Zarządzaj ochroną przed złośliwym oprogramowaniem silnika

Zobacz lukę, jaką pozostawia łatanie

Zarządzanie poprawkami i ochrona przed złośliwym oprogramowaniem spełniają dwa różne zadania. Łatanie usuwa znane słabości — niezałataną usługę, starą wersję pakietu Office — i działa przed atakiem, tylko w przypadku luk, które zostały już załatane. Nie jest w stanie ocenić, co robi program po uruchomieniu: normalnie wyglądający plik pobrany przez użytkownika godzinę temu lub bezplikowy atak uruchamiający kod prosto z pamięci, podczas którego żaden podejrzany plik nigdy nie ląduje na dysku w celu skanowania sygnatury w celu znalezienia.

Dlatego na komputerze z pełnym patchem nadal można uruchomić zupełnie nowe złośliwe oprogramowanie — i dlaczego w tym filmie omówiono warstwę monitorującą zachowanie w czasie wykonywania.

Poznaj dwa silniki włączane przez dodatek

ManageEngine Malware Protection nie jest oddzielnym programem antywirusowym, który instalujesz obok Endpoint Central — jest to moduł dodatkowy, który włącza się w tej samej konsoli i agencie, którego już używasz. W dokumentacji ManageEngine obejmuje dwa silniki: Antywirus nowej generacji (NGAV) — skanowanie sygnatur oraz analizę zachowania i modele uczenia maszynowego, ukierunkowane na znane i nieznane złośliwe oprogramowanie, w tym ataki bezplikowe — oraz Anti-Ransomware, silnik analizy zachowań, który monitoruje aktywność w stylu szyfrowania i może reagować w przypadku jej uruchomienia.

Dowiedz się, co się stanie, gdy wybuchnie

Wykrywanie to tylko połowa produktu. Gdy coś się uruchomi, udokumentowaną odpowiedzią jest: natychmiastowa kwarantanna zainfekowanego pliku — i, jeśli to konieczne, całego urządzenia, aby jeden uszkodzony komputer nie mógł rozprzestrzenić problemu na boki w sieci; alerty w czasie rzeczywistym e-mailem lub aplikacją mobilną, wysyłane w momencie wykrycia, a nie w jutrzejszym raporcie; oraz analiza incydentów mapowana na platformę MITRE ATT&CK, więc incydent jest opisywany standardowym językiem technik ataku, a nie niejasnym „znalezieniem wirusa”.

ManageEngine stwierdza również, że agent monitoruje bez połączenia z Internetem, więc laptopy oddalone od sieci biurowej nie są martwymi punktami — zgłaszają się po ponownym podłączeniu.

Przed wszystkim sprawdź licencję

Najczęstsze pytania dotyczące narzędzia ManageEngine są bez ogródek: Ochrona przed złośliwym oprogramowaniem to zawsze oddzielna licencja na dodatek. Nie jest dołączony do żadnej edycji Endpoint Central — ani Standard, ani Professional, ani Enterprise. Dlatego zanim zaczniesz szukać ustawień, sprawdź, co posiadasz: w konsoli otwórz ikonę profilu → Licencja i sprawdź liczbę zarządzanych komputerów Ochrona przed złośliwym oprogramowaniem – dodatek. Jeśli pokazuje 0, dodatek nie jest kupowany, niezależnie od tego, którą wersję uruchomisz.

Jeden udokumentowany wyjątek: edycja bezpłatna obejmuje ochronę przed złośliwym oprogramowaniem dla maksymalnie 25 urządzeń bez dodatkowych kosztów — wystarczy to na prawdziwą wersję próbną na prawdziwych komputerach. Po zakupie dodatek włącza się podczas kolejnego cyklu odświeżania agenta (około 90 minut); jeśli się nie pojawi, poczekaj na odświeżenie przed złożeniem zgłoszenia.

Najpierw przeprowadź wdrożenie w grupie pilotażowej

Nie włączaj pełnej ochrony zachowania na każdym komputerze już pierwszego dnia — w ten sposób fałszywe alarmy zamieniają się w gniewne rozmowy telefoniczne. Zacznij od grupy pilotażowej: Twoich maszyn IT i kilku zwykłych komputerów użytkowników i pozwól jej działać przez co najmniej kilka dni, zanim rozszerzysz ją na szerszą grupę.

Śledź codziennie wykrycia i wąsko dostosowuj wykluczenia

Podczas pilotażu codziennie obserwuj wykrycia. Zanotuj każdy fałszywy alarm, podając jego dokładny plik i ścieżkę — ta precyzja będzie potrzebna do wykluczeń. Dodawaj wykluczenia tylko dla potwierdzonego oprogramowania biznesowego i staraj się, aby były tak wąskie, jak pozwalają na to dowody.

Rozwijaj się falami — i otaczaj je warstwami

Kiedy pilot ucichnie, rozbudowuj jeden dział na raz, zachowując ten sam nawyk obserwowania i dostrajania dla każdej fali. Włącz powiadomienia e-mailowe i w aplikacji mobilnej wysyłane do osoby, która je faktycznie przeczyta — alert, którego nikt nie widzi, nie stanowi ochrony.

I pamiętaj o ostatecznym podsumowaniu: ten dodatek nie zastępuje łatania, kontroli aplikacji ani kontroli urządzeń — najsilniejsze konfiguracje używają ich razem. Blokowanie zachowań zmniejsza ryzyko oprogramowania ransomware, ale przetestowane kopie zapasowe pozostają jedyną gwarancją odzyskania skutecznego szyfrowania, a konta użytkowników o najniższych uprawnieniach nadal ograniczają szkody, jakie może wyrządzić każdy komputer.