Endpoint Security

Endpoint security er et sæt værktøjer, der beskytter individuelle enheder - bærbare computere, stationære computere, servere, telefoner, tablets - mod trusler, der kommer til dem. Kategorien har gennemgået tre generationer:

• Antivirus (AV) — mønstermatchning mod kendt malware
• EDR (Endpoint Detection and Response) — adfærdsanalyse plus telemetri og hændelsesresponsXPLZ3DR12PLZPLZende4 Detektion og hændelse Svar) — EDR korreleret med netværks-, identitets-, cloud- og e-mail-signaler på tværs af organisationen

Grænserne for traditionel antivirus

Classic AV fungerede ved signaturmatchning: scan filer mod en database med kendte malware-hashes, advare, hvis der findes et match. Dette var effektivt mod malware i begyndelsen af ​​2000'erne - binære filer med faste strenge, der spredte sig forudsigeligt. Det gik i stykker af to årsager:

• Polymorf malware. Moderne angribere omkompilerer eller pakker deres værktøjer konstant. En signatur for dagens variant matcher ikke morgendagens.
• Filløse angreb. I stigende grad lever angreb udelukkende i hukommelsen eller bruger indbyggede OS-værktøjer (PowerShell, WMI, cmd.exe). Der er ingen fil at scanne.

Signaturbaserede AV's fangstrate mod aktuelle angreb er dårlig - ofte under 20 % for nye trusler. Det er stadig nyttigt som en baseline mod råvare-malware, men enhver, der stoler på den alene, har været overstået i et årti.

Hvad EDR tilføjer

EDR registrerer, hvad hver proces på slutpunktet gør - procesoprettelse, filændringer, registre-netværks-argumenter, registre-streaming-argumenter. for mistænkelige mønstre. Detektionen er adfærdsbaseret, ikke signaturbaseret:

• Office-proces, der afføder PowerShell med kodede argumenter
• cmd.exe, der laver udgående netværksforbindelser
• Mass-filændring med usædvanlig hastighed (ransomware-tjenestekryptering ved 3XXPLZ-tjeneste-kryptering) fra et land, som brugeren aldrig har besøgt
• Llaterale bevægelsesforsøg via WMI, PsExec, SMB

Når EDR registrerer noget, kan den sætte processen i karantæne, isolere værten fra netværket og sende advarslen til et sikkerhedsteam. Den optagede telemetri lader respondenter gå tilbage angrebet: hvilken proces affødte hvilke, hvilke filer blev rørt, hvilke URL'er blev nået. Den fulde undersøgelse er mulig uden at tage et hukommelsesdump eller beslaglægge enheden.

De store EDR-produkter

• CrowdStrike Falcon — cloud-native, tung markedstilstedeværelse i virksomheder
• X3, indbygget i Windows, gratis Endsoft DefZ62XX3. E5-licenser
• SentinelOne — banebrydende autonom respons ("AI-drevet" udbedring)
• Palo Alto Cortex XDR
XPLZ73Sophos Intercept74X X
• VMware Carbon Black

Markedet konsoliderede sig hurtigt gennem 2022-2025, da XDR blev den dominerende strategi. med:

• Netværksdetektering (NDR) — hvad firewallen, proxyen og pakken fanger, se
• Identity-signaler (ITDR) — Active Directory, SSO-logins, SSO-logins, SUPPLIZX7PLZ9XX9699996999699699600001 arbejdsbelastning telemetri — AWS, Azure, GCP revisionslogfiler og runtime hændelser
• Email-trusselsdata — phishing-kampagner, vedhæftningsadfærd

Værdien er i en enkelt log-korrelation: 3 er ingen log-korrelation; et 3 AM-login efterfulgt af oprettelse af postkasseregler efterfulgt af S3-bucket-eksfiltrering er et angreb. XDR forbinder prikkerne, som individuelle værktøjer savner.

Endpunktsikkerhed for forbrugere

Den gode nyhed: forbrugerens slutpunktssikkerhed er i bedre form, end den har været i årtier. Indbyggede beskyttelser er kompetente:

• Windows Defender leveres med Windows 10/11 og konkurrerer troværdigt med kommercielle AV'er. For de fleste hjemmebrugere er det nok.
• macOS XProtect, Gatekeeper, Notarization — Apples lagdelte forsvar mod usigneret og kendt ondsindet software.
• iOS/iPadOS — sandboxing plus effektiv App Store-revision betyder, at der ikke er noget traditionelt malwaremarked til App Store. iPhones.
• Chromebooks — skrivebeskyttet OS, verificeret boot, sandbox som standard. Malwarehistorien er i det væsentlige løst for ChromeOS.

De største forbrugerendepunkters risici er ikke længere malware – de er phishing, kontoovertagelse og social engineering, som slutpunktssikkerhed kan markere, men ikke forhindre alene. angreb, der ikke rører slutpunktet. En phished-adgangskode, der bruges eksternt fra en angribers maskine, lander aldrig på din enhed.

Endpointsikkerhed er et stort lag, ikke hele stakken. Defense-in-depth kombinerer det med netværkskontrol, identitetsbeskyttelse og konfigurationshygiejne.