Эта статья основана на результатах 2025 Bitdefender Cybersecurity Assessment — крупного опроса специалистов по ИТ и безопасности, в котором участвовали 1 200 профессионалов из 6 стран.

Рост числа атак с участием ИИ

Новое исследование показывает, что всё больше организаций сталкиваются с атаками, в которых используется искусственный интеллект.
63 % респондентов — ИТ и ИБ-профессионалов — сообщили, что их организация пережила кибератаку, связанную с ИИ за последние 12 месяцев.

Распределение по странам:

• США — 74 %
• Сингапур — 71 %
• Германия — 67 %
• Великобритания — 62 %
• Италия — 55 %
• Франция — 52 %

Какие опасения вызывает ИИ в ИТ и кибербезопасности

Опрос попросил специалистов перечислить основные риски, связанные с ИИ. Ответы распределились на внешние и внутренние угрозы:

Внешние риски:

• вредоносные программы с ИИ;
• фишинг и социальная инженерия, усиленные ИИ;
• атаки, которые обходят традиционные средства защиты.

Внутренние риски:

• поспешное внедрение ИИ без надлежащей оценки рисков;
• утечки данных через большие языковые модели (Large Language Models, LLM).

Что видят эксперты Bitdefender на «киберполе»

Реальный взгляд на автоматизацию атак

Sean Nikkel, руководитель Cyber Intelligence Fusion Cell в Bitdefender, отмечает, что массовой автоматизации атак с помощью ИИ пока нет — злоумышленники всё ещё в основном используют свои обычные инструменты и команды.

Тем не менее ИИ уже помогает:

• Существуют так называемые «злые» LLM, рекламируемые в тёмных и закрытых сетях.
• Есть инструменты на основе ИИ, которые помогают совершенствовать фишинговые атаки.

ИИ улучшает социальную инженерию

Martin Zugec, директор технических решений Bitdefender, отмечает, что ИИ повышает качество фишинга. Генеративные модели помогают формировать сообщения без грамматических ошибок и странных формулировок, которые раньше помогали выявлять мошеннические письма.

Внутренние риски и утечки данных через ИИ

Nick Jackson, директор службы кибербезопасности Bitdefender, выделяет внутренние риски:

• Многие организации не используют корпоративные версии ИИ-инструментов, сотрудники вводят туда чувствительные данные, которые затем оказываются вне зоны контроля компании.

Это увеличивает риск утечки информации и снижает возможность контролировать её конфиденциальность.

Пример угрозы: FunkSec — группа, выросшая с помощью ИИ

Во время обсуждения эксперты упомянули группу FunkSec — вымогателей, которые использовали ИИ, чтобы успешно атаковать, даже не зная, с чего начать.

По словам Zugec, участники группы искали помощь на форумах и в итоге нашли её через ИИ-инструменты, что позволило им провести атаки.

ИИ — это «двусторонний меч»

Результаты опроса также отражают двойственную природу ИИ:

✔️ 51 % профессий считают угрозы, порождённые ИИ, одним из главных беспокойств.
✔️ Но одновременно ИИ приносит существенные преимущества защитникам:

• ускоряет обнаружение угроз;
• оптимизирует ответы на инциденты;
• улучшает приоритизацию срабатываний.

Пример инновации — Bitdefender GravityZone PHASR

Одним из примеров положительного применения ИИ для защиты эксперты компании называют Bitdefender GravityZone PHASR — систему, которая:

• использует большие языковые модели;
  создаёт индивидуальные настройки безопасности для каждой комбинации устройства и пользователя;
  помогает предотвратить использование легитимных инструментов в вредоносных целях и сокращает пути распространения программ-вымогателей.

Это один из примеров, как ИИ используется не для атак, а для усиления защитных механизмов.

Итог

Исследование Bitdefender показывает, что ИИ-подкреплённые кибератаки становятся всё более распространёнными, и об этом свидетельствует большинство организаций в разных странах. Однако ИИ также помогает усиливать защиту, ускоряя обнаружение угроз и реагирование, а применение генеративных моделей в ИБ не ограничивается только атаками.

Ссылки на источники:
https://www.bitdefender.com/en-us/blog/businessinsights/research-ai-cyberattacks-target-majority-organizations

Автор:
Bruce Sussman

В ноябре 2025 года Bitdefender выпустил новые функции в платформе GravityZone — унифицированной системе кибербезопасности, которая обеспечивает предотвращение угроз, защиту, обнаружение и реагирование для организаций любого масштаба. Эти обновления, в духе многослойной стратегии безопасности, призваны облегчить работу аналитиков безопасности, администраторов и конечных пользователей.

Что нового для аналитиков безопасности

Аналитики безопасности должны выявлять признаки сложных атак — то, что “не видно” на первый взгляд. Новые функции дают им расширенные инструменты для поиска угроз, расследований и реагирования.

Security Data Lake

• Представлен Security Data Lake — решение, объединяющее возможности SIEM и хранилища данных (“data lake”) в едином облачном сервисе.
• Это отдельная консоль, но её можно открыть прямо из GravityZone, и для каждого клиента выделяется свой кластер, чтобы обеспечить изоляцию данных.
• Security Data Lake может собирать и нормализовать события из сторонних систем: фаерволов, облаков, конечных точек и кастомных источников.
• В комплекте есть готовые “пакеты” (packs) для обнаружения событий, правил аномалий и дашбордов, чтобы сразу начать использовать.
• Можно настраивать обработку логов через Streams и Pipelines, чтобы создавать собственные парсеры и обогащать данные из нестандартных источников.
• Есть движок корреляции (correlation engine), который связывает отдельные события в “полные истории угроз”, а также продвинутый поиск с параметрами для сложных и совместно используемых запросов.
• При интеграции с сервисом MDR (Managed Detection and Response), аналитики SOC получают доступ в Data Lake к телеметрии третьих сторон — уже поддерживаются фаерволы Palo Alto, Check Point, Cisco ASA, Fortinet, Juniper, pfSense и SonicWall.
• Это позволяет SOC точно выполнять запросы, коррелировать активность по всей инфраструктуре и обнаруживать угрозы раньше, снижая “шум” за счёт приоритезации на основе риска.

Действия блокировки для EDR-сенсора

• Теперь у EDR Sensor есть “response actions” на основе корелляции событий: движок корреляции выявляет связи между событиями и объединяет их в инциденты.
• Пример: три события — дамп AD через ntdsutil, архивирование файлов и отправка этих архивов по SMB — могут быть распознаны как единый инцидент и заблокированы.
• В настройках политики в GravityZone (в разделе “Incident Sensor”) можно выбрать, что делать: предотвратить запуск процесса или принудительно завершить процесс на Windows-устройствах.
• Все такие действия видны в сетке инцидентов (“Incidents grid”), на вкладке “Incident Response” и локально на агентах BEST.

Удаление файлов через Office 365 Sensor

• Office 365 Sensor (интеграция с Microsoft 365) теперь поддерживает действие “Delete File” (Удалить файл).
• Это значит, что из GravityZone можно удалять подозрительные или вредоносные файлы прямо из OneDrive и SharePoint Online.
• Для активации этой опции нужно изменить разрешения приложения Microsoft Entra (ранее — Azure AD), дав ему право Files.ReadWrite.ALL.

Улучшения AWS Sensor

• AWS Sensor теперь поддерживает AWS Control Tower: интеграция с аккаунтами Management и Log Archive.
• Теперь можно отключать и удалять ключи доступа (access keys) для скомпрометированных IAM-аккаунтов только из Management Account, через консоль GravityZone.

Улучшения Security Telemetry

• Телеметрия безопасности (детализированные события: активность процессов, операции с файлами, изменения в реестре, сетевые соединения) теперь может собирать DNS-запросы.
• Эта дополнительная телеметрия поддерживается на Windows и macOS, и её можно отправлять в сторонние системы SIEM или MDR.
• Собранные данные можно коррелировать с другими событиями, что ускоряет реагирование на инциденты и помогает соответствовать стандартам вроде NIST или ISO 27001.

Новые лицензии для MDR

• Появились две новые годовые лицензии MDR:

• • Bitdefender MXDR — включает все функции MDR + сенсоры XDR: Productivity, Identity и Network.

• • Bitdefender MXDR Plus — включает функции MDR Plus + те же XDR-сенсоры.

• Можно добавить “MDR Cybersecurity Breach Warranty” как дополнение к этим лицензиям.
• При удалении лицензии MXDR или MXDR Plus, связанная гарантия (если она была) будет автоматически удалена.

Улучшения API

• Bitdefender Control Center API (протокол JSON-RPC 2.0) получил обновления: теперь есть дополнительные параметры preExecution и postExecution для метода setPolicyModulesState.
• В возвращаемом через getPolicyDetails объекте contentControl теперь включена информация о конфигурации Custom Pages (пользовательские страницы).
• Появилась новая поддержка для действий удаления файлов Office 365 через API:

• • Метод getResponseActionStatus может возвращать тип 10 — удалить файл Office 365.

• • Метод createResponseAction теперь принимает actionType = 10 для удаления файла Office 365.

Что нового для администраторов

Администраторам, которые постоянно решают множество задач, особенно пригодятся улучшения в управлении политиками и сообщениями.

Пользовательские страницы (Custom Pages) для заблокированных / предупреждающих сообщений

• В Web Content Filtering (фильтрация веб-контента) можно настроить собственную страницу блокировки, которая будет показываться пользователю, если доступ к сайту запрещён.
• Можно добавить логотип, изменить текст сообщения блокировки в браузере и текст предупреждения в агенте (BEST).
• Все ссылки на этой странице блокировки не кликабельны для пользователя.
• Эти кастомные страницы настраиваются в разделе “WAC Custom Pages” в конфигурационных политиках.
• Затем эти страницы можно назначить политикам через раздел “Network Protection → Custom Page”.
• Все сделанные изменения можно отслеживать: они появятся в журнале активности пользователя как “Web Access Content Control Pages” в User Activity.

Улучшения списка блокировок (Blocklist)

• Список блокировок (Blocklist) позволяет создавать правила, чтобы запрещать запуск файлов, приложений или сетевых соединений.
• Теперь для работы Blocklist не обязательно включать весь модуль файрвола: если используется только Blocklist, файрвол работает в “лёгком режиме”, без изменения поведения полной версии файрвола.
• Для всех конечных точек, управляемых через MDR, Blocklist автоматически включён как обязательный сервис, даже если политика его не активирует.
• При этом опции “DLL” и “Script” (в списке блокировок) остаются настраиваемыми для локальных администраторов.

Итог

Платформа GravityZone от Bitdefender продолжает развиваться и укреплять свою позицию как объединённое решение для всех задач безопасности: предотвращения атак, обнаружения, реагирования. Новые функции улучшают аналитические возможности (Data Lake), повышают эффективность реагирования (EDR response, Office 365), расширяют интеграции (Splunk) и дают администраторам больше контроля и гибкости.

Источник:
https://www.bitdefender.com/en-us/blog/businessinsights/whats-new-gravityzone-november-2025

Автор:
Гжегож Нокон
Технический инженер по маркетингу в компании Bitdefender

В современном цифровом мире, где объёмы данных стремительно растут, а требования к их безопасности ужесточаются, эффективное управление информацией становится критически важным. Одним из инструментов, способствующих этому, являются контекстно-обогащённые метаданные. Они не только улучшают организацию и поиск данных, но и значительно усиливают меры по обеспечению безопасности и соблюдению нормативных требований.

