آنتی ویروس شما هیچ آلارمی نداده. لاگ ها تمیز هستند، همه چیز سبز است، داشبورد میگوید ۱۰۰ درصد محافظت شده. و همین حالا مهاجم دارد از یک حساب ادمین واقعی، با PowerShell خود ویندوز، فایل های شما را روی یک سرور موقت جمع می کند.
این سناریوی فرضی نیست. طبق گزارش های پاسخ به رخداد سال های اخیر، در یک چهارم موارد فاصله بین نفوذ اولیه تا شروع خروج داده کمتر از پنج ساعت بوده. جالبتر اینکه در حوالی یک سوم سازمان ها، تیم امنیت فقط زمانی متوجه حمله شده که سرقت داده از قبل شروع شده بود. یعنی ابزار پیشگیری کار خودش را کرده بود، فقط چیزی برای دیدن نداشت.
سؤال اصلی این نیست که “آنتی ویروس بد است یا خوب”. سؤال این است که آنتی ویروس برای پاسخ به چه نیازی ساخته شده، و آیا آن سؤال هنوز سؤال مهمی است؟
آنتی ویروس یک نگهبان در است، نه یک دوربین مداربسته
منطق آنتی ویروس سنتی ساده و درست است: فایلی می آید، با دیتابیس امضاء و مدل های شناسایی مقایسه می شود، اگر بد بود بلاک و پاک میشود، اگر خوب بود عبور می کند. تصمیم لحظه ای است، خروجی دو حالت دارد، و بعد از پاک کردن آلودگی، ماجرا از نظر آنتی ویروس تمام شده است.
اشکال اینجا نیست که این کار را بد انجام می دهد. اشکال این است که مهاجم حرفه ای امروز اصلاً فایلی نمی فرستد که بشود آن را بلاک کرد.
سه تغییر بنیادی اتفاق افتاده. اول، حملات Living off the Land:
- مهاجم از خود ابزارهای سیستم استفاده می کند. در فهرست تکنیک های پرتکرار سالهای ۲۰۲۴ و ۲۰۲۵، جایگاه اول به Command and Scripting Interpreter میرسد که عمدتاً همان PowerShell و CMD خودتان است. آنتی ویروس PowerShell را بلاک نمی کند، چون PowerShell بدافزار نیست.
- سرقت هویت جای شکستن قفل را گرفته. بدافزارهای infostealer کوکی سشن و پسورد ذخیره شده را میدزدند و مهاجم با یک لاگین کاملاً معتبر وارد می شود. چه چیزی را میخواهید بلاک کنید؟ ورود موفق کاربر مالی از حساب خودش را؟
- سرعت. طبق داده های اخیر، فاصله بین دسترسی اولیه و تحویل آن به اپراتور Ransomware به مقیاس ثانیه رسیده و در بخش قابل توجهی از موارد Ransomware در کمتر از ۲۴ ساعت از نفوذ اجرا می شود. در چنین بازهای، فرآیندی که به بررسی دستی لاگ ها در روز کاری بعد تکیه دارد عملاً یعنی هیچ فرآیندی ندارید.
و نکته آخر که کمتر گفته می شود: مهاجمان امروز آنتی ویروس را هدف میگیرند. در حدود ۳۰ درصد تکنیک های فرار از دفاع، تلاش برای غیرفعال یا کور کردن ابزار امنیتی دیده شده. اگر تنها چشم شما در نقطه پایانی همان آنتی ویروس باشد، خاموش شدنش یعنی خاموش شدن کل دید شما.
EDR دقیقاً چه کاری می کند
EDR یا Endpoint Detection and Response رویکرد را از “مسدود کن و فراموش کن” به “ببین، ثبت کن، بفهم، واکنش بده” تغییر میدهد.
از دل این حافظه چهار قابلیت بیرون میآید که آنتی ویروس هیچکدام را ندارد.
تشخیص رفتاری و IoA. جای پرسیدن “آیا این فایل بد است؟”، EDR میپرسد “آیا این زنجیره رفتار طبیعی است؟”. یک فایل Word که فرزندی به نام PowerShell میسازد، آن هم با دستور کدشده Base64، هیچ فایل مخربی ندارد اما یک الگوی حمله کاملاً شناخته شده است. اینها با شاخص های حمله (Indicators of Attack) و نقشه برداری روی چارچوب MITRE ATT&CK شناسایی می شوند، نه با امضای فایل.
تحلیل ریشه ای. وقتی آلارمی صادر میشود، شما یک خط لاگ نمیبینید، یک درخت کامل میبینید: چه چیزی شروع کننده بود، از کجا آمد، چه پروسه هایی ساخت، به کدام آدرسها وصل شد، چه فایلی نوشت. سؤال “آیا جای دیگری هم هست؟” جواب میگیرد.
جستوجوی گذشته نگر و شکار تهدید. آسیب پذیری جدیدی منتشر میشود یا یک IoC تازه به دستتان میرسد. با EDR میتوانید همین حالا در داده های چند هفته گذشته جستوجو کنید و بفهمید آیا این نشانه قبلاً در سازمان شما دیده شده یا نه. آنتی ویروس چنین چیزی را نمی فهمد چون آن رویدادها را هرگز نگه نداشته.
