Phishing a podvodné weby
Blokovanie prístupu na domény spojené s phishingom a škodlivým obsahom.
Kde modul pomáha počas útoku
DNS vrstva pomáha najmä na začiatku útoku a vo chvíli, keď sa malvér pokúša komunikovať von. Ide o orientačný pohľad, nie o meranie.
| Oblasť | Úroveň |
|---|---|
| Prieskum | bez priamej úlohy |
| Počiatočný prístup | hlavná úloha |
| Spustenie a perzistencia | doplnková ochrana |
| Eskalácia a šírenie | kontext |
| Dopad | doplnková ochrana |
| Vyšetrovanie a obnova | doplnková ochrana |
Blokuje škodlivé domény skôr, než dôjde k spojeniu
Keď používateľ klikne na odkaz alebo program kontaktuje server, zariadenie sa najprv opýta DNS, kam sa má pripojiť. DNS Security tieto dopyty kontroluje a spojenia so škodlivými doménami zablokuje.
Výrobca kombinuje vlastné databázy hrozieb s modelom Predictive DNS, ktorý podľa vlastností domény odhaduje, či bude zneužitá. Modul nenahrádza antivírus. Dopĺňa ho o vrstvu, ktorá pracuje už na úrovni sieťovej komunikácie.
Riadiace servery malvéru
Prerušenie komunikácie infikovaného zariadenia s infraštruktúrou útočníka.
Kategórie a výnimky
Blokovanie podľa kategórií, vlastné zoznamy povolených a blokovaných domén a blokovacia stránka s logom firmy.
Sieťový a koncový variant sa dopĺňajú
DNS Security – Network sa konfiguruje na vašich DNS serveroch. Dopyty buď preposielajú na resolvery Heimdalu, alebo ich filtruje lokálna služba Hybrid DNS priamo na serveri. Ochrana tak pokryje aj tlačiarne, IoT a ďalšie zariadenia, kam agenta nainštalovať nemožno.
DNS Security – Endpoint beží v agentovi Heimdal na počítači. Filtruje DNS, HTTP aj HTTPS prevádzku vrátane DNS over HTTPS a funguje aj mimo firemnej siete. Pri zablokovanom spojení ukáže proces, ktorý ho vyvolal.
- Network: zariadenia vo firemnej sieti vrátane tých, na ktorých agent nebeží.
- Endpoint: notebooky a servery s agentom, aj pri práci z domu alebo na cestách.
- Kombinácia: ochrana v sieti aj na zariadeniach, ktoré z firemnej siete odchádzajú.
Vhodný prvý krok pre menší tím
DNS Security je dobrý začiatok pre firmy, ktoré chcú pridať preventívnu vrstvu bez výmeny súčasného antivírusu. Výrobca uvádza, že modul dopĺňa antivírus, firewall aj systémy IDS a IPS.
Súčasťou je aj prehľad cloudových aplikácií (App Discovery a CASB). Pomôže zistiť, ktoré cloudové služby sa vo firme používajú, a nepovolené zablokovať.
- Používatelia často otvárajú odkazy z e-mailu a webu.
- Časť zariadení pracuje mimo firemnej siete.
- Vo firme sú zariadenia, kam nemožno nainštalovať agenta.
- Chcete vedieť, ktoré cloudové služby ľudia skutočne používajú.
Nasadenie s APPSEC: od pilotu k pravidlám
Za produkt a jeho databázy hrozieb zodpovedá Heimdal. APPSEC zodpovedá za návrh, nasadenie a podporu v rozsahu ponuky. Vy schvaľujete pravidlá blokovania a rozhodujete o výnimkách.
Výber variantu
Prejdeme sieť, DNS servery a prácu na diaľku a zvolíme sieťový, koncový alebo kombinovaný variant.
Pilot
Ochranu zapneme na vybranej skupine zariadení alebo na jednom serveri a sledujeme blokovania aj falošné poplachy.
Pravidlá
Nastavíme kategórie, výnimky a blokovaciu stránku podľa pravidiel firmy.
Odovzdanie
Ukážeme vášmu tímu, ako čítať udalosti a kedy eskalovať. Podporu po nasadení spresní ponuka.
Na čo myslieť pred spustením
- Koncový variant je podľa tabuľky kompatibility výrobcu dostupný pre Windows a macOS, nie pre Ubuntu.
- Sieťový variant potrebuje prístup k DNS serverom a rozhodnutie, či dopyty preposielať, alebo filtrovať lokálne.
- Licencia koncového variantu sa počíta za zariadenie. Pri sieťovom variante ju výrobca odvodzuje od objemu DNS dopytov.
- Pravidlá blokovania môžu zasiahnuť aj legitímne služby. Pilot a jasný postup pre výnimky tomu predchádzajú.