Что такое контекстно-обогащённые метаданные?

Контекстно-обогащённые метаданные представляют собой расширенные сведения о цифровых объектах, включающие информацию о времени создания, последних изменениях, истории доступа и других атрибутах. Они обеспечивают полное представление о жизненном цикле данных, что особенно важно для эффективного управления информацией и обеспечения её безопасности.

Основные компоненты контекстно-обогащённых метаданны:

1. 1. Описательные метаданные: Содержат информацию о содержании данных, такие как автор, дата создания, ключевые слова и т. д.
   2. Структурные метаданные: Определяют, как данные организованы и связаны между собой, что важно для их правильного хранения и доступа.
   3. Административные метаданные: Включают сведения о правах доступа, лицензиях и других аспектах управления данными.

Преимущества использования контекстно-обогащённых метаданных:

• • Улучшенный поиск и организация данных: Позволяют быстро находить необходимую информацию и эффективно управлять ею.
  • Повышение безопасности: Обеспечивают детальный контроль доступа и отслеживание изменений, что помогает предотвратить несанкционированный доступ и утечку данных.
  • Соблюдение нормативных требований: Облегчают процесс аудита и демонстрации соответствия различным стандартам и регламентам.

Реализация в рамках Fidelis Elevate®:

Платформа Fidelis Elevate® эффективно использует контекстно-обогащённые метаданные для обеспечения расширенного обнаружения угроз (XDR). Она собирает и анализирует метаданные из различных источников, включая сетевой трафик и конечные точки, что позволяет:

• • Быстро обнаруживать угрозы: Анализ метаданных помогает выявлять аномалии и потенциальные угрозы в реальном времени.
  • Проводить глубокий анализ инцидентов: Предоставляет полную картину событий, что облегчает расследование и реагирование на инциденты.
  • Обеспечивать соответствие требованиям: Поддерживает процессы аудита и демонстрации соответствия нормативным требованиям.

Заключение

Интеграция контекстно-обогащённых метаданных в процессы управления данными и обеспечения безопасности становится неотъемлемой частью современной ИТ-стратегии. Они не только улучшают организацию и поиск информации, но и значительно усиливают меры по защите данных и соблюдению нормативных требований.

Для организаций, стремящихся повысить уровень своей информационной безопасности и эффективности управления данными, использование решений, подобных Fidelis Elevate®, является шагом в правильном направлении.

Источник:
https://fidelissecurity.com/threatgeek/data-protection/context-rich-metadata/

Автор:
Srestha Roy, cybersecurity expert

Перевод и адаптация:
Герасименко Иван

В современных условиях киберугрозы становятся все более сложными, и компанииям  необходимо выбрать подходящее решение для защиты своей инфраструктуры. В статье рассмотрим три основных варианта: EDR (Endpoint Detection and Response), MDR (Managed Detection and Response) и XDR (Extended Detection and Response).

MSP и их клиенты могут выбирать из множества решений, таких как EDR, MDR и XDR. Однако важно осознавать, что каждое из этих решений имеет свои уникальные особенности и ограничения. Не существует универсального подхода, который подойдет всем. Разные MSP сталкиваются с различными требованиями, имеют разные внутренние ресурсы, бюджетные ограничения и уровень допустимого риска. Выбор подходящего решения должен основываться на детальном анализе этих факторов и конкретных потребностей компании.

Рассмотрим каждое решение детальнее:

EDR — это решение для кибербезопасности, которое фокусируется на обнаружении, реагировании и смягчении угроз, направленных на конечные устройства, такие как ноутбуки, серверы и мобильные устройства. Однако, поскольку EDR ориентирован только на конечные точки, он может пропустить атаки, происходящие в других частях сети, например, в электронной почте или облаке. Основные компоненты EDR включают мониторинг конечных точек, активную защиту, использование искусственного интеллекта и цифровую криминалистику.

MDR — это удаленно управляемая служба безопасности, обеспечивающая круглосуточный мониторинг, обнаружение и реагирование на угрозы. Она сочетает в себе различные технологии, такие как EDR, SIEM и анализ сетевого трафика (NTA). Поставщики MDR предлагают готовое решение, объединяя инструменты безопасности от разных производителей в одном пакете. Центр операций по безопасности (SOC) берет на себя управление безопасностью, выполняя большую часть работы за MSP. Обычно это решение предусматривает полный набор услуг без возможности выбора отдельных компонентов.

XDR — это комплексная платформа, объединяющая возможности EDR, SIEM и NTA, обеспечивающая защиту всех ИТ-активов через единого поставщика. В отличие от MDR, XDR ускоряет реагирование на угрозы благодаря автоматизации и оркестровке безопасности (SOAR). Она интегрируется с основными инструментами безопасности, оптимизируя работу команды и повышая видимость инцидентов, что позволяет минимизировать их последствия. Среди ключевых компонентов XDR — ИИ и машинное обучение, автоматизированное реагирование, централизованный интерфейс и гибкое пакетное решение.

Управляемый XDR — это усовершенствованное решение XDR, включающее SOC-as-a-Service для круглосуточного мониторинга. Оно идеально подходит для MSP, которые хотят усилить свою команду без необходимости нанимать и управлять дополнительным персоналом. Это решение обеспечивает непрерывную защиту, улучшенную видимость угроз и быстрое время отклика. Использование XDR в сочетании с технологиями, такими как SOAR или SIEM, снижает затраты и сложность управления безопасностью.

Выбор между этими решениями зависит от конкретных потребностей вашего бизнеса, включая существующую инфраструктуру, внутренние возможности и бюджетные ограничения. EDR подходит для защиты отдельных конечных устройств, тогда как MDR и XDR предлагают более интегрированный и комплексный подход к кибербезопасности.

Источник:
https://blog.barracuda.com/2024/08/26/is-EDR-MDR-or-XDR-the-right-solution-for-your-business
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/fidelis-elevate-xdr/
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/ibm-qradar-edr/
https://icore.kz/upravlenie-inczidentami/ibm-security-qradar-siem/

Автор: 
Morgan Pratt, Content Marketing Associate

Перевод и адаптация: 
Герасименко И.А.

В современную цифровую эпоху Организации доверяют своим информационным системам множество конфиденциальных данных, включая финансовые отчеты, интеллектуальную собственность и, что наиболее важно, информацию, позволяющую идентифицировать личность (PII) их клиентов и сотрудников. Защита этих данных имеет решающее значение для обеспечения непрерывности бизнеса, финансовой стабильности и доверия клиентов. Однако растущая киберугроза, известная как «Утечка данных», незаметно подрывает эти основы. 

Утечка данных — это несанкционированное удаление или передача вовне конфиденциальной информации из систем Организации. В отличие от вредоносных программ-вымогателей, которые шифруют данные и требуют выкуп, утечка данных осуществляется скрытно. Злоумышленники могут скомпрометировать ваши сети и незаметно извлекать данные в течение нескольких недель или даже месяцев. К тому времени, когда нарушение будет обнаружено, ущерб может быть необратимым.

Почему утечка данных должна стать главной заботой Организаций о безопасности

Утечка данных представляет собой серьезную угрозу для организаций, которая может вызвать цепную реакцию с серьезными последствиями. Вот более подробный обзор того, почему утечка данных должна стать неотложной проблемой безопасности:

Финансовые потери

Утечка конфиденциальных финансовых данных, таких как номера кредитных карт, информация о банковских счетах, персональные данные или коммерческая тайна, может привести к значительным финансовым потерям. Злоумышленники могут использовать эту информацию в нескольких вредоносных целях, включая: 

• Мошеннические транзакции: Украденная информация о кредитной карте может быть использована для совершения незаконных покупок в Интернете, что может привести к финансовым потерям как для организации, так и для ее клиентов. 
• Растрата: Утечка финансовых данных сотрудников или внутренних финансовых записей может способствовать краже информации изнутри, что приводит к значительным финансовым потерям. 
• Кража личных данных: Преступники могут использовать утечку личной информации, чтобы выдавать себя за физических лиц, открывать новые счета, получать кредиты или участвовать в других мошеннических действиях. Это может не только нанести ущерб финансовому положению пострадавших лиц, но и иметь юридические последствия для организации из-за утечки данных.

Ущерб репутации

Утечка данных, вызванная утечкой данных, может нанести значительный ущерб репутации организации. Клиенты могут потерять доверие к способности организации защитить их личную информацию, что приведет к: 

• Отток клиентов: Нарушения могут привести к тому, что клиенты покинут компанию и обратятся за услугами к конкурентам, которые уделяют особое внимание защите данных. 
• Негативная реклама: Информация о нарушении данных может быстро распространиться через социальные сети и традиционные средства массовой информации, нанося ущерб имиджу компании и подрывая доверие общественности. 
• Потеря деловых возможностей: Потенциальные партнеры и инвесторы могут не решаться вести дела с организацией, в истории которой были случаи утечки данных. Восстановление доверия и репутации после сбоя в работе с данными может быть длительным и дорогостоящим процессом.

Нормативные штрафы

В отличие от единого федерального закона, положения о защите данных в разных странах и отраслях устанавливают требования к безопасности данных. Эти правила часто налагают значительные штрафы на компании, которые не в состоянии должным образом защитить личную информацию и сталкиваются с утечкой данных из-за утечки. Например, в зависимости от серьезности нарушения и количества пострадавших корпорации могут столкнуться со значительными финансовыми штрафами. 

Утечка данных — это серьезная проблема, с которой организации должны активно бороться, поскольку она может привести к финансовым потерям, ущербу репутации и юридическим последствиям.

Как происходит утечка данных: Многогранный ландшафт угроз

Утечка данных может происходить с помощью различных методов, используемых злоумышленниками для нарушения безопасности организации и кражи конфиденциальных данных. Ниже мы более подробно рассмотрим некоторые из наиболее распространенных методов атак:

Вредоносная программа

Вредоносное программное обеспечение остается распространенным средством утечки данных. Злоумышленники могут использовать различные типы вредоносных программ, в том числе: 

• Кейлоггеры: эти программы записывают нажатия клавиш, введенные на устройстве пользователя, что может привести к раскрытию паролей для входа в систему, финансовой информации или других конфиденциальных данных. 
• Похитители данных: Похитители данных специально предназначены для эксфильтрации и могут сканировать взломанную систему на наличие определенных типов данных, таких как информация о кредитной карте, личные данные или интеллектуальная собственность, и передавать их на удаленный сервер, контролируемый злоумышленником. 
• Трояны удаленного доступа (RATs): Эти вредоносные программы предоставляют злоумышленникам удаленный доступ к скомпрометированной системе. После установки злоумышленники могут использовать RAT для просмотра файлов, кражи данных и передачи их на свои собственные серверы.

