W identyfikacji zaawansowanych, uporczywych zagrożeń (APT) oraz ataków ukierunkowanych, najskuteczniejsze są systemy Endpoint Detection & Response. Ułatwiają wykrycie skrzętnie ukrytych infekcji, które mogą pozostawać w systemie IT przez wiele dni, a nawet miesięcy. Zapewniają lepszy wgląd w strukturę IT przedsiębiorstwa i dają dostęp do wyjątkowo szczegółowych informacji na temat działań realizowanych w firmowej sieci.

Unikatowy sposób detekcji zagrożeń, bazujący na analizie zachowania użytkowników i reputacji plików zapewnia oprogramowanie ESET Enterprise Inspector, przeznaczone dla firm posiadających minimum 100 stanowisk komputerowych. W czasie rzeczywistym nadzoruje i ocenia wszystkie czynności wykonywane w sieci (np. zdarzenia dotyczące użytkowników, plików, procesów, rejestru, pamięci i sieci), a w razie potrzeby umożliwia podjęcie natychmiastowych działań.

Ze względu na specyficzny model działania tego oprogramowania rekomendowane jest, aby zostało ono objęte pakietem usług świadczonych przez inżynierów firmy ESET. Mogą oni zainstalować i skonfigurować produkty ESET w środowisku sieciowym klienta, a następnie przeprowadzić szkolenie dla pracowników. W ramach usługi ESET Threat Monitoring eksperci nadzorują sieć i urządzenia końcowe, aby na bieżąco ostrzegać o podejrzanych zdarzeniach wymagających uwagi. Natomiast usługa ekspercka ESET Threat Hunting zapewnia profesjonalną analizę danych zebranych przez ESET Enterprise Inspector.

Jak działa ESET Enterprise Inspector?

Ochrona zapewniana przez ESET Enterprise Inspector rozpoczyna się w urządzeniach końcowych. Agenty usługi przechwytują informacje o zdarzeniach z komputerów i serwerów i przesyłają je do centralnego serwera ESET Enterprise Inspector Server. Takie podejście pozwala odciążyć komputery, a jednocześnie daje wgląd z jednego miejsca w stan zabezpieczeń całej firmowej sieci.

Szczegółowa analiza zarejestrowanych zdarzeń odbywa się na serwerze, na którym porównywane są one ze zdefiniowanymi regułami polityki zabezpieczeń. Na tym etapie weryfikowana jest również ocena reputacji pliku w chmurze ESET LiveGrid. W przypadku obiektów budzących wątpliwość administrator może przesłać plik do dalszej analizy w chmurze (moduł ESET Dynamic Threat Defense), zablokować proces albo bezpośrednio usunąć go z wszystkich chronionych końcówek. Identyfikacja niebezpiecznych obiektów w całym ekosystemie rozwiązań ochrony ESET odbywa się z wykorzystaniem funkcji skrótu SHA-1. Istnieje możliwość ręcznego dodania sumy kontrolnej pozyskanej z innych źródeł do listy zainfekowanych obiektów.

Wyłącznym dystrybutorem rozwiązań ESET w Polsce jest Dagma.

Dodatkowe informacje: Bartosz Różalski, Product Manager ESET, Dagma, rozalski.b@dagma.pl

Artykuł EDR znajdzie to, co inni bardzo chcą ukryć pochodzi z serwisu CRN.

Co gorsza, od pewnego czasu ransomware znalazł się w cieniu ataków na łańcuchy dostaw. Dzieje się tak od 13 grudnia ub.r., kiedy świat dowiedział się o ataku na rozwiązania SolarWinds – najpoważniejszym w całym 2020 r. i prawdopodobnie największym w tej dekadzie. Specjaliści z firmy ESET zwracają uwagę, że w czwartym kwartale ubiegłego roku miało miejsce tyle ataków na łańcuchy dostaw, ile w poprzednich latach przez cały rok.

