В 2024 году киберугрозы продолжают становиться всё более сложными и быстрыми, что требует от компаний пересмотра своих стратегий и внедрения передовых технологий для защиты данных. IBM, как один из мировых лидеров в области кибербезопасности, предлагает решения, которые помогают организациям адаптироваться к новым вызовам и обеспечивать надежную защиту своих информационных активов. В этом контексте семейство продуктов IBM QRadar играет ключевую роль в обеспечении всесторонней защиты и управления инцидентами безопасности.

1. Обнаружение угроз и автоматизация реагирования с помощью QRadar SIEM

С ростом числа атак и увеличением их скорости, системы для управления событиями информационной безопасности (SIEM) становятся всё более важными. QRadar SIEM от IBM использует возможности искусственного интеллекта для анализа огромных объемов данных, выявления аномалий и корреляции событий в режиме реального времени. Это позволяет компаниям оперативно реагировать на угрозы, сокращая время на их обнаружение и минимизируя возможный ущерб.

В 2024 году IBM интегрировала в QRadar SIEM возможности генеративного ИИ, что позволяет системе не только выявлять угрозы, но и предлагать автоматизированные рекомендации по их устранению. Это особенно важно в условиях, когда злоумышленники используют украденные учетные данные и скрытные методы проникновения в сети организаций.

2. Оркестрация и автоматизация безопасности с QRadar SOAR

С увеличением числа и сложности атак автоматизация процессов безопасности становится критически важной задачей. QRadar SOAR (Security Orchestration, Automation, and Response) позволяет автоматизировать весь процесс реагирования на инциденты, от создания тикетов до выполнения комплексных сценариев реагирования. Использование возможностей генеративного ИИ в QRadar SOAR помогает компаниям ускорить принятие решений и минимизировать человеческий фактор, что особенно важно в условиях дефицита кадров в области кибербезопасности.

3. QRadar EDR: Обнаружение и реагирование на угрозы на конечных точках

Конечные точки остаются одними из наиболее уязвимых элементов в инфраструктуре компании, и защита их является первоочередной задачей. QRadar EDR (Endpoint Detection and Response) обеспечивает проактивное выявление и реагирование на угрозы на конечных точках, используя поведенческий анализ и машинное обучение. В условиях роста атак на облачные среды и использования генеративного ИИ злоумышленниками, QRadar EDR интегрируется с другими продуктами семейства QRadar, создавая комплексную систему защиты, которая способна обнаруживать и блокировать угрозы на самых ранних стадиях.

4. Подготовка к квантовым угрозам: Будущее кибербезопасности

С развитием квантовых вычислений возникают новые угрозы для безопасности данных, такие как «собери сейчас, расшифруй позже» (harvest now, decrypt later). IBM активно работает над созданием квантово-устойчивых решений, которые помогут защитить данные от этих будущих угроз. Внедрение квантово-устойчивой криптографии в продукты QRadar позволит компаниям защитить свои данные в долгосрочной перспективе и подготовиться к новым вызовам, связанным с квантовыми вычислениями​.

Заключение

Инновационные технологии IBM, такие как QRadar SIEM, SOAR и EDR, играют ключевую роль в обеспечении всесторонней защиты данных и инфраструктуры компаний. В условиях роста числа и сложности кибератак интеграция искусственного интеллекта и автоматизация процессов безопасности становятся неотъемлемыми элементами эффективной стратегии кибербезопасности. Продукты семейства QRadar позволяют организациям не только защищаться от современных угроз, но и быть готовыми к будущим вызовам, включая угрозы, связанные с квантовыми вычислениями.

Источник:
https://newsroom.ibm.com/2024-08-05-ibm-introduces-new-generative-ai-powered-cybersecurity-assistant-for-threat-detection-and-response-services

Автор:
Joel Rushing

Адаптация и компиляция:
Герасименко И.А.

За последние полтора года генеративный ИИ (gen AI) превратился из источника потрясающих демонстраций в главный стратегический приоритет практически в каждой отрасли. Большинство руководителей компаний сообщают, что испытывают необходимость инвестировать в gen AI. Команды разработчиков сейчас пытаются внедрить искусственный интеллект в свои решения и сервисы. ЕС и США начинают внедрять новые нормативные базы для управления рисками, связанными с искусственным интеллектом.

На фоне всей этой суматохи хакеры и другие киберпреступники вряд ли остаются в стороне. Они рассматривают возможность использования искусственного интеллекта для любых целей — от улучшения грамматики фишинговых сообщений до изучения способов подделки видео и аудио с целью обмана или вымогательства денег у жертв.  Они также ищут способы атаковать те самые модели искусственного интеллекта, в которые компании активно инвестируют.

Если вы являетесь директором CISO или любым другим специалистом по безопасности, самое время начать оценку gen AI прямо сейчас. В недавнем официальном документе Шридхар Маппиди, технический директор IBM по программному обеспечению безопасности, изложил пять ключевых рекомендаций по оценке использования gen AI для защиты от кибератак. Вот краткий обзор некоторых из этих рекомендаций.

Используйте gen AI для поиска угроз и реагирования на них

Маппиди отмечает, что по мере того, как злоумышленники будут все шире использовать искусственный интеллект, их атаки будут становиться все более массированными, уклончивыми и адаптивными. Специалистам по безопасности необходимо будет адаптироваться, используя эту технологию в своих интересах. Искусственный интеллект и машинное обучение уже могут повысить эффективность работы служб безопасности.

Например, решения для управления информацией о безопасности и событиями на базе искусственного интеллекта (SIEM) могут помочь аналитикам определить приоритетность обнаруженных рисков. Они помогают аналитикам минимизировать внимание к ложным срабатываниям и позволяют им сосредоточиться на имеющихся критических угрозах. Решения с поддержкой искусственного интеллекта позволят добиться гораздо большего, в том числе ускорить поиск угроз с помощью поиска на естественном языке, создавать программы обнаружения угроз и реагирования на них, а также расширить возможности аналитиков с помощью чат-ботов на естественном языке. Все эти решения, основанные на искусственном интеллекте, могут устранить проблемы, с которыми сталкивается человек, и значительно повысить эффективность системы безопасности — быстрее реагировать и делать больше с меньшими затратами.

