Антивирусы, платформы EDR и XDR

За последние 30 лет безопасность конечных устройств значительно изменилась. Традиционные антивирусы использовали базы сигнатур для обнаружения известного вредоносного ПО, но по мере развития методов сокрытия и полиморфизма статические сигнатуры стали недостаточными. Это привело к появлению обнаружения и реагирования на конечных устройствах (EDR), ориентированного на поведенческий анализ запущенных процессов. В последнее время расширенное обнаружение и реагирование (XDR) сопоставляет телеметрию конечных устройств, сетей, облачных рабочих нагрузок и электронной почты, создавая единую платформу обнаружения угроз.

Традиционный антивирус (AV) сравнивает файлы с базой известных вредоносных сигнатур — шаблонов байтов, уникальных для определённых образцов вредоносного ПО. Если файл соответствует сигнатуре, его помещают в карантин или удаляют. AV также использует эвристический анализ (поиск подозрительных шаблонов кода) и песочницу (запуск подозрительных файлов в изолированной среде). Основной недостаток заключается в том, что AV действует реактивно. Новое вредоносное ПО, особенно бесфайловые и полиморфные атаки, а также атаки с использованием легитимных средств системы, может полностью обходить сопоставление сигнатур, пока поставщик не добавит новую сигнатуру.

EDR-платформы непрерывно отслеживают активность конечных устройств и записывают подробный поток телеметрии: создание процессов, сетевые подключения, изменения файловой системы, изменения реестра и выделение памяти. Эта телеметрия анализируется с помощью поведенческих моделей и аналитики угроз, чтобы обнаруживать шаблоны вредоносной активности, которые пропускает AV на основе сигнатур. При обнаружении угрозы EDR может автоматически изолировать узел от сети, завершить вредоносные процессы и сохранить криминалистические данные (дампы памяти, деревья процессов) для расследования.

Помимо обнаружения, EDR предоставляет важные возможности реагирования. Удалённая изоляция отключает скомпрометированный узел от сети, сохраняя канал управления EDR. Удалённая оболочка позволяет аналитикам выполнять команды на изолированном узле во время расследования. Завершение процессов останавливает вредоносные процессы. Карантин файлов перемещает вредоносные файлы в изолированное хранилище. Откат может отменить шифрование, выполненное программой-вымогателем, в поддерживаемых файловых системах. EDR-платформы (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) также предоставляют интерфейсы для упреждающего поиска угроз по всей телеметрии.

XDR расширяет область видимости EDR за пределы конечного устройства, собирая и сопоставляя телеметрию из нескольких уровней безопасности: агентов конечных устройств, средств обнаружения в сети, шлюзов безопасности электронной почты, платформ управления идентификацией и датчиков облачных рабочих нагрузок. Сопоставляя данные между уровнями, XDR может обнаруживать цепочки атак, которые по отдельности выглядят безобидными. Например, фишинговое письмо (телеметрия электронной почты) → кража учётных данных (телеметрия идентификации) → латеральное перемещение (сетевая телеметрия) → извлечение данных (телеметрия конечного устройства) формируют единый инцидент, тогда как изолированные средства создали бы для него четыре несвязанных оповещения.

MDR — это модель обслуживания, при которой поставщик предоставляет технологию EDR/XDR, AND команду аналитиков, круглосуточно отслеживающих, расследующих и обрабатывающих оповещения от имени заказчика. MDR помогает решить проблему нехватка специалистов: многие организации не могут круглосуточно укомплектовать Центр операций безопасности (SOC). Поставщики MDR обычно устанавливают соглашения SLA для оповещений (ответ в течение 15 минут, передача на следующий уровень в течение 1 часа), а также включают поиск угроз и ежемесячную отчётность. MDR существует наряду с MSSP (поставщиком управляемых услуг безопасности), но сосредоточен именно на обнаружении и реагировании, а не на общем управлении безопасностью.

Понимание развития каждой платформы поможет на экзамене. AV: обнаружение по сигнатурам и эвристикам, карантин на уровне файлов, отсутствие видимости атак с использованием легитимных средств системы. EPP (платформа защиты конечных устройств): AV, брандмауэр и управление устройствами в одном агенте. EDR: непрерывная поведенческая телеметрия, видимость на уровне процессов, автоматизация реагирования и поиск угроз. XDR: сопоставление между уровнями (конечное устройство + сеть + электронная почта + облако + идентификация), единая консоль оповещений и обнаружение на основе ИИ. Многие продукты теперь позиционируются как «EDR с возможностями XDR», размывая различия между ними.

Современные платформы EDR/XDR используют потоки аналитики угроз, чтобы дополнять оповещения и повышать качество обнаружения. Если конечное устройство устанавливает соединение с IP-адресом из потока Threat Intelligence, EDR может автоматически повысить уровень серьёзности оповещения. Сопоставление IOC (хеши файлов, IP-адреса, доменные имена) позволяет быстро обнаруживать известные вредоносные индикаторы. Интеграция MITRE ATT&CK связывает обнаруженные методы с идентификаторами методов (T1059.001 для PowerShell), позволяя аналитикам мгновенно понять, на каком этапе жизненного цикла атаки используется метод и какие средства защиты применимы.

Главная эксплуатационная проблема EDR/XDR — усталость от оповещений. Неправильно настроенное развёртывание EDR может создавать тысячи оповещений в день, большинство из которых являются ложными срабатываниями. Эффективное управление EDR требует: настройки правил обнаружения для сокращения ложных срабатываний при известных безопасных действиях (сценарии развёртывания программного обеспечения, инструменты администрирования IT), создания исключений для доверенных процессов и путей, а также разделения оповещений по уровням серьёзности, чтобы аналитики в первую очередь занимались оповещениями высокой серьёзности. В любой программе обнаружения качество оповещений важнее их количества.

Опытные злоумышленники активно пытаются обойти обнаружение EDR. К распространённым методам относятся: внедрение в процессы (внедрение вредоносного кода в легитимные процессы, например explorer.exe, чтобы скрыть его), снятие перехватов (удаление перехватов API EDR из памяти для предотвращения мониторинга), LOLBins (использование доверенных системных двоичных файлов для обхода обнаружения по хешу) и прямые системные вызовы (полный обход уровня API Win32). Командам безопасности следует регулярно проводить имитации обхода EDR (Atomic Red Team, MITRE Caldera), чтобы проверять способность средств защиты обнаруживать эти методы.

Помимо технологий, эффективная безопасность конечных устройств требует решений в области политик, которые обеспечиваются с помощью средств EDR. Управление USB-устройствами блокирует неавторизованные съёмные носители. Разрешительный список приложений предотвращает запуск несанкционированного программного обеспечения. Фильтрация веб-содержимого на конечном устройстве блокирует вредоносные загрузки даже при отключённом VPN. Защита от изменения настроек не позволяет злоумышленникам с локальными правами администратора отключить агент EDR. Организациям также следует определить политики допустимого использования конечных устройств и обеспечивать их соблюдение с помощью MDM или групповой политики, создавая второй уровень защиты при обходе технических средств контроля.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что традиционный AV использует сигнатуры и эвристики и не способен обнаруживать поведенческие и бесфайловые угрозы; EDR обеспечивает непрерывную поведенческую телеметрию, обнаружение и автоматическое реагирование, включая изоляцию узла; а XDR расширяет EDR, сопоставляя телеметрию конечных устройств, электронной почты, сети, идентификации и облака для единого обнаружения инцидентов. Далее мы рассмотрим методы усиления защиты OS и эталонные конфигурации CIS.