Конечная безопасность

Endpoint Security — это набор инструментов, защищающих отдельные устройства — ноутбуки, настольные компьютеры, серверы, телефоны, планшеты — от поступающих на них угроз. Категория прошла через три поколения:

• Антивирус (AV) — сопоставление шаблонов с известными вредоносными программами
• EDR (Обнаружение и реагирование на конечных точках) — поведенческий анализ плюс телеметрия и реагирование на инциденты
• XDR (Расширенный) Обнаружение и реагирование) — EDR коррелирует с сигналами сети, идентификации, облака и электронной почты по всей организации

Ограничения традиционного антивируса

Классический AV работает на основе сопоставления сигнатур: сканирование файлов по базе данных хэшей известных вредоносных программ, оповещение при обнаружении совпадения. Это было эффективно против вредоносных программ начала 2000-х годов — двоичных файлов с фиксированной строкой, которые предсказуемо распространялись. Он вышел из строя по двум причинам:

• Полиморфное вредоносное ПО. Современные злоумышленники постоянно перекомпилируют или упаковывают свои инструменты. Сигнатура сегодняшнего варианта не соответствует завтрашнему.
• Бесфайловые атаки. Все чаще атаки полностью живут в памяти или используют встроенные инструменты ОС (PowerShell, WMI, cmd.exe). Нет файла для сканирования.

Процент обнаружения антивирусом на основе сигнатур против текущих атак низок — часто менее 20% для новых угроз. Он по-прежнему полезен в качестве основы для борьбы с обычными вредоносными программами, но любой, кто полагается только на него, уже на протяжении десятилетия проигрывает. Обнаружение основано на поведении, а не на основе сигнатур:

• Процесс Office, запускающий PowerShell с закодированными аргументами
• cmd.exe, создающий исходящие сетевые подключения
• Массовое изменение файлов с необычной скоростью (шифрование с помощью программы-вымогателя)
• Войдите в учетную запись службы в 3 часа ночи с страна, которую пользователь никогда не посещал
• Попытки бокового перемещения через WMI, PsExec, SMB

Когда EDR обнаруживает что-либо, он может изолировать процесс, изолировать хост от сети и передать предупреждение группе безопасности. Записанная телеметрия позволяет ответчикам отследить атаку: какой процесс инициировал, какие файлы были затронуты, какие URL-адреса были достигнуты. Полное расследование возможно без создания дампа памяти или захвата устройства.

Основные продукты EDR

• CrowdStrike Falcon — облачное решение, широкое присутствие на рынке предприятий
• Microsoft Defender for Endpoint — встроен в Windows, бесплатно с лицензией E5
• SentinelOne — первый способ автономного реагирования (исправление на основе искусственного интеллекта)
• Palo Alto Cortex XDR
• Sophos Intercept X
• VMware Carbon Black

Рынок быстро консолидировался в течение 2022–2025 годов, поскольку XDR стал доминирующей стратегией.

Что XDR добавляет помимо EDR

XDR коррелирует сигналы конечных точек с:

• Обнаружение сети (NDR) — сведения, которые перехватывает брандмауэр, прокси-сервер и пакеты, см.
• Сигналы идентификации (ITDR) — Active Directory, журналы единого входа, подозрительные входы в систему
• Облачная рабочая нагрузка телеметрия — журналы аудита AWS, Azure, GCP и события времени выполнения
• Данные об угрозах по электронной почте — фишинговые кампании, поведение вложений

Значение находится в междоменной корреляции: один вход в систему в 3 часа ночи — это шум; вход в систему в 3 часа ночи с последующим созданием правила для почтового ящика и последующей фильтрацией корзины S3 является атакой. XDR соединяет точки, которые упускают из виду отдельные инструменты.

Безопасность конечных точек для потребителей

Хорошая новость: безопасность конечных точек потребителей находится в лучшем состоянии, чем за последние десятилетия. Встроенная защита компетентна:

• Windows Defender поставляется с Windows 10/11 и достойно конкурирует с коммерческими антивирусными программами. Для большинства домашних пользователей этого достаточно.
• macOS XProtect, Gatekeeper, Notarization — многоуровневая защита Apple от неподписанного и известного вредоносного программного обеспечения.
• iOS/iPadOS — песочница плюс проверка в App Store означает, что традиционного рынка вредоносного ПО фактически не существует iPhones.
• Chromebooks — ОС только для чтения, проверенная загрузка, песочница по умолчанию. Проблема с вредоносным ПО для ChromeOS по существу решена.

Основные риски для конечных точек потребителей больше не связаны с вредоносным ПО — это фишинг, захват учетных записей и социальная инженерия, которые безопасность конечных точек может обнаружить, но не предотвратить самостоятельно.

Чего безопасность конечных точек все еще не может сделать

• Prevent атаки, которые не затрагивают конечную точку. Фишинговый пароль, используемый удаленно с компьютера злоумышленника, никогда не попадает на ваше устройство.
• Исправьте неверные конфигурации. Открытый интерфейс администратора или неправильно настроенный облачный бакет — это уязвимость, которую EDR не видит.
• Остановить на уровне государства нулевые дни. Злоумышленники APT-класса пишут инструменты специально для уклонения от коммерческого EDR. Иногда им это удается месяцами.
• Замените исправления. EDR может обнаружить эксплойты, но исправления имеют большее значение.

Защита конечных точек — это основной уровень, а не весь стек. Глубокоэшелонированная защита сочетает в себе сетевое управление, защиту личных данных и гигиену конфигурации.