PHASR a tradycyjny antywirus – czym różni się ochrona przed malware od redukcji powierzchni ataku?

Nowoczesny cyberatak nie zawsze zaczyna się od uruchomienia klasycznego wirusa. Cyberprzestępca może przejąć konto użytkownika, wykorzystać legalne narzędzie administracyjne albo uruchomić polecenia PowerShell. Z punktu widzenia systemu wiele takich działań może początkowo wyglądać jak zwykła administracja komputerem.

Dlatego coraz większego znaczenia nabiera nie tylko pytanie „czy na komputerze znajduje się malware?”, ale również „jakie możliwości ma napastnik, jeżeli dostanie się do komputera?”. Na tym drugim obszarze koncentruje się technologia Proactive Hardening and Attack Surface Reduction – PHASR.

PHASR a antywirus – dwie różne warstwy cyberbezpieczeństwa

Najłatwiej wyjaśnić różnicę poprzez prosty przykład.

Czym jest powierzchnia ataku i dlaczego warto ją zmniejszać?

Powierzchnia ataku to zbiór wszystkich elementów środowiska informatycznego, które potencjalnie mogą zostać wykorzystane przez cyberprzestępcę.

Może obejmować między innymi:

• aplikacje zainstalowane na komputerach,
• narzędzia administracyjne systemu operacyjnego,
• PowerShell i inne interpretery poleceń,
• narzędzia zdalnego dostępu,
• niepotrzebne usługi systemowe,
• uprawnienia użytkowników,
• oprogramowanie wykorzystywane sporadycznie,
• narzędzia umożliwiające zmianę konfiguracji systemu,
• legalne programy mogące zostać wykorzystane w nielegalny sposób.

Im więcej dostępnych funkcji, narzędzi i uprawnień, tym więcej potencjalnych sposobów może mieć napastnik na rozwinięcie ataku. Redukcja powierzchni ataku polega więc na pozostawieniu użytkownikowi tego, czego rzeczywiście potrzebuje do pracy, i ograniczeniu pozostałych możliwości.

Przykład redukcji powierzchni ataku przez PHASR

Załóżmy, że pracownik działu księgowości korzysta z przeglądarki, pakietu biurowego, systemu ERP i poczty elektronicznej. W codziennej pracy nigdy nie uruchamia zaawansowanych poleceń PowerShell.

Jeżeli cyberprzestępca przejmie jego konto i spróbuje wykorzystać PowerShell do pobrania kolejnych elementów ataku, PHASR może ograniczyć nietypowe działania związane z tym narzędziem, zachowując jednocześnie funkcje, które są rzeczywiście potrzebne użytkownikowi.

Tradycyjny antywirus – jak działa ochrona przed malware?

Współczesne rozwiązania antywirusowe są znacznie bardziej rozbudowane niż dawne programy bazujące wyłącznie na sygnaturach. Nowoczesna ochrona endpointów może korzystać z analizy heurystycznej, analizy zachowania procesów, ochrony przed exploitami, kontroli sieciowej oraz mechanizmów uczenia maszynowego.

Podstawowym zadaniem warstwy antymalware pozostaje jednak identyfikowanie i blokowanie zagrożeń takich jak:

• ransomware,
• trojany,
• spyware,
• rootkity,
• wormy,
• złośliwe skrypty,
• downloadery,
• infostealery,
• inne rodzaje malware.

Bitdefender PHASR – jak działa redukcja powierzchni ataku?

Bitdefender GravityZone PHASR, czyli Proactive Hardening and Attack Surface Reduction, wykorzystuje analizę zachowań użytkowników i urządzeń.

System może obserwować sposób korzystania z aplikacji i funkcji systemowych, a następnie na podstawie zebranych informacji tworzyć dopasowane profile oraz rekomendacje bezpieczeństwa.

1. Analiza środowiska – PHASR obserwuje sposób wykorzystania systemu przez użytkownika.
2. Budowa profilu – określane są charakterystyczne zachowania dla konkretnego użytkownika i urządzenia.
3. Identyfikacja zbędnych możliwości – system wskazuje narzędzia lub działania zwiększające powierzchnię ataku.
4. Rekomendacja ograniczeń – administrator otrzymuje propozycje utwardzenia środowiska.
5. Zastosowanie ochrony – wybrane działania mogą zostać ograniczone zgodnie z przyjętą polityką bezpieczeństwa.
6. Dalsza adaptacja – profil może zmieniać się wraz ze sposobem pracy użytkownika i zmianami w środowisku.

PHASR i indywidualny profil użytkownika

Jedną z kluczowych różnic względem klasycznego, statycznego hardeningu jest możliwość dopasowania ograniczeń do konkretnego użytkownika i urządzenia.

Administrator IT może potrzebować PowerShella, podczas gdy pracownik administracyjny może nigdy z niego nie korzystać.

PHASR vs antywirus – najważniejsze różnice

PHASR i Living-off-the-Land – dlaczego klasyczny antywirus może nie wystarczyć?