Оценивайте gen AI, исходя из того, сколько времени он экономит защитникам.

В ближайшие год-два директора CISO и их команды могут быть завалены множеством предложений от поставщиков систем безопасности, которые будут рекламировать преимущества их конкретной технологии, основанной на искусственном интеллекте. Как вы просматриваете все эти описания продуктов и демонстрации, чтобы выбрать то, что окажет наибольшее влияние на ваш центр управления безопасностью (ОЦИБ)?

Мы рекомендуем сосредоточиться на экономии времени. Время имеет решающее значение для каждого подразделения. Известно, что в подразделениях не хватает персонала. Аналитики перегружены работой и часто разочарованы. Все, что экономит время аналитиков — будь то время, затрачиваемое на ручное расследование инцидентов, выявление ложных срабатываний или составление отчетов об инцидентах, — стоит того, чтобы занять первое место в вашем списке приоритетов.

Испытайте доверие к поставщикам искусственного интеллекта нового поколения

Первые продукты этого поколения, скорее всего, не отличаются высокой степенью понимания одного из них — уверенности. Доверяете ли вы поставщику, продающему вам это решение для обеспечения кибербезопасности? Есть ли у поставщика система защиты данных, модели и использования искусственного интеллекта? Среди вопросов, которые вам следует задать поставщику:

• На каких данных была построена ваша модель?
• Скажите, пожалуйста, что вы думаете о том, как вы работаете каждый день?
• Могу ли я оценить их в своей собственной среде, чтобы увидеть, как они работают, прежде чем внедрять их?

Какими бы впечатляющими ни казались сегодня продукты gen AI, и поскольку их присутствие присутствует практически во всех темах разговоров, эта технология все еще находится в зачаточном состоянии, особенно в области кибербезопасности. Каждый месяц анонсируются новые модели и технологии. По этой причине крайне важно, чтобы вы спросили поставщика об их собственных целях в отношении продукта. Вам следует задать этот вопрос напрямую:

• Сколько вы инвестируете в развитие искусственного интеллекта в своих продуктах?
• Есть ли у вас специальная команда, занимающаяся оценкой и разработкой искусственного интеллекта для обеспечения кибербезопасности?
• Кто еще использует ваше решение TDIR?

По мере того, как ваша организация будет внедрять gen AI в свою цепочку поставок, обслуживание клиентов, маркетинг, отдел кадров, разработку продуктов и другие операции, возможности для атаки будут расти. Итак, вам нужно будет использовать те же возможности gen AI для защиты ваших данных, моделей и использования ИИ.

В чем суть? Когда злоумышленники используют gen AI, ваша лучшая стратегия — бороться с огнем тоже огнем.

Чтобы более подробно ознакомиться с рекомендациями Маппиди по внедрению gen AI для киберзащиты, загрузите “5 критериев оценки генеративного ИИ в управлении угрозами”.

Источник:
https://securityintelligence.com/posts/3-recommendations-generative-ai-cyber-defense/

Автор:
Джон Беннетт
Технический обозреватель

Платформа Endpoint protection platform (EPP) и средства обнаружения и реагирования на конечные точки (EDR) — это два продукта безопасности, которые обычно используются для защиты систем конечных точек от угроз. EPP — это комплексное решение для обеспечения безопасности, которое предоставляет ряд функций для обнаружения и предотвращения угроз для устройств конечных точек. В то же время EDR специально разработан для мониторинга, обнаружения угроз конечным точкам и реагирования на них в режиме реального времени. EPP и EDR имеют некоторое сходство, поскольку оба они направлены на защиту конечных точек от угроз, но у них также есть некоторые ключевые различия. Давайте углубимся в это.

Приложения EPPS являются важнейшим компонентом стратегии безопасности конечных точек организации. Платформы обычно включают в себя такие функции, как предотвращение вторжений на хост, веб-защита хоста, проверка журналов и мониторинг целостности. Эти функции обеспечивают базовый уровень защиты от известных угроз. Однако их зависимость от традиционных антивирусных компонентов, использующих сигнатуры, ограничивает их эффективность в обнаружении и блокировании новых и появляющихся угроз. Хотя в настоящее время корпоративные разработчики EPP предлагают определенный уровень эвристического обнаружения угроз и машинного обучения, они не соответствуют возможностям EDR.

Именно здесь вступают в силу инструменты EDR. Они используют машинное обучение и поведенческий анализ для обнаружения киберугроз и реагирования на них в режиме реального времени. Анализируя поведение конечной точки, инструменты EDR могут выявлять и блокировать неизвестные вредоносные программы и продвинутые угрозы, которые традиционное антивирусное программное обеспечение не в состоянии обнаружить.

Хотя приложения EPP обеспечивают прочную основу для защиты конечных точек, их ограничения в обнаружении и блокировании новых и появляющихся угроз подчеркивают необходимость в дополнительных уровнях защиты, таких как инструменты EDR. Объединив сильные стороны EPPs и EDR-инструментов, организации могут разработать более комплексный подход к обеспечению безопасности конечных точек, который использует сильные стороны обоих инструментов.

Плюсы и минусы инструментов EPP и EDR

Многие из основных игроков на рынке обеспечения безопасности конечных устройств предлагают интегрированные пакеты EPP и EDR, объединяющие возможности как одного агента, так и консоли для обеспечения всестороннего обзора состояния угроз безопасности организации.

И EPP, и EDR имеют следующие компоненты (по отдельности или в сочетании):

1. Агент конечной точки: На конечной точке устанавливается агент для мониторинга и сбора данных об активности конечной точки, включая системные журналы, сетевой трафик и активность с файлами.
2. Консоль управления: Собранные данные отправляются на центральный сервер для хранения и анализа.

