Šifrovanie
Sleduje podozrivé operácie so súbormi a rozpozná prebiehajúce šifrovanie.
Kde modul pomáha počas útoku
Modul pôsobí najmä vo fáze dopadu, keď sa ransomvér pokúša šifrovať dáta. Ide o orientačný pohľad, nie o meranie.
| Oblasť | Úroveň |
|---|---|
| Prieskum | bez priamej úlohy |
| Počiatočný prístup | bez priamej úlohy |
| Spustenie a perzistencia | kontext |
| Eskalácia a šírenie | bez priamej úlohy |
| Dopad | hlavná úloha |
| Vyšetrovanie a obnova | doplnková ochrana |
Zastaví šifrovanie skôr, než zasiahne dáta
Ransomvér sa často prejaví až zašifrovanými súbormi. REP X sleduje čítanie, zápisy, premenovanie a mazanie súborov a hľadá vzorce typické pre škodlivé šifrovanie. Keď ich nájde, proces zablokuje.
Výrobca modul prepracoval do verzie REP X so štyrmi detekčnými enginmi. Každý zachytí iný prejav útoku, a preto sa navzájom dopĺňajú.
Premenovanie
Zachytí hromadné premenovanie súborov a zmeny prípon.
Návnady
Návnadové súbory na vybraných miestach upozornia na ransomvér skôr, než sa rozšíri.
Tieňové kópie
Blokuje pokusy zmazať alebo zmeniť tieňové kópie Windows, ktoré slúžia na obnovu.
Beží v agentovi vedľa antivírusu
Modul beží v agentovi Heimdal a zapína sa v politike. Môže fungovať samostatne vedľa antivírusu iného výrobcu, alebo spolu s Next-Gen Antivirusom Heimdal.
Pri detekcii zablokuje proces a do konzoly zapíše údaje o procese a operáciách so súbormi. Správca tak vidí, čo sa dialo a na ktorom zariadení.
Výrobca uvádza aj rozšírenie ochrany na Microsoft 365, SharePoint, OneDrive a Teams, kde sleduje zmeny súborov v reálnom čase.
Pre firmy, kde by zašifrované dáta zastavili prevádzku
REP je vhodný tam, kde by zašifrované dáta zastavili výrobu, účtovníctvo alebo prácu s klientmi. Hodí sa aj v prípade, že chcete ponechať súčasný antivírus a doplniť len ochranu proti ransomvéru.
Modul nerieši, ako sa útočník do siete dostal. Odporúčame ho preto kombinovať s ochranou DNS a e-mailu, aktualizáciami a riadením oprávnení.
Prevádzka
Nižšie riziko, že útok zašifruje dáta na zariadeniach a zastaví prácu.
Obnova
Chránené tieňové kópie uľahčia návrat k predchádzajúcim verziám súborov.
Vyšetrovanie
Záznam o procese a operáciách pomôže zistiť rozsah útoku.
Nasadenie s APPSEC
Heimdal zodpovedá za detekčné enginy. APPSEC za návrh, nasadenie a podporu podľa ponuky. Vy zodpovedáte za zálohy, ich testovanie a rozhodnutia pri incidente.
Kompatibilita
Overíme operačné systémy, architektúru zariadení a súčasný antivírus.
Pilot
Modul zapneme na skupine zariadení a sledujeme, ako reaguje na aplikácie, ktoré pracujú s mnohými súbormi.
Postup pri detekcii
Dohodneme, kto dostane upozornenie a čo urobí, keď modul zablokuje proces.
Zálohy
Prejdeme nadväznosť na zálohy a obnovu. REP zálohy nenahrádza.
Na čo myslieť
- Podľa výrobcu REP podporuje Windows a macOS. Na Windows s architektúrou ARM podporovaný nie je.
- Zálohovacie a synchronizačné nástroje pracujú s mnohými súbormi naraz. V pilote overíme, či nepotrebujú výnimku.
- Licencia sa počíta za zariadenie so zapnutým modulom.
- Tieňové kópie nie sú záloha. Oddelené zálohy, ktoré útok nemôže prepísať, zostávajú nevyhnutné.