Kolejnym niepokojącym zjawiskiem jest powrót trojanów bankowych, z Emotetem na czele. Według danych Cisco, w ubiegłym roku zetknęło się z nim 45 proc. firm. Małe i średnie przedsiębiorstwa zmagały się też z phishingiem, cryptominingiem czy atakami DDoS. Analitycy z Cybersecurity Ventures przewidują, że globalne koszty związane ze zwalczaniem skutków cyberprzestępczości będą rosły w tempie 15 proc. rocznie w ciągu najbliższych pięciu lat i na koniec 2025 r. wyniosą 10,5 biliona dol. W 2015 r. było to „jedynie” 3,5 biliona dol.

O krok przed napastnikiem

Małym i średnim firmom, często korzystającym z archaicznych rozwiązań, ciężko jest powstrzymać rozpędzonych i rozzuchwalonych przestępców. Wprawdzie dostawcy systemów ochronnych nie stoją w miejscu i rozwijają swoje produkty, ale skuteczne zabezpieczenie sieci, urządzeń i danych wymaga ciągłej rozbudowy linii obrony. Klasyczny przykład dotyczy urządzeń końcowych: oferowane przez wiodących dostawców narzędzia antywirusowe powstrzymują więcej złośliwego kodu niż kiedykolwiek wcześniej, a nowoczesne produkty wykorzystują sztuczną inteligencję, uczenie maszynowe czy heurystykę adaptacyjną (a więc mechanizmy daleko wykraczające poza statyczne i łatwe do obejścia „definicje wirusów”). Ponadto, nowe wersje rozwiązań zgłaszają mniej fałszywych alarmów niż poprzednie, a są od nich szybsze i wykazują się większą skutecznością w wykrywaniu zagrożeń. Jednak nawet najlepsze antywirusy mają ograniczenia, w związku z którymi nie pozwalają użytkownikom być o krok przed napastnikami.

Oprogramowanie antywirusowe staje się też niemal bezradne w przypadku ataków bezplikowych czy wieloetapowych i wielowektorowych. Wiele z nich jest wykrywanych dopiero w trakcie ich trwania lub po fakcie. Dlatego też specjaliści IT w firmach i instytucjach wzmacniają ochronę urządzeń końcowych poprzez inwestycje w mechanizmy EDR (Endpoint Detection and Response). Są one obecne w rozwiązaniach, które – w odróżnieniu od antywirusów – nie skupiają się na identyfikacji złośliwego oprogramowania, lecz detekcji nieprawidłowych działań. EDR zapewnia stały wgląd w to, co dzieje się w sieci, analizuje zachodzące procesy i powiązania między nimi, jak też kontroluje wpisy pojawiające się w rejestrze. Oprogramowanie po wykryciu nietypowej aktywności tworzy alert dla analityków bezpieczeństwa, którzy mogą zbadać ujawnioną nieprawidłowość i odpowiednio na nią zareagować.

Dostawcy systemów bezpieczeństwa, zachęceni popularnością mechanizmu EDR, postanowili pójść dalej i wprowadzają na rynek jego rozbudowaną wersję – XDR (eXtended Detection and Response), która automatycznie zbiera i koreluje dane z wielu rozwiązań ochronnych – poczty e-mail, urządzeń końcowych, serwerów oraz różnego typu innych zasobów w chmurze i sieci. Ujednolicone podejście do bezpieczeństwa zapewnia pełny wgląd we wzorce danych oraz zdarzenia w sieciach, chmurach, urządzeniach końcowych i aplikacjach.

XDR na pierwszy rzut oka budzi skojarzenia z systemami SIEM (Security Information and Event Management). Te również pozyskują dane z dziesiątek, a nawet setek narzędzi zabezpieczających i generują alerty. Jednak tradycyjne, statyczne podejście do ochrony IT powoduje, że dostawcom SIEM-ów trudno się dostosować do sytuacji, w której wyjątkowo szybko zmieniają się techniki ataku. Natomiast XDR opracowano właśnie z myślą o pracy w dynamicznie zmieniającym się środowisku.