Социальная инженерия

Это метод, который использует психологию человека, чтобы обманом заставить людей раскрыть конфиденциальную информацию или разрешить несанкционированный доступ. Фишинговые электронные письма — это типичная тактика социальной инженерии, используемая при попытках утечки данных. Эти электронные письма часто приходят из подлинных источников, таких как банк, доверенный сотрудник или поставщик облачных услуг. Электронные письма могут содержать вредоносные вложения или ссылки, нажатие на которые может привести к загрузке вредоносного ПО или отправке пользователей на поддельные веб-сайты, предназначенные для кражи учетных данных для входа в систему или другой конфиденциальной информации.

Использование уязвимостей системы

Незащищенные уязвимости в программном и аппаратном обеспечении позволяют злоумышленникам закрепиться в системе. Эти уязвимости могут быть обнаружены в операционных системах, приложениях, встроенном ПО и даже в сетевых устройствах. Когда злоумышленник использует уязвимость, он может использовать ее для установки вредоносного ПО, обеспечения постоянства в системе и утечки данных.

Угрозы со стороны инсайдеров

Серьезную угрозу могут представлять недовольные сотрудники, нерадивые инсайдеры и даже злоумышленники, имеющие действительный доступ. Эти лица могут намеренно украсть данные в личных целях, продать их конкурентам или использовать для других незаконных действий. Внутренние угрозы бывает особенно сложно выявить, поскольку они часто имеют авторизованный доступ к конфиденциальным данным и системам. 

Теперь, когда мы знаем, почему утечка данных является серьезной проблемой для организаций и какими способами ее можно осуществить, пришло время рассмотреть способы ее предотвращения.

Подробный список стратегий по предотвращению утечки данных

Утечка данных — это безжалостный противник, требующий сложной стратегии защиты для эффективной защиты конфиденциальной информации вашей организации. Итак, давайте приступим к делу без промедления, укрепим вашу систему безопасности и предотвратим попытки утечки данных:

Внедрение лучшего в своем классе решения для предотвращения потери данных (DLP)

Сетевое решение Fidelis DLP удобно для защиты ваших данных от утечки. Оно является ключевым компонентом платформы Fidelis Elevate™. Это передовое решение использует технологию Deep Session Inspection® для мониторинга перемещения данных по вашей сети. Оно предлагает: 

• Расширенное обнаружение угроз: Машинное обучение выявляет подозрительные попытки утечки даже скрытых данных. 
• Проверка и контроль содержимого: блокирует несанкционированный доступ к конфиденциальной информации. 
• Автоматизированное реагирование: Оптимизируйте реагирование на угрозы с помощью автоматизированных рабочих процессов. 

Сетевое DLP-решение Fidelis Network позволяет вам лучше отслеживать перемещение данных, предотвращать утечки данных и обеспечивать соблюдение правил конфиденциальности данных.

Подготовка квалифицированного персонала, разбирающегося в вопросах безопасности

В борьбе с методами социальной инженерии, которые обычно используются для утечки данных, важно наделять сотрудников необходимыми знаниями. Регулярные тренинги по повышению осведомленности о безопасности помогут вашим сотрудникам: 

• Выявлять попытки фишинга 
• Распознавать тактику социальной инженерии 
• Сообщать о подозрительных действиях

Поддержание бдительности с помощью управления исправлениями (Patching)

Неустановленные уязвимости в вашей системе позволяют злоумышленникам использовать их и получить к ним доступ. Вот как метод организованного управления исправлениями улучшает вашу защиту: 

1. Регулярное сканирование на наличие уязвимостей: Регулярно проверяйте свои системы на наличие уязвимостей. Этот упреждающий метод помогает выявить потенциальные уязвимости до того, как злоумышленники воспользуются ими для утечки данных. 
2. Приоритетное исправление: Определите приоритетность исправления критических уязвимостей, которые представляют наибольший риск использования. Это гарантирует, что серьезные уязвимости будут устранены как можно скорее. 
3. Подумайте об автоматизации процессов внедрения исправлений: это снижает вероятность человеческой ошибки и обеспечивает своевременное внесение исправлений во всю вашу ИТ-инфраструктуру.

Мониторинг сетевого трафика

Тщательный мониторинг сетевого трафика на предмет необычной активности может выявить важную информацию о возможных попытках утечки данных. Вот как вы можете улучшить методы мониторинга сети: 

1. Норма (стандарт) сетевого трафика в Организации: Установите базовый (стандартный) уровень для ваших обычных моделей сетевого трафика. Эта базовая линия (норма) используется в качестве ориентира для выявления отклонений, которые могут указывать на несанкционированную утечку данных. 
2. Внедрите системы обнаружения аномалий: они могут обнаруживать неожиданные скачки сетевого трафика или передачу данных в подозрительные пункты назначения. Эти инструменты могут уведомлять сотрудников службы безопасности о возможных попытках проникновения в режиме реального времени. 
3. Сегментация сети: Это может помочь ограничить горизонтальное перемещение злоумышленников по вашей системе. Это затрудняет им эксфильтрацию данных, как только они получают контроль над одним устройством.

Применение политики надежных паролей и многофакторной аутентификации (MFA)

Слабые пароли и отсутствие MFA значительно повышают риск несанкционированного доступа, который может быть использован для утечки данных. Поэтому необходимо применять политику надежных паролей и многофакторную аутентификацию.

Реагирование на инциденты, связанные с утечкой данных: уменьшение ущерба и восстановление контроля

Несмотря на необходимость принятия надежных превентивных мер, попытки утечки данных все еще могут иметь место. Наличие четко определенного плана реагирования на инциденты имеет важное значение для минимизации ущерба, быстрого восстановления и соблюдения требований конфиденциальности. Вот подробное описание ключевых этапов эффективного реагирования на инциденты, связанные с утечкой данных:

Выявление и локализация нарушения: время имеет решающее значение

1. Быстрое обнаружение: используйте средства безопасности и мониторинг сети для выявления любого подозрительного поведения, которое может свидетельствовать о попытке утечки данных. Это может включать необычные схемы сетевого трафика, попытки несанкционированного доступа или уведомления DLP. 
2. Изолирование угрозы: Как только будет выявлена потенциальная утечка, изолируйте скомпрометированную систему или учетную запись пользователя, чтобы избежать дополнительной потери данных. Это может включать в себя карантин скомпрометированных устройств, ограничение доступа к сети или приостановку действия учетных записей пользователей. 
3. Быстрые меры по сдерживанию: В зависимости от серьезности нарушения, рассмотрите возможность применения дополнительных мер по сдерживанию, таких как сброс пароля, отзыв прав доступа или замораживание затронутых систем.

Расследовать инцидент

1. Судебно-медицинская экспертиза: Проведите тщательную судебно-медицинскую экспертизу, чтобы определить масштабы взлома, любые данные, которые, возможно, были утеряны, и технику злоумышленников. Это может включать анализ файлов журналов, системной активности и других доступных данных. 
2. Хронология инцидентов: создайте подробную хронологию событий, чтобы лучше понять действия злоумышленника в вашей системе. Это помогает определить начальную точку входа, действия, предпринятые злоумышленником, и период времени, в течение которого произошла утечка данных. 
3. Определите векторы атак: изучите тактику злоумышленника, чтобы определить, какие уязвимости он использовал. Эти знания необходимы для устранения и предотвращения подобных атак в будущем.

Устранение и контроль Уязвимостей: Создание более надежной защиты

1. Исправление уязвимостей: Немедленно устраните уязвимости, использованные при атаке, путем установки исправлений безопасности в ваши системы и программное обеспечение. Определите приоритетность исправления основных уязвимостей с наибольшим риском. 
2. Усиление мер безопасности: Улучшите общую систему безопасности, введя дополнительные меры контроля на основе результатов расследования. Это может повлечь за собой усиление контроля доступа, оценку и обновление правил безопасности или внедрение новых средств безопасности для устранения выявленных пробелов.

Информирование заинтересованных сторон: Прозрачность и соответствие требованиям

1. Внутренняя коммуникация: Проинформируйте всех заинтересованных сторон о произошедшем, включая руководство, юристов и, возможно, затронутые отделы. Предоставьте четкое представление о проблеме, предпринимаемых действиях и потенциальных последствиях для компании. 
2. Соблюдение нормативных требований: В зависимости от характера утечки данных и местонахождения вашей организации, вы можете быть юридически обязаны уведомить субъектов данных, регулирующие органы или правоохранительные органы. Проконсультируйтесь с юрисконсультом, чтобы убедиться в соблюдении всех применимых правил конфиденциальности данных.

Восстановление и анализ после инцидента: Извлекаем уроки из опыта

1. Восстановление данных: Если доступны резервные копии, начните процесс восстановления данных, чтобы восстановить поврежденные системы и данные. 
2. Оценка после инцидента: Проведите тщательный анализ после инцидента, чтобы оценить успешность вашей стратегии реагирования и определить области, требующие улучшения. Эта оценка должна охватывать все ключевые заинтересованные стороны и привести к обновлению вашего плана реагирования на инцидент и процедур обеспечения безопасности.

Выполнение этих действий поможет вам отреагировать на инцидент с утечкой данных, минимизировать ущерб и повысить общую безопасность данных в вашей организации. Помните, что хорошо отрепетированный план реагирования на инциденты и постоянное совершенствование необходимы для обеспечения устойчивости вашей организации к кибератакам.

Вывод

Утечка данных — серьезная проблема, с которой компании должны активно бороться. Организации могут значительно снизить риск утечки данных и обезопасить свои ценные данные, выявляя опасности, применяя превентивные меры, такие как платформа Fidelis Elevate со всеми компонентами и поддерживая и актуализируя надежный план реагирования на инциденты. 

Обязательно рекомендуется применение SIEM-решений и создание специализированных подразделений по мониторингу и реагированию на инциденты ИБ.

Источник:
https://fidelissecurity.com/threatgeek/data-protection/data-exfiltration/
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/fidelis-elevate-xdr/
https://icore.kz/upravlenie-inczidentami/ibm-security-qradar-siem/

Автор: 
Sarika Sharma, cybersecurity enthusiast

Редакция и адаптация: 
Лебедев А.В.

CrowdStrike — мировой лидер в области защиты конечных точек. Компания CrowdStrike появилась на рынке программного обеспечения относительно недавно. Основанная в Силиконовой долине в 2011 году, она уже в 2017 достигла капитализации в 1 миллиард долларов. Это пример классического стартапа-единорога.

Успех принес альтернативный подход к обеспечению IТ-безопасности, кардинально отличавшийся от господствовавшего в то время. Компания создала первую облачную платформу безопасности, представляющую собой революционную технологию защиты конечных точек, предлагаемую как SaaS (software as a service) решение для бизнеса. Пользователь получает по подписке лицензию и доступ к программам. Об уровне надежности этого ПО можно судить хотя бы потому, что CrowdStrike используют 5 из 10 крупнейших мировых финансовых учреждений.

Главное решение компании — платформа CrowdStrike Falcon — это первое в отрасли облачное решение, которое защищает конечные точки путем объединения антивируса нового поколения, системы EDR (обнаружение и реагирование на угрозы конечной точки) и круглосуточной управляемой службы поиска. Все это доступно с помощью одного агента на клиентском устройстве.

