Povoliť
Schválená aplikácia sa spustí, podľa pravidla aj so zvýšenými oprávneniami alebo s povolením podriadených procesov.
Kde modul pomáha počas útoku
Riadenie aplikácií pôsobí najmä vo chvíli, keď sa má spustiť neznámy kód. Ide o orientačný pohľad, nie o meranie.
| Oblasť | Úroveň |
|---|---|
| Prieskum | bez priamej úlohy |
| Počiatočný prístup | kontext |
| Spustenie a perzistencia | hlavná úloha |
| Eskalácia a šírenie | doplnková ochrana |
| Dopad | kontext |
| Vyšetrovanie a obnova | kontext |
Spustí sa len to, čo povolíte
Antivírus hľadá škodlivé programy. Application Control pridáva opačný prístup: určuje, čo sa smie spustiť, a ostatné zablokuje alebo pošle na schválenie. Pomáha tak aj pri nástrojoch, ktoré antivírus za škodlivé považovať nemusí.
Heimdal túto funkciu nazýva AppFencing. Umožňuje nastaviť pre spúšťanie zásady nulovej dôvery a obmedziť procesy, ktoré by mohli slúžiť na pohyb po sieti.
Blokovať
Neschválený proces modul ukončí a pokus zapíše do konzoly.
Auditný režim
Pasívny režim zaznamenáva spustenia bez blokovania a slúži na prípravu pravidiel.
Každé spustenie sa porovná s pravidlami
Pravidlá vznikajú v konzole Heimdal. Agent na zariadení zachytí každý spúšťaný proces a porovná ho s pravidlami. Predvolené rozhodnutie zrýchli schvaľovanie a pre používateľov alebo skupiny Active Directory možno nastaviť vlastný postup.
Záznamy o povolených, zablokovaných aj len sledovaných spusteniach zostávajú v auditnej stope. Výrobca uvádza ich uchovanie počas 90 dní.
- Pravidlá podľa názvu, cesty, vydavateľa, MD5, podpisu alebo cesty so zástupnými znakmi.
- Voľba, či smie proces spúšťať podriadené procesy.
- Napojenie na PEDM na automatické zvýšenie oprávnení schválených aplikácií.
Pre pracoviská, kde má byť jasné, čo na nich beží
Modul pomôže firmám, kde si používatelia sami inštalujú nástroje, alebo kde potrebujete doložiť, aký softvér sa na zariadeniach spúšťa. Hodí sa aj pre štandardizované pracoviská, kde sa zoznam aplikácií mení málo.
Najväčší prínos má spolu s odobratím trvalých admin práv cez PEDM. Používateľ potom má menej možností pravidlá obísť.
Bezpečnosť
Menej neznámeho kódu na zariadeniach a kontrola nad nástrojmi, ktoré možno zneužiť.
Prevádzka
Jasný zoznam schváleného softvéru a rýchlejšie schvaľovanie podľa pravidiel.
Audit
Záznam o tom, čo sa kde spustilo a čo bolo zablokované.
Nasadenie s APPSEC: najprv sledovať, potom blokovať
Heimdal dodáva modul a jeho technológiu. APPSEC navrhne pravidlá a nasadí ich podľa ponuky. Vy schvaľujete zoznam povoleného softvéru a rozhodujete o výnimkách.
Auditný režim
Modul zapneme v pasívnom režime a zistíme, aké aplikácie sa skutočne používajú.
Návrh pravidiel
Zo zozbieraných dát pripravíme pravidlá podľa vydavateľov, ciest a skupín používateľov.
Postupné blokovanie
Blokovanie zapíname po skupinách a sledujeme dosah na prácu.
Schvaľovací postup
Dohodneme, ako používateľ požiada o novú aplikáciu a kto ju schváli.
Na čo myslieť
- Výrobca modul odporúča pre pracovné stanice. Na serveroch ho zapínať neodporúča pre možné vysoké zaťaženie procesora.
- Podľa tabuľky kompatibility výrobcu je dostupný pre Windows a macOS, nie pre Ubuntu.
- Proces, ktorý už beží, nové blokovacie pravidlo neukončí. Pravidlo sa uplatní pri ďalšom spustení.
- Licencia sa počíta za zariadenie s aktívnymi pravidlami vrátane auditného režimu.