Jednym z ważnych scenariuszy bezpieczeństwa są techniki określane jako Living-off-the-Land. Cyberprzestępca nie musi instalować charakterystycznego programu malware. Może wykorzystać narzędzia, które już znajdują się w systemie operacyjnym.

• PowerShell,
• Windows Management Instrumentation,
• narzędzia administracyjne,
• narzędzia umożliwiające wykonywanie poleceń,
• programy umożliwiające zdalny dostęp,
• legalne komponenty systemu Windows.

Antywirus reaguje na zagrożenie – PHASR ogranicza możliwości

Można to porównać do zabezpieczenia budynku. Antywirus przypomina system alarmowy i ochronę, które próbują wykryć intruza. PHASR przypomina natomiast zamknięcie niepotrzebnych drzwi, zablokowanie nieużywanych przejść i ograniczenie dostępu do pomieszczeń, do których dana osoba nie musi wchodzić.

Czy PHASR zastępuje Bitdefender GravityZone lub inne oprogramowanie antywirusowe?

Nie. PHASR należy traktować jako uzupełnienie wielowarstwowej ochrony.

• antimalware – blokowanie złośliwego oprogramowania,
• EDR – monitoring, analiza i reagowanie na incydenty na endpointach,
• XDR – korelacja zdarzeń pochodzących z wielu obszarów infrastruktury,
• firewall – kontrola ruchu sieciowego,
• PHASR – dynamiczne ograniczanie powierzchni ataku i hardening endpointów.

Dlaczego wielowarstwowe bezpieczeństwo jest skuteczniejsze?

Dla jakich organizacji może być przeznaczony Bitdefender GravityZone PHASR?

PHASR dla urzędów, szkół, szpitali i jednostek publicznych

W sektorze publicznym komputery bardzo często mają jasno określone zastosowanie. Pracownik korzysta z kilku systemów dziedzinowych, pakietu biurowego, przeglądarki internetowej oraz poczty.

Jednocześnie system operacyjny może zawierać dziesiątki dodatkowych narzędzi, których użytkownik nigdy nie będzie potrzebował. Ograniczenie części tych możliwości może zmniejszyć liczbę potencjalnych ścieżek, które cyberprzestępca mógłby próbować wykorzystać po przejęciu konta lub urządzenia.

PHASR a ransomware – znaczenie ograniczania narzędzi systemowych

W ataku ransomware samo dostarczenie złośliwego oprogramowania może być tylko jednym z etapów. Przed zaszyfrowaniem danych napastnik może próbować wykonywać rozpoznanie infrastruktury, zmieniać konfigurację zabezpieczeń, wykonywać polecenia systemowe, przemieszczać się pomiędzy komputerami albo wykorzystywać narzędzia zdalnej administracji.

Redukcja powierzchni ataku ma utrudnić wykonanie części takich czynności, zanim atak zdąży rozwinąć się do kolejnego etapu.

Statyczny hardening a dynamiczny PHASR

Klasyczny hardening systemu zazwyczaj opiera się na przygotowanych przez administratora regułach. Administrator ustala, które usługi, funkcje i aplikacje mają zostać wyłączone.

Problem pojawia się w dużych organizacjach, w których setki użytkowników pracują na różne sposoby. Jedna statyczna polityka może okazać się zbyt restrykcyjna dla części pracowników i zbyt liberalna dla innych.

PHASR – wdrożenia dla firm i instytucji w całej Polsce

TI.COM.PL dostarcza rozwiązania z zakresu cyberbezpieczeństwa dla przedsiębiorstw, urzędów, gmin, szkół, jednostek budżetowych, placówek medycznych, korporacji oraz innych organizacji na terenie całej Polski.

Bitdefender PHASR Warszawa, Łódź, Kraków, Wrocław i cała Polska

Dobór licencji, konsultacje dotyczące rozwiązania i część prac związanych z konfiguracją mogą być realizowane zdalnie, dzięki czemu oferta może obejmować firmy i instytucje z całego kraju.

PHASR dla firm – dobór odpowiedniego rozwiązania

Przed wyborem rozwiązania warto określić między innymi liczbę stanowisk, rodzaj wykorzystywanych systemów, strukturę użytkowników, posiadane zabezpieczenia endpointów oraz wymagany poziom ochrony.

PHASR i Bitdefender GravityZone – zapytaj o ofertę

Każde środowisko IT jest inne. Firma zatrudniająca kilkunastu pracowników ma inne potrzeby niż urząd, korporacja lub organizacja posiadająca kilkaset czy kilka tysięcy urządzeń. Dlatego odpowiedni wariant rozwiązania powinien zostać dobrany do konkretnej infrastruktury.

PHASR – dodatkowa warstwa ochrony endpointów

Połączenie ochrony antymalware, monitorowania zdarzeń, EDR/XDR, kontroli sieci i redukcji powierzchni ataku pozwala budować wielowarstwowy model cyberbezpieczeństwa, w którym poszczególne mechanizmy wzajemnie się uzupełniają.

FAQ – PHASR a tradycyjny antywirus