Falcon базируется на искусственном интеллекте (AI) и объединяет технологии, интеллект и опыт в одно простое решение, которое надежно останавливает любые угрозы. Платформа за считанные минуты обеспечивает защиту в реальном времени, а эффективные алгоритмы искусственного интеллекта позволяют увидеть результат уже с первого дня использования. Облачная инфраструктура и архитектура устраняют сложность в работе с различными приложениями, обеспечивают управляемость и скорость решения.

Платформа CrowdStrike Falcon гибкая и масштабируемая и содержит различные модули для защиты cloud-пространства и локальных сетей с различными конечными устройствами (ноутбуки, ПК, серверы, устройства IoT). Каждый модуль доступен на платформе Falcon реализован с помощью единой облачной консоли управления и единого агента для конечного устройства.

CrowdStrike использует передовые приложения и методы обнаружения и реагирования на конечные точки (EDR), чтобы предоставить ведущее в отрасли антивирусное решение нового поколения (NGAV) на основе машинного обучения, которое предотвращает нарушения безопасности до того, как они произойдут. В этой статье приведено краткое описание функций и характеристик программы CrowdStrike.

Платформа CrowdStrike содержит различные модули продуктов, которые подключаются к единой среде SaaS. Решения Endpoint Security применяются на конечной точке с помощью одного агента, известного как датчик CrowdStrike Falcon. Платформа Falcon разделена на решения для безопасности конечных точек, безопасность ИТ и операций, анализ угроз, решения для облачной безопасности и решения для защиты личных данных. Дополнительные сведения об этих продуктах приведены ниже.

1. Решения для защиты конечных точек

• Falcon Insight — обнаружение угроз и реагирование на конечные точки (EDR)

• • Опередите злоумышленников благодаря комплексному обзору событий на ваших конечных точках, расширенному по всем ключевым источникам данных с помощью интегрированного XDR. Просматривайте сведения даже о самых изощренных угрозах с полным междоменным контекстом для быстрого расследования угроз и принятия быстрых и уверенных мер.

• Falcon Prevent — антивирус нового поколения (NGAV)

• • Остановите атаки с помощью передовых технологий искусственного интеллекта (ИИ) и машинного обучения (МО) — от массового вредоносного ПО до бесфайловых атак и атак нулевого дня. Наша элитная аналитика угроз, первые в отрасли индикаторы атаки, управление сценариями и расширенное сканирование памяти обнаруживают и блокируют вредоносные действия на ранних этапах цепочки уничтожения.

• Управление устройством CrowdStrike Falcon — управление устройством USB

• • Улучшенная визуализация использования и активности USB-устройств для мониторинга, упреждающего поиска и расследования инцидентов, связанных с потерей данных, благодаря комплексному контексту действий пользователей, глубокой визуализации файлов и автоматической идентификации исходного кода.

• Falcon Firewall Management — управление межсетевым экраном хоста

• • Защита от сетевых угроз и мгновенная визуализация для повышения уровня защиты и принятия обоснованных мер.

• Falcon для мобильных устройств — обнаружение и реагирование на мобильные конечные точки

• • Защитите свой бизнес от мобильных угроз, распространив EDR и XDR на устройства Android и iOS.

• Falcon Forensics — Криминалистический анализ данных

• • Автоматизируйте сбор криминалистических данных на определенный момент времени и за прошлые периоды, а также дополните экспертные знания аналитиков комплексными панелями управления и полным контекстом угроз для надежного криминалистического анализа инцидентов.

2. Безопасность и ИТ-операции

• CrowdStrike Falcon Discover

• • Предоставляет информацию об инфраструктуре конечных точек. Это позволяет администраторам просматривать оперативную и архивную информацию об инвентаризации приложений и активов.

• CrowdStrike Falcon OverWatch

• • Круглосуточно выполняет управляемый поиск угроз и отправляет уведомления по электронной почте от имени команды Falcon Overwatch, а также за считанные секунды оповещает администраторов об индикаторе, который указывает на возникающую угрозу.

• CrowdStrike Falcon Spotlight

• • Управление уязвимостями с помощью датчика Falcon для доставки сведений об исправлениях Microsoft или активных уязвимостях для устройств с установленным Falcon и расположенных поблизости устройств в сети.

3. Аналитика угроз

• Поисковая система CrowdStrike Falcon

• • CrowdStrike Falcon MalQuery — это передовой облачный инструмент исследования вредоносного ПО, который позволяет специалистам по безопасности и исследователям быстро выполнять поиск по огромному набору данных образцов вредоносного ПО, проверять потенциальные риски и опережать потенциальных злоумышленников. В основе Falcon MalQuery лежит многопетабайтная коллекция из более чем 3,5 миллиарда файлов, проиндексированных по запатентованной технологии.

• CrowdStrike Falcon Sandbox

• • Обеспечивает контролируемое выполнение вредоносного ПО, чтобы предоставить подробные отчеты об угрозах, обнаруженных в вашей среде, и собрать дополнительные данные о злоумышленниках по всему миру.

• Интеллектуальные функции CrowdStrike Falcon

• • Автоматическое расследование инцидентов, ускорение рассмотрения оповещений и реагирования на них. Встроенный в платформу Falcon, он готов к работе за считанные секунды.

4. Решения для обеспечения безопасности в облаке

• Защита облачных рабочих нагрузок Falcon — для AWS, Azure и GCP

• • Falcon Cloud Security обеспечивает комплексную защиту от брешей для рабочих нагрузок, контейнеров и Kubernetes, позволяя организациям быстро и уверенно создавать, запускать и защищать специализированные облачные приложения.

• Falcon Horizon — Cloud Security Posture Management (CSPM)

• • Falcon Cloud Security обеспечивает непрерывное обнаружение и визуализацию облачных ресурсов от хоста до облака без использования агентов, предоставляя ценный контекст и аналитические сведения об общем состоянии безопасности и действиях, необходимых для предотвращения потенциальных инцидентов безопасности.

• Безопасность контейнеров

• • Контейнеры изменили способы создания, тестирования и использования приложений, обеспечив возможность мгновенного развертывания и масштабирования приложений в любой среде. По мере роста внедрения контейнеров они становятся новой поверхностью атаки, которой не хватает видимости и которая подвергает организации опасности.

5. Решения для защиты личных данных

• Технология обнаружения угроз идентификации Falcon (ITD)

• • CrowdStrike Falcon Identity Threat Detection — обеспечивает глубокую визуализацию инцидентов и аномалий, связанных с идентификацией, в сложном гибридном ландшафте идентификации, сравнивая трафик в реальном времени с базовыми показателями поведения и политиками для обнаружения атак и боковых перемещений в режиме реального времени.

• • CrowdStrike Falcon Identity Threat Protection. Используя единый датчик и унифицированный интерфейс угроз с корреляцией атак по конечным точкам, рабочим нагрузкам и идентификационным данным, Falcon Identity Threat Protection останавливает нарушения идентификации в режиме реального времени.

Компания CrowdStrike переосмыслила концепцию безопасности, создав самую передовую в мире облачную платформу, которая защищает и обеспечивает работу людей, процессов и технологий, являющихся движущей силой современного предприятия. CrowdStrike защищает наиболее важные области корпоративных рисков — конечные точки и облачные рабочие нагрузки, идентификацию и данные, — чтобы клиенты опережали современных противников и предотвращали утечки.

Платформа CrowdStrike Falcon Platform, работающая на базе CrowdStrike Security Cloud, использует индикаторы атак в режиме реального времени, данные об угрозах и развивающихся методах работы противника, а также обогащенную телеметрию со всего предприятия, чтобы обеспечить сверхточное обнаружение, автоматизированную защиту и устранение последствий, элитный поиск угроз и приоритетное наблюдение за уязвимостями — и все это с помощью единого легкого агента. С CrowdStrike заказчики получают преимущества превосходной защиты и более высокой производительности.

Источник:
https://www.crowdstrike.com/en-us/

Компиляция: 
Лебедев А.В.

На сегодняшний день вопрос кибербезопасности наиболее актуален. Современные злоумышленники используют более изощрённые, ранее неизвестные инструменты, методы и тактики для осуществления атак. Согласно данным от Statista, в 2023 году от атак программ-вымогателей пострадали 75,7% всех мировых организаций. И с каждым годом эти показатели растут. Так, например, в 2018-м пострадало лишь 55,1% организаций, в 2019-м — 56,1%, в 2020-м — 62,4%, в 2021-м — 68,5%, в 2022 году — 71%.

Эти цифры говорят нам о том, что стандартных методов защиты уже недостаточно, и необходимо использовать более комплексный подход для анализа и реагирования на инциденты информационной безопасности. В следствие этого было введено такое понятие, как XDR (Extended Detection and Response) – это расширенное обнаружение и реагирование на сложные угрозы и целевые атаки. Ключевым элементом любого XDR всегда является EDR (Endpoint Detection and Response) – обнаружение и реагирование на конечных устройствах.

Однако XDR включает не только EDR; в понимание XDR как правило входит анализ и управление сетевым трафиком. Одним из решений класса XDR является платформа Fidelis Elevate, которая состоит из трех элементов: Fidelis Endpoint, Fidelis Network и Fidelis Deception.

Fidelis Endpoint представляет собой решение класса EDR, предназначенное для защиты конечных устройств от любого вида угроз при помощи технологий искусственного интеллекта, индикаторов компрометации, YARA-правил, сигнатурного и поведенческого анализа.

Технологии искусственного интеллекта используются для выявления аномалий в поведении программного обеспечения или действиях пользователя.

Индикаторы компрометации (IoC) — это конкретные данные или аномалии, которые могут указывать на наличие компрометации системы или сети. Они могут включать в себя IP-адреса, домены, хэш-суммы файлов, а также образцы зловредного кода или атакующих методов. Индикаторы компрометации часто используются для обнаружения и реагирования на кибератаки.

YARA — это мощный инструмент для обнаружения зловредного программного обеспечения и анализа вредоносных файлов. Он позволяет анализировать файлы на предмет соответствия определенным шаблонам, называемым YARA-правилами. YARA-правила могут описывать как структурные особенности файлов (например, сигнатуры), так и поведенческие характеристики (например, последовательность байтов или строк), которые могут указывать на наличие зловредного программного обеспечения. Технология сигнатурного анализа используется для обнаружения вредоносных программ и атак на основе заранее известных характеристик, известных как сигнатуры. Сигнатуры представляют собой уникальные паттерны или характеристики, которые идентифицируют конкретные виды зловредного программного обеспечения или атак.

Поведенческий анализ в области информационной безопасности — это метод анализа и обнаружения вредоносного программного обеспечения и атак на основе аномального поведения системы или приложения. В отличие от сигнатурного анализа, который сосредотачивается на идентификации известных паттернов вредоносного программного обеспечения, поведенческий анализ фокусируется на необычных или ненормативных действиях, которые могут указывать на наличие атаки.

Инструменты Fidelis Endpoint позволяют автоматизировать расследование и реакцию на инциденты информационной безопасности, устраняя ручную работу и облегчая работу аналитиков путем визуализации всех процессов и действий, создавая полную картину происходящего. При этом Fidelis Endpoint не требует высокого уровня подготовки персонала, так как все необходимые данные предоставляются в понятном виде с подробной информацией по каждому инциденту.

