Skenování
Rychlé, úplné, systémové i plánované skeny podle skupinových politik.
Kde modul pomáhá během útoku
Antivirus působí hlavně ve chvíli, kdy se škodlivý kód dostane na zařízení a spouští se. Jde o orientační pohled, ne o měření.
| Oblast | Úroveň |
|---|---|
| Průzkum | bez přímé role |
| Počáteční přístup | doplňková ochrana |
| Spuštění a persistence | hlavní role |
| Eskalace a šíření | doplňková ochrana |
| Dopad | doplňková ochrana |
| Vyšetřování a obnova | doplňková ochrana |
Ochrana zařízení ve více vrstvách
Next-Gen Antivirus kontroluje soubory a procesy na zařízení. Škodlivý obsah přesune do lokální karantény a nálezy hlásí do konzole.
Výrobce popisuje tři úrovně skenování: statickou analýzu podle signatur, behaviorální skenování v reálném čase a vyhledávání v cloudu. Nad nimi pracuje engine XTP, který hodnotí chování podle technik MITRE ATT&CK.
XTP
Detekce podezřelého chování, například pokusů o získání přihlašovacích údajů nebo vzdálené spouštění.
Remote Access Protection
Kontrola pokusů o přihlášení, blokování útoků hrubou silou a nepovolených vzdálených relací.
Firewall
Správa pravidel Windows Firewallu z konzole a možnost izolovat podezřelý počítač.
Při detekci jedná automaticky, správce vidí souvislosti
Modul se zapíná v politice agenta Heimdal. Správce určí profily a plány skenování, výjimky a to, co smí uživatel spouštět sám.
Při detekci může modul hrozbu neutralizovat bez ručního zásahu: přesunout soubor do karantény, izolovat zařízení nebo ukončit vzdálenou relaci. V konzoli pak vidíte, co se stalo a na kterém zařízení.
- Firewall řídí Windows Firewall a při opakovaných neúspěšných přihlášeních zablokuje port vzdálené plochy.
- Výjimky lze hromadně importovat, aby ochrana nezasahovala do schválených aplikací.
- XTP doplňuje události o kontext, který usnadní vyšetřování.
Jedna konzole místo několika antivirů
Modul je vhodný pro firmy, které mají různé antiviry nebo samostatné nástroje a chtějí ochranu zařízení spravovat na jednom místě. Spolu s dalšími moduly Heimdal tvoří základ balíčku EDR.
Ochrana vzdáleného přístupu pomůže tam, kde jsou servery nebo počítače dostupné přes vzdálenou plochu nebo jiné nástroje pro vzdálenou správu.
- Ve firmě běží různé antiviry bez společného přehledu.
- Servery jsou dostupné přes vzdálenou plochu.
- Tým potřebuje vidět detekce a karanténu na jednom místě.
Nasazení s APPSEC
Heimdal odpovídá za detekční technologie a jejich aktualizace. APPSEC za návrh politik, nasazení a podporu podle nabídky. Váš tým rozhoduje o výjimkách a reaguje na hlášení, pokud nemáte sjednanou spravovanou službu.
Výchozí stav
Zjistíme stávající antivirus, výjimky, citlivé aplikace a servery.
Plán přechodu
Domluvíme pořadí skupin a odinstalaci původního řešení tak, aby zařízení nezůstala bez ochrany.
Pilot
Politiky a výjimky ověříme na menší skupině a doladíme hlášení.
Předání
Ukážeme, jak řešit detekce, karanténu a izolaci. Podporu po nasazení upřesní nabídka.
Na co myslet
- Podle tabulky kompatibility výrobce je antivirus dostupný pro Windows a macOS, firewall pouze pro Windows. Ubuntu tento modul nepokrývá.
- Dva aktivní antiviry na jednom zařízení se mohou navzájem rušit. Přechod proto plánujeme po skupinách.
- Automatická izolace zařízení musí odpovídat vašim provozním pravidlům, hlavně u serverů.
- Ochrana proti ransomwaru REP je samostatný modul. Zda ji přidat, posoudíme zvlášť.