Обычно доступны как локальные, так и программы как услуга (SaaS).:

o Локальное развертывание: для развертываний, которые не позволяют передавать данные за пределы локального центра обработки данных с точки зрения нормативных требований; это требует дополнительных затрат на обслуживание инфраструктуры, в которой размещаются приложения (обычно виртуальные машины и серверы баз данных).

o SaaS: Размещается у поставщика с повышенной отказоустойчивостью и доступностью; все нормативные требования и соответствие требованиям регулируются соглашениями об уровне обслуживания с поставщиками в рамках лицензионного соглашения.

Модули EPP включают в себя:

• Предотвращение вторжений на хост: компании часто сталкиваются с проблемой исправления уязвимостей своей операционной системы (ОС) и приложений, в результате чего у них остаются десятки тысяч уязвимостей, которые можно использовать. Этот модуль помогает компаниям внедрять исправления в соответствии со своими процессами, как правило, на конечных точках серверного типа.
• Брандмауэр хоста: контролирует сетевой трафик к конечной точке и обратно, блокируя несанкционированный доступ и ограничивая распространение вредоносных программ, как правило, с помощью правил с отслеживанием состояния.
• Веб-защита хоста (фильтрация URL-адресов, веб-репутация): Этот модуль блокирует доступ к известным вредоносным веб-сайтам и ограничивает доступ к веб-сайтам, не связанным с работой, для повышения производительности. Конечные точки клиентов, такие как рабочие станции, ноутбуки и мобильные устройства, являются типичными целевыми областями.
• Проверка журналов: Этот модуль помогает выявлять важные события, которые могут быть скрыты в журналах ОС и приложений, как правило, для дальнейшего использования решениями для управления информацией о безопасности и событиями (SIEM).
• Мониторинг целостности файлов: Отслеживает неожиданные изменения значений реестра, разделов реестра, служб, процессов, установленного программного обеспечения, портов и файлов для выявления нарушений.
• Контроль устройств: контролирует доступ к USB и другим внешним устройствам, предотвращая распространение вредоносных программ через съемные носители, особенно для конечных точек клиентов и для предотвращения использования конечными пользователями несанкционированных флэш-накопителей.
• Шифрование диска: шифрует данные на конечной точке, гарантируя, что конфиденциальная информация останется в безопасности, даже если устройство будет потеряно или украдено.
• Предотвращение потери данных в конечных точках (DLP): Отслеживает и контролирует перемещение конфиденциальных данных в конечных точках, предотвращая утечку данных и несанкционированный доступ. Несмотря на то, что существует множество автономных корпоративных решений DLP, преимущество использования решений, интегрированных с EPP, заключается в снижении нагрузки на агентов и сложности среды.
• Контроль приложений/изменений: запрещает запуск несанкционированного программного обеспечения до получения явного разрешения или разрешает использование программного обеспечения до получения явного ограничения, позволяя компаниям выбирать уровень контроля в соответствии со спецификой среды.

Преимущества EPPs:

• Улучшенная защита: модули EPP обеспечивают дополнительные уровни защиты от различных киберугроз. Основное преимущество заключается в том, что каждый модуль может быть включен индивидуально в группе систем или в отдельных системах с помощью пользовательских комбинаций, определяемых индивидуальными конфигурациями в рамках определенных политик.
• Централизованное управление: Благодаря интеграции этих модулей в EPP организации могут более эффективно управлять безопасностью конечных точек с центральной консоли, сокращая затраты на управление и инфраструктуру.
• Улучшенная видимость: данные, собранные этими модулями, могут быть использованы для улучшения контроля за деятельностью конечных точек, что повышает способность организации обнаруживать инциденты безопасности и реагировать на них.
• Упрощенное развертывание: поскольку эти модули интегрированы в EPP, их можно развертывать и управлять ими проще, чем автономными средствами безопасности.

Недостатки EPPs:

• Ограниченная эффективность в обнаружении и блокировании новых и появляющихся угроз
• Реактивный подход к обеспечению безопасности, основанный на обновлении сигнатур для обнаружения новых угроз.
• Предварительное развертывание может быть дорогостоящим и более сложным в развертывании и управлении с помощью дополнительных модулей
• Может привести к большому количеству ложных срабатываний, расследование которых может занять много времени
• Интеграция дополнительных модулей может усложнить EPP, требуя дополнительных ресурсов и опыта для эффективного управления
• Некоторые модули могут оказывать влияние на производительность конечной точки, потенциально влияя на производительность.

Несмотря на эти потенциальные недостатки, преимущества использования EPPs заключаются в интегрированных дополнительных модулях, которые могут перевесить затраты. Предоставляя дополнительные уровни защиты, улучшая видимость и централизуя управление, эти модули могут повысить уровень безопасности конечных точек организации.

В конечном счете, организации должны тщательно учитывать свои конкретные потребности в области безопасности и бюджет при принятии решения о том, какие модули интегрировать в их EPP. Выбирая правильную комбинацию модулей, организации могут обеспечить более комплексный подход к обеспечению безопасности конечных точек, который отвечает их уникальным потребностям и снижает киберриски. Компаниям следует начинать с поэтапного подхода, постепенно подключая дополнительные модули и функции по мере расширения потребностей.

С другой стороны, инструменты EDR используют машинное обучение и поведенческий анализ для обнаружения киберугроз и реагирования на них в режиме реального времени. Анализируя поведение конечных устройств, инструменты EDR способны выявлять и блокировать неизвестные вредоносные программы и сложные угрозы, которые традиционные антивирусные компоненты не в состоянии обнаружить. EDR можно рассматривать как дополнение к основному пакету EPP для комплексной защиты, обнаружения и реагирования.