Pomoc z zewnątrz

Takie narzędzia jak EDR czy XDR coraz częściej znajdują zastosowania w dużych przedsiębiorstwach i organizacjach. Ale w przypadku małych i średnich firm ich popularność rośnie powoli, co najczęściej wynika z braku specjalistów, którzy potrafią zrobić użytek z danych dostarczanych przez inteligentne systemy. Ich deficyt potwierdza między innymi raport „Cyberbezpieczeństwo w polskich firmach 2021”, opracowany przez firmę Vecto. Wynika z niego, że w 2019 r. z usług specjalistów od bezpieczeństwa nie korzystało 46 proc. firm, podczas gdy w 2020 r. odsetek ten wzrósł do 52 proc.

Co ciekawe, wśród 48 proc. przedsiębiorstw, które mają wsparcie ze strony fachowców, większość (26 proc.) opiera się na wewnętrznych kadrach IT. Jedynie 22 proc. ankietowanych firm zleca obsługę obszaru ochrony systemów i danych IT na zewnątrz. Analitycy są zgodni, że ten ostatni wskaźnik będzie piąć się w górę, a małe i średnie firmy, zamiast klasycznego EDR-a, zaczną wybierać model MSSP (Managed Security Service Provider) bądź MDR (Managed Detection and Response), w którym usługodawca przejmuje na siebie wszelkie obowiązki związane z ochroną sieci i urządzeń końcowych klienta. Takie usługi oferują m.in. Sophos, Bitdefender czy Trend Micro.

Warto przy tym dodać, że w trochę innym kierunku podąża Acronis, który wprowadził rozbudowany pakiet usług obejmujący nie tylko rozwiązania do ochrony urządzeń końcowych, takich jak komputery czy serwery, ale również backupu, odzyskiwania danych po awarii czy zarządzania poprawkami i aktualizacjami systemu operacyjnego. Artur Cyganek, dyrektor na Europę Wschodnią w Acronisie, zapowiada, że producent będzie systematycznie dodawać kolejne elementy. Przykładowo, już niedługo, dzięki zakupowi firmy DeviceLock, pakiet tej marki wzbogaci się o moduł DLP, chroniący przed wyciekami danych.

Zdaniem integratora  

(Nie)bezpieczne systemy operacyjne

Już od dawna toczy się dyskusja czy MacBook potrzebuje ochrony ze strony antywirusów. Część ekspertów przekonuje, że tego typu pomoc jest zbyteczna, bowiem system operacyjny macOS bazuje na systemie Unix, a przez to ma lepiej rozwinięte funkcje bezpieczeństwa i uprawnień niż Windows. Poza tym producent z Cupertino bardzo rygorystycznie podchodzi do instalowania i uruchamiania aplikacji z zewnątrz. Microsoft w tym zakresie zapewnia użytkownikom dużo większą swobodę.

Z drugiej strony zainteresowanie hakerów systemem operacyjnym zależy od stopnia jego popularności, a pod tym względem Microsoft bije na głowę konkurenta. Według IDC, na koniec ubiegłego roku w „okienka” było wyposażonych 80,5 proc. komputerów, zaś w macOS 7,5 proc. A jednak rosnąca sprzedaż laptopów z nadgryzionym jabłuszkiem nie umknęła uwadze cyberprzestępców. Atlas VPN informuje, że w 2020 r. wykryto 674 tysiące próbek złośliwego oprogramowania atakującego komputery MacBook. Rok wcześniej było ich 56 tysięcy. Czy to oznacza, że użytkownicy „jabłek” zaczną inwestować w antywirusy?

– Nie jest prawdą, że MacBooka nie da się zainfekować złośliwym oprogramowaniem. Wektor ataku jest bardzo często taki sam jak w przypadku komputerów z systemem Windows – mówi Tomasz Rot, dyrektor sprzedaży Barracuda na Centralną i Wschodnią Europę. – Poza tym użytkownicy komputerów z macOS czy urządzeń z iOS są tak samo podatni na socjotechnikę czy ataki phishing prowadzone za pomocą poczty e-mail, wiadomości SMS czy komunikatorów.

