Protection contre les logiciels malveillants ManageEngine

Voir le vide laissé par les correctifs

La gestion des correctifs et la protection contre les logiciels malveillants effectuent deux tâches différentes. Les correctifs suppriment les faiblesses connues (le service non corrigé, l'ancienne version d'Office) et fonctionnent avant une attaque, uniquement contre les failles déjà corrigées. Il ne peut pas juger ce qu'un programme fait après son démarrage : un fichier d'apparence normale qu'un utilisateur a téléchargé il y a une heure, ou une attaque sans fichier exécutant du code directement depuis la mémoire, où aucun fichier suspect n'atteint jamais le disque pour être détecté par une analyse de signature.

C'est pourquoi un PC entièrement corrigé peut toujours exécuter de tout nouveaux logiciels malveillants - et pourquoi cette vidéo examine la couche qui surveille le comportement au moment de l'exécution.

Connaître les deux moteurs activés par le module complémentaire

ManageEngine Malware Protection n'est pas un antivirus distinct que vous installez à côté d'Endpoint Central : il s'agit d'un module complémentaire qui s'active dans la même console et dans le même agent que vous utilisez déjà. Dans la propre documentation de ManageEngine, il regroupe deux moteurs : Next-Gen Antivirus (NGAV) — analyse des signatures, analyse du comportement et modèles d'apprentissage automatique, destinés aux logiciels malveillants connus et inconnus, y compris les attaques sans fichier — et Anti-Ransomware, un moteur d'analyse du comportement qui surveille les activités de type cryptage et peut répondre lorsqu'il se déclenche.

Sachez ce qui se passe lorsqu'il se déclenche

La détection ne représente que la moitié du produit. Lorsque quelque chose se déclenche, la réponse documentée est la suivante : quarantaine instantanée du fichier infecté — et, si nécessaire, de l'ensemble du périphérique, afin qu'un seul PC défectueux ne puisse pas propager le problème latéralement à travers le réseau ; alertes en temps réel par email ou via l'application mobile, envoyées lors de la détection plutôt que dans le rapport du lendemain ; et l'analyse des incidents mappée au framework MITRE ATT&CK, de sorte qu'un incident est décrit dans le langage technique d'attaque standard au lieu d'un vague « virus détecté ».

ManageEngine indique également que l'agent continue de surveiller sans connexion Internet, de sorte que les ordinateurs portables éloignés du réseau du bureau ne sont pas des angles morts : ils signalent lorsqu'ils se reconnectent.

Vérifiez la licence avant toute chose

La FAQ de ManageEngine est directe : La protection contre les logiciels malveillants est toujours une licence complémentaire distincte. Il n’est fourni avec aucune édition d’Endpoint Central – ni Standard, ni Professionnelle, ni Entreprise. Donc, avant de rechercher des paramètres, vérifiez ce que vous possédez : dans la console, ouvrez l'Icône de profil → Licence et regardez le nombre d'ordinateurs gérés Protection contre les logiciels malveillants – Module complémentaire. S'il affiche 0, le module complémentaire n'est pas acheté, quelle que soit l'édition que vous utilisez.

La seule exception documentée : l'édition gratuite inclut une protection contre les logiciels malveillants pour un maximum de 25 appareils sans frais supplémentaires, soit suffisamment pour un véritable essai sur de vraies machines. Après l'achat, le module complémentaire s'active lors du prochain cycle d'actualisation de l'agent (environ 90 minutes) ; s'il n'apparaît pas, attendez une actualisation avant de créer un ticket.

Déployer d'abord vers un groupe pilote

N'activez pas la protection comportementale sur chaque PC dès le premier jour : c'est ainsi que les faux positifs se transforment en appels téléphoniques colériques. Commencez avec un groupe pilote : vos machines informatiques plus une poignée de PC d'utilisateurs normaux, et laissez-le fonctionner pendant au moins quelques jours avant d'aller plus loin.

Surveillez les détections quotidiennement et ajustez les exclusions de manière précise

Pendant le pilote, surveillez les détections tous les jours. Notez chaque faux positif par son fichier et son chemin exacts – vous aurez besoin de cette précision pour les exclusions. Ajoutez des exclusions uniquement pour les logiciels professionnels confirmés et gardez-les aussi étroites que les preuves le permettent.

Développez-vous par vagues — et conservez les couches qui l'entourent

Une fois que le pilote est silencieux, développez un département à la fois, en gardant la même habitude de surveillance et de réglage pour chaque vague. Activez les alertes par e-mail et par application mobile pour une personne qui les lira réellement : une alerte que personne ne voit ne constitue pas une protection.

Et gardez l'essentiel à l'esprit : ce module complémentaire ne remplace pas les correctifs, le contrôle des applications ou le contrôle des appareils : les configurations les plus puissantes les utilisent ensemble. Le blocage comportemental réduit le risque de ransomware, mais les sauvegardes testées restent la seule récupération garantie après un cryptage réussi, et les comptes d'utilisateurs avec le moindre privilège limitent toujours les dommages qu'un PC peut causer.