Модули EDR включают в себя:

• Поведенческий анализ: инструменты EDR отслеживают активность конечных точек на предмет подозрительного поведения, которое может указывать на угрозу. Это может включать обнаружение необычного сетевого трафика, активности с файлами и системных изменений.
• Машинное обучение: инструменты EDR используют алгоритмы машинного обучения для выявления закономерностей и аномалий в действиях конечных точек, которые могут указывать на угрозу безопасности. Это позволяет инструментам EDR выявлять новые и неизвестные угрозы и реагировать на них.
• Анализ угроз: инструменты EDR используют каналы анализа угроз, чтобы быть в курсе последних известных угроз и признаков компрометации. Это помогает инструментам EDR более эффективно выявлять известные угрозы и реагировать на них.
• Реагирование и криминалистика: инструменты EDR позволяют удаленно изолировать конечные точки, отключая их от сети одним щелчком мыши и открывая удаленную командную строку для расследования «threat hunter», сводя к минимуму влияние атаки, распространяющейся по окружению.

Преимущества инструментов EDR:

• Может обнаруживать и блокировать неизвестные и продвинутые угрозы в режиме реального времени.
• Постоянное изучение и адаптация к новым и появляющимся угрозам
• Позволяет лучше отслеживать активность и поведение конечных точек
• Позволяет быстрее обнаруживать инциденты безопасности и реагировать на них, сокращая время реагирования.

Недостатки инструментов EDR:

• Могут быть сложными в развертывании и управлении
• Как правило, на защищенных конечных точках устанавливаются дополнительные агенты
• Для понимания и сортировки угроз может потребоваться больше ресурсов и опыта, чем для приложений EPPs
• Может возникать большое количество предупреждений, расследование которых может занять много времени.

Сочетание инструментов EPPs и EDR обеспечивает более комплексный подход к обеспечению безопасности конечных устройств, который использует преимущества обоих инструментов. EPPs может обеспечить базовый уровень защиты от известных угроз, в то время как инструменты EDR могут обнаруживать и блокировать неизвестные и продвинутые угрозы в режиме реального времени.

Чтобы устранить пробелы в возможностях каждого инструмента, организации могут внедрить следующее:

• Интеграция: Интеграция приложений и инструментов EDR может обеспечить более целостное представление о работе конечных точек и ускорить обнаружение инцидентов безопасности и реагирование на них.
• Автоматизация: Автоматизация расследования инцидентов безопасности и реагирования на них может снизить нагрузку на службы безопасности и ускорить время реагирования.
• Анализ угроз: Включение аналитических данных об угрозах в инструменты EPPs и EDR может помочь выявлять и блокировать возникающие угрозы.

Вывод

EPP и EDR являются важными компонентами комплексной стратегии безопасности Организации, и их совместная работа может обеспечить более надежную защиту от угроз. Сочетание инструментов EPPs и EDR обеспечивает более комплексный подход к обеспечению безопасности конечных точек, который использует преимущества обоих инструментов. Интегрируя эти два инструмента и внедряя каналы автоматизации и анализа угроз, организации могут устранить пробелы в возможностях каждого из них и обеспечить действительно комплексную безопасность конечных точек.

Кроме того, сочетание инструментов EPPs и EDR может привести к внедрению Платформы расширенного обнаружения и реагирования (XDR). Платформы XDR объединяют данные из множества средств обеспечения безопасности, включая EPPS и EDR, прокси-серверы, брандмауэры, SIEM и многие другие решения, чтобы обеспечить целостное представление о состоянии безопасности организации. Это позволяет специалистам по безопасности эффективно обнаруживать угрозы во всей среде и реагировать на них, снижая риск успешных кибератак.

Благодаря своим службам управления безопасностью конечных точек IBM Security Services может помочь организациям разрабатывать, настраивать и развертывать endpoint protection, приводить политики в соответствие с нормативными требованиями для защиты конфиденциальных данных, устанавливать новейшие технологии шифрования конечных точек и использовать аналитиков безопасности и централизованные консоли для мониторинга, поддержки и обновления операций по обеспечению безопасности.

Источник:
https://securityintelligence.com/posts/combining-epp-and-edr-tools-can-boost-your-endpoint-security/
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/
https://www.ibm.com/products/qradar-edr

Автор: 
Xavier Santolaria, Cloud Security Solutions Architect, IBM Inventor, Member of the Academy of Technology
Jaroslav Vykoukal, Global Solutions Assurance Lead — Endpoint Security — IBM

Редактор: 
Редактор: Лебедев А.В.

Рост киберпреступлений на территории Республики Казахстан, свидетельствует о том, что Организации в частности и население в целом все еще в недостаточной степени информировано относительно рисков, связанные с цифровизацией бизнес-процессов. Тенденция развития данного направления является стимулом развития киберпреступности и появление новых угроз в виде вредоносных компьютерных программ, в целях хищения и дальнейшего использования персональных данных пользователей и организации. В наших реалиях, говорить о том, что методы и технологии киберпреступников сопоставимы с развитием антивирусных программ, далеко не является действительностью. Первые развиваются непомерными шагами, вторые же в свою очередь пытаются неторопливо их догнать. О том свидетельствуют постоянно поступающие сообщения от «мирового кибер-альянса» о новых уязвимостях, которые были обнаружены, в основном постфактум, в ходе проведенного расследования на скомпрометированной организации. Статистика это подтверждает, всего за девять месяцев прошлого года было зафиксировано более 18 тысяч инцидентов информационной безопасности, львиная доля которых повлекла за собой финансовые и репутационные издержки. Осознание незащищенности и нежелание нести какие-либо издержки потребовало от бизнес-сообщества незамедлительного стратегического приоритета в части повышения фундаментальных основ информационной безопасности посредством внедрения новых и усовершенствованных технологий по защите своих активов. Так за январь по июнь 2023 года объем таких инвестиций составил 7,5 млрд тенге, что в два раза больше, чем годом ранее.

Основные тенденции угроз по основным инструментам киберпреступников:

— Компьютерные вирусы, сетевые черви, трояны – рост 62,1 %.

— Ботнеты – рост 71,2%.

— DDOS атаки – снижение на 19%.

— Фишинг – снижение на 33,9%.

— Несанкционированный доступ и модификация содержания интернет-сервисов – рост 31%.

— Отказ в обслуживании – снижение на 30,2%.

Говоря о технологиях и подходах, которые предлагает рынок известных мировых производителей систем безопасности, в данной статье, представим вашему вниманию описание и технологические особенности комплексного решения по защите конечных устройств от киберугроз — BitDefender GravityZone.