Trudno nie zgodzić się z tego typu opiniami, chociaż właściciele urządzeń Apple’a są stosunkowo rzadko niepokojeni przez hakerów. Jak wynika z cytowanego wcześniej raportu Atlas VPN, w 2020 r. wykryto 135 razy więcej zagrożeń dla komputerów z Windowsem niż na MacBooki. Z analogiczną sytuacją mamy do czynienia na rynku smartfonów, na którym pod ostrzałem hakerów znajdują się przede wszystkim urządzenia z Androidem. Szacuje się, że udział telefonów wyposażonych w system operacyjny z zielonym robocikiem w światowym rynku przekracza nieco 80 proc. To sprawia, że użytkownicy iPhone’ów czują się dużo bardziej bezpiecznie niż właściciele smartfonów innych marek. Poza tym Apple ma bardziej restrykcyjny proces zatwierdzania aplikacji do App Store’a niż Google.

Tymczasem specjaliści Cisco zwracają uwagę na jeszcze jeden istotny aspekt. Otóż urządzenia z systemem iOS są szybciej aktualizowane niż te z Androidem. Prawdopodobieństwo udostępnienia aktualizacji lub poprawek bezpieczeństwa w ciągu 30 dni od wprowadzenia ich na rynek było 3,5 razy większe w przypadku sprzętu z systemem iOS niż w tych z Androidem Z kolei Check Point w raporcie Mobile Security Report 2021 ostrzega, że cztery na 10 telefonów komórkowych jest wyjątkowo podatnych na cyberataki.

W 2020 r. aż 97 proc. firm na całym świecie spotkało się z zagrożeniami dotyczącymi smartfonów, zaś 46 proc. miało przynajmniej jednego pracownika, który pobrał złośliwą aplikację mobilną. Zdalna praca przyczyniła się do wzrostu ataków na osobiste smartfony używane do służbowych celów. Jeśli chodzi o ochronę tych urządzeń, ścierają się obecnie dwie koncepcje. Część przedsiębiorstw korzysta z popularnych narzędzi zabezpieczających, a inne wybierają rozwiązania MDM (Mobile Device Management), przeznaczone do zarządzania flotą mobilnego sprzętu.

Trudniejsza ochrona sieci

Wyjątkowa sytuacja, z jaką mamy do czynienia od wielu miesięcy, spowodowała duże zamieszanie związane z koniecznością dostosowania się firm do pracy zdalnej. W przypadku sprzętu IT pierwsza fala zakupów objęła laptopy, a jednocześnie dostawcy rozwiązań sieciowych byli bombardowani zapytaniami dotyczącymi konfiguracji połączeń VPN. Zmiana modelu pracy zdopingowała do działania cyberprzestępców, którzy wykorzystali chaos panujący w większości przedsiębiorstw.

– Zanim doszło do optymalnego zabezpieczenia sieci, skonfigurowania połączeń do firmowych zasobów, minęło trochę czasu– mówi Piotr Zielaskiewicz, Product Manager Stormshield w Dagmie. – Mogłoby się wydawać, że małe firmy powinny szybciej poradzić sobie z przejściem na model zdalny niż korporacje ze względu na dużą elastyczność. Jednak problemem w ich przypadku był brak wykwalifikowanej kadry.

Obecnie najpopularniejszym urządzeniem do ochrony sieci w MŚP jest UTM. Mniejsze przedsiębiorstwa wybierają ten sprzęt ze względu na jego uniwersalność oraz prostą obsługę i konfigurację. Duży wpływ na decyzję mają też cena i stosunkowo niskie koszty eksploatacji.

Również analitycy postrzegają przyszłość tego segmentu rynku w jasnych barwach. IDC prognozuje, że w latach 2018–2025 sprzedaż UTM-ów będzie rosnąć w tempie 14,5 proc. rocznie. Czynnikiem napędzającym popyt ma być rosnąca świadomość użytkowników końcowych na temat wirtualnych sieci prywatnych oraz rozwój systemów UTM nowej generacji.

