lub wykorzystujące legalne narzędzia systemowe — może całkowicie ominąć dopasowanie sygnatur, dopóki dostawca nie doda nowej sygnatury.

Platformy EDR stale monitorują aktywność punktów końcowych i rejestrują bogaty strumień danych telemetrycznych: tworzenie procesów, połączenia sieciowe, zmiany w systemie plików, modyfikacje rejestru i alokacje pamięci. Dane te są analizowane za pomocą modeli behawioralnych i analizy zagrożeń w celu wykrywania wzorców złośliwej aktywności, których nie wykrywa AV oparty na sygnaturach. Po wykryciu zagrożenia EDR może automatycznie odizolować hosta od sieci, zakończyć złośliwe procesy oraz zachować dowody kryminalistyczne (zrzuty pamięci, drzewa procesów) na potrzeby analizy.

Oprócz wykrywania EDR zapewnia kluczowe funkcje reagowania. Zdalna izolacja odłącza zaatakowanego hosta od sieci, zachowując kanał zarządzania EDR. Zdalna powłoka umożliwia analitykom wykonywanie poleceń na odizolowanym hoście w celu przeprowadzenia analizy. Kończenie procesów zatrzymuje złośliwe procesy. Kwarantanna plików przenosi złośliwe pliki do izolowanego magazynu. Wycofywanie zmian może odwrócić szyfrowanie ransomware w obsługiwanych systemach plików. Platformy EDR (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) udostępniają również interfejsy do aktywnego wyszukiwania zagrożeń w celu proaktywnego przeszukiwania danych telemetrycznych.

XDR rozszerza widoczność EDR poza punkt końcowy, pobierając i korelując dane telemetryczne z wielu warstw bezpieczeństwa: agentów punktów końcowych, narzędzi wykrywania zagrożeń sieciowych, bram bezpieczeństwa poczty elektronicznej, platform tożsamości oraz czujników obciążeń chmurowych. Dzięki korelacji danych z różnych warstw XDR może wykrywać łańcuchy ataków, które oglądane osobno wydają się nieszkodliwe — na przykład wiadomość phishingową (dane telemetryczne poczty) → kradzież poświadczeń (dane telemetryczne tożsamości) → ruch boczny (dane telemetryczne sieci) → eksfiltrację danych (dane telemetryczne punktu końcowego), które razem tworzą jeden incydent, podczas gdy odizolowane narzędzia wygenerowałyby cztery niezależne alerty.

MDR to model usług, w którym dostawca zapewnia technologię EDR/XDR ORAZ zespół analityków monitorujących, badających i obsługujących alerty przez całą dobę, 7 dni w tygodniu, w imieniu klienta. MDR odpowiada na niedobór specjalistów — wiele organizacji nie jest w stanie zapewnić całodobowej obsady centrum operacji bezpieczeństwa (SOC). Dostawcy MDR zazwyczaj określają umowy SLA dotyczące obsługi alertów (odpowiedź w ciągu 15 minut, eskalacja w ciągu 1 godziny) oraz oferują aktywne wyszukiwanie zagrożeń i comiesięczne raportowanie. MDR działa obok MSSP (Managed Security Service Provider), ale koncentruje się konkretnie na wykrywaniu i reagowaniu, a nie na ogólnym zarządzaniu bezpieczeństwem.

Zrozumienie rozwoju poszczególnych platform pomaga na egzaminie. AV: wykrywanie na podstawie sygnatur i heurystyki, kwarantanna na poziomie pliku, brak widoczności ataków wykorzystujących legalne narzędzia systemowe. EPP (Endpoint Protection Platform): AV + zapora sieciowa + kontrola urządzeń w ramach jednego agenta. EDR: ciągła telemetria behawioralna, widoczność na poziomie procesów, automatyzacja reagowania, aktywne wyszukiwanie zagrożeń. XDR: korelacja między warstwami (punkt końcowy + sieć + poczta elektroniczna + chmura + tożsamość), ujednolicona konsola alertów, wykrywanie oparte na AI. Wiele produktów reklamuje się obecnie jako „EDR z funkcjami XDR”, zacierając różnicę między tymi rozwiązaniami.