Компания Bitdefender – признанный лидер в сфере информационной безопасности, предлагающий передовые решения по предотвращению, обнаружению и реагированию на киберугрозы. Миллионы устройств, используемые как отдельными пользователями, так и компаниями, государственными учреждениями, доверяют свою защиту Bitdefender – одному из самых надежных экспертов в борьбе с киберугрозами, обеспечении безопасности данных и повышении киберустойчивости. Благодаря постоянным инвестициям в исследования и разработки, лаборатория Bitdefender выявляет более 400 новых компьютерных угроз каждую минуту и анализирует около 40 миллиардов угроз ежедневно. Компания на постоянной основе внедряет инновации в такие области, как защита от вредоносного программного обеспечения, поведенческий анализ и искусственный интеллект. Технологии Bitdefender также лицензированы для более чем 150 ведущих мировых брендов в сфере безопасности. Основанная в 2001 году, компания Bitdefender имеет клиентов в 170 странах и представительствах на всех континентах.

Достижения Bitdefender Endpoint Security в 2023 году:

• Компания Bitdefender была названа лидером в рейтинге The Forrester Wave™: Endpoint Security, Q4 2023. В отчете оценивались 13 поставщиков по 25 отдельным критериям, включая предотвращение вредоносного ПО, предотвращение эксплойтов, устранение атак, инновации, внедрение, гибкость, прозрачность ценообразования и другие.
• Bitdefender был назван выбором клиентов в регионе EMEA в рейтинге Gartner® Peer Insights «Голос клиента для платформ защиты конечных точек» (EPP) 2023 года.² Компания также была признана сильным участником в области EPP, как в Северной Америке, так и для средних предприятий и государственных секторов, правительств и образования, в зависимости от размера компании.
• Bitdefender лидирует в последнем тесте расширенной защиты от угроз AV-Comparatives, который фокусируется на анализе методов Advanced Persistent Threat (ATP), тактик, техник и процедур (TTP), которые отражают стратегии, применяемые злоумышленниками.
• Лучшие результаты в MITRE Engenuity ATT&CK Enterprise Evaluations – третий год подряд Bitdefender достигает 100 % обнаружения на всех основных этапах оценки с максимально возможным уровнем качества описания для каждого этапа в рамках MITRE Engenuity ATT&CK Enterprise Evaluations. Оценка проводилась с помощью независимых тестов, имитирующих поведение и методы злоумышленников и оценивающих возможности обнаружения и защиты 31 участвующего поставщика.

Наглядно: GravityZone защищает вашу организацию от всего спектра изощренных киберугроз. Благодаря более чем 30 технологиям безопасности, основанным на машинном обучении, он обеспечивает многоуровневую защиту, которая неизменно превосходит обычную безопасность конечных точек, что подтверждается независимыми тестами. Платформа GravityZone с одним агентом и одной консолью для физических, виртуальных, мобильных и облачных конечных точек и электронной почты сводит к минимуму накладные расходы на управление, обеспечивая при этом постоянную видимость и контроль.

Описание процесса и основных технологий применяемые для обнаружения и защиты от вредоносного ПО:

1. Во-первых, используется традиционный метод сканирования, когда отсканированное содержимое сравнивается с базой данных сигнатур. В базе данных сигнатур содержатся записи байт-кодов, характерные для известных угроз, которые регулярно обновляются Bitdefender. Этот метод сканирования является эффективным против известных угроз, которые были исследованы и задокументированы. Тем не менее, независимо от того, насколько оперативно база данных обновляет записи, всегда есть окно уязвимости между временем, когда новая угроза обнаружена и когда исправление выпущено.
2. Против новых, незарегистрированных угроз, защиту осуществляет второй слой Bitdefender, используя эвристический двигатель B-HAVE. Эвристические алгоритмы обнаруживают вредоносные программы на основе поведенческих характеристик. B-HAVE запускает подозрительные вредоносные программы в виртуальной среде, чтобы проверить их воздействие на систему и удостовериться, что они не представляют никакой угрозы. Если угроза обнаружена, предотвращается запуск программы.
3. Для угроз, которые ускользают даже от эвристического движка, присутствует еще один слой защиты в виде Advanced Threat Control (ATC). ATC постоянно отслеживает запущенные процессы и оценивает подозрительное поведение, такое как: попытки замаскировать тип процесса, выполнение кода в пространстве памяти процесса (захват памяти для привилегированной эскалации), репликация, перемещение файлов, скрытность в списке технологических процессов и т.д. Каждое подозрительное поведение повышает рейтинг процесса. Когда достигается порог, включается сигнал тревоги.
4. Bitdefender HyperDetect — дополнительный уровень безопасности, разработанный специально для обнаружения продвинутых атак и подозрительной активности ещё до выполнения процессов. HyperDetect содержит модели машинного обучения и технологии обнаружения скрытых атак, таких как: атаки нулевого дня, продвинутые устойчивые угрозы (APT), скрытое вредоносное ПО, безфайловые атаки (злоупотребление PowerShell, инструментарием управления Windows и т. д.), кража учетных данных, целевые кибератаки, специализированное вредоносное ПО, атаки на основе сценариев, эксплойты, инструменты взлома, подозрительный сетевой трафик, потенциально нежелательные приложения (PUA), вымогатели.
5. Основанная на машинном обучении, технология Advanced Anti-Exploit блокирует атаки нулевого дня, использующие трудно-обнаруживаемые эксплойты. Advanced anti-exploit в режиме реального времени отслеживает последние эксплойты и устраняет уязвимости повреждения памяти, которые могут использоваться для обхода существующих решений безопасности. Технология защищает большинство стандартных приложений, таких как браузеры, редакторы MicrosoftOffice и Adobe Reader и другие. Модуль следит за системными процессами и защищает от брешей в безопасности и перехватов существующих процессов.
6. EDR — это компонент корреляции событий, способный выявлять сложные угрозы или активные атаки. В рамках корпоративной интегрированной платформы EDR объединяет возможности всех устройств, работающих в корпоративной сети. Это решение приходит на помощь в случаях, когда группы немедленного реагирования распознают и отвечают на серьезные угрозы. Посредством Bitdefender Endpoint Security Tools вы можете активировать защитный модуль EDRSensor в управлении конечной точки, чтобы объединять данные компьютера и операционной системы. Сбор и обработка метаданных с обеих сторон идет на платформе клиент-сервер. Этот компонент несет детальную информацию по обнаруженным происшествиям, интерактивной карте происшествий, действиям по исправлению и интеграции с Sandbox Analyzer и HyperDetect.