Решение позволяет собирать широкий спектр метаданных с конечных точек, коррелировать их с данными Fidelis, базой знаний Mitre Att&ck, Threat Intel сервисами и сторонними информационными каналами, чтобы узнать, какие конечные точки скомпрометированы. При обнаружении скомпрометированных конечных устройств Fidelis может автоматически устранять угрозы и последствия, запуская любые команды или скрипты, как уже готовые, так и самонаписанные. При этом агенты Fidelis работают от имени системы, что предоставляет неограниченный доступ к конечному устройству вплоть до установки, удаления, обновления любого программного обеспечения, редактирования любых параметров реестра, файловой системы и прочих компонентов системы. Преимущество Fidelis Endpoint в том, что Fidelis это не только решение для защиты конечных устройств, но также и мощный инструмент для централизованного администрирования рабочих станций.

В мире существуют организации, использующие до 400 000 Fidelis Endpoint с одной консоли управления. Разработанное для защиты государственных органов США, решение напрямую интегрировано в платформу безопасности Fidelis Elevate, что даёт возможность построить уникальные реакции на любые инциденты ИБ в будущем.

Следующий компонент, входящий в платформу Fidelis Elevate, — Fidelis Network.

Fidelis Network – это решение класса NDR (Network Detection and Response), позволяющее проводить анализ сетевого трафика для обнаружения и предотвращения инцидентов информационной безопасности на уровне сети. Fidelis Network позволяет обнаруживать любые инструменты и тактики злоумышленников, включая продвинутое вредоносное программное обеспечение, эксплоиты, командные и контрольные центры, которые обычно могут обойти традиционные сетевые системы безопасности. Также, при помощи Fidelis, возможно понять поведение атакующего, включая горизонтальные перемещения данных в процессе эксфильтрации. Fidelis Network обеспечивает видимость, контекст и скорость, необходимые для выявления угроз, и делает все необходимое, чтобы кража информации никогда не состоялась.

Fidelis Network собирает всю необходимую информацию по каждому инциденту и предоставляет ее в понятном и простом виде: кто является источником инцидента, целевой актив, на который проводится атака, какие порты и протоколы используются, какие тактики и инструменты использовались, на что стоит обратить внимание и т.д. Все это упрощает проведение анализа инцидентов информационной безопасности и позволяет быстрее проводить необходимые действия для предотвращения той или иной угрозы. При этом интерфейс Fidelis Network достаточно прост и интуитивно понятен, в следствие чего не требуется высокий уровень подготовки от аналитиков информационной безопасности. Для описания трафика Fidelis использует более 300 способов, что в десятки раз больше, чем у других существующих решений, что позволяет получать наиболее точные и детальные метаданные.

Третьим компонентом Fidelis Elevate является Fidelis Decoy.

Fidelis Decoy представляет собой сервер для централизованного создания и управления так называемыми ловушками. Задача ловушек заключается в привлечении внимания злоумышленника и последующей атаки или несанкционированному исследованию, что впоследствии позволит изучить, какими инструментами и тактиками пользуется злоумышленник, какие активы или ресурсы представляют интерес для злоумышленника и т.д.

Принцип работы Decoy сервера.

Decoy сервер создает ловушки, которые имитируют рабочие станции, сетевое оборудование, веб-страницы, камеры видеонаблюдения, сервера и т.д., и наполняет их ложной информацией, чтобы сделать ловушку более схожей с реальным активом. Также Decoy сервер создает и распространяет хлебные крошки. Хлебные крошки – это информация, которая разбрасывается по периметру организации и указывает на ранее созданные ловушки. Они необходимы для того, чтобы злоумышленник нашел наши ловушки и сфокусировал на них свое внимание. Fidelis Decoy способен создавать ловушки автоматически на основе данных, полученных из сети. Также Fidelis Decoy может работать с так называемыми «золотыми образами». Золотой образ представляет собой шаблон рабочих станций, используемых в организации. Кроме рабочих станций, Fidelis Decoy предоставляет возможность создавать ловушки, имитирующие сетевое оборудование. При попытке доступа к веб-интерфейсу ловушки мы увидим имитацию того, что через данное оборудование проходит трафик, и ловушка ничем не отличается от рабочего оборудования, за исключением того, что информация, которой наполняется ловушка, является ложной.

Одним из преимуществ подобных решений является крайне низкий шанс ложноположительного срабатывания. Это связано с тем, что обычный пользователь специально никогда не взаимодействует с ловушками, так как, чаще всего даже и не знает о их существовании. Злоумышленник, в свою очередь, не знает, какие активы являются реальными, а какие – ловушками. Поэтому при любом взаимодействии с ловушкой возникает инцидент, который указывает на попытку атаки на инфраструктуру. Это позволяет оперативно реагировать на потенциальные угрозы и обеспечивать безопасность организации.

Одним из основных преимуществ использования комплекса Fidelis Elevate является высокий уровень автоматизации при реакции на инциденты безопасности, расследованиях и устранении последствий. Это даёт возможность построить эффективный центр управления безопасностью (SOC), используя всего три решения — платформу Fidelis Elevate + SIEM-систему + SOAR систему, при минимальном количестве обслуживающего персонала. Имея в своём составе защиту сетевого трафика, глубокий анализ сетевой активности, защиту конечных точек, систему обнаружения зловредной активности и обмана злоумышленников, «песочницу» — для детонации неизвестного ПО (и всё это в одной консоли) – платформа Fidelis Elevate является уникальной, сокращая время точной реакции на инциденты ИБ с нескольких дней до нескольких минут.

Также преимуществом платформы Fidelis Elevate является количество решаемых задач информационной безопасности, что позволяет заказчику избежать необходимости администрировать целый ряд систем от различных производителя – таким образом, не только повысить уровень информационной безопасности за счёт интеграции технологий в единую консоль управления, а и снизить расходы на обслуживание большого количества систем, подготовку и содержание сотрудников.

Лицензирование компонентов платформы Fidelis Elevate построено с учётом требований Enterprise сегмента заказчиков и предусматривает быстрое масштабирование при минимальных затратах, не требуя при внедрении внесения глобальных изменений в достаточно сложную инфраструктуру Enterprise компаний. При этом предусмотрено как вечное владение программно-аппаратными комплексами Fidelis, так и модель подписки.

Источник:
https://icore.kz/bezopasnost-fidelis-elevate-vidimost-i-kontrol/
https://forbes.kz/actual/technologies/kolichestvo_kiberatak_v_rk_vyiroslo_vdvoe/

Автор: 
Ким Дмитрий, Инженер 1 категории направления защиты конечных точек

Платформа Endpoint protection platform (EPP) и средства обнаружения и реагирования на конечные точки (EDR) — это два продукта безопасности, которые обычно используются для защиты систем конечных точек от угроз. EPP — это комплексное решение для обеспечения безопасности, которое предоставляет ряд функций для обнаружения и предотвращения угроз для устройств конечных точек. В то же время EDR специально разработан для мониторинга, обнаружения угроз конечным точкам и реагирования на них в режиме реального времени. EPP и EDR имеют некоторое сходство, поскольку оба они направлены на защиту конечных точек от угроз, но у них также есть некоторые ключевые различия. Давайте углубимся в это.

Приложения EPPS являются важнейшим компонентом стратегии безопасности конечных точек организации. Платформы обычно включают в себя такие функции, как предотвращение вторжений на хост, веб-защита хоста, проверка журналов и мониторинг целостности. Эти функции обеспечивают базовый уровень защиты от известных угроз. Однако их зависимость от традиционных антивирусных компонентов, использующих сигнатуры, ограничивает их эффективность в обнаружении и блокировании новых и появляющихся угроз. Хотя в настоящее время корпоративные разработчики EPP предлагают определенный уровень эвристического обнаружения угроз и машинного обучения, они не соответствуют возможностям EDR.

Именно здесь вступают в силу инструменты EDR. Они используют машинное обучение и поведенческий анализ для обнаружения киберугроз и реагирования на них в режиме реального времени. Анализируя поведение конечной точки, инструменты EDR могут выявлять и блокировать неизвестные вредоносные программы и продвинутые угрозы, которые традиционное антивирусное программное обеспечение не в состоянии обнаружить.

Хотя приложения EPP обеспечивают прочную основу для защиты конечных точек, их ограничения в обнаружении и блокировании новых и появляющихся угроз подчеркивают необходимость в дополнительных уровнях защиты, таких как инструменты EDR. Объединив сильные стороны EPPs и EDR-инструментов, организации могут разработать более комплексный подход к обеспечению безопасности конечных точек, который использует сильные стороны обоих инструментов.

Плюсы и минусы инструментов EPP и EDR

Многие из основных игроков на рынке обеспечения безопасности конечных устройств предлагают интегрированные пакеты EPP и EDR, объединяющие возможности как одного агента, так и консоли для обеспечения всестороннего обзора состояния угроз безопасности организации.

И EPP, и EDR имеют следующие компоненты (по отдельности или в сочетании):

1. Агент конечной точки: На конечной точке устанавливается агент для мониторинга и сбора данных об активности конечной точки, включая системные журналы, сетевой трафик и активность с файлами.
2. Консоль управления: Собранные данные отправляются на центральный сервер для хранения и анализа.

Обычно доступны как локальные, так и программы как услуга (SaaS).:

o Локальное развертывание: для развертываний, которые не позволяют передавать данные за пределы локального центра обработки данных с точки зрения нормативных требований; это требует дополнительных затрат на обслуживание инфраструктуры, в которой размещаются приложения (обычно виртуальные машины и серверы баз данных).

o SaaS: Размещается у поставщика с повышенной отказоустойчивостью и доступностью; все нормативные требования и соответствие требованиям регулируются соглашениями об уровне обслуживания с поставщиками в рамках лицензионного соглашения.

Модули EPP включают в себя:

• Предотвращение вторжений на хост: компании часто сталкиваются с проблемой исправления уязвимостей своей операционной системы (ОС) и приложений, в результате чего у них остаются десятки тысяч уязвимостей, которые можно использовать. Этот модуль помогает компаниям внедрять исправления в соответствии со своими процессами, как правило, на конечных точках серверного типа.
• Брандмауэр хоста: контролирует сетевой трафик к конечной точке и обратно, блокируя несанкционированный доступ и ограничивая распространение вредоносных программ, как правило, с помощью правил с отслеживанием состояния.
• Веб-защита хоста (фильтрация URL-адресов, веб-репутация): Этот модуль блокирует доступ к известным вредоносным веб-сайтам и ограничивает доступ к веб-сайтам, не связанным с работой, для повышения производительности. Конечные точки клиентов, такие как рабочие станции, ноутбуки и мобильные устройства, являются типичными целевыми областями.
• Проверка журналов: Этот модуль помогает выявлять важные события, которые могут быть скрыты в журналах ОС и приложений, как правило, для дальнейшего использования решениями для управления информацией о безопасности и событиями (SIEM).
• Мониторинг целостности файлов: Отслеживает неожиданные изменения значений реестра, разделов реестра, служб, процессов, установленного программного обеспечения, портов и файлов для выявления нарушений.
• Контроль устройств: контролирует доступ к USB и другим внешним устройствам, предотвращая распространение вредоносных программ через съемные носители, особенно для конечных точек клиентов и для предотвращения использования конечными пользователями несанкционированных флэш-накопителей.
• Шифрование диска: шифрует данные на конечной точке, гарантируя, что конфиденциальная информация останется в безопасности, даже если устройство будет потеряно или украдено.
• Предотвращение потери данных в конечных точках (DLP): Отслеживает и контролирует перемещение конфиденциальных данных в конечных точках, предотвращая утечку данных и несанкционированный доступ. Несмотря на то, что существует множество автономных корпоративных решений DLP, преимущество использования решений, интегрированных с EPP, заключается в снижении нагрузки на агентов и сложности среды.
• Контроль приложений/изменений: запрещает запуск несанкционированного программного обеспечения до получения явного разрешения или разрешает использование программного обеспечения до получения явного ограничения, позволяя компаниям выбирать уровень контроля в соответствии со спецификой среды.