Nowoczesne platformy EDR/XDR korzystają z kanałów analizy zagrożeń, aby wzbogacać alerty i poprawiać wykrywanie. Gdy punkt końcowy nawiąże połączenie z adresem IP znajdującym się w kanale Threat Intel, EDR może automatycznie podnieść ważność alertu. Dopasowywanie IOC (skrótów plików, adresów IP, nazw domen) umożliwia szybkie wykrywanie znanych złośliwych wskaźników. Integracja z MITRE ATT&CK przypisuje wykrytym technikom identyfikatory technik (T1059.001 dla PowerShell), dzięki czemu analitycy mogą natychmiast zrozumieć, w którym miejscu cyklu ataku znajduje się dana technika i jakie zabezpieczenia mają zastosowanie.

Największym wyzwaniem operacyjnym związanym z EDR/XDR jest zmęczenie alertami. Nieprawidłowo dostrojone wdrożenie EDR może generować tysiące alertów dziennie, z których większość to fałszywe alarmy. Skuteczne zarządzanie EDR wymaga: dostrajania reguł wykrywania w celu ograniczenia fałszywych alarmów dotyczących znanych, prawidłowych działań (skryptów wdrażania oprogramowania, narzędzi administracyjnych IT), tworzenia wykluczeń dla zaufanych procesów i ścieżek oraz warstwowania ważności alertów, aby analitycy w pierwszej kolejności koncentrowali się na alertach o wysokiej ważności. W każdym programie wykrywania jakość alertów jest ważniejsza niż ich liczba.

Wyrafinowani atakujący aktywnie próbują omijać wykrywanie przez EDR. Do typowych technik należą: wstrzykiwanie kodu do procesu (wstrzykiwanie złośliwego kodu do legalnych procesów, takich jak explorer.exe, aby go ukryć), usuwanie hooków (usuwanie hooków API EDR z pamięci w celu uniemożliwienia monitorowania), LOLBins (używanie zaufanych plików binarnych systemu w celu uniknięcia wykrywania na podstawie skrótów) oraz bezpośrednie wywołania systemowe (całkowite omijanie warstwy Win32 API). Zespoły bezpieczeństwa powinny regularnie przeprowadzać symulacje omijania EDR (Atomic Red Team, MITRE Caldera), aby sprawdzać, czy stosowane mechanizmy wykrywają te techniki.

Oprócz technologii skuteczne bezpieczeństwo punktów końcowych wymaga decyzji dotyczących polityk, które egzekwują narzędzia EDR. Kontrola urządzeń USB blokuje nieautoryzowane nośniki wymienne. Lista dozwolonych aplikacji uniemożliwia uruchamianie nieautoryzowanego oprogramowania. Filtrowanie treści internetowych na punkcie końcowym wykrywa złośliwe pobrania nawet poza siecią VPN. Ochrona przed manipulacją uniemożliwia atakującym mającym lokalne uprawnienia administratora wyłączenie agenta EDR. Organizacje powinny również określić zasady dopuszczalnego użytkowania punktów końcowych i egzekwować je za pomocą MDM lub Group Policy, tworząc drugą linię obrony na wypadek obejścia zabezpieczeń technicznych.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że: tradycyjne AV opiera się na sygnaturach i heurystyce i nie potrafi wykrywać zagrożeń behawioralnych ani bezplikowych; EDR zapewnia ciągłą telemetrię behawioralną, wykrywanie i automatyczne reagowanie, w tym izolowanie hosta; a XDR rozszerza EDR, korelując dane telemetryczne z punktów końcowych, poczty elektronicznej, sieci, tożsamości i chmury w celu ujednoliconego wykrywania incydentów. W następnej części omówimy techniki wzmacniania bezpieczeństwa systemu operacyjnego oraz wzorce CIS.