Povolit
Schválená aplikace se spustí, podle pravidla i se zvýšenými oprávněními nebo s povolením podřízených procesů.
Kde modul pomáhá během útoku
Řízení aplikací působí hlavně ve chvíli, kdy se má spustit neznámý kód. Jde o orientační pohled, ne o měření.
| Oblast | Úroveň |
|---|---|
| Průzkum | bez přímé role |
| Počáteční přístup | kontext |
| Spuštění a persistence | hlavní role |
| Eskalace a šíření | doplňková ochrana |
| Dopad | kontext |
| Vyšetřování a obnova | kontext |
Spustí se jen to, co povolíte
Antivirus hledá škodlivé programy. Application Control přidává opačný přístup: určuje, co se smí spustit, a ostatní zablokuje nebo pošle ke schválení. Pomáhá tak i u nástrojů, které antivirus za škodlivé považovat nemusí.
Heimdal tuto funkci nazývá AppFencing. Umožňuje nastavit pro spouštění zásady nulové důvěry a omezit procesy, které by mohly sloužit k pohybu po síti.
Blokovat
Neschválený proces modul ukončí a pokus zapíše do konzole.
Auditní režim
Pasivní režim zaznamenává spuštění bez blokování a slouží k přípravě pravidel.
Každé spuštění se porovná s pravidly
Pravidla vznikají v konzoli Heimdal. Agent na zařízení zachytí každý spouštěný proces a porovná ho s pravidly. Výchozí rozhodnutí zrychlí schvalování a pro uživatele nebo skupiny Active Directory lze nastavit vlastní postup.
Záznamy o povolených, zablokovaných i jen sledovaných spuštěních zůstávají v auditní stopě. Výrobce uvádí jejich uchování po dobu 90 dnů.
- Pravidla podle názvu, cesty, vydavatele, MD5, podpisu nebo cesty se zástupnými znaky.
- Volba, zda smí proces spouštět podřízené procesy.
- Napojení na PEDM pro automatické zvýšení oprávnění schválených aplikací.
Pro pracoviště, kde má být jasné, co na nich běží
Modul pomůže firmám, kde si uživatelé sami instalují nástroje, nebo kde potřebujete doložit, jaký software se na zařízeních spouští. Hodí se i pro standardizovaná pracoviště, kde se seznam aplikací mění málo.
Největší přínos má spolu s odebráním trvalých admin práv přes PEDM. Uživatel pak má méně možností pravidla obejít.
Bezpečnost
Méně neznámého kódu na zařízeních a kontrola nad nástroji, které lze zneužít.
Provoz
Jasný seznam schváleného softwaru a rychlejší schvalování podle pravidel.
Audit
Záznam o tom, co se kde spustilo a co bylo zablokováno.
Nasazení s APPSEC: nejdřív sledovat, potom blokovat
Heimdal dodává modul a jeho technologii. APPSEC navrhne pravidla a nasadí je podle nabídky. Vy schvalujete seznam povoleného softwaru a rozhodujete o výjimkách.
Auditní režim
Modul zapneme v pasivním režimu a zjistíme, jaké aplikace se skutečně používají.
Návrh pravidel
Z nasbíraných dat připravíme pravidla podle vydavatelů, cest a skupin uživatelů.
Postupné blokování
Blokování zapínáme po skupinách a sledujeme dopady na práci.
Schvalovací postup
Domluvíme, jak uživatel požádá o novou aplikaci a kdo ji schválí.
Na co myslet
- Výrobce modul doporučuje pro pracovní stanice. Na serverech ho zapínat nedoporučuje kvůli možné vysoké zátěži procesoru.
- Podle tabulky kompatibility výrobce je dostupný pro Windows a macOS, ne pro Ubuntu.
- Proces, který už běží, nové blokovací pravidlo neukončí. Pravidlo se uplatní při dalším spuštění.
- Licence se počítá za zařízení s aktivními pravidly, včetně auditního režimu.
