Detekcia
Agent rozpozná podozrivé správanie procesu a podľa politiky ho zastaví, alebo nahlási.
Kde modul pomáha počas útoku
Endpoint má hlavnú rolu tam, kde útok beží na zariadení: pri spustení škodlivého kódu, pri šifrovaní dát a pri následnom vyšetrovaní.
| Oblasť | Úroveň |
|---|---|
| Prieskum | kontext |
| Počiatočný prístup | doplnková ochrana |
| Spustenie a perzistencia | hlavná úloha |
| Eskalácia a šírenie | doplnková ochrana |
| Dopad | hlavná úloha |
| Vyšetrovanie a obnova | hlavná úloha |
Prevencia, detekcia a reakcia v jednom agentovi
Singularity Endpoint je základ platformy SentinelOne. Agent na koncovom zariadení alebo serveri kombinuje ochranu pred spustením škodlivého kódu (EPP) s detekciou podozrivého správania a reakciou naň (EDR). Výrobca ponúka agenta pre Windows, macOS a Linux.
Detekcia nestojí len na známych vzorkách. Agent sleduje, čo procesy naozaj robia, a vie zasiahnuť lokálne. Podľa výrobcu chráni zariadenie aj bez spojenia s konzolou. Prehľad a vzdialenú správu však obnoví až po opätovnom pripojení.
- Prevencia a behaviorálna detekcia ransomvéru, exploitov a bezsúborových útokov.
- Izolácia zariadenia od siete a ukončenie škodlivých procesov.
- Náprava vykonaných zmien a na podporovaných systémoch Windows návrat do stavu pred útokom (rollback).
- Vzdialený shell na vyšetrovanie a nápravu z konzoly podľa licencie a oprávnení.
- Riadenie periférií (USB, Bluetooth) na Windows a macOS a riadenie firewallu na Windows, macOS a Linuxe podľa licencie a platformy.
- Doplnkovo RemoteOps Forensics na zber forenzných artefaktov a spúšťanie skriptov na mnohých zariadeniach naraz podľa licencie.
Ako modul funguje pri skutočnej udalosti
Keď agent vyhodnotí aktivitu ako škodlivú, môže ju podľa politiky zablokovať automaticky, alebo len upozorniť a nechať rozhodnutie na analytikovi. Režim preto nastavujeme s vedomím dopadu na prevádzku a kritické aplikácie.
Technológia Storyline priebežne prepája súvisiace procesy, súbory a sieťové udalosti do jednej súvislej línie. Analytik nemusí ručne skladať časovú os z jednotlivých záznamov a rýchlejšie nájde koreňovú príčinu.
Kontext
Storyline ukáže, čo aktivite predchádzalo, ktorých súborov a spojení sa týka a kde ďalej hľadať.
Reakcia
Izolácia zariadenia, ukončenie procesu, karanténa súboru a náprava vykonaných zmien.
Obnova
Na podporovaných Windows možno zmeny vrátiť pomocou chránených tieňových kópií. Na macOS a Linuxe sú možnosti obmedzené.
Vhodný prvý krok pri náhrade antivírusu
Endpoint je prirodzený začiatok pre organizácie, ktoré nahrádzajú klasický antivírus alebo starší EDR a chcú jednotný prehľad o celej flotile. Hodí sa aj tam, kde časť notebookov pracuje mimo firemnej siete.
- Ransomvér a škodlivé skripty, ktoré obchádzajú detekciu podľa signatúr.
- Pomalé vyšetrovanie, keď tím skladá udalosti z niekoľkých nástrojov.
- Nejednotné politiky na staniciach, serveroch a notebookoch mimo kancelárie.
- Neriadené používanie USB zariadení, ak je súčasťou licencie riadenie periférií.
Nasadenie a prevádzka s APPSEC
Za schválenie politík, výnimiek a zásahov do produkčných systémov zodpovedá váš tím. Produktovú eskaláciu rieši výrobca podľa svojich podmienok. Ak nemáte kapacitu výstrahy vyhodnocovať, môžete zvážiť spravovanú službu výrobcu Wayfinder MDR.
Inventúra
Prejdeme počty a typy zariadení, operačné systémy, súčasnú ochranu, kritické aplikácie a potrebné výnimky.
Pilot
Na vybranej skupine overíme politiky, režim reakcie, kompatibilitu a dopad na používateľov podľa dohodnutých kritérií.
Migrácia
Postupne odstránime pôvodnú ochranu, nasadíme agenta a nastavíme skupiny, roly a eskalácie.
Prevádzka
Odovzdáme dokumentáciu vašim správcom a podporu poskytneme v rozsahu ponuky. Nepretržitý dohľad nie je automaticky súčasťou.
Čo overiť pred nákupom
- Ktoré funkcie obsahuje zvolený balík. Výrobca ich aktuálne skladá do balíkov, napríklad Singularity Complete, Commercial a Enterprise, a do doplnkových modulov.
- Podporované verzie operačných systémov a prípadné staršie systémy vo vašom prostredí.
- Dĺžku uchovávania telemetrie na vyšetrovanie a možnosť jej exportu.
- Kto bude výstrahy vyhodnocovať a kto smie schváliť zásah na zariadení.
- Spôsob prevádzky konzoly a požiadavky na umiestnenie dát.
Metodické a produktové zdroje
- SentinelOne — Singularity Endpoint
- SentinelOne — Singularity Endpoint Protection Platform (Storyline, rollback)
- SentinelOne — Singularity Complete
- SentinelOne — Singularity Control (riadenie periférií a firewallu)
- SentinelOne FAQ (podporované systémy, rollback, offline ochrana)
- SentinelOne — čo je ransomware rollback
- SentinelOne — Singularity RemoteOps Forensics