اسخ متمرکز. ایزوله سازی یک سیستم از شبکه(بدون از دست رفتن ارتباط از طریق کنسول)، توقف پروسه، حذف فایل، قرنطینه، ممانعت از اجرای مجدد، دریافت دامپ حافظه یا مدارک Forensics، اسکن با قواعد YARA. همه از یک نقطه و روی هزاران دستگاه، بدون اینکه کسی مجبور باشد پشت آن سیستم برود.
پس آنتی ویروس را دور بیندازیم؟
نه. و هر کسی این را به شما بگوید یا محصول اشتباهی می فروشد یا معماری امنیت را نفهمیده.
اگر EPP (همان حفاظت اندپوینت مدرن که آنتی ویروس بخشی از آن است) را حذف کنید، میلیونها تهدید انبوه که قبلاً خودکار بلاک می شدند حالا تبدیل به آلارم می شوند و تیم امنیت شما زیر بار Alert Fatigue خفه می شود. رابطه این دو مکمل هم است: EPP حجم را میگیرد و پاکسازی خودکار انجام میدهد، EDR روی آن بخش کوچک اما خطرناک که از فیلتر عبور کرده دید و ابزار واکنش میدهد.
نکته مهم عملیاتی: یک ایجنت واحد برای هر دو. راه حل هایی که EPP و EDR را در یک ایجنت و یک کنسول جمع می کنند، مصرف منابع، تعارض نرم افزاری و بار نگهداری را به شکل محسوسی کم میکنند. تجربه سازمانهایی که دو ایجنت از دو وندور روی یک سرور نصب کردهاند معمولاً خوش نمیگذرد.
EDR، XDR، MDR؛ کدام برای شما؟
اینها سه سطح از یک مسیر هستند، نه سه رقیب.
EDR دید و واکنش در سطح اندپوینت. XDR همان منطق را به شبکه، ایمیل، ابر و هویت گسترش میدهد و سیگنال های پراکنده را همبسته می کند، چون یک حمله واقعی هرگز فقط در یک لایه اتفاق نمیافتد. MDR همان قابلیت ها به همراه تیم متخصص بیرونی که ۲۴ ساعته پایش میکند؛ گزینه واقع بینانه برای سازمانی که SOC داخلی ندارد.
در خط محصول کسپرسکی این مسیر تقریباً همین شکل را دارد. Kaspersky Next EDR Foundations برای شروع، EDR Optimum برای تیم های کوچک با پاسخ راهنمایی شده، اسکن IoC و تحلیل ریشهای، XDR Optimum برای افزودن تجمیع آلارم، سندباکس ابری و دید روی Active Directory، و Next XDR Expert برای امنیت سازمان های بزرگ با SOC اختصاصی، همراه با موتور IoA، شکار تهدید با کوئری ساز انعطافپذیر، سندباکس، اسکن YARA و مجموعه کاملی از اکشن های واکنش از دریافت ایمیج دیسک تا مدیریت سرویس ها.
انتخاب سطح را با اندازه سازمان تعیین نکنید، با این دو سؤال تعیین کنید: چند نفر واقعاً وقت دارند آلارم بررسی کنند، و اگر یک رخداد جدی نصف شب اتفاق بیفتد چه کسی جواب میدهد؟
اشتباه رایجی که پول را هدر می دهد
خرید EDR و رها کردنش در حالت مانیتورینگ. ابزاری که کسی آلارم هایش را نمی بیند، صرفاً یک هزینه لایسنس با احساس امنیت کاذب است. قبل از خرید مشخص کنید که چه کسی مالک فرآیند است، آلارم بحرانی به کجا میرود، برای سه سناریوی پرتکرار (باج افزار، سرقت هویت، اجرای مشکوک اسکریپت) Playbook آماده دارید یا نه، و مدت نگهداری تلمتری چقدر است. اگر تیم داخلی برای این کار ندارید، صادق باشید و از روز اول سراغ MDR بروید.
جمع بندی
آنتی ویروس سنتی بد نیست، ناقص است. برای دنیایی طراحی شده که در آن حمله یک فایل بود، و ما در دنیایی هستیم که حمله یک رفتار است. تفاوت بین سازمانی که رخداد را در ۲۰ دقیقه مهار میکند و سازمانی که سه هفته بعد از مشتریانش خبردار میشود، در کیفیت آنتی ویروس نیست، در وجود یا نبود قابلیت دیدن است.
گروه آتنا به عنوان نماینده رسمی محصولات کسپرسکی در ایران، در حوزه EDR و XDR خدمات مشاوره انتخاب سطح مناسب، تأمین لایسنس کسپرسکی، پیاده سازی، تنظیم پالیسی و پشتیبانی فنی تخصصی ارائه میدهد. اگر میخواهید بدانید در شبکه فعلی شما چه چیزهایی هست که آنتی ویروس هرگز نشانتان نداده، یک ارزیابی اولیه یا نسخه آزمایشی EDR بهترین نقطه شروع است. با کارشناسان آتنا تماس بگیرید.