Šifrování
Sleduje podezřelé operace se soubory a rozpozná probíhající šifrování.
Kde modul pomáhá během útoku
Modul působí hlavně ve fázi dopadu, kdy se ransomware pokouší šifrovat data. Jde o orientační pohled, ne o měření.
| Oblast | Úroveň |
|---|---|
| Průzkum | bez přímé role |
| Počáteční přístup | bez přímé role |
| Spuštění a persistence | kontext |
| Eskalace a šíření | bez přímé role |
| Dopad | hlavní role |
| Vyšetřování a obnova | doplňková ochrana |
Zastaví šifrování dřív, než zasáhne data
Ransomware se často pozná až podle zašifrovaných souborů. REP X sleduje čtení, zápisy, přejmenování a mazání souborů a hledá vzorce typické pro škodlivé šifrování. Když je najde, proces zablokuje.
Výrobce modul přepracoval do verze REP X se čtyřmi detekčními enginy. Každý zachytí jiný projev útoku, a proto se vzájemně doplňují.
Přejmenování
Zachytí hromadné přejmenování souborů a změny přípon.
Návnady
Návnadové soubory na vybraných místech upozorní na ransomware dřív, než se rozšíří.
Stínové kopie
Blokuje pokusy smazat nebo změnit stínové kopie Windows, které slouží k obnově.
Běží v agentovi vedle antiviru
Modul běží v agentovi Heimdal a zapíná se v politice. Může fungovat samostatně vedle antiviru jiného výrobce, nebo spolu s Next-Gen Antivirem Heimdal.
Při detekci zablokuje proces a do konzole zapíše údaje o procesu a operacích se soubory. Správce tak vidí, co se dělo a na kterém zařízení.
Výrobce uvádí také rozšíření ochrany na Microsoft 365, SharePoint, OneDrive a Teams, kde sleduje změny souborů v reálném čase.
Pro firmy, kde by zašifrovaná data zastavila provoz
REP je vhodný tam, kde by zašifrovaná data zastavila výrobu, účetnictví nebo práci s klienty. Hodí se i v případě, že chcete ponechat stávající antivirus a doplnit jen ochranu proti ransomwaru.
Modul neřeší, jak se útočník do sítě dostal. Doporučujeme ho proto kombinovat s ochranou DNS a e-mailu, aktualizacemi a řízením oprávnění.
Provoz
Nižší riziko, že útok zašifruje data na zařízeních a zastaví práci.
Obnova
Chráněné stínové kopie usnadní návrat k předchozím verzím souborů.
Vyšetřování
Záznam o procesu a operacích pomůže zjistit rozsah útoku.
Nasazení s APPSEC
Heimdal odpovídá za detekční enginy. APPSEC za návrh, nasazení a podporu podle nabídky. Vy odpovídáte za zálohy, jejich testování a rozhodnutí při incidentu.
Kompatibilita
Ověříme operační systémy, architekturu zařízení a stávající antivirus.
Pilot
Modul zapneme na skupině zařízení a sledujeme, jak reaguje na aplikace, které pracují s mnoha soubory.
Postup při detekci
Domluvíme, kdo dostane upozornění a co udělá, když modul zablokuje proces.
Zálohy
Projdeme návaznost na zálohy a obnovu. REP zálohy nenahrazuje.
Na co myslet
- Podle výrobce REP podporuje Windows a macOS. Na Windows s architekturou ARM podporován není.
- Zálohovací a synchronizační nástroje pracují s mnoha soubory najednou. V pilotu ověříme, zda nepotřebují výjimku.
- Licence se počítá za zařízení se zapnutým modulem.
- Stínové kopie nejsou záloha. Oddělené zálohy, které útok nemůže přepsat, zůstávají nutné.