Преимущества EPPs:

• Улучшенная защита: модули EPP обеспечивают дополнительные уровни защиты от различных киберугроз. Основное преимущество заключается в том, что каждый модуль может быть включен индивидуально в группе систем или в отдельных системах с помощью пользовательских комбинаций, определяемых индивидуальными конфигурациями в рамках определенных политик.
• Централизованное управление: Благодаря интеграции этих модулей в EPP организации могут более эффективно управлять безопасностью конечных точек с центральной консоли, сокращая затраты на управление и инфраструктуру.
• Улучшенная видимость: данные, собранные этими модулями, могут быть использованы для улучшения контроля за деятельностью конечных точек, что повышает способность организации обнаруживать инциденты безопасности и реагировать на них.
• Упрощенное развертывание: поскольку эти модули интегрированы в EPP, их можно развертывать и управлять ими проще, чем автономными средствами безопасности.

Недостатки EPPs:

• Ограниченная эффективность в обнаружении и блокировании новых и появляющихся угроз
• Реактивный подход к обеспечению безопасности, основанный на обновлении сигнатур для обнаружения новых угроз.
• Предварительное развертывание может быть дорогостоящим и более сложным в развертывании и управлении с помощью дополнительных модулей
• Может привести к большому количеству ложных срабатываний, расследование которых может занять много времени
• Интеграция дополнительных модулей может усложнить EPP, требуя дополнительных ресурсов и опыта для эффективного управления
• Некоторые модули могут оказывать влияние на производительность конечной точки, потенциально влияя на производительность.

Несмотря на эти потенциальные недостатки, преимущества использования EPPs заключаются в интегрированных дополнительных модулях, которые могут перевесить затраты. Предоставляя дополнительные уровни защиты, улучшая видимость и централизуя управление, эти модули могут повысить уровень безопасности конечных точек организации.

В конечном счете, организации должны тщательно учитывать свои конкретные потребности в области безопасности и бюджет при принятии решения о том, какие модули интегрировать в их EPP. Выбирая правильную комбинацию модулей, организации могут обеспечить более комплексный подход к обеспечению безопасности конечных точек, который отвечает их уникальным потребностям и снижает киберриски. Компаниям следует начинать с поэтапного подхода, постепенно подключая дополнительные модули и функции по мере расширения потребностей.

С другой стороны, инструменты EDR используют машинное обучение и поведенческий анализ для обнаружения киберугроз и реагирования на них в режиме реального времени. Анализируя поведение конечных устройств, инструменты EDR способны выявлять и блокировать неизвестные вредоносные программы и сложные угрозы, которые традиционные антивирусные компоненты не в состоянии обнаружить. EDR можно рассматривать как дополнение к основному пакету EPP для комплексной защиты, обнаружения и реагирования.

Модули EDR включают в себя:

• Поведенческий анализ: инструменты EDR отслеживают активность конечных точек на предмет подозрительного поведения, которое может указывать на угрозу. Это может включать обнаружение необычного сетевого трафика, активности с файлами и системных изменений.
• Машинное обучение: инструменты EDR используют алгоритмы машинного обучения для выявления закономерностей и аномалий в действиях конечных точек, которые могут указывать на угрозу безопасности. Это позволяет инструментам EDR выявлять новые и неизвестные угрозы и реагировать на них.
• Анализ угроз: инструменты EDR используют каналы анализа угроз, чтобы быть в курсе последних известных угроз и признаков компрометации. Это помогает инструментам EDR более эффективно выявлять известные угрозы и реагировать на них.
• Реагирование и криминалистика: инструменты EDR позволяют удаленно изолировать конечные точки, отключая их от сети одним щелчком мыши и открывая удаленную командную строку для расследования «threat hunter», сводя к минимуму влияние атаки, распространяющейся по окружению.

Преимущества инструментов EDR:

• Может обнаруживать и блокировать неизвестные и продвинутые угрозы в режиме реального времени.
• Постоянное изучение и адаптация к новым и появляющимся угрозам
• Позволяет лучше отслеживать активность и поведение конечных точек
• Позволяет быстрее обнаруживать инциденты безопасности и реагировать на них, сокращая время реагирования.

Недостатки инструментов EDR:

• Могут быть сложными в развертывании и управлении
• Как правило, на защищенных конечных точках устанавливаются дополнительные агенты
• Для понимания и сортировки угроз может потребоваться больше ресурсов и опыта, чем для приложений EPPs
• Может возникать большое количество предупреждений, расследование которых может занять много времени.

Сочетание инструментов EPPs и EDR обеспечивает более комплексный подход к обеспечению безопасности конечных устройств, который использует преимущества обоих инструментов. EPPs может обеспечить базовый уровень защиты от известных угроз, в то время как инструменты EDR могут обнаруживать и блокировать неизвестные и продвинутые угрозы в режиме реального времени.

Чтобы устранить пробелы в возможностях каждого инструмента, организации могут внедрить следующее:

• Интеграция: Интеграция приложений и инструментов EDR может обеспечить более целостное представление о работе конечных точек и ускорить обнаружение инцидентов безопасности и реагирование на них.
• Автоматизация: Автоматизация расследования инцидентов безопасности и реагирования на них может снизить нагрузку на службы безопасности и ускорить время реагирования.
• Анализ угроз: Включение аналитических данных об угрозах в инструменты EPPs и EDR может помочь выявлять и блокировать возникающие угрозы.

Вывод

EPP и EDR являются важными компонентами комплексной стратегии безопасности Организации, и их совместная работа может обеспечить более надежную защиту от угроз. Сочетание инструментов EPPs и EDR обеспечивает более комплексный подход к обеспечению безопасности конечных точек, который использует преимущества обоих инструментов. Интегрируя эти два инструмента и внедряя каналы автоматизации и анализа угроз, организации могут устранить пробелы в возможностях каждого из них и обеспечить действительно комплексную безопасность конечных точек.

Кроме того, сочетание инструментов EPPs и EDR может привести к внедрению Платформы расширенного обнаружения и реагирования (XDR). Платформы XDR объединяют данные из множества средств обеспечения безопасности, включая EPPS и EDR, прокси-серверы, брандмауэры, SIEM и многие другие решения, чтобы обеспечить целостное представление о состоянии безопасности организации. Это позволяет специалистам по безопасности эффективно обнаруживать угрозы во всей среде и реагировать на них, снижая риск успешных кибератак.

Благодаря своим службам управления безопасностью конечных точек IBM Security Services может помочь организациям разрабатывать, настраивать и развертывать endpoint protection, приводить политики в соответствие с нормативными требованиями для защиты конфиденциальных данных, устанавливать новейшие технологии шифрования конечных точек и использовать аналитиков безопасности и централизованные консоли для мониторинга, поддержки и обновления операций по обеспечению безопасности.

Источник:
https://securityintelligence.com/posts/combining-epp-and-edr-tools-can-boost-your-endpoint-security/
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/
https://www.ibm.com/products/qradar-edr

Автор: 
Xavier Santolaria, Cloud Security Solutions Architect, IBM Inventor, Member of the Academy of Technology
Jaroslav Vykoukal, Global Solutions Assurance Lead — Endpoint Security — IBM

Редактор: 
Редактор: Лебедев А.В.

Рост киберпреступлений на территории Республики Казахстан, свидетельствует о том, что Организации в частности и население в целом все еще в недостаточной степени информировано относительно рисков, связанные с цифровизацией бизнес-процессов. Тенденция развития данного направления является стимулом развития киберпреступности и появление новых угроз в виде вредоносных компьютерных программ, в целях хищения и дальнейшего использования персональных данных пользователей и организации. В наших реалиях, говорить о том, что методы и технологии киберпреступников сопоставимы с развитием антивирусных программ, далеко не является действительностью. Первые развиваются непомерными шагами, вторые же в свою очередь пытаются неторопливо их догнать. О том свидетельствуют постоянно поступающие сообщения от «мирового кибер-альянса» о новых уязвимостях, которые были обнаружены, в основном постфактум, в ходе проведенного расследования на скомпрометированной организации. Статистика это подтверждает, всего за девять месяцев прошлого года было зафиксировано более 18 тысяч инцидентов информационной безопасности, львиная доля которых повлекла за собой финансовые и репутационные издержки. Осознание незащищенности и нежелание нести какие-либо издержки потребовало от бизнес-сообщества незамедлительного стратегического приоритета в части повышения фундаментальных основ информационной безопасности посредством внедрения новых и усовершенствованных технологий по защите своих активов. Так за январь по июнь 2023 года объем таких инвестиций составил 7,5 млрд тенге, что в два раза больше, чем годом ранее.

Основные тенденции угроз по основным инструментам киберпреступников:

— Компьютерные вирусы, сетевые черви, трояны – рост 62,1 %.

— Ботнеты – рост 71,2%.

— DDOS атаки – снижение на 19%.

— Фишинг – снижение на 33,9%.

— Несанкционированный доступ и модификация содержания интернет-сервисов – рост 31%.

— Отказ в обслуживании – снижение на 30,2%.

Говоря о технологиях и подходах, которые предлагает рынок известных мировых производителей систем безопасности, в данной статье, представим вашему вниманию описание и технологические особенности комплексного решения по защите конечных устройств от киберугроз — BitDefender GravityZone.

Компания Bitdefender – признанный лидер в сфере информационной безопасности, предлагающий передовые решения по предотвращению, обнаружению и реагированию на киберугрозы. Миллионы устройств, используемые как отдельными пользователями, так и компаниями, государственными учреждениями, доверяют свою защиту Bitdefender – одному из самых надежных экспертов в борьбе с киберугрозами, обеспечении безопасности данных и повышении киберустойчивости. Благодаря постоянным инвестициям в исследования и разработки, лаборатория Bitdefender выявляет более 400 новых компьютерных угроз каждую минуту и анализирует около 40 миллиардов угроз ежедневно. Компания на постоянной основе внедряет инновации в такие области, как защита от вредоносного программного обеспечения, поведенческий анализ и искусственный интеллект. Технологии Bitdefender также лицензированы для более чем 150 ведущих мировых брендов в сфере безопасности. Основанная в 2001 году, компания Bitdefender имеет клиентов в 170 странах и представительствах на всех континентах.