Дополнительные функциональные возможности системы:

1. Брандмауэр контролирует доступ приложений к сети и к Интернету.
2. Модуль Контентного Контроля помогает обеспечить соблюдение политики компании в отношении разрешенного трафика, веб-доступа, защиты данных и контроля приложений.
3. Модуль Network Attack Defense опирается на технологии Bitdefender, нацеленные на распознание сетевых атак, целью которых является получение доступа к конечным точкам при помощи таких средств как: атаки методом перебора, сетевые «эксплоиты», программы для кражи паролей, векторы заражения посредством скрытой загрузки, боты и трояны.
4. Полностью интегрированный в GravityZone, модуль управления исправлениями поддерживает последнюю версию операционной системы и приложений, а также обеспечивает полное представление о состоянии исправления в управляемых точках Windows
5. Модуль Контроля устройств позволяет предотвратить утечки конфиденциальных данных и проникновение вредоносного ПО через внешние устройства, подключаемые к конечным точкам.
6. Полное шифрование диска. Позволяет осуществлять шифрование всего диска на машине, управляя BitLocker для Windows, и FileVault и diskutil для macOS.
7. Bitdefender обеспечивает защиту Security for Exchange от вредоносных программ, антиспам, антифишинг, фильтрацию контента и содержимого писем, полностью интегрирована с серверами Microsoft Exchange, для обеспечения безопасной среды обмена сообщениями и повышения производительности.
8. Модуль Управления приложениями предотвращает активность вредоносных программ, атаки «нулевого дня» и повышает безопасность, не влияя на производительность. Управление приложениями обеспечивает гибкое соблюдение политик для приложений из «белого» списка, который идентифицирует, предотвращает установку и выполнение каких-либо нежелательных, ненадежных или вредоносных приложений.
9. Bitdefender Sandbox Analyzer обеспечивает мощный уровень защиты от продвинутых угроз путем автоматического и глубокого анализа подозрительных файлов, не подписанных антивирусным движком Bitdefender. В «песочнице» используется обширный набор технологий Bitdefender для выполнения полезных нагрузок в изолированной виртуальной среде, размещенной в Bitdefender или развернутой локально, анализа их поведения и сообщения о любых тонких системных изменениях, которые свидетельствуют о противоправных действиях.

Основные преимущества:

• Непревзойденная защита от атак, которая регулярно занимает верхние строчки в независимых тестах
• Сокращение площади атаки благодаря интегрированной аналитике рисков, постоянно сканирующей конечные точки на предмет неправильной конфигурации, уязвимостей приложений и рискованного поведения людей.
• Улучшенная видимость и контроль благодаря криминалистике атак и визуализации, раскрывающей более широкий контекст атак на конечные точки. Это позволяет сосредоточиться на конкретных угрозах и принять меры по их устранению.
• Единый агент — единая консоль для всех возможностей, включая брандмауэр, контроль приложений, контроль содержимого и дополнительные модули GravityZone (управление исправлениями, полное шифрование диска, безопасность электронной почты).
• Интерактивный режим, позволяющий пользователю управлять уровнем защиты и выбирать, каким приложениям и сайтам доверять.
• Система превентивной защиты, обеспечивающая защиту от неизвестных угроз и предотвращающая внедрение нового вредоносного ПО.
• Антивирус запускается в фоновом режиме и не замедляет работу компьютера.
• Bitdefender обновляется автоматически, обеспечивая актуализацию базы данных в режиме реального времени.
• Программа поддерживает множество языков и доступна для использования на различных операционных системах.
• Высокий уровень защиты. Bitdefender предоставляет мощную антивирусную защиту от широкого спектра угроз, включая вирусы, трояны, шпионское ПО, рекламное ПО и другие малварные программы. Благодаря передовым технологиям обнаружения и блокировки угроз, Bitdefender обеспечивает надежную защиту вашего компьютера и данных.
• Легкость использования. Bitdefender имеет интуитивно понятный интерфейс, что делает его простым в использовании, даже для неопытных пользователей. Вам не нужны специальные навыки или знания для установки и настройки программы.
• Высокая производительность. Bitdefender работает эффективно и не замедляет работу вашего компьютера. Он использует минимальное количество системных ресурсов, чтобы обеспечить непрерывную работу вашего компьютера без перерывов и зависаний.
• Многофункциональность. В состав Bitdefender входит не только антивирусная защита, но и другие полезные функции, такие как защита от фишинга, защита конфиденциальности, защита от вредоносных программ, мониторинг сети и многое другое. Это делает его полезным и универсальным инструментом для обеспечения безопасности вашего компьютера и данных.
• Поддержка множества платформ. Bitdefender доступен для различных операционных систем, включая Windows, macOS и Android. Вы можете использовать его на разных устройствах, включая персональные компьютеры, ноутбуки, смартфоны и планшеты.
• Регулярные обновления. Bitdefender своевременно выпускает обновления, чтобы обеспечить защиту от новых и развивающихся угроз. Вам не нужно беспокоиться о том, что ваша программа устареет и будет не передовой.

В заключении хотелось бы отметить следующее: если ваша организация использует продвинутую систему обнаружения и реагирования на киберугрозы, значит она серьезно относиться к обеспечению безопасности информационных активов. Подобного рода технологические решения позволяют командам по реагированию на киберугрозы выходить за рамки обычного антивирусного решения и выявлять подозрительную активность, своевременного реагируя на нее.