Zdaniem Tomasza Rota, chociaż urządzenia klasy UTM to bardzo popularne rozwiązanie, w czasie masowej migracji do pracy zdalnej nastąpiły związane z nimi pewne trudności. Ten sprzęt, podobnie jak klasyczne rozwiązania VPN Client2Site, zaprojektowano z myślą o zapewnieniu dostępu do sieci wybranej grupie pracowników. Tymczasem w tradycyjnym modelu większość personelu pracowała w biurze, będąc z definicji w zasięgu sieci firmowej. Obecnie mamy do czynienia z odwrotną sytuacją, a część systemów UTM nie była odpowiednio wyskalowana, aby poradzić sobie w nowych warunkach. Firmy szukały więc innych sposobów, aby sprostać temu wyzwaniu. Część użytkowników wymieniła UTM-y na firewalle NGFW i bramki e-mailowe, podczas gdy inni wybrali nowoczesne rozwiązania działające w modelu Zero Trust z granularną kontrolą dostępu do zasobów.

Na koniec warto przytoczyć opinię specjalistów Cisco, którzy wychodzą z założenia, że o tym, czy sieć jest dobrze chroniona, decyduje kompleksowość zabezpieczeń. W praktyce oznacza to, że powinny objąć urządzenia końcowe i samą sieć na przykład poprzez segmentację i logiczne odseparowanie jej elementów, a także zabezpieczyć styk sieci firmowej z internetem. W tej kwestii nie powinny mieć miejsca „kompromisy technologiczne” i takie same zabezpieczenia powinny stosować duże, jak i małe firmy. Jedyna różnica sprowadza się do odpowiedniego wyskalowania produktów.

Zdaniem producenta

Chester Wisniewski, Principal Research Scientist, Sophos  

Wiele firm bazuje na tradycyjnych zabezpieczeniach brzegowych. Tymczasem w sytuacji, gdy personel pracuje w domu, najlepiej stosować kompleksowe rozwiązania ochrony urządzeń końcowych. Są one zaprojektowane w taki sposób, aby usuwać wszelkie luki w systemie zabezpieczeń i zredukować jego złożoność. W przypadku produktów pochodzących od różnych dostawców trudno ocenić ich efektywną skuteczność. Poza tym konieczność zarządzania rozbudowanym systemem może prowadzić do błędów, które otwierają furtki dla hakerów.

  

Agnieszka Szarek, szefowa kanału partnerskiego, Fortinet  

Wszystkie urządzenia końcowe muszą być zabezpieczone w takim samym stopniu jak infrastruktura lokalna, niezależnie od tego, gdzie się znajdują. Podczas gdy wydajność sieci rosła wystarczająco szybko, aby obsłużyć zadania wykonywane przez pracowników zdalnych na swoich urządzeniach, to większość narzędzi zabezpieczających nie dotrzymała im kroku. Sprawiło to, że rozwiązania korzystające wyłącznie z mechanizmu VPN stały się przestarzałe. Dobierając narzędzia ochronne należy wybrać podejście do sieci bazujące na bezpieczeństwie, dzięki któremu współczesne przedsiębiorstwa mogą osiągnąć kluczowe dla ich ochrony łączność i odpowiednią wydajność.

  

Grzegorz Michałek, CEO, Arcabit  

Klienci decydujący się na zabezpieczenie urządzeń mobilnych dzielą się na dwie grupy. Do pierwszej należą użytkownicy, którzy instalują oprogramowanie ochronne i nic więcej ich nie interesuje. Druga grupa to zazwyczaj odbiorcy korporacyjni, chcący obserwować funkcjonujące w strukturach firmy urządzenia, a także zdalnie nimi zarządzać, konfigurować i kontrolować zdarzenia. Obie grupy staramy się edukować w zakresie możliwości i ograniczeń narzędzi zabezpieczających w systemach mobilnych, gdyż istnieją tutaj istotne różnice w porównaniu z mechanizmami ochronnymi pracującymi w „dużych” systemach, takich jak Windows.

