Detekce
Agent rozpozná podezřelé chování procesu a podle politiky ho zastaví, nebo nahlásí.
Kde modul pomáhá během útoku
Endpoint má hlavní roli tam, kde útok běží na zařízení: při spuštění škodlivého kódu, při šifrování dat a při následném vyšetřování.
| Oblast | Úroveň |
|---|---|
| Průzkum | kontext |
| Počáteční přístup | doplňková ochrana |
| Spuštění a persistence | hlavní role |
| Eskalace a šíření | doplňková ochrana |
| Dopad | hlavní role |
| Vyšetřování a obnova | hlavní role |
Prevence, detekce a reakce v jednom agentovi
Singularity Endpoint je základ platformy SentinelOne. Agent na koncovém zařízení nebo serveru kombinuje ochranu před spuštěním škodlivého kódu (EPP) s detekcí podezřelého chování a reakcí na něj (EDR). Výrobce nabízí agenta pro Windows, macOS a Linux.
Detekce nestojí jen na známých vzorcích. Agent sleduje, co procesy skutečně dělají, a umí zasáhnout lokálně. Podle výrobce chrání zařízení i bez spojení s konzolí. Přehled a vzdálenou správu ale obnoví až po opětovném připojení.
- Prevence a behaviorální detekce ransomwaru, exploitů a bezsouborových útoků.
- Izolace zařízení od sítě a ukončení škodlivých procesů.
- Náprava provedených změn a na podporovaných systémech Windows návrat do stavu před útokem (rollback).
- Vzdálený shell pro vyšetřování a nápravu z konzole, podle licence a oprávnění.
- Řízení periferií (USB, Bluetooth) na Windows a macOS a řízení firewallu na Windows, macOS a Linuxu, podle licence a platformy.
- Doplňkově RemoteOps Forensics pro sběr forenzních artefaktů a spouštění skriptů na mnoha zařízeních najednou, podle licence.
Jak modul funguje při skutečné události
Když agent vyhodnotí aktivitu jako škodlivou, může ji podle politiky zablokovat automaticky, nebo jen upozornit a nechat rozhodnutí na analytikovi. Režim proto nastavujeme s vědomím dopadu na provoz a kritické aplikace.
Technologie Storyline průběžně propojuje související procesy, soubory a síťové události do jedné souvislé linie. Analytik nemusí ručně skládat časovou osu z jednotlivých záznamů a rychleji najde kořenovou příčinu.
Kontext
Storyline ukáže, co aktivitě předcházelo, jaké soubory a spojení se jí týkají a kde dál hledat.
Reakce
Izolace zařízení, ukončení procesu, karanténa souboru a náprava provedených změn.
Obnova
Na podporovaných Windows lze změny vrátit pomocí chráněných stínových kopií. Na macOS a Linuxu jsou možnosti omezené.
Vhodný první krok při náhradě antiviru
Endpoint je přirozený začátek pro organizace, které nahrazují klasický antivirus nebo starší EDR a chtějí jednotný přehled o celé flotile. Hodí se i tam, kde část notebooků pracuje mimo firemní síť.
- Ransomware a škodlivé skripty, které obcházejí detekci podle signatur.
- Pomalé vyšetřování, kdy tým skládá události z několika nástrojů.
- Nejednotné politiky na stanicích, serverech a noteboocích mimo kancelář.
- Neřízené používání USB zařízení, pokud je součástí licence řízení periferií.
Nasazení a provoz s APPSEC
Za schválení politik, výjimek a zásahů do produkčních systémů odpovídá váš tým. Produktovou eskalaci řeší výrobce podle svých podmínek. Pokud nemáte kapacitu výstrahy vyhodnocovat, můžete zvážit spravovanou službu výrobce Wayfinder MDR.
Inventura
Projdeme počty a typy zařízení, operační systémy, stávající ochranu, kritické aplikace a potřebné výjimky.
Pilot
Na vybrané skupině ověříme politiky, režim reakce, kompatibilitu a dopad na uživatele podle dohodnutých kritérií.
Migrace
Postupně odstraníme původní ochranu, nasadíme agenta a nastavíme skupiny, role a eskalace.
Provoz
Předáme dokumentaci vašim správcům a podporu poskytneme v rozsahu nabídky. Nepřetržitý dohled není automaticky součástí.
Co ověřit před nákupem
- Které funkce obsahuje zvolený balíček. Výrobce je aktuálně skládá do balíčků, například Singularity Complete, Commercial a Enterprise, a do doplňkových modulů.
- Podporované verze operačních systémů a případné starší systémy ve vašem prostředí.
- Délku uchování telemetrie pro vyšetřování a možnost jejího exportu.
- Kdo bude výstrahy vyhodnocovat a kdo smí schválit zásah na zařízení.
- Způsob provozu konzole a požadavky na umístění dat.
Metodické a produktové zdroje
- SentinelOne — Singularity Endpoint
- SentinelOne — Singularity Endpoint Protection Platform (Storyline, rollback)
- SentinelOne — Singularity Complete
- SentinelOne — Singularity Control (řízení periferií a firewallu)
- SentinelOne FAQ (podporované systémy, rollback, offline ochrana)
- SentinelOne — co je ransomware rollback
- SentinelOne — Singularity RemoteOps Forensics