Источник:
https://www.bitdefender.com/business/smb-products/business-security.html
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/

Автор: 
Даулет Мухаметжанов, Тимлид направления «Обнаружение и реагирование на угрозы конечных станций»

Поскольку злоумышленники становятся все более искусными в уходе от обнаружения и быстром шифровании данных организаций, решения EDR, подобные IBM Security QRadar EDR, могут помочь службам безопасности заметить «ранние признаки» атаки.

Ориентироваться в меняющемся ландшафте угроз становится все сложнее, поскольку злоумышленники становятся все быстрее и незаметнее. Согласно отчету IBM Threat Intelligence Index 2023*, за последние несколько лет время выполнения атак с использованием шифровальщиков и ПО для выкупов сократилось на 94%; то, на что раньше уходили месяцы, теперь занимает у злоумышленников считанные дни. Поскольку злоумышленники действуют все быстрее, организациям необходимо применять проактивный подход.

Проблема: Проблемы обнаружения атак или аномалий на конечных точек в кибербезопасности

Резкий рост тенденций удаленной работы после пандемии привел к быстрому увеличению количества и взаимосвязанности конечных точек. Этот новый нормальный способ работы породил целый ряд проблем в области кибербезопасности. Возросла активность современных угроз и увеличился объем алертов, которые приходится расследовать службам безопасности (часто оказывающихся ложными срабатываниями, что приводит к серьезной усталости от алертов).

У, и без того перегруженных служб безопасности практически не остается времени на реагирование. Поэтому защита конечных точек от современных угроз «нулевого дня» может оказаться сложной задачей, если не использовать соответствующие средства обнаружения и реагирования на конечные точки (EDR), чтобы избежать дорогостоящих задержек в работе.

Решение: Усиление кибербезопасности с помощью решений EDR

Команды безопасности должны повысить эффективность своей работы за счет наличия мощных решений для защиты конечных точек, которые позволят быстро и решительно реагировать на угрозы. Почему именно защита конечных точек? Все просто. Защита конечных точек позволяет локализовать угрозу до того, как устройства будут заражены или зашифрованы программой-вымогателем. Она также обеспечивает поддержку на различных этапах жизненного цикла реагирования на инциденты и восполняет пробелы, оставленные традиционными антивирусными решениями, благодаря улучшенному обнаружению, видимости и контролю до того, как произойдет широкомасштабное поражение вредоносным или вымогательским ПО.

Потребности: Ускорение реагирования на угрозы и повышение эффективности работы команд SOC

Быстрое обнаружение конечных точек и создание отчетов о вредоносном ПО позволяет снизить общий эффект от атаки и в конечном итоге сэкономить время и средства. Для создания эффективных решений по реагированию на кибератаки защитники могут использовать средства EDR для выполнения следующих задач:

1. Использовать возможности искусственного интеллекта и автоматизации безопасности для ускорения реагирования на угрозы.
2. Повышение эффективности работы оперативных групп для экономии времени и средств.
3. Получать высокоточные алерты, позволяющие снизить нагрузку на аналитиков.
4. Получение глубокой видимости всех процессов и приложений, выполняющихся на всех конечных устройствах.

Сложные (но простые в использовании) решения EDR, такие как IBM Security QRadar EDR, могут помочь в решении всех этих задач. Давайте узнаем, каким образом.

1. Использование искусственного интеллекта и автоматизации безопасности для ускорения реагирования на угрозы

IBM QRadar EDR использует исключительный уровень автоматизации с помощью искусственного интеллекта (AI) и машинного обучения (ML) для защиты конечных точек от угроз, помогая обнаруживать и устранять известные и неизвестные угрозы или атаки без файлов практически в режиме реального времени.

Давайте посмотрим на IBM QRadar EDR в действии, чтобы узнать больше об обнаружении и автоматизированном реагировании на вредоносное ПО.

Панель управления IBM QRadar EDR

IBM QRadar EDR обеспечивает обзор экосистемы конечных точек.

В отличие от сложных приборных панелей, панель IBM QRadar EDR имеет минималистичный и упрощенный вид для удобства использования. На главном экране всегда отображается высокоуровневый обзор алертов, показывающий состояние всех конечных устройств.

Запускается алерт

При обнаружении аномалий дерево поведения вызывает алерт.

IBM QRadar EDR помогает быстро выявлять аномальные действия, например, поведение вымогателей. В случае обнаружения каких-либо поведенческих аномалий автоматически включается алерт. В левой верхней части экрана отображается степень серьезности предупреждения (в данном случае — средняя). В правой части отображается дополнительная информация об алерте: причина срабатывания алерта, задействованные конечные точки и соответствие угрозы структуре MITRE ATT&CK.

Изучение алерта

Команды безопасности могут быстро проанализировать, является ли угроза вредоносной или ложной, нажав кнопку Alert details.

Для ускорения реагирования аналитики могут щелкнуть на странице с подробной информацией об алерте, чтобы быстро проанализировать, является ли угроза вредоносной или доброкачественной, и определить, не является ли она ложным срабатыванием. Это помогает снизить усталость от алертов, поскольку аналитики не тратят время и силы на пролистывание тысяч строк журналов событий в попытке определить, что именно пошло не так.

По мере развития атаки автоматически создается визуальная сюжетная линия.

Для каждого предупреждения создается дерево поведения, которое обеспечивает полную видимость предупреждения и атаки. Эта удобная для пользователя визуальная сюжетная линия представляет собой хронологическую схему атаки. Например, какие приложения и поведение вызвали тревогу, как разворачивается атака и т.д. Команды безопасности могут легко просматривать весь спектр угроз на одном экране, что помогает им быстро принимать решения.

Детальная поведенческая аналитика и полная видимость атак

Полная видимость атак позволяет аналитикам понять масштаб атаки и принять соответствующие меры.

Щелчок на кружках в древовидной функциональности показывает подробную информацию о запущенных приложениях. Хотя на данный момент ничто не может вызвать тревогу, некоторые атаки, запускаемые через подписанные приложения, могут обойти антивирусные программы или брандмауэры.