  

Artykuł Antywirus… i co dalej? pochodzi z serwisu CRN.

Pełna automatyzacja

Panda oferuje rozwiązania bazujące na publicznej chmurze obliczeniowej i analizie Big Data, dzięki czemu zapewniona jest automatyczna klasyfikacja każdego pliku wykonywalnego, a jednocześnie firmy nie muszą inwestować we własną infrastrukturę zarządzającą systemami antywirusowymi. Przejście z modelu sygnaturowego na ochronę chmurową zapewnia stuprocentową identyfikację szkodliwych i nieszkodliwych aplikacji, bez okienka czasowego spowodowanego koniecznością opracowania nowych syg-
natur i ich dystrybucji.

Rozwiązania Pandy oferują prosty i intuicyjny interfejs zarządzania. Nauka korzystania z tego nowego narzędzia nie wymaga od administratora dużo czasu. Sam proces wdrożenia jest zautomatyzowany – agenty są prekonfigurowane i nie wymagają podawania dodatkowych parametrów podczas instalacji, a jednocześnie oferują możliwość automatycznej deinstalacji innych rozwiązań antywirusowych. Taka ochrona jest zapewniana bez konieczności ręcznego rekonfigurowania polityki bezpieczeństwa.

Przemysław Halczuk

Sales and Marketing Manager, Panda Security

Chmura obliczeniowa stała się bardzo ciekawym narzędziem do rozwiązywania konkretnych problemów biznesowych, dając jednocześnie możliwość zbudowania kompletnego środowiska IT. Działania Pandy w tym zakresie docenili m.in. analitycy Gartnera, którzy już drugi rok z rzędu uplasowali naszą firmę w kwadracie wizjonerów. Rozwiązania Panda Security cieszą się też dużym zainteresowaniem firm partnerskich. Zapewniamy im bardzo dobre, przejrzyste zasady współpracy oraz satysfakcjonujące marże od sprzedaży produktów.

Kontrola procesów zamiast białej listy

Oprogramowanie ochronne firmy Panda Security wykorzystuje rozwiązanie Adaptive Defense. Sposób jego działania polega na monitorowaniu procesów uruchomionych w środowisku Windows i porównywaniu ich z katalogiem bezpiecznych oraz szkodliwych procesów, zawierającym obecnie ponad 1,2 mld pozycji. Rozwiązanie to idealnie nadaje się do ochrony przed wszystkimi rodzajami szkodliwego oprogramowania, a także atakami ukierunkowanymi i zero-day.

Panda Adaptive Defense eliminuje zagrożenia, wobec których antywirusy sygnaturowe bywają bezradne ze względu na opóźnienie w dystrybucji sygnatur. Praktyka pokazuje, że monitorowanie środowiska produkcyjnego jest skuteczniejsze niż analiza bazująca na regułach tworzonych w laboratoriach R&D.

Chroniący stację roboczą agent Panda Adaptive Defense nie obciąża zasobów komputera, nie prowadzi też skanowania plików ani uaktualniania sygnatur. Inaczej niż w rozwiązania typu whitelist, Panda Adaptive Defense nie wymaga ręcznego zarządzania listą bezpiecznych aplikacji. Ocena bezpieczeństwa procesów została bowiem w znacznej mierze zautomatyzowana, a odpowiedzialność spoczywa na specjalistach z Panda Labs. Dostawca gwarantuje, że czas oceny bezpieczeństwa nieskatalogowanego procesu nie przekroczy 24 godzin.

Autoryzowanymi dystrybutorami Panda Security w Polsce są: Action (produkty konsumenckie) i Veracomp (produkty
biznesowe).

Dodatkowe informacje:

Przemysław Halczuk,

Sales and Marketing Manager, Panda Security,

przemyslaw.halczuk@pl.pandasecurity.com

Artykuł powstał we współpracy z firmą Panda Security.

Artykuł Panda stawia na wykrywanie i reagowanie pochodzi z serwisu CRN.