ManageEngine マルウェア保護

パッチ適用によって生じるギャップを確認してください

パッチ管理とマルウェア保護は 2 つの異なる仕事を行います。パッチを適用すると、既知の弱点 (パッチが適用されていないサービス、古い Office ビルド) が除去され、攻撃前に、すでに修正が行われているホールに対してのみ機能します。ユーザーが 1 時間前にダウンロードした正常に見えるファイル、またはメモリから直接コードを実行するファイルレス攻撃 (署名スキャンで検出される不審なファイルがディスク上に存在することはありません) など、プログラムが起動後に何をするのかを判断することはできません。

完全にパッチが適用された PC でもまったく新しいマルウェアを実行できるのはこのためであり、このビデオでは実行時の動作を監視するレイヤーについて考察しています。

アドオンがオンになる 2 つのエンジンを理解する

ManageEngine Malware Protection は、Endpoint Central の隣にインストールする個別のウイルス対策ではありません。これは、既に使用している同じコンソールとエージェント内でオンになるアドオン モジュールです。 ManageEngine 自身のドキュメントでは、2 つのエンジンがバンドルされています。次世代アンチウイルス (NGAV) - ファイルレス攻撃を含む既知および未知のマルウェアを対象とした、シグネチャ スキャンと動作分析および機械学習モデル - と、暗号化形式のアクティビティを監視し、起動時に対応できる動作分析エンジンである ランサムウェア対策 です。

発火時に何が起こるかを知る

検出は製品の半分にすぎません。何かが発生した場合、文書化された対応は次のとおりです。 感染したファイルを即座に隔離し、必要に応じてデバイス全体を隔離します。これにより、1 台の不良 PC がネットワーク全体に問題を拡散することがなくなります。電子メールまたはモバイル アプリによるリアルタイム アラート。明日のレポートではなく、検出が発生したときに送信されます。そしてインシデント フォレンジックは MITRE ATT&CK フレームワークにマッピングされているため、インシデントは漠然とした「ウイルスが見つかった」ではなく、標準的な攻撃手法の言語で説明されます。

ManageEngine では、エージェントがインターネット接続なしでも監視を続けるため、オフィス ネットワークから離れたラップトップは盲点ではなく、再接続時に報告されるとも述べています。

何よりもまずライセンスを確認してください

ManageEngine の FAQ は率直です。Malware Protection は常に別個のアドオン ライセンスです。これは、どの Endpoint Central エディションにもバンドルされていません。Standard、Professional、Enterprise にもバンドルされていません。したがって、設定を探す前に、所有しているものを確認してください。 コンソールでプロファイル アイコン → ライセンス を開き、マルウェア保護 – アドオン の管理対象コンピューターの数を確認します。 0 と表示されている場合は、どのエディションを実行しても、アドオンは購入されていません。

文書化された 1 つの例外: 無料エディションには、追加料金なしで最大 25 台のデバイスに対するマルウェア保護が含まれています。これは、実機での正規の試用には十分です。購入後、次のエージェント更新サイクル (約 90 分) 中にアドオンがオンになります。表示されない場合は、チケットを発行する前に更新を待ってください。

まずパイロット グループにロールアウトします

初日からすべての PC で動作保護を最大強度で有効にしないでください。誤検知が怒りの電話に変わるのはこのためです。まずはパイロット グループ (IT マシンと数台の通常のユーザー PC からなる) から始めて、さらに範囲を広げる前に少なくとも数日間実行させます。

検出を毎日監視し、除外を細かく調整する

パイロット中は、検出を毎日監視します。すべての誤検知を正確なファイルとパスで記録します。除外にはその精度が必要です。除外対象は確認済みのビジネス ソフトウェアのみ に追加し、証拠が許す限り範囲を狭めてください。

波状に拡張し、周囲のレイヤーを維持する

パイロットが静かになったら、一度に 1 つの部門を拡大し、各ウェーブに対して同じ監視と調整の習慣を維持します。実際に読む人に対して電子メールとモバイルアプリのアラートをオンにします。誰も見ていないアラートは保護ではありません。

正直な結論を念頭に置いてください。このアドオンはパッチ適用、アプリケーション制御、またはデバイス制御に代わるものではありません。最強のセットアップではこれらを組み合わせて使用​​します。動作のブロックによりランサムウェアのリスクは軽減されますが、 成功した暗号化から確実に回復できるのはテスト済みのバックアップだけであり、最小権限のユーザー アカウントによって 1 台の PC が受ける被害は依然として制限されます。