Protezione antimalware ManageEngine

Guarda il divario lasciato dalle patch

La gestione delle patch e la protezione dal malware svolgono due compiti diversi. L'applicazione delle patch rimuove i punti deboli noti (il servizio senza patch, la vecchia build di Office) e funziona prima di un attacco, solo contro i buchi che hanno già una correzione. Non può giudicare cosa fa un programma dopo l'avvio: un file dall'aspetto normale scaricato da un utente un'ora fa o un attacco senza file che esegue il codice direttamente dalla memoria, dove nessun file sospetto arriva mai sul disco per essere trovato da una scansione delle firme.

Ecco perché un PC completamente aggiornato può ancora eseguire malware nuovo di zecca e perché questo video esamina il livello che monitora il comportamento in fase di esecuzione.

Conosci i due motori che il componente aggiuntivo attiva

ManageEngine Malware Protection non è un antivirus separato da installare accanto a Endpoint Central: è un modulo aggiuntivo che si attiva all'interno della stessa console e dello stesso agente che già utilizzi. Nella documentazione di ManageEngine raggruppa due motori: Next-Gen Antivirus (NGAV) - scansione delle firme più analisi del comportamento e modelli di apprendimento automatico, mirati a malware noti e sconosciuti, inclusi attacchi fileless - e Anti-Ransomware, un motore di analisi del comportamento che controlla l'attività in stile crittografia e può rispondere quando si attiva.

Scopri cosa succede quando si attiva

Il rilevamento è solo metà del prodotto. Quando qualcosa si attiva, la risposta documentata è: quarantena istantanea del file infetto e, se necessario, dell'intero dispositivo, in modo che un PC danneggiato non possa diffondere il problema lateralmente attraverso la rete; avvisi in tempo reale via e-mail o app mobile, inviati quando avviene il rilevamento anziché nel rapporto di domani; e analisi forense degli incidenti mappata al framework MITRE ATT&CK, quindi un incidente viene descritto nel linguaggio della tecnica di attacco standard anziché in un vago "virus trovato".

ManageEngine afferma inoltre che l'agente continua a monitorare senza una connessione Internet, quindi i laptop lontani dalla rete dell'ufficio non sono punti ciechi: segnalano quando si riconnettono.

Controlla la licenza prima di ogni altra cosa

Le domande frequenti di ManageEngine sono schiette: La protezione malware è sempre una licenza aggiuntiva separata. Non è incluso in alcuna edizione di Endpoint Central: né Standard, né Professional, né Enterprise. Quindi, prima di cercare le impostazioni, controlla quali sono le tue: nella console, apri l'icona Profilo → Licenza e controlla il conteggio dei computer gestiti Protezione malware – Componente aggiuntivo. Se mostra 0, il componente aggiuntivo non è stato acquistato, indipendentemente dalla versione utilizzata.

L'unica eccezione documentata: la edizione gratuita include protezione antimalware per un massimo di 25 dispositivi senza costi aggiuntivi: sufficiente per una prova autentica su macchine reali. Dopo l'acquisto, il componente aggiuntivo si accende durante il successivo ciclo di aggiornamento dell'agente (circa 90 minuti); se non viene visualizzato, attendi un aggiornamento prima di aprire un ticket.

Distribuisci prima a un gruppo pilota

Non abilitare la protezione comportamentale su tutti i PC a pieno regime sin dal primo giorno: così i falsi positivi si trasformano in telefonate arrabbiate. Inizia con un gruppo pilota: le tue macchine IT più una manciata di normali PC utente e lascialo funzionare per almeno alcuni giorni prima di ampliarlo ulteriormente.

Guarda i rilevamenti ogni giorno e ottimizza le esclusioni

Durante il progetto pilota, guarda i rilevamenti ogni giorno. Annota ogni falso positivo in base al file e al percorso esatti: avrai bisogno di quella precisione per le esclusioni. Aggiungi esclusioni solo per software aziendale confermato e mantienile il più restrittive consentite dalle prove.

Espandi a ondate e mantieni i livelli attorno

Una volta che il pilota si è calmato, espandi un reparto alla volta, mantenendo la stessa abitudine di guardare e mettere a punto per ogni onda. Attiva gli avvisi via e-mail e tramite app mobile per una persona che li leggerà effettivamente: un avviso che nessuno vede non è protezione.

E tieni a mente i profitti onesti: questo componente aggiuntivo non sostituisce l'applicazione di patch, il controllo delle applicazioni o il controllo del dispositivo: le configurazioni più efficaci li utilizzano insieme. Il blocco del comportamento riduce il rischio di ransomware, ma i backup testati rimangono l'unico ripristino garantito da una crittografia riuscita e gli account utente con privilegi minimi limitano comunque il danno che qualsiasi PC può arrecare.