Захист від шкідливих програм ManageEngine

Побачте прогалину, яку залишає латання

Керування виправленнями та захист від зловмисного програмного забезпечення виконують дві різні функції. Виправлення усуває відомі слабкі місця — службу без виправлень, стару збірку Office — і працює до атаки, лише проти дірок, які вже виправлено. Він не може оцінити, що робить програма після запуску: звичайний файл, який користувач завантажив годину тому, чи безфайлову атаку, яка запускає код прямо з пам’яті, де жоден підозрілий файл ніколи не потрапляє на диск для сканування сигнатур.

Ось чому повністю виправлений комп’ютер усе ще може запускати абсолютно нове зловмисне програмне забезпечення — і чому це відео розглядає рівень, який спостерігає за поведінкою під час виконання.

Дізнайтеся про два механізми, які вмикає додаток

ManageEngine Malware Protection — це не окремий антивірус, який ви встановлюєте поруч із Endpoint Central — це додатковий модуль, який вмикається всередині тієї ж консолі та агента, які ви вже використовуєте. У власній документації ManageEngine він поєднує два механізми: Next-Gen Antivirus (NGAV) — сканування сигнатур плюс аналіз поведінки та моделі машинного навчання, націлені на відомі та невідомі зловмисне програмне забезпечення, включаючи безфайлові атаки — та Anti-Ransomware, механізм аналітики поведінки, який стежить за активністю у стилі шифрування та може реагувати, коли вона запускається.

Дізнайтеся, що відбувається, коли він спрацьовує

Виявлення — це лише половина продукту. Коли щось спрацьовує, задокументована сторона відповіді: миттєвий карантин інфікованого файлу — і, якщо потрібно, всього пристрою, щоб один несправний ПК не міг поширити проблему в мережі; сповіщення в режимі реального часу електронною поштою або мобільним додатком, які надсилаються, коли відбувається виявлення, а не в завтрашньому звіті; і криміналістична експертиза інцидентів, зіставлена з фреймворком MITER ATT&CK, тож інцидент описується стандартною мовою техніки атаки, а не розпливчастим «вірус знайдено».

ManageEngine також заявляє, що агент продовжує моніторинг без підключення до Інтернету, тому ноутбуки поза офісною мережею не є сліпими плямами — вони повідомляють, коли повторно підключаються.

Перевірте ліцензію перед будь-чим іншим

Власні поширені запитання ManageEngine є відвертими: Захист від зловмисного програмного забезпечення завжди є окремою ліцензією на додаток. Він не входить до жодної версії Endpoint Central — ні Standard, ні Professional, ні Enterprise. Тож перш ніж шукати налаштування, перевірте, що у вас є: у консолі відкрийте Піктограму профілю → Ліцензія та подивіться на кількість керованих комп’ютерів у полі Захист від зловмисного програмного забезпечення – надбудова. Якщо відображається 0, доповнення не придбано, незалежно від того, яку версію ви використовуєте.

Один задокументований виняток: безкоштовна версія включає захист від зловмисного програмного забезпечення для максимум 25 пристроїв без додаткових витрат — достатньо для справжньої пробної версії на реальних машинах. Після покупки доповнення вмикається під час наступного циклу оновлення агента (приблизно 90 хвилин); якщо він не з’являється, зачекайте оновлення, перш ніж піднімати заявку.

Спочатку розгортайте в пілотній групі

Не вмикайте захист поведінки на кожному комп’ютері на повну силу в перший день — так помилкові спрацьовування перетворюються на гнівні телефонні дзвінки. Почніть із пілотної групи: ваші ІТ-машини плюс кілька звичайних комп’ютерів користувачів і дайте їй попрацювати принаймні кілька днів, перш ніж розширюватися.

Стежте за виявленнями щодня та чітко налаштовуйте виключення

Під час пілотного тестування спостерігайте за виявленнями щодня. Відзначайте кожен помилковий результат за його точним файлом і шляхом — ця точність знадобиться для виключень. Додайте виключення лише для підтвердженого бізнес-програмного забезпечення та зберігайте їх настільки вузькими, наскільки дозволяють докази.

Хвилеподібне розгортання — і зберігайте шари навколо нього

Коли пілот замовкне, розширюйте один відділ за раз, дотримуючись тієї самої звички спостерігати та налаштовуватися для кожної хвилі. Увімкніть сповіщення електронною поштою та мобільними програмами для людини, яка дійсно їх прочитає — сповіщення, яке ніхто не бачить, не є захистом.

І майте на увазі чесний підсумок: це доповнення не замінює виправлення, контроль програм чи пристроїв — найнадійніші налаштування використовують їх разом. Блокування поведінки зменшує ризик програм-вимагачів, але перевірені резервні копії залишаються єдиним гарантованим відновленням після успішного шифрування, а облікові записи користувачів з найменшими привілеями все одно обмежують шкоду, яку може завдати один ПК.