Skenovanie
Rýchle, úplné, systémové aj plánované skeny podľa skupinových politík.
Kde modul pomáha počas útoku
Antivírus pôsobí najmä vo chvíli, keď sa škodlivý kód dostane na zariadenie a spúšťa sa. Ide o orientačný pohľad, nie o meranie.
| Oblasť | Úroveň |
|---|---|
| Prieskum | bez priamej úlohy |
| Počiatočný prístup | doplnková ochrana |
| Spustenie a perzistencia | hlavná úloha |
| Eskalácia a šírenie | doplnková ochrana |
| Dopad | doplnková ochrana |
| Vyšetrovanie a obnova | doplnková ochrana |
Ochrana zariadení vo viacerých vrstvách
Next-Gen Antivirus kontroluje súbory a procesy na zariadení. Škodlivý obsah presunie do lokálnej karantény a nálezy hlási do konzoly.
Výrobca opisuje tri úrovne skenovania: statickú analýzu podľa signatúr, behaviorálne skenovanie v reálnom čase a vyhľadávanie v cloude. Nad nimi pracuje engine XTP, ktorý hodnotí správanie podľa techník MITRE ATT&CK.
XTP
Detekcia podozrivého správania, napríklad pokusov o získanie prihlasovacích údajov alebo vzdialené spúšťanie.
Remote Access Protection
Kontrola pokusov o prihlásenie, blokovanie útokov hrubou silou a nepovolených vzdialených relácií.
Firewall
Správa pravidiel Windows Firewallu z konzoly a možnosť izolovať podozrivý počítač.
Pri detekcii koná automaticky, správca vidí súvislosti
Modul sa zapína v politike agenta Heimdal. Správca určí profily a plány skenovania, výnimky a to, čo smie používateľ spúšťať sám.
Pri detekcii môže modul hrozbu neutralizovať bez ručného zásahu: presunúť súbor do karantény, izolovať zariadenie alebo ukončiť vzdialenú reláciu. V konzole potom vidíte, čo sa stalo a na ktorom zariadení.
- Firewall riadi Windows Firewall a pri opakovaných neúspešných prihláseniach zablokuje port vzdialenej plochy.
- Výnimky možno hromadne importovať, aby ochrana nezasahovala do schválených aplikácií.
- XTP dopĺňa udalosti o kontext, ktorý uľahčí vyšetrovanie.
Jedna konzola namiesto niekoľkých antivírusov
Modul je vhodný pre firmy, ktoré majú rôzne antivírusy alebo samostatné nástroje a chcú ochranu zariadení spravovať na jednom mieste. Spolu s ďalšími modulmi Heimdal tvorí základ balíka EDR.
Ochrana vzdialeného prístupu pomôže tam, kde sú servery alebo počítače dostupné cez vzdialenú plochu alebo iné nástroje na vzdialenú správu.
- Vo firme bežia rôzne antivírusy bez spoločného prehľadu.
- Servery sú dostupné cez vzdialenú plochu.
- Tím potrebuje vidieť detekcie a karanténu na jednom mieste.
Nasadenie s APPSEC
Heimdal zodpovedá za detekčné technológie a ich aktualizácie. APPSEC za návrh politík, nasadenie a podporu podľa ponuky. Váš tím rozhoduje o výnimkách a reaguje na hlásenia, ak nemáte dohodnutú spravovanú službu.
Východiskový stav
Zistíme súčasný antivírus, výnimky, citlivé aplikácie a servery.
Plán prechodu
Dohodneme poradie skupín a odinštalovanie pôvodného riešenia tak, aby zariadenia nezostali bez ochrany.
Pilot
Politiky a výnimky overíme na menšej skupine a doladíme hlásenia.
Odovzdanie
Ukážeme, ako riešiť detekcie, karanténu a izoláciu. Podporu po nasadení spresní ponuka.
Na čo myslieť
- Podľa tabuľky kompatibility výrobcu je antivírus dostupný pre Windows a macOS, firewall iba pre Windows. Ubuntu tento modul nepokrýva.
- Dva aktívne antivírusy na jednom zariadení sa môžu navzájom rušiť. Prechod preto plánujeme po skupinách.
- Automatická izolácia zariadenia musí zodpovedať vašim prevádzkovým pravidlám, najmä pri serveroch.
- Ochrana proti ransomvéru REP je samostatný modul. Či ju pridať, posúdime osobitne.
