Protección contra malware de ManageEngine

Vea el vacío que deja el parche

La gestión de parches y la protección contra malware realizan dos trabajos diferentes. Los parches eliminan las debilidades conocidas (el servicio sin parches, la versión antigua de Office) y funcionan antes de un ataque, sólo contra agujeros que ya tienen una solución. No puede juzgar lo que hace un programa después de iniciarse: un archivo de apariencia normal que un usuario descargó hace una hora, o un ataque sin archivos que ejecuta código directamente desde la memoria, donde ningún archivo sospechoso llega al disco para que un análisis de firma lo encuentre.

Es por eso que una PC completamente parcheada aún puede ejecutar malware nuevo, y por eso este video analiza la capa que observa el comportamiento en tiempo de ejecución.

Conozca los dos motores que activa el complemento

ManageEngine Malware Protection no es un antivirus independiente que se instala junto a Endpoint Central: es un módulo complementario que se activa dentro de la misma consola y agente que ya utiliza. En la propia documentación de ManageEngine, incluye dos motores: Next-Gen Antivirus (NGAV) (escaneo de firmas más análisis de comportamiento y modelos de aprendizaje automático, dirigidos a malware conocido y desconocido, incluidos ataques sin archivos) y Anti-Ransomware, un motor de análisis de comportamiento que vigila la actividad de estilo cifrado y puede responder cuando se activa.

Sepa qué sucede cuando se dispara

La detección es sólo la mitad del producto. Cuando algo se activa, la respuesta documentada es: cuarentena instantánea del archivo infectado y, si es necesario, de todo el dispositivo, de modo que una PC defectuosa no pueda propagar el problema lateralmente por la red; alertas en tiempo real por correo electrónico o la aplicación móvil, enviadas cuando se produce la detección en lugar de en el informe de mañana; y análisis forense de incidentes asignados al marco MITRE ATT&CK, por lo que un incidente se describe en el lenguaje de técnica de ataque estándar en lugar de un vago "virus encontrado".

ManageEngine también afirma que el agente sigue monitoreando sin una conexión a Internet, por lo que las computadoras portátiles alejadas de la red de la oficina no son puntos ciegos: informan cuando se vuelven a conectar.

Compruebe la licencia antes que nada

Las preguntas frecuentes de ManageEngine son contundentes: La protección contra malware es siempre una licencia complementaria independiente. No viene incluido con ninguna edición de Endpoint Central, ni Standard, ni Professional, ni Enterprise. Entonces, antes de buscar configuraciones, verifique lo que posee: en la consola, abra el icono de Perfil → Licencia y observe el recuento de computadoras administradas de Protección contra malware – Complemento. Si muestra 0, el complemento no se compró, independientemente de la edición que ejecute.

La única excepción documentada: la edición gratuita incluye protección contra malware para hasta 25 dispositivos sin costo adicional, suficiente para una prueba genuina en máquinas reales. Después de la compra, el complemento se activa durante el siguiente ciclo de actualización del agente (aproximadamente 90 minutos); si no aparece, espere una actualización antes de generar un ticket.

Primero, implemente un grupo piloto

No habilites la protección de comportamiento en todas las PC con toda su potencia desde el primer día; así es como los falsos positivos se convierten en llamadas telefónicas enojadas. Comience con un grupo piloto: sus máquinas de TI más un puñado de PC de usuarios normales, y déjelo funcionar durante al menos unos días antes de ampliarlo.

Observa las detecciones diariamente y ajusta las exclusiones de forma precisa

Durante el piloto, observe las detecciones todos los días. Anote cada falso positivo según su archivo y ruta exactos; necesitará esa precisión para las exclusiones. Agregue exclusiones solo para software empresarial confirmado y manténgalas tan limitadas como lo permita la evidencia.

Expandete en ondas y mantén las capas a su alrededor

Una vez que el piloto esté en silencio, amplíe un departamento a la vez, manteniendo el mismo hábito de observar y sintonizar para cada ola. Active las alertas de correo electrónico y de aplicaciones móviles para una persona que realmente las lea; una alerta que nadie ve no es protección.

Y tenga en cuenta la conclusión honesta: este complemento no reemplaza los parches, el control de aplicaciones o el control de dispositivos; las configuraciones más sólidas los usan juntos. El bloqueo de comportamiento reduce el riesgo de ransomware, pero las copias de seguridad probadas siguen siendo la única recuperación garantizada de un cifrado exitoso, y las cuentas de usuario con privilegios mínimos aún limitan el daño que cualquier PC puede causar.