Простая визуализация дерева поведения для определения приоритетов алертов

Аналитики могут легко расставить приоритеты при поиске алертов.

Для ускорения расследования IBM QRadar EDR показывает активность угроз с помощью простой визуализации дерева поведения с кругами и шестиугольниками. Круги обозначают приложения, а шестиугольники — поведение. Для каждой фигуры предусмотрены свои цвета. Красный цвет обозначает серьезный риск, оранжевый — средний риск, желтый — низкий риск. Эти цвета обозначают степень серьезности и помогают службам безопасности определить приоритеты при поиске предупреждений.

2. Повышение эффективности работы аналитиков с помощью IBM QRadar EDR

Эффективность работы аналитиков может быть значительно повышена благодаря простоте и скорости, с которой средства защиты EDR, такие как IBM QRadar EDR, могут устранять угрозы, завершать процессы или изолировать зараженные устройства. IBM QRadar EDR также поддерживает криминалистический анализ и реконструкцию первопричины атаки. Это помогает оперативным группам устранять угрозы и быстро восстанавливать непрерывность бизнеса.

Устранение и изоляция угроз с помощью IBM QRadar EDR

Быстрый просмотр, показывающий, сколько других конечных точек было затронуто вредоносной активностью.

После того как угроза проанализирована и признана вредоносной, аналитик может получить доступ к средствам управления сдерживанием для сортировки, реагирования и защиты путем создания политики блокирования, чтобы предотвратить запуск угрозы на других конечных точках.

Команды безопасности могут также просмотреть количество скомпрометированных конечных точек, чтобы выяснить, была ли угроза единичной или повторяющейся. Затем угрозы могут быть ликвидированы, а зараженные конечные точки полностью изолированы от сети независимо от того, где находится конечный пользователь (например, в Сингапуре, США, Великобритании, Африке и т.д.). Если конечная точка подключена к серверу, вредоносное ПО может быть уничтожено и занесено в блок-лист в режиме реального времени.

Предотвращение подобных угроз в будущем

Аналитики могут создавать рабочие процессы для противодействия аналогичным угрозам.

IBM QRadar EDR позволяет создавать рабочие процессы для противодействия конкретным угрозам. Таким образом, эти планы могут быть запущены автономно при обнаружении аналогичной угрозы в будущем.

Кроме того, в нем предусмотрены опции для выбора и удаления упавших исполняемых файлов, файловой системы или реестра. Можно выбрать конечные точки, которые необходимо изолировать в рамках данного плана исправления, и закрыть алерты.

3. Получение высокоточных алертов, позволяющих снизить нагрузку на аналитиков

IBM QRadar EDR обеспечивает высококачественные алерты и помогает сократить время расследования с нескольких минут до нескольких секунд благодаря аналитике угроз и аналитическому скорингу. Аналитики могут выявлять потенциальные киберугрозы с помощью анализа метаданных для ускорения процесса сортировки. Кроме того, возможности IBM QRadar EDR по поиску угроз позволяют в режиме реального времени осуществлять поиск индикаторов компрометации (IOC), двоичных файлов и моделей поведения в масштабах всей инфраструктуры.

Классификация угроз для снижения количества ложных срабатываний

Cyber Assistant учится на основе решений аналитиков и помогает снизить усталость от алертов.

После закрытия алерта аналитику важно классифицировать угрозу как вредоносную или ложную, поскольку Cyber Assistant — система управления алетрами на базе искусственного интеллекта в составе платформы защиты конечных точек — постоянно учится на основе решений аналитиков.

Она собирает данные и с помощью искусственного интеллекта постоянно изучает шаблоны угроз для оценки схожих угроз. Если новая угроза имеет схожую телеметрию выше 85% или более, то для оценки она использует изученные модели поведения.

Cyber Assistant сохраняет этот интеллектуальный капитал для снижения количества ложных срабатываний. Это означает высокую точность алертов и снижение нагрузки на аналитиков для уменьшения усталости от алертов и повышения эффективности работы групп безопасности.

4. Получение глубокой видимости всех процессов и приложений, выполняемых на всех конечных устройствах

Для защиты своих активов и обнаружения злоумышленников в случае кибератаки компаниям необходимо иметь глубокую видимость всех конечных устройств, включая ноутбуки, настольные компьютеры, IoT, мобильные устройства, планшеты и т.д.

NanoOS — легкий агент, который располагается вне операционных систем на уровне гипервизора, — разработан таким образом, чтобы его нельзя было обнаружить, что делает его невидимым для злоумышленников и вредоносных программ, поскольку его нельзя изменить, отключить или заменить.

Команды безопасности также могут использовать преимущества NanoOS для незаметного отслеживания перемещений злоумышленников в течение максимально возможного времени, чтобы понять их цели, пока команда безопасности не перекроет доступ. Затем можно развернуть решение IBM QRadar EDR для очистки скомпрометированных устройств без простоев.

Заключение

Эффективное решение для защиты конечных точек, такое как IBM Security QRadar EDR, может помочь командам кибербезопасности выявить слабые места. Решения для обнаружения и реагирования на конечные точки (EDR) не являются единственным механизмом защиты для обнаружения угроз, но они все же должны быть начальным механизмом наряду с расширенным решением для обнаружения и реагирования (XDR) для выявления подозрительного поведения.

IBM QRadar EDR обеспечивает простую интеграцию с QRadar SIEM, предоставляя организациям более надежную систему защиты, объединяющую возможности защиты, обнаружения и реагирования для повышения уровня ИТ-безопасности от современных кибератак.

Источник:
https://www.ibm.com/blog/top-4-reasons-why-ibm-security-reaqta-is-the-edr-solution-for-you/
https://www.ibm.com/reports/threat-intelligence
https://www.ibm.com/products/qradar-edr
https://icore.kz/obnaruzhenie-i-reagirovanie-na-ugrozy-ks/ibm-security-reaqta-cloud-pak-for-security/

Автор: 
Pooja Parab — Технический писатель

Перевод и дополнения:
Лебедев А.В.