Dovrei fare l'EDR? Perché l’antivirus non basta più?
Il rilevamento delle firme dei virus è così l'anno scorso. Creare un virus con una firma o un hash univoco è letteralmente un gioco da ragazzi e la maggior parte dei prodotti antivirus cattura solo una piccola percentuale del malware attivo al giorno d'oggi. Sono necessari strumenti migliori, chiamati rilevamento e risposta degli endpoint (EDR), come quelli che si integrano con i SIEM, in grado di riconoscere comportamenti errati e correggere rapidamente gli endpoint.
Il problema è che gli hacker stanno migliorando nel coprire le proprie tracce e nel lasciare pochissime impronte delle loro azioni ignobili.
Mi piace pensare ai prodotti EDR in termini di caccia e raccolta. La maggior parte dei prodotti endpoint tradizionali che provengono dall'eredità anti-malware sono raccoglitori: vengono utilizzati per raccogliere malware che possono identificare, in base ad alcuni modelli noti. Funziona bene nell’era in cui scrivere malware era un’arte nera che richiedeva competenze e strumenti specializzati. Ora esistono kit di exploit già pronti, come Angler e strumenti chiamati packer e crypter. Ciò ha reso così semplice produrre malware personalizzato che l’adolescente medio può farlo con un browser Web e poche conoscenze di programmazione.
Ma la raccolta è solo una parte del prodotto EDR ideale: anche loro devono essere cacciatori. Dovrebbero essere in grado di trovare quel proverbiale ago nel pagliaio, soprattutto quando non sai nemmeno che aspetto ha un ago, tranne che è affilato e può farti male. Il cacciatore ideale dovrebbe essere in grado di rintracciare il malware in base a una serie di eventi sfortunati, osservando comportamenti come apportare modifiche al registro di Windows, rilasciare una shell di comando da remoto o dall'interno di una sessione del browser o inserire un documento PDF infetto. Mentre alcune app “normali” mostrano queste attività, la maggior parte no. Ad esempio, alcuni prodotti EDR possono tenere traccia dell'escalation dei privilegi e dello spoofing delle credenziali, attività comuni di molti hacker oggi che desiderano accedere alla rete da un endpoint precedentemente attendibile e utilizzarlo come base operativa per raccogliere ed esportare dati riservati. Per bloccare questo tipo di comportamento, gli strumenti odierni devono mappare il movimento interno o laterale della rete in modo da poter rintracciare quali PC sono stati compromessi e neutralizzarli prima che l’intera rete cada nelle mani sbagliate.
Parte dell'esperienza di caccia è anche quella di poter registrare ciò che sta accadendo alla tua rete in modo da poter accedere alla funzione di riproduzione “videocassetta” e vedere quando qualcosa è entrato nel tuo ambiente e quali endpoint ha infettato. Da lì dovresti essere in grado di isolare e riparare i tuoi PC e riportarli a uno stato non infetto. Alcuni prodotti EDR offrono un tipo speciale di funzionalità di isolamento che sostanzialmente disattiva la connessione di rete, ad eccezione della comunicazione con la console di monitoraggio centrale. Questa è una caratteristica piuttosto interessante.
Infine, un prodotto EDR dovrebbe essere in grado di utilizzare tecniche di big data per visualizzare le tendenze e bloccare potenziali attacchi. Un altro aspetto di questo è l'integrazione con una varietà di feed di eventi di sicurezza e intelligence provenienti da fonti Internet come VirusTotal.com. Potresti anche sfruttare ciò che i ricercatori di tutto il mondo già sanno e hanno già visto in natura. Microsoft è entrata in quest'arena con Windows Defender Advanced Threat Protection. Annunciato allo show RSA di marzo, verrà lentamente distribuito a tutti gli utenti di Windows 10 (che lo vogliano o no) grazie a Windows Update. Fondamentalmente ciò che Microsoft sta facendo è trasformare ogni endpoint Windows 10 in un sensore con questo strumento e inviare queste informazioni al suo servizio di rilevamento basato su cloud chiamato Security Graph. Altri fornitori EDR fanno cose simili con i loro agenti endpoint.
Quando acquisti un prodotto EDR, chiedi al tuo fornitore queste domande:
- Hai bisogno di agenti o senza agenti? Entrambi i metodi presentano vantaggi, a seconda del mix di sistemi operativi endpoint e di ciò che stai cercando di realizzare e proteggere.
- Cosa vede l'utente sul desktop protetto? Alcuni strumenti oscurano qualsiasi elenco dei programmi nel Pannello di controllo o le icone della barra degli strumenti per renderli più invisibili.
- Il prodotto offre protezione in tempo reale? Questo potrebbe essere importante, a seconda delle tue esigenze. Alcuni prodotti non sono progettati per questo tipo di tempi di risposta e necessitano di una visione più ampia di tendenze e comportamenti.
- Come viene configurato, gestito e stabilito il prezzo del prodotto? Alcuni si installano rapidamente, altri richiedono contratti di consulenza per la configurazione. Alcuni hanno un prezzo per endpoint o per server, altri per l'acquisto di un dispositivo fisico.
EventTracker offre funzionalità EDR all'interno della sua piattaforma SIEM. Puoi saperne di più qui.