Защита от вредоносных программ ManageEngine

Увидеть пробел, который остается после исправления

Управление исправлениями и защита от вредоносного ПО выполняют две разные задачи. Исправления устраняют известные уязвимости — непропатченную службу, старую сборку Office — и работают до атаки, только против дыр, которые уже исправлены. Он не может судить о том, что делает программа после запуска: нормально выглядящий файл, загруженный пользователем час назад, или бесфайловая атака, запускающая код прямо из памяти, когда ни один подозрительный файл никогда не попадает на диск для сканирования сигнатур.

Вот почему полностью исправленный компьютер все еще может запускать совершенно новое вредоносное ПО — и почему в этом видео рассматривается уровень, который отслеживает поведение во время выполнения.

Знайте два механизма, которые включает дополнение

ManageEngine Malware Protection — это не отдельный антивирус, который вы устанавливаете рядом с Endpoint Central, — это дополнительный модуль, который включается внутри той же консоли и агента, которые вы уже используете. В собственной документации ManageEngine объединены два механизма: Anti-Gen Antivirus (NGAV) — сканирование сигнатур, а также модели машинного обучения и анализа поведения, направленные на известные и неизвестные вредоносные программы, включая бесфайловые атаки, — и Anti-Ransomware, механизм поведенческого анализа, который отслеживает активность в стиле шифрования и может реагировать при ее срабатывании.

Знайте, что происходит, когда он срабатывает

Обнаружение — это только половина успеха. Когда что-то срабатывает, задокументированная сторона ответа: мгновенный карантин зараженного файла — и, при необходимости, всего устройства, чтобы один плохой компьютер не мог распространить проблему по сети; оповещения в режиме реального времени по электронной почте или через мобильное приложение, отправляемые при обнаружении, а не в завтрашнем отчете; и криминалистическая экспертиза инцидентов сопоставлена с инфраструктурой MITRE ATT&CK, поэтому инцидент описывается стандартным языком техники атаки, а не расплывчатым «обнаружен вирус».

ManageEngine также заявляет, что агент продолжает мониторинг без подключения к Интернету, поэтому ноутбуки вдали от офисной сети не являются слепыми зонами — они сообщают при повторном подключении.

Прежде всего проверьте лицензию

Часто задаваемые вопросы ManageEngine прямолинейны: Защита от вредоносного ПО всегда требует отдельной дополнительной лицензии. Он не входит в комплект ни одной редакции Endpoint Central — ни Standard, ни Professional, ни Enterprise. Поэтому, прежде чем искать настройки, проверьте, чем вы владеете: в консоли откройте Значок профиля → Лицензия и посмотрите количество управляемых компьютеров Защита от вредоносного ПО – надстройка. Если отображается 0, надстройка не приобретается, какую бы версию вы ни использовали.

Единственное задокументированное исключение: Бесплатная версия включает защиту от вредоносного ПО для 25 устройств без дополнительной оплаты — этого достаточно для настоящей пробной версии на реальных машинах. После покупки дополнение включается во время следующего цикла обновления агента (около 90 минут); если он не появляется, дождитесь обновления, прежде чем поднимать заявку.

Сначала внедрите в пилотную группу

Не включайте защиту поведения на каждом компьютере в полную силу с первого дня — именно так ложные срабатывания превращаются в гневные телефонные звонки. Начните с пилотной группы: ваши ИТ-машины плюс несколько обычных пользовательских ПК, и дайте ей поработать хотя бы несколько дней, прежде чем расширяться.

Ежедневно следите за обнаружением и тщательно настраивайте исключения

Во время пилотного проекта следите за обнаружением каждый день. Отмечайте каждое ложное срабатывание по его точному файлу и пути — эта точность понадобится вам для исключений. Добавляйте исключения только для подтвержденного программного обеспечения для бизнеса и делайте их настолько узкими, насколько это позволяют доказательства.

Расширяйтесь волнообразно, сохраняя слои вокруг

Как только пилот успокоится, расширяйте отдел за раз, сохраняя одну и ту же привычку наблюдать и настраивать для каждой волны. Включите оповещения по электронной почте и в мобильном приложении для человека, который действительно их прочитает — оповещение, которое никто не видит, не является защитой.

И помните о честном конечном результате: это дополнение не заменяет исправления, контроль приложений или контроль устройств — самые надежные системы используют их вместе. Поведенческая блокировка снижает риск программ-вымогателей, но проверенные резервные копии остаются единственным гарантированным способом восстановления после успешного шифрования, а учетные записи пользователей с наименьшими привилегиями по-прежнему ограничивают ущерб, который может нанести любой компьютер.