Достижения Bitdefender Endpoint Security в 2023 году:

• Компания Bitdefender была названа лидером в рейтинге The Forrester Wave™: Endpoint Security, Q4 2023. В отчете оценивались 13 поставщиков по 25 отдельным критериям, включая предотвращение вредоносного ПО, предотвращение эксплойтов, устранение атак, инновации, внедрение, гибкость, прозрачность ценообразования и другие.
• Bitdefender был назван выбором клиентов в регионе EMEA в рейтинге Gartner® Peer Insights «Голос клиента для платформ защиты конечных точек» (EPP) 2023 года.² Компания также была признана сильным участником в области EPP, как в Северной Америке, так и для средних предприятий и государственных секторов, правительств и образования, в зависимости от размера компании.
• Bitdefender лидирует в последнем тесте расширенной защиты от угроз AV-Comparatives, который фокусируется на анализе методов Advanced Persistent Threat (ATP), тактик, техник и процедур (TTP), которые отражают стратегии, применяемые злоумышленниками.
• Лучшие результаты в MITRE Engenuity ATT&CK Enterprise Evaluations – третий год подряд Bitdefender достигает 100 % обнаружения на всех основных этапах оценки с максимально возможным уровнем качества описания для каждого этапа в рамках MITRE Engenuity ATT&CK Enterprise Evaluations. Оценка проводилась с помощью независимых тестов, имитирующих поведение и методы злоумышленников и оценивающих возможности обнаружения и защиты 31 участвующего поставщика.

Наглядно: GravityZone защищает вашу организацию от всего спектра изощренных киберугроз. Благодаря более чем 30 технологиям безопасности, основанным на машинном обучении, он обеспечивает многоуровневую защиту, которая неизменно превосходит обычную безопасность конечных точек, что подтверждается независимыми тестами. Платформа GravityZone с одним агентом и одной консолью для физических, виртуальных, мобильных и облачных конечных точек и электронной почты сводит к минимуму накладные расходы на управление, обеспечивая при этом постоянную видимость и контроль.

Описание процесса и основных технологий применяемые для обнаружения и защиты от вредоносного ПО:

1. Во-первых, используется традиционный метод сканирования, когда отсканированное содержимое сравнивается с базой данных сигнатур. В базе данных сигнатур содержатся записи байт-кодов, характерные для известных угроз, которые регулярно обновляются Bitdefender. Этот метод сканирования является эффективным против известных угроз, которые были исследованы и задокументированы. Тем не менее, независимо от того, насколько оперативно база данных обновляет записи, всегда есть окно уязвимости между временем, когда новая угроза обнаружена и когда исправление выпущено.
2. Против новых, незарегистрированных угроз, защиту осуществляет второй слой Bitdefender, используя эвристический двигатель B-HAVE. Эвристические алгоритмы обнаруживают вредоносные программы на основе поведенческих характеристик. B-HAVE запускает подозрительные вредоносные программы в виртуальной среде, чтобы проверить их воздействие на систему и удостовериться, что они не представляют никакой угрозы. Если угроза обнаружена, предотвращается запуск программы.
3. Для угроз, которые ускользают даже от эвристического движка, присутствует еще один слой защиты в виде Advanced Threat Control (ATC). ATC постоянно отслеживает запущенные процессы и оценивает подозрительное поведение, такое как: попытки замаскировать тип процесса, выполнение кода в пространстве памяти процесса (захват памяти для привилегированной эскалации), репликация, перемещение файлов, скрытность в списке технологических процессов и т.д. Каждое подозрительное поведение повышает рейтинг процесса. Когда достигается порог, включается сигнал тревоги.
4. Bitdefender HyperDetect — дополнительный уровень безопасности, разработанный специально для обнаружения продвинутых атак и подозрительной активности ещё до выполнения процессов. HyperDetect содержит модели машинного обучения и технологии обнаружения скрытых атак, таких как: атаки нулевого дня, продвинутые устойчивые угрозы (APT), скрытое вредоносное ПО, безфайловые атаки (злоупотребление PowerShell, инструментарием управления Windows и т. д.), кража учетных данных, целевые кибератаки, специализированное вредоносное ПО, атаки на основе сценариев, эксплойты, инструменты взлома, подозрительный сетевой трафик, потенциально нежелательные приложения (PUA), вымогатели.
5. Основанная на машинном обучении, технология Advanced Anti-Exploit блокирует атаки нулевого дня, использующие трудно-обнаруживаемые эксплойты. Advanced anti-exploit в режиме реального времени отслеживает последние эксплойты и устраняет уязвимости повреждения памяти, которые могут использоваться для обхода существующих решений безопасности. Технология защищает большинство стандартных приложений, таких как браузеры, редакторы MicrosoftOffice и Adobe Reader и другие. Модуль следит за системными процессами и защищает от брешей в безопасности и перехватов существующих процессов.
6. EDR — это компонент корреляции событий, способный выявлять сложные угрозы или активные атаки. В рамках корпоративной интегрированной платформы EDR объединяет возможности всех устройств, работающих в корпоративной сети. Это решение приходит на помощь в случаях, когда группы немедленного реагирования распознают и отвечают на серьезные угрозы. Посредством Bitdefender Endpoint Security Tools вы можете активировать защитный модуль EDRSensor в управлении конечной точки, чтобы объединять данные компьютера и операционной системы. Сбор и обработка метаданных с обеих сторон идет на платформе клиент-сервер. Этот компонент несет детальную информацию по обнаруженным происшествиям, интерактивной карте происшествий, действиям по исправлению и интеграции с Sandbox Analyzer и HyperDetect.

Дополнительные функциональные возможности системы:

1. Брандмауэр контролирует доступ приложений к сети и к Интернету.
2. Модуль Контентного Контроля помогает обеспечить соблюдение политики компании в отношении разрешенного трафика, веб-доступа, защиты данных и контроля приложений.
3. Модуль Network Attack Defense опирается на технологии Bitdefender, нацеленные на распознание сетевых атак, целью которых является получение доступа к конечным точкам при помощи таких средств как: атаки методом перебора, сетевые «эксплоиты», программы для кражи паролей, векторы заражения посредством скрытой загрузки, боты и трояны.
4. Полностью интегрированный в GravityZone, модуль управления исправлениями поддерживает последнюю версию операционной системы и приложений, а также обеспечивает полное представление о состоянии исправления в управляемых точках Windows
5. Модуль Контроля устройств позволяет предотвратить утечки конфиденциальных данных и проникновение вредоносного ПО через внешние устройства, подключаемые к конечным точкам.
6. Полное шифрование диска. Позволяет осуществлять шифрование всего диска на машине, управляя BitLocker для Windows, и FileVault и diskutil для macOS.
7. Bitdefender обеспечивает защиту Security for Exchange от вредоносных программ, антиспам, антифишинг, фильтрацию контента и содержимого писем, полностью интегрирована с серверами Microsoft Exchange, для обеспечения безопасной среды обмена сообщениями и повышения производительности.
8. Модуль Управления приложениями предотвращает активность вредоносных программ, атаки «нулевого дня» и повышает безопасность, не влияя на производительность. Управление приложениями обеспечивает гибкое соблюдение политик для приложений из «белого» списка, который идентифицирует, предотвращает установку и выполнение каких-либо нежелательных, ненадежных или вредоносных приложений.
9. Bitdefender Sandbox Analyzer обеспечивает мощный уровень защиты от продвинутых угроз путем автоматического и глубокого анализа подозрительных файлов, не подписанных антивирусным движком Bitdefender. В «песочнице» используется обширный набор технологий Bitdefender для выполнения полезных нагрузок в изолированной виртуальной среде, размещенной в Bitdefender или развернутой локально, анализа их поведения и сообщения о любых тонких системных изменениях, которые свидетельствуют о противоправных действиях.

Основные преимущества:

• Непревзойденная защита от атак, которая регулярно занимает верхние строчки в независимых тестах
• Сокращение площади атаки благодаря интегрированной аналитике рисков, постоянно сканирующей конечные точки на предмет неправильной конфигурации, уязвимостей приложений и рискованного поведения людей.
• Улучшенная видимость и контроль благодаря криминалистике атак и визуализации, раскрывающей более широкий контекст атак на конечные точки. Это позволяет сосредоточиться на конкретных угрозах и принять меры по их устранению.
• Единый агент — единая консоль для всех возможностей, включая брандмауэр, контроль приложений, контроль содержимого и дополнительные модули GravityZone (управление исправлениями, полное шифрование диска, безопасность электронной почты).
• Интерактивный режим, позволяющий пользователю управлять уровнем защиты и выбирать, каким приложениям и сайтам доверять.
• Система превентивной защиты, обеспечивающая защиту от неизвестных угроз и предотвращающая внедрение нового вредоносного ПО.
• Антивирус запускается в фоновом режиме и не замедляет работу компьютера.
• Bitdefender обновляется автоматически, обеспечивая актуализацию базы данных в режиме реального времени.
• Программа поддерживает множество языков и доступна для использования на различных операционных системах.
• Высокий уровень защиты. Bitdefender предоставляет мощную антивирусную защиту от широкого спектра угроз, включая вирусы, трояны, шпионское ПО, рекламное ПО и другие малварные программы. Благодаря передовым технологиям обнаружения и блокировки угроз, Bitdefender обеспечивает надежную защиту вашего компьютера и данных.
• Легкость использования. Bitdefender имеет интуитивно понятный интерфейс, что делает его простым в использовании, даже для неопытных пользователей. Вам не нужны специальные навыки или знания для установки и настройки программы.
• Высокая производительность. Bitdefender работает эффективно и не замедляет работу вашего компьютера. Он использует минимальное количество системных ресурсов, чтобы обеспечить непрерывную работу вашего компьютера без перерывов и зависаний.
• Многофункциональность. В состав Bitdefender входит не только антивирусная защита, но и другие полезные функции, такие как защита от фишинга, защита конфиденциальности, защита от вредоносных программ, мониторинг сети и многое другое. Это делает его полезным и универсальным инструментом для обеспечения безопасности вашего компьютера и данных.
• Поддержка множества платформ. Bitdefender доступен для различных операционных систем, включая Windows, macOS и Android. Вы можете использовать его на разных устройствах, включая персональные компьютеры, ноутбуки, смартфоны и планшеты.
• Регулярные обновления. Bitdefender своевременно выпускает обновления, чтобы обеспечить защиту от новых и развивающихся угроз. Вам не нужно беспокоиться о том, что ваша программа устареет и будет не передовой.

В заключении хотелось бы отметить следующее: если ваша организация использует продвинутую систему обнаружения и реагирования на киберугрозы, значит она серьезно относиться к обеспечению безопасности информационных активов. Подобного рода технологические решения позволяют командам по реагированию на киберугрозы выходить за рамки обычного антивирусного решения и выявлять подозрительную активность, своевременного реагируя на нее.

Источник:
https://www.bitdefender.com/business/smb-products/business-security.html
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/

Автор: 
Даулет Мухаметжанов, Тимлид направления «Обнаружение и реагирование на угрозы конечных станций»

Поскольку злоумышленники становятся все более искусными в уходе от обнаружения и быстром шифровании данных организаций, решения EDR, подобные IBM Security QRadar EDR, могут помочь службам безопасности заметить «ранние признаки» атаки.

Ориентироваться в меняющемся ландшафте угроз становится все сложнее, поскольку злоумышленники становятся все быстрее и незаметнее. Согласно отчету IBM Threat Intelligence Index 2023*, за последние несколько лет время выполнения атак с использованием шифровальщиков и ПО для выкупов сократилось на 94%; то, на что раньше уходили месяцы, теперь занимает у злоумышленников считанные дни. Поскольку злоумышленники действуют все быстрее, организациям необходимо применять проактивный подход.

Проблема: Проблемы обнаружения атак или аномалий на конечных точек в кибербезопасности

Резкий рост тенденций удаленной работы после пандемии привел к быстрому увеличению количества и взаимосвязанности конечных точек. Этот новый нормальный способ работы породил целый ряд проблем в области кибербезопасности. Возросла активность современных угроз и увеличился объем алертов, которые приходится расследовать службам безопасности (часто оказывающихся ложными срабатываниями, что приводит к серьезной усталости от алертов).

У, и без того перегруженных служб безопасности практически не остается времени на реагирование. Поэтому защита конечных точек от современных угроз «нулевого дня» может оказаться сложной задачей, если не использовать соответствующие средства обнаружения и реагирования на конечные точки (EDR), чтобы избежать дорогостоящих задержек в работе.

Решение: Усиление кибербезопасности с помощью решений EDR

Команды безопасности должны повысить эффективность своей работы за счет наличия мощных решений для защиты конечных точек, которые позволят быстро и решительно реагировать на угрозы. Почему именно защита конечных точек? Все просто. Защита конечных точек позволяет локализовать угрозу до того, как устройства будут заражены или зашифрованы программой-вымогателем. Она также обеспечивает поддержку на различных этапах жизненного цикла реагирования на инциденты и восполняет пробелы, оставленные традиционными антивирусными решениями, благодаря улучшенному обнаружению, видимости и контролю до того, как произойдет широкомасштабное поражение вредоносным или вымогательским ПО.

Потребности: Ускорение реагирования на угрозы и повышение эффективности работы команд SOC

Быстрое обнаружение конечных точек и создание отчетов о вредоносном ПО позволяет снизить общий эффект от атаки и в конечном итоге сэкономить время и средства. Для создания эффективных решений по реагированию на кибератаки защитники могут использовать средства EDR для выполнения следующих задач:

1. Использовать возможности искусственного интеллекта и автоматизации безопасности для ускорения реагирования на угрозы.
2. Повышение эффективности работы оперативных групп для экономии времени и средств.
3. Получать высокоточные алерты, позволяющие снизить нагрузку на аналитиков.
4. Получение глубокой видимости всех процессов и приложений, выполняющихся на всех конечных устройствах.

Сложные (но простые в использовании) решения EDR, такие как IBM Security QRadar EDR, могут помочь в решении всех этих задач. Давайте узнаем, каким образом.

1. Использование искусственного интеллекта и автоматизации безопасности для ускорения реагирования на угрозы

IBM QRadar EDR использует исключительный уровень автоматизации с помощью искусственного интеллекта (AI) и машинного обучения (ML) для защиты конечных точек от угроз, помогая обнаруживать и устранять известные и неизвестные угрозы или атаки без файлов практически в режиме реального времени.

Давайте посмотрим на IBM QRadar EDR в действии, чтобы узнать больше об обнаружении и автоматизированном реагировании на вредоносное ПО.

Панель управления IBM QRadar EDR

IBM QRadar EDR обеспечивает обзор экосистемы конечных точек.

В отличие от сложных приборных панелей, панель IBM QRadar EDR имеет минималистичный и упрощенный вид для удобства использования. На главном экране всегда отображается высокоуровневый обзор алертов, показывающий состояние всех конечных устройств.

Запускается алерт

При обнаружении аномалий дерево поведения вызывает алерт.

IBM QRadar EDR помогает быстро выявлять аномальные действия, например, поведение вымогателей. В случае обнаружения каких-либо поведенческих аномалий автоматически включается алерт. В левой верхней части экрана отображается степень серьезности предупреждения (в данном случае — средняя). В правой части отображается дополнительная информация об алерте: причина срабатывания алерта, задействованные конечные точки и соответствие угрозы структуре MITRE ATT&CK.

Изучение алерта

Команды безопасности могут быстро проанализировать, является ли угроза вредоносной или ложной, нажав кнопку Alert details.

Для ускорения реагирования аналитики могут щелкнуть на странице с подробной информацией об алерте, чтобы быстро проанализировать, является ли угроза вредоносной или доброкачественной, и определить, не является ли она ложным срабатыванием. Это помогает снизить усталость от алертов, поскольку аналитики не тратят время и силы на пролистывание тысяч строк журналов событий в попытке определить, что именно пошло не так.

По мере развития атаки автоматически создается визуальная сюжетная линия.

Для каждого предупреждения создается дерево поведения, которое обеспечивает полную видимость предупреждения и атаки. Эта удобная для пользователя визуальная сюжетная линия представляет собой хронологическую схему атаки. Например, какие приложения и поведение вызвали тревогу, как разворачивается атака и т.д. Команды безопасности могут легко просматривать весь спектр угроз на одном экране, что помогает им быстро принимать решения.

Детальная поведенческая аналитика и полная видимость атак

Полная видимость атак позволяет аналитикам понять масштаб атаки и принять соответствующие меры.

Щелчок на кружках в древовидной функциональности показывает подробную информацию о запущенных приложениях. Хотя на данный момент ничто не может вызвать тревогу, некоторые атаки, запускаемые через подписанные приложения, могут обойти антивирусные программы или брандмауэры.

Простая визуализация дерева поведения для определения приоритетов алертов

Аналитики могут легко расставить приоритеты при поиске алертов.

Для ускорения расследования IBM QRadar EDR показывает активность угроз с помощью простой визуализации дерева поведения с кругами и шестиугольниками. Круги обозначают приложения, а шестиугольники — поведение. Для каждой фигуры предусмотрены свои цвета. Красный цвет обозначает серьезный риск, оранжевый — средний риск, желтый — низкий риск. Эти цвета обозначают степень серьезности и помогают службам безопасности определить приоритеты при поиске предупреждений.

2. Повышение эффективности работы аналитиков с помощью IBM QRadar EDR

Эффективность работы аналитиков может быть значительно повышена благодаря простоте и скорости, с которой средства защиты EDR, такие как IBM QRadar EDR, могут устранять угрозы, завершать процессы или изолировать зараженные устройства. IBM QRadar EDR также поддерживает криминалистический анализ и реконструкцию первопричины атаки. Это помогает оперативным группам устранять угрозы и быстро восстанавливать непрерывность бизнеса.

Устранение и изоляция угроз с помощью IBM QRadar EDR

Быстрый просмотр, показывающий, сколько других конечных точек было затронуто вредоносной активностью.

После того как угроза проанализирована и признана вредоносной, аналитик может получить доступ к средствам управления сдерживанием для сортировки, реагирования и защиты путем создания политики блокирования, чтобы предотвратить запуск угрозы на других конечных точках.

Команды безопасности могут также просмотреть количество скомпрометированных конечных точек, чтобы выяснить, была ли угроза единичной или повторяющейся. Затем угрозы могут быть ликвидированы, а зараженные конечные точки полностью изолированы от сети независимо от того, где находится конечный пользователь (например, в Сингапуре, США, Великобритании, Африке и т.д.). Если конечная точка подключена к серверу, вредоносное ПО может быть уничтожено и занесено в блок-лист в режиме реального времени.

Предотвращение подобных угроз в будущем

Аналитики могут создавать рабочие процессы для противодействия аналогичным угрозам.

IBM QRadar EDR позволяет создавать рабочие процессы для противодействия конкретным угрозам. Таким образом, эти планы могут быть запущены автономно при обнаружении аналогичной угрозы в будущем.

Кроме того, в нем предусмотрены опции для выбора и удаления упавших исполняемых файлов, файловой системы или реестра. Можно выбрать конечные точки, которые необходимо изолировать в рамках данного плана исправления, и закрыть алерты.

3. Получение высокоточных алертов, позволяющих снизить нагрузку на аналитиков

IBM QRadar EDR обеспечивает высококачественные алерты и помогает сократить время расследования с нескольких минут до нескольких секунд благодаря аналитике угроз и аналитическому скорингу. Аналитики могут выявлять потенциальные киберугрозы с помощью анализа метаданных для ускорения процесса сортировки. Кроме того, возможности IBM QRadar EDR по поиску угроз позволяют в режиме реального времени осуществлять поиск индикаторов компрометации (IOC), двоичных файлов и моделей поведения в масштабах всей инфраструктуры.

Классификация угроз для снижения количества ложных срабатываний

Cyber Assistant учится на основе решений аналитиков и помогает снизить усталость от алертов.

После закрытия алерта аналитику важно классифицировать угрозу как вредоносную или ложную, поскольку Cyber Assistant — система управления алетрами на базе искусственного интеллекта в составе платформы защиты конечных точек — постоянно учится на основе решений аналитиков.

Она собирает данные и с помощью искусственного интеллекта постоянно изучает шаблоны угроз для оценки схожих угроз. Если новая угроза имеет схожую телеметрию выше 85% или более, то для оценки она использует изученные модели поведения.

Cyber Assistant сохраняет этот интеллектуальный капитал для снижения количества ложных срабатываний. Это означает высокую точность алертов и снижение нагрузки на аналитиков для уменьшения усталости от алертов и повышения эффективности работы групп безопасности.

4. Получение глубокой видимости всех процессов и приложений, выполняемых на всех конечных устройствах

Для защиты своих активов и обнаружения злоумышленников в случае кибератаки компаниям необходимо иметь глубокую видимость всех конечных устройств, включая ноутбуки, настольные компьютеры, IoT, мобильные устройства, планшеты и т.д.

NanoOS — легкий агент, который располагается вне операционных систем на уровне гипервизора, — разработан таким образом, чтобы его нельзя было обнаружить, что делает его невидимым для злоумышленников и вредоносных программ, поскольку его нельзя изменить, отключить или заменить.

Команды безопасности также могут использовать преимущества NanoOS для незаметного отслеживания перемещений злоумышленников в течение максимально возможного времени, чтобы понять их цели, пока команда безопасности не перекроет доступ. Затем можно развернуть решение IBM QRadar EDR для очистки скомпрометированных устройств без простоев.

Заключение

Эффективное решение для защиты конечных точек, такое как IBM Security QRadar EDR, может помочь командам кибербезопасности выявить слабые места. Решения для обнаружения и реагирования на конечные точки (EDR) не являются единственным механизмом защиты для обнаружения угроз, но они все же должны быть начальным механизмом наряду с расширенным решением для обнаружения и реагирования (XDR) для выявления подозрительного поведения.

IBM QRadar EDR обеспечивает простую интеграцию с QRadar SIEM, предоставляя организациям более надежную систему защиты, объединяющую возможности защиты, обнаружения и реагирования для повышения уровня ИТ-безопасности от современных кибератак.

Источник:
https://www.ibm.com/blog/top-4-reasons-why-ibm-security-reaqta-is-the-edr-solution-for-you/
https://www.ibm.com/reports/threat-intelligence
https://www.ibm.com/products/qradar-edr
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/ibm-security-reaqta-cloud-pak-for-security/

Автор: 
Pooja Parab — Технический писатель

Перевод и дополнения:
Лебедев